Aufnahmekriterien. für die Teilnahme von Massenversendern an der Certified Senders Alliance (CSA) Seite 1 von 11 Version 1.

Transkript

1 Aufnahmekriterien für die Teilnahme von Massenversendern an der Certified Senders Alliance (CSA) Seite 1 von 11 Version 1.09

2 1 Präambel Das vorliegende Dokument beschreibt die vom eco Verband der deutschen Internetwirtschaft e.v. (eco) und dem Deutschem Dialogmarketing Verband e.v. (DDV) gemeinsam definierten Kriterien für die Aufnahme von Massenversendern in die CSA. Die Erfüllung der aufgestellten Kriterien gewährleistet nicht die Zustellung von s an die adressierten Nutzer, da von diesen getroffene Filtereinstellungen oder Maßnahmen von Internet Service Providern zur Aufrechterhaltung der Netzwerksicherheit und Dienstestabilität eine Kenntnisnahme verhindern können. 2 Zwingende Aufnahmekriterien a. Es sind die Namen und IP-Adressen sämtlicher vom Versender verwendeten - Ausgangsserver zu benennen, unabhängig davon, ob diese auf die Whitelist gesetzt werden sollen oder nicht, wobei jedoch vom Versender genau anzugeben ist, welche IP-Adressen gewhitelistet werden sollen und welche nicht. Die Nutzung von Mailservern, die nicht gewhitelistet werden sollen, ist ausschließlich in den folgenden Fällen zulässig: aa. Versandaktionen von Neukunden, wenn die Anzahl der Versandaktionen 3 nicht übersteigt und seit dem Zeitpunkt der ersten Versandaktion nicht mehr als 2 Monate vergangen sind; bb. Versandaktionen, die sich ausschließlich an Verkehrskreise und Märkte richten, die nicht dem Rechtsrahmen der Europäischen Union für die Verarbeitung personenbezogener Daten und elektronische Kommunikation unterliegen; dies gilt nicht, wenn die Empfänger- -Adresse einem an der CSA teilnehmenden ISP zuzuordnen ist Versandaktion bedeutet das zeitlich zusammenhängende Aussenden einer im Wesentlichen inhaltsgleichen an einen im Voraus bestimmten Empfängerkreis. Die Nutzung von -Ausgangsservern, die nicht gewhitelistet werden sollen, hat der Versender gegenüber der CSA schriftlich zu begründen; die Begründung ist für den Versender bindend Seite 2 von 11 Version 1.09

3 Einwilligung b. Der Versand von s erfolgt nur an Adressaten, die hierzu ihre Einwilligung im Sinne des 7 Abs. 2 Nr. 3 UWG erteilt haben (Opt-IN), oder die sich mit dem Werbenden in bestehenden Kundenbeziehungen befinden sofern die Voraussetzungen des Art 13 Abs. 2 der Datenschutzrichtlinie für elektronische Kommunikation 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 (Direktwerbung für eigene ähnliche Produkte oder Dienstleistungen, Hinweis auf die jederzeitige gebührenfreie Widerspruchsmöglichkeit bei Erhebung und jeder Verwendung der -Adresse) eingehalten wurden. c. Die Einwilligung in die Zusendung von Werbung mittels s muss gesondert erfolgen. Der Adressat muss entweder ein Kästchen anklicken / ankreuzen oder sonst eine vergleichbar eindeutige Erklärung seiner Zustimmung in die Werbung mittels E- Mails abgeben. Diese Erklärung darf nicht Bestandteil anderer Erklärungen sein (z.b. Einwilligung in die Geltung von Allgemeinen Geschäftsbedingungen). d. Die Adressaten müssen ihre Einwilligung aktiv durch eine bewusste Handlung abgeben. Es dürfen keine vorangeklickten / vorangekreutzten Kästchen verwendet werden. Sofern die Einwilligung nicht schriftlich oder elektronisch erklärt wird, bedarf sie einer schriftlichen Bestätigung gegenüber dem Adresseninhaber. Auf die Möglichkeit, die Einwilligung jederzeit widerrufen zu können, ist bereits bei Einholung der Einwilligung klar und deutlich hinzuweisen. Der Hinweis muss auch Informationen dazu enthalten, wie und gegenüber wem der Widerruf erfolgen kann. Gestaltung der e. Der Auftraggeber, das heißt der Vertragspartner des Versenders einer Werbesendung muss klar erkennbar sein. Jede versendete muss ein leicht erkennbares Impressum enthalten, entweder im Text oder über einen unmittelbaren Link erreichbar. Das Impressum muss die nachfolgenden Angaben enthalten: aa. den Namen und die Anschrift, unter der der Versender niedergelassen ist, bei juristischen Personen zusätzlich die Rechtsform, den Vertretungsberechtigten und das Handelsregister, Vereinsregister, Partnerschaftsregister oder Genossenschaftsregister, in das sie eingetragen sind und die entsprechende Registernummer; Seite 3 von 11 Version 1.09

4 bb. Kontaktinformationen, mindestens jedoch eine gültige Telefonnummer oder ein elektronisches Kontaktformular sowie eine -Adresse und cc. in Fällen, in denen eine Umsatzsteueridentifikationsnummer nach 27a des Umsatzsteuergesetzes oder eine Wirtschaftsidentifikationsnummer nach 139c der Abgabenordnung vorhanden ist, die Angabe dieser Nummer. Weitergehende Informationspflichten, beispielsweise nach 5 Abs. 1 des Telemediengesetzes (TMG), bleiben unberührt. f. Auf die Möglichkeit des Widerrufs der Erlaubnis, s zuzusenden, ist in jeder E- Mail hinzuweisen. Das Abbestellen von s muss grundsätzlich durch den Empfänger ohne Kenntnisse von Zugangsdaten (beispielsweise Login und Passwort) möglich sein. Ausnahmen dazu können im Einzelfall zugelassen werden, wenn eine abweichende Handhabung aufgrund von Besonderheiten des angebotenen Dienstes erforderlich ist; vergleiche Ziffer 2v. bezüglich List-Help.Abmeldungen sind unverzüglich zu bearbeiten. g. In der Kopf- und Betreffzeile der darf weder der Absender noch der kommerzielle Charakter der Nachricht verschleiert oder verheimlicht werden. Ein Verschleiern oder Verheimlichen liegt dann vor, wenn die Kopf- und Betreffzeile absichtlich so gestaltet sind, dass der Empfänger vor Einsichtnahme in den Inhalt der Kommunikation keine oder irreführende Informationen über die tatsächliche Identität des Absenders oder den kommerziellen Charakter der Nachricht erhält. h. Bei der Verwendung von -Adressen, die der Versender bzw. seine Kunden von Dritten erworben hat, ist der Versender bzw. sein Kunde verpflichtet, sich vor der Vornahme von Werbehandlungen zu vergewissern, dass tatsächlich nur solche Empfänger angeschrieben werden, die eine Einwilligung im Sinne dieser Aufnahmekriterien erklärt haben, die sich nicht nur auf den Versand durch einen Dritten sondern auch durch den Versender bzw. seinen Kunden selbst bezieht Seite 4 von 11 Version 1.09

5 i. Die Gewinnung von Adressdaten für Dritte (etwa durch Co-Sponsoring) muss gegenüber dem Nutzer transparent sein. Insbesondere dürfen so gewonnene Adressdaten für eine Versendung nur genutzt werden, wenn bei Erhebung aa. die Unternehmen, für die die Adressdaten generiert wurden, transparent, namentlich und unter Angabe der Branche einzeln benannt wurden, bb. die Kenntnisnahme der Liste der Unternehmen für den Nutzer leicht, und eindeutig möglich war und cc. die Anzahl der Unternehmen bzw. Personen, für die die Adressdaten erhoben wurden, auf ein Maß reduziert ist, das die Weiterleitung der Nutzerdaten an einen unverhältnismäßig großen Kreis Dritter ausschließt und dem Nutzer erlaubt, die Tragweite und der Umfang seiner Einwilligung einfach zu erfassen sowie den rechtmäßigen Umgang mit seinen Daten einfach zu kontrollieren. Klarstellend sei darauf hingewiesen, dass die Unternehmen, für die die Adressdaten generiert werden, diese Adressdaten nicht an Dritte weitergeben dürfen, ohne dass vom Nutzer dafür eine weitere Einwilligung gesondert eingeholt wurde. Technische Konfiguration j. Die Server des Versenders müssen angemessen technisch abgesichert sein (zb. Firewall, kein Open Relay, keine Backscatter, stetig gemonitorte Server, etc.). k. Jede versendete (Aufbau und Komposition) sowie der -Versand (Envelope-Kommunikation im SMTP-Dialog) müssen RFC-konform sein. Folgende RFCs sind u.a. maßgebend: 821, 2142, 2821, l. Die IP-Adresse des versendenden Mail-Servers bzw. die IP-Adresse, die eine an den Internet-Service-Provider übergibt, muss Reverse via PTR auflösbar sein. Der Eintrag muss in der Form eines FQDN (Fully Qualified Domain Name) sein. Der verwendete FQDN muss als A-Record(ARR) eindeutig auf die IP-Adresse des MTAs zeigen. Der im DNS eingetragene und verwendete FQDN muss im SMTP-Dialog (Envelope-Kommunikation) bei dem HELO/EHLO Kommando angegeben werden Seite 5 von 11 Version 1.09

6 m.die Whois-Angaben der IP-Adresse oder des zugehörigen FQDNs müssen auf den zertifizierten Versender eindeutig verweisen. Darüber hinaus müssen IP-Adresse und FQDN erreichbare Kontakt- -Adressen sowie einfach auffindbare, allgemeine Abuse- -Adressen im WHOIS enthalten (Siehe u.a. RFC2142, RFC3013 Section 2.5 und aktuelle Richtlinien/Best Practices der RIRs und Registries). n. Der Versender hat eine u.u. separate Abuse-/Complaint- bzw. Feedback-Loop - Adresse (Frei definierbarer ROLE Account, der beim Versender für die Zusendung von u.u. automatisierten Beschwerden oder Anfragen von ISPs oder Empfängern zuständig ist) für die von ihm verwendeten IP-Adressen einzurichten und der CSA zu benennen. Die Fähigkeit zur Verarbeitung von ARF(siehe RFC5965) und X-ARF 1 wird vorausgesetzt. Darüber hinaus sind Ansprechpartner mit Telefonnummer und - Adresse für Beschwerden zu benennen. Die Reaktionszeit bei Anfragen von ISPs hat maximal 24 h werktäglich zu betragen. o. Der Versender muss die alleinige Kontrolle über die versendenden Mailserver haben. p. Die vom Versender benannten -Ausgangsserver dürfen nur für den Massenversand bzw. automatisierten Versand verwendet werden. Idealerweise muss es z.b möglich sein, spezifische Kampagnen bzw. Aussendungen bestimmten dedizierten Systemen zuzuordnen. q. Der Versender muss -Adressen von der Mailingliste nehmen, wenn nach dem Beschicken dieser Adressen drei Hard-Bounces erfolgten. 2 r. Für die in der SMTP-Kommunikation zwischen Servern angegebene MAIL FROM Adresse ist ein SPF-From Record einzutragen, der es SPF-Systemen auf Empfängerseite erlaubt, einen SPF-Test durchzuführen (hierzu sind vom Versender gegebenenfalls auch SRS-Verfahren einzusetzen). Der SPF-Record muss mit ~all oder -all enden. Bitte beachten Sie diesbezüglich auch die Bedingungen unter den Empfehlungen zu SenderID-Einträgen unter (3.g). s. Ein so genannter SPF-HELO Eintrag für den FQDN des sendenden -Servers muss vorhanden sein und sollte - wenn möglich - mit -all enden (wenn nicht praktikabel mit ~all ), äquivalent zu den eingetragenen Informationen aus (2 l.). 1 Siehe 2 Server Status Codes, die mit einer 5 beginnen sind als Hard Bounce einzustufen. Siehe z.b. RFC Seite 6 von 11 Version 1.09

7 t. Bzgl. der in der Envelope-Kommunikation zwischen Servern angegebenen MAIL FROM Adresse muss für deren Domain Name Teil ein u.u. zusätzlicher und evtl. mit niedrigster Priorität versehener MX Record und ein A-Record exisitieren, die wiederum beide auf den sendenden -Server zeigen. u. Das Verfahren DKIM (DomainKeys Identified Mail) 3 ist spätestens ab erfolgreicher Zertifizierung durch die CSA für alle zu zertifizierenden Server/IP-Adressen einzusetzen. Die in dem DKIM "d=" Tag verwendete Domäne muss via Whois Eintrag entweder auf den zertifizierten Versender oder den betroffenen Kunden des zertifizierten Versenders zeigen. v. In den Header der muss ein "List-Unsubscribe" Link (siehe RFC2369) 4 eingefügt werden. Die angegebenen Links müssen eine erleichterte Abmeldung mindestens auf Listenebene bewirken. Der List-Unsubscribe-Header enthält mindestens einen HTTP- Link. Der Versender kann dem Nutzer eine Bestätigungs- für eine erfolgte Abmeldung übersenden. Ausnahmen von dieser Verpflichtung können geltend gemacht werden, wenn es aus Gründen der Ausgestaltung des Dienstes und der damit einhergehenden Zusendung automatisierter s nicht erforderlich oder möglich ist, eine Abmeldung im vorgenannten Sinne durchzuführen. Über eine solche Ausnahme entscheidet die Beschwerdestelle. Im Falle einer Ausnahme muss ein List-Help-Link (siehe RFC 2369) 5 in den Header eingefügt werden. Der Link muss zu einer Hilfe- oder Login-Seite führen, die dem Empfänger erklärt, wie er sich von einer weiteren Zusendung abmelden kann bzw. weshalb dies aus zwingenden rechtlichen Gründen nicht möglich ist, unter Benennung dieser Gründe. w. Ein List-Id Header (siehe RFC 2919) ist in die versendeten s einzufügen, der einen nachvollziehbaren Rückschluss auf die angeschriebene Liste der Empfänger (Adressatenkreis) und den konkreten Anlass der Versendung ermöglicht. Wenn es durch die Art der Versendung möglich ist (z.b. Werbe-Versand), muss auch ein Rückschluss auf die Versand-Kampagne möglich sein. 3 Siehe 4 Siehe auch sowie 5 Siehe auch sowie Seite 7 von 11 Version 1.09

8 x. Spätestens zwei Wochen nach erfolgter Zertifizierung ist vom Versender ein X-CSA- Complaints -Header hinzuzufügen. Die Headerzeile lautet: X-CSA-Complaints: Das Erfüllen dieses Kriteriums ist der CSA durch eine Testaussendung an zu bestätigen. y. DKIM-Failure Reporting durch Empfänger muss durch Eintragen bzw. Erweitern von entsprechenden DNS Records ermöglicht werden. DKIM-Failure Reports müssen durch den zertifizierten Versender oder dessen Kunde(n) angenommen werden. (Siehe RFC6651) SPF-Failure Reporting (für SPF-MFROM und SPF-HELO) durch Empfänger muss durch Eintragen bzw. Erweitern von entsprechenden DNS Records ermöglicht werden. SPF- Failure Reports müssen durch den zertifizierten Versender oder dessen Kunde(n) angenommen werden.(siehe RFC 6652) Seite 8 von 11 Version 1.09

9 3 Empfohlene Aufnahmekriterien / Double-OPT-IN a. Es wird grundsätzlich empfohlen, die Erhebung von Nutzerdaten über das Internet vorzugsweise über das so genannte Double-Opt-In-Verfahren (DOI) durchzuführen. Das DOI im Sinne der CSA-Vertragswerke beschreibt ein Verfahren, bei dem eine E- Mail, die die Einwilligung zur Beschickung mit s im Wortlaut wiedergibt (Bestätigungs- ), an die angemeldete -Adresse gesendet wird und der Adressat die Einwilligung mittels Antwort auf diese Bestätigungs- oder anklicken eines Links in der Bestätigungs- bestätigt. Erst nach Erhalt dieser Bestätigung des Adressaten ist der Versender zur Verwendung der erhobenen -Adresse berechtigt. Wird die Bestätigung nicht in angemessener Frist erteilt, so sind die im Zusammenhang mit der -Adresse erhobenen Daten zu löschen. Ein DOI, bei dem in der Bestätigungs- unter einem Vorwand (z.b. bei Gewinnspielen eine Bestätigung der Adresse zur Zustellung von Gewinnen) lediglich die -Adresse und nicht die explizite Einwilligung verifiziert wird, stellt kein DOI in diesem Sinne dar. Die Bestätigungs- darf ansonsten keine werblichen oder sonstigen Inhalte beinhalten. Die CSA-Teilnehmer verpflichten sich, das von ihnen eingesetzte Verfahren nur bei Einhaltung dieser Anforderungen als DOI zu bezeichnen. b. Es wird weiterhin empfohlen, schon bei der Bestellung von beispielsweise einem Newsletter die versendenden -Adressen anzugeben, um eine Aufnahme durch den Adressaten in dessen Adressbuch zu ermöglichen c. Es wird empfohlen, im Header der Datum und IP der Bestellung des Newsletters anzugeben, um die Chance zu erhöhen, dass sich der Nutzer an ein durchgeführtes Abonnement erinnert. Außerdem sollten die Anmeldeinformationen in Form von Text auch in den Body-/Text-Teil der aufgenommen werden. Hier enthalten sein sollten sowohl die eingetragene -Adresse, Datum der Anmeldung, als auch die Webseite, auf der sich der Empfänger eingetragen hat. d. Es wird empfohlen, dass für jede From-Absende-Adresse im Header (bzw. deren E- Mail-Domäne) von s ein u.u. zusätzlicher und evtl. mit niedrigster Priorität versehener MX-Record auf die absendende IP-Adresse existiert. e. Es wird empfohlen, Versandaktionen von Neukunden ausschließlich über nicht gewhitelistete Mailserver abzuwickeln Seite 9 von 11 Version 1.09

10 f. Es wird empfohlen für die im Header beim Empfänger ermitteltete PRA Adresse einen SenderID Record zu implementieren, der einem SenderID System auf Empfänger-Seite einen PRA SenderID Test erlaubt. Wenn SenderID Einträge vorgenommen werden, dürfen diese aber nur in der eindeutig abgrenzenden Form spf2.0/pra lauten. g. HTML-Formatierte sollten generell mit einem Text-Part (MIME) erweitert werden. Dieser sollte Abmeldeinformationen und Hinweise zum Newsletter enthalten, da Empfänger nicht immer HTML-Formatierte s korrekt empfangen können. h. Es wird empfohlen eine valide Absender-Adresse einzusetzen, so dass der Adressat per "Antwort-Funktion" mit dem Absender Kontakt aufnehmen kann. Sollte dies nicht der Fall sein, wird empfohlen, mindestens eine valide Reply to-adressse einzusetzen. i. Die Gewinnung von Adressdaten für Dritte (etwa durch Co-Sponsoring) sollte gegenüber dem Nutzer transparent sein. 6 Insbesondere sollten so gewonnene Adressdaten für eine Versendung nur genutzt werden, wenn bei Erhebung die Anzahl der Unternehmen bzw. Personen, für die die Adressdaten erhoben wurden, zehn (10) nicht übersteigt. j. Es wird empfohlen das Verfahren DMARC 7 zu evaluieren und entsprechende DNS Records Versenderseitig einzusetzen, so dass ISPs als Empfänger entsprechend den vorgegebenen Parametern empfangene s prüfen können. Wenn das Verfahren eingesetzt wird, müssen Reporting- -Adressen so angegeben sein, dass durch ISPs versendete Reports bei dem zertifizierten Versender oder dessen Kunde(n) verarbeitet werden. 6 Bitte beachten Sie hierzu das zwingende Kriterium unter Ziffer 2.i 7 Siehe Seite 10 von 11 Version 1.09

11 4 Rechtmäßigkeit a. Der Versender ist dafür verantwortlich, dass der Versand rechtmäßig erfolgt und insbesondere die Inhalte der versandten s nicht gesetzlichen Verboten und Geboten zuwiderlaufen. b. Der Versender ist weiter dafür verantwortlich, dass auch sonstige rechtlichen Anforderungen für die rechtmäßige Umsetzung der in diesem Dokument niedergelegten Kriterien, beispielsweise Einwilligungen in die Versendung der anmeldenden IP-Adresse in einer zusätzlichen Header-Zeile mit jeder erfüllt sind. 5 Änderungsvorbehalt eco behält sich vor, die Kriterien mit einer Ankündigungsfrist von sechs Wochen zu ändern. Dem Massenversender steht in diesem Fall ein außerordentliches Kündigungsrecht zu. Im Falle der Kündigung werden gezahlte Beiträge anteilig erstattet Seite 11 von 11 Version 1.09