SMS, DSGVO und § 7 UWG: Was Unternehmen in Deutschland bei Transaktions- und Werbe-SMS beachten müssen

SMS ist der direkteste Kanal, den ein Unternehmen hat: Fast jede Nachricht wird innerhalb von Minuten geöffnet. Genau deshalb regelt das deutsche Recht ihn streng. Zwei Regelwerke gelten gleichzeitig: Das Datenschutzrecht (die DSGVO mit dem Bundesdatenschutzgesetz, BDSG) bestimmt, was Sie mit der Telefonnummer tun dürfen, und das Wettbewerbsrecht (das Gesetz gegen den unlauteren Wettbewerb, UWG) bestimmt, ob Sie überhaupt Werbung an sie senden dürfen.

Transaktion oder Werbung? Die Frage, von der alles abhängt

Eine Transaktions-SMS gehört zur Erfüllung von etwas, das der Empfänger angefordert hat: Bestellbestätigung, Versandhinweis, Terminerinnerung, Bestätigungscode, Hinweis auf eine fällige Rechnung oder eine fertige Reparatur. Der Empfänger erwartet sie, und sie enthält keine Werbung.

Eine Werbe-SMS wirbt für Ihre Waren oder Dienstleistungen: ein Rabatt, eine neue Kollektion, ein saisonales Angebot, die Bitte um eine Bewertung, eine „Wir vermissen Sie“-Nachricht. Deutsche Gerichte verstehen den Begriff „Werbung“ weit: Alles, was den Absatz fördern soll, zählt dazu, auch eine freundliche Zufriedenheitsumfrage oder ein Geburtstagsgutschein.

Die Trennlinie ist wichtig, weil eine Transaktionsnachricht mit angehängtem Werbesatz („Ihre Bestellung wurde versandt. Sparen Sie 10 % auf Ihre nächste Bestellung mit dem Code …“) insgesamt zur Werbung wird und die unten beschriebene Einwilligung braucht. Halten Sie die beiden Nachrichtenarten getrennt, in Ihren Vorlagen und in Ihrer Datenbank.

DSGVO: die Rechtsgrundlage für die Verarbeitung der Nummer

Eine Mobilnummer ist ein personenbezogenes Datum. Jede SMS, die Sie senden, ist ein Verarbeitungsvorgang, der eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO braucht:

• Transaktionsnachrichten stützen sich in der Regel auf Art. 6 Abs. 1 lit. b: Die Verarbeitung ist für die Erfüllung eines Vertrags oder für vorvertragliche Maßnahmen auf Anfrage der betroffenen Person erforderlich. Ein Versandhinweis an einen Kunden, der Ihnen die Nummer im Checkout gegeben hat, braucht datenschutzrechtlich keine gesonderte Einwilligung.
• Sicherheitsnachrichten wie Login-Codes können auf Art. 6 Abs. 1 lit. b oder auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f gestützt werden, wenn der Kontoinhaber von dem Schutz profitiert.
• Werbenachrichten stützen sich in der Praxis auf die Einwilligung nach Art. 6 Abs. 1 lit. a, weil das UWG ohnehin eine ausdrückliche Einwilligung verlangt (siehe unten).

Unabhängig von der Grundlage gelten die üblichen Pflichten: Informieren Sie bei der Erhebung über die Verarbeitung (Art. 13), nennen Sie Zweck und Empfänger, einschließlich Ihres SMS-Gateways als Auftragsverarbeiter, speichern Sie die Nummer nur so lange wie nötig (Art. 5 Abs. 1 lit. e), beachten Sie das jederzeitige Widerspruchsrecht gegen Direktwerbung (Art. 21 Abs. 2) und nehmen Sie die Verarbeitung in Ihr Verzeichnis von Verarbeitungstätigkeiten auf (Art. 30). Eine Einwilligung muss so einfach zu widerrufen sein, wie sie erteilt wurde (Art. 7 Abs. 3).

§ 7 UWG: ausdrückliche vorherige Einwilligung für Werbe-SMS

Die zentrale Regel für Werbung per SMS in Deutschland ist § 7 Abs. 2 Nr. 2 UWG. Werbung „unter Verwendung elektronischer Post“ ohne vorherige ausdrückliche Einwilligung des Adressaten ist stets eine unzumutbare Belästigung. „Elektronische Post“ wird im Sinne von Art. 2 der ePrivacy-Richtlinie 2002/58/EG verstanden und umfasst neben E-Mail auch SMS, Messenger-Nachrichten und Push-Mitteilungen. Die Regel gilt gegenüber Verbrauchern und gegenüber Unternehmen gleichermaßen.

Was „ausdrückliche Einwilligung“ in der Praxis bedeutet:

• Die Person stimmt aktiv zu, Werbung per SMS von Ihrem Unternehmen zu erhalten. Ein vorangekreuztes Kästchen, eine in den AGB versteckte Einwilligung oder eine Einwilligung zu „E-Mail und anderen Kanälen“ reicht nicht.
• Die Einwilligung muss vor der ersten Nachricht vorliegen. Eine erste SMS, die um die Einwilligung bittet, ist selbst Werbung und damit nicht erlaubt.
• Sie müssen sie nachweisen können. Im Streitfall trägt der Werbende die Beweislast; deshalb hat sich das unten beschriebene Double-Opt-in-Verfahren als Standard durchgesetzt.

Es gibt eine Ausnahme, § 7 Abs. 3 UWG, oft Bestandskundenregel genannt. Werbung per elektronischer Post ohne Einwilligung ist zulässig, wenn alle vier Voraussetzungen erfüllt sind: (1) Sie haben die Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden erhalten, (2) Sie nutzen sie zur Direktwerbung für eigene ähnliche Waren oder Dienstleistungen, (3) der Kunde hat nicht widersprochen und (4) Sie weisen bei der Erhebung und in jeder Nachricht klar und deutlich darauf hin, dass er jederzeit widersprechen kann, ohne dass dafür andere als die Übermittlungskosten nach den Basistarifen entstehen. Die Ausnahme wird eng ausgelegt; betrachten Sie sie als Rückfallebene, nicht als Plan.

Double-Opt-in: So wird die Einwilligung nachgewiesen

Double-Opt-in bedeutet, dass die Person zunächst ihre Nummer eingibt und ein Einwilligungskästchen anhakt und anschließend über den Kanal selbst bestätigt. Bei SMS ist die Bestätigung ein Einmalcode an die Nummer oder ein Bestätigungslink in einer Nachricht, sodass Sie belegen können, dass die Nummer tatsächlich der Person gehört, die eingewilligt hat. Ihre Aufzeichnungen sollten zu jeder Nummer enthalten:

• den genauen Wortlaut des angezeigten Einwilligungstextes einschließlich Version;
• Datum und Uhrzeit der Anforderung und der Bestätigung sowie IP-Adresse oder Sitzung;
• Kanal und Zweck, in die eingewilligt wurde (SMS, Werbung Ihres Unternehmens);
• Datum und Art eines eventuellen Widerrufs.

Technisch ist der Bestätigungsschritt eine gewöhnliche Verifizierungsnachricht. Mit TopSMS können Sie dafür die Verify API nutzen, die einen Code sendet und die Antwort mit eingebauten Limits prüft; die OTP-Anleitung in diesem Blog zeigt die Integration Schritt für Schritt. Die Code-Nachricht selbst ist eine Transaktionsnachricht: Die Person hat sie gerade eben angefordert.

Abmeldung: kostenlos, einfach und beachtet

Jede Werbenachricht muss dem Empfänger einen Weg bieten, weitere Nachrichten zu stoppen, ohne dass andere als die Übermittlungskosten nach den Basistarifen entstehen; fehlt eine gültige Adresse dafür, ist das für sich genommen eine unzumutbare Belästigung nach § 7 Abs. 2 Nr. 3 lit. c UWG. Das klassische „Antworten Sie mit STOP“ funktioniert nur, wenn Sie von einer Telefonnummer senden. Tragen Ihre Nachrichten Ihren Firmennamen als Absender, kann der Empfänger nicht antworten; nehmen Sie dann einen Kurzlink zu einer Abmeldeseite, eine E-Mail-Adresse oder eine Telefonnummer auf. Bearbeiten Sie Widersprüche zügig und ohne Diskussion.

Bei TopSMS stehen abgemeldete Nummern auf der Blacklist des Kontos: Sie markieren sie im Kontaktdetail oder importieren eine CSV-Datei mit einer Spalte optOut, und die API lehnt jede Nachricht an eine solche Nummer mit dem Code 400 ab. Die Einwilligungen verwalten Sie; das Gateway stellt sicher, dass ein vergessener Filter in Ihrem eigenen System nicht zu einer Nachricht an jemanden führt, der Nein gesagt hat.

Wer sendet? Pflichten zur Absenderangabe

Eine Website braucht ein Impressum nach § 5 des Digitale-Dienste-Gesetzes (DDG, Nachfolger von § 5 TMG). In einer SMS ist kein Platz für ein vollständiges Impressum, zwei Regeln gelten aber trotzdem für ihren Inhalt. Nach § 6 Abs. 1 DDG müssen kommerzielle Kommunikationen klar als solche erkennbar sein, und die natürliche oder juristische Person, in deren Auftrag sie erfolgen, muss klar identifizierbar sein. Nach § 7 Abs. 2 Nr. 3 lit. a UWG ist eine Nachricht, bei der die Identität des Absenders verschleiert oder verheimlicht wird, eine unzumutbare Belästigung. Praktisch heißt das: Senden Sie Werbung unter Ihrem echten Firmennamen als Sender ID, nennen Sie das Unternehmen im Text noch einmal, wenn der Absendername eine Abkürzung ist, und verlinken Sie auf eine Seite mit Ihrem Impressum. Verkaufsfördernde Angebote müssen außerdem ihre Bedingungen klar angeben (§ 6 Abs. 1 Nr. 3 DDG), eine „20 % Rabatt“-Nachricht braucht also die Bedingungen oder einen Link dorthin.

Was passiert, wenn es schiefgeht

Unerlaubte Werbung gibt Mitbewerbern und Verbraucherverbänden einen Unterlassungsanspruch (§ 8 UWG), der meist über eine Abmahnung mit strafbewehrter Unterlassungserklärung und Anwaltskosten durchgesetzt wird. Nach der DSGVO können die Aufsichtsbehörden Bußgelder nach Art. 83 verhängen, bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, und Betroffene können Schadensersatz nach Art. 82 verlangen. Einzelne SMS-Fälle kommen meist deutlich günstiger, der Reputationsschaden, wenn Sie Ihre eigenen Kunden mit Spam belästigen, ist jedoch real.

Das Gateway als Auftragsverarbeiter: Art. 28 und EU-Hosting

Ihr SMS-Gateway verarbeitet Nummern und Nachrichtentexte in Ihrem Auftrag. Damit ist es Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO, und Art. 28 Abs. 3 verlangt einen schriftlichen Vertrag, den Auftragsverarbeitungsvertrag (AVV), der Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen, Unterauftragsverarbeiter, Löschung und Kontrollrechte regelt. Verlangen Sie ihn von jedem Anbieter, bevor Sie die erste Nummer senden. Prüfen Sie auch, wo die Daten verarbeitet werden: Eine Verarbeitung innerhalb der EU vermeidet die zusätzlichen Anforderungen für Übermittlungen in Drittländer nach Art. 44 ff. DSGVO.

Bei TopSMS ist der AVV nach Art. 28 DSGVO unter topsms.eu/de/avv veröffentlicht und gilt für jedes Konto ohne gesonderten Papierkram. Anwendung und Datenbank laufen in einem Rechenzentrum in der EU, die Zustellung an die Netze erfolgt über Carrier mit Sitz in der EU, und für die Zustellung verlassen keine Daten die EU.

Checkliste

1. Trennen Sie Transaktions- und Werbevorlagen; mischen Sie nie Werbung in eine Benachrichtigung.
2. Holen Sie vor der ersten Werbenachricht eine ausdrückliche, SMS-spezifische und unternehmensbezogene Einwilligung ein; nutzen Sie Double-Opt-in und bewahren Sie die Nachweise auf.
3. Stützen Sie sich auf die Bestandskundenausnahme nach § 7 Abs. 3 UWG nur nach Prüfung aller vier Voraussetzungen.
4. Nehmen Sie in jede Werbenachricht eine kostenlose Abmeldemöglichkeit auf und pflegen Sie die Blacklist.
5. Senden Sie unter Ihrem echten Firmennamen und verlinken Sie Ihr Impressum; nennen Sie die Bedingungen von Angeboten.
6. Ergänzen Sie Ihre Datenschutzerklärung (Art. 13) und Ihr Verzeichnis von Verarbeitungstätigkeiten (Art. 30) um SMS und das Gateway.
7. Schließen Sie einen AVV mit dem Gateway ab und bevorzugen Sie eine Verarbeitung innerhalb der EU.
8. Legen Sie Löschfristen für Nummern, Einwilligungen und Nachrichtenprotokolle fest.