Anhand unserer Check-Liste zur Aufnahmeprüfung müssten Sie diese Angaben bestätigen. 1. Einhaltung gesetzlicher Vorgaben... 3

Transkript

1 KRITERIENKATALOG an Trusted Mails konformes Marketing Anforderungskatalog zur Bewertung und Zertifizierung des elektronischen Geschäftsverkehrs. Die Trusted Mails Zertifizierung steht im Zusammenhang mit den folgenden definierten Kriterien. Anhand unserer Check-Liste zur Aufnahmeprüfung müssten Sie diese Angaben bestätigen. Stand: Inhaltsverzeichnis 1. Einhaltung gesetzlicher Vorgaben BDSG Datenschutz Technisch und organisatorische Maßnahmen IT-Sicherheitskonzept IT Richtlinie Mitarbeiter TMG Impressum auf dem Internetauftritt Impressum in geschäftlichen Verkehr Einhaltung technischer Vorgaben Mailserver Double-Opt-In Gestaltung Absender Impressum Widerrufshinweis Rettungslink Bouncer... 5 Registergericht: Frankfurt am Main / HRB: / St. Nr. gemäß 27 a Umsatzsteuergesetz:

2 2.5. Subdomainkonfiguration DKIM MX Records List Unsubscribe Weitere Kriterien Seriöse Inhalte Keine Weitergabe von Kundendaten Haftungsausschluss Nutzungsbedingungen... 6 Registergericht: Frankfurt am Main / HRB: / St. Nr. gemäß 27 a Umsatzsteuergesetz:

3 1. Einhaltung gesetzlicher Vorgaben Die gesetzlichen Vorgaben zur Erstellung & Versendung von Newslettern werden eingehalten BDSG Die im 11 BDSG vorgegebenen Regelungen bezüglich Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag werden umgesetzt. Entsprechende Erklärungen und Dokumentationen müssen eingereicht werden Datenschutz Der Antragsteller verfügt über eine aktuelle Datenschutzerklärung gemäß den gesetzlichen Vorschriften. Ein Datenschutzbeauftragter im Unternehmen ist bestellt. Die aktuelle Datenschutzerklärung und der Name des Datenschutzbeauftragten/-er müssen eingereicht werden Technisch und organisatorische Maßnahmen Der Antragsteller hat nach 11 Abs. 2. S.2 BDSG unter Berücksichtigung der wirtschaftlichen Zumutbarkeit die technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten im Hinblick auf Ihren Schutzbedarf getroffen. Entsprechende Dokumentationen müssen eingereicht werden IT-Sicherheitskonzept Es besteht ein geeignetes IT-Sicherheitskonzept zur Informationssicherheit im Unternehmen, um die personenbezogenen Daten von Nutzern und Kunden angemessen zu schützen. Das Unternehmen fertigt regelmäßig eine Risikoanalyse in der Weise, dass er sich mit möglichen Bedrohungen und den daraus resultierenden Risiken beschäftigt. Es ist das Ziel, die drei Grundsäulen (Verfügbarkeit, Integrität und Vertraulichkeit) einer sicheren Informationstechnik unter Berücksichtigung der wirtschaftlichen Leistungsfähigkeit des Unternehmens bestmöglich umzusetzen. Übersicht der eingesetzten IT Hard- & Software Es sind Maßnahmen zur Zutritts- und Zugangssicherheit getroffen worden Es haben nur authentifizierte Personen Zugriff auf personenbezogene Daten Für passwortgeschützte Bereiche finden angemessene Richtlinien zur Passwortsicherheit Anwendung Die Rechtevergabe erfolgt in angemessener Weise und unter Berücksichtigung der jeweiligen Aufgabenstellung Informationsträger mit personenbezogenen Daten werden sicher aufbewahrt Alle Daten werden regelmäßig gesichert Die eingesetzte Sicherheitssoftware ist immer auf dem aktuellsten Stand Entsprechende Dokumentationen müssen eingereicht werden. Registergericht: Frankfurt am Main / HRB: / St. Nr. gemäß 27 a Umsatzsteuergesetz:

4 IT Richtlinie Mitarbeiter Verpflichtungserklärungen zur Wahrung des Datengeheimnisses, sowie Verhaltensregeln zum Datenschutz haben alle Mitarbeiter des Unternehmens unterzeichnet. Die von Mitarbeitern eingesetzten internetfähigen Medien sind vor Fremdnutzung mittels Passwörtern ausreichend zu schützen. Ein Muster der Unterlagen muss eingereicht werden. Trusted Mails Sicherheitsempfehlung: (Nicht Zertifikatsrelevant): Die eigenständige Installation von nicht vom Unternehmen freigegebener Software sollte unterbunden werden. 1.2 TMG Die im Telemediengesetz geregelten Allgemeinen Informationspflichten werden erfüllt Impressum auf dem Internetauftritt Der Internetauftritt des Antragstellers muss über ein leicht erkennbares, leicht erreichbares und ständig verfügbares Impressum verfügen. Die erforderlichen gesetzlichen Mindestangaben müssen vorhanden sein Impressum in geschäftlichen Verkehr Jede versendete muss ein vollständiges Impressum nach 5 Abs. 1 des Telemediengesetzes (TMG) enthalten. Das Impressum muss klar und leicht erkennbar sein. Trusted Mails empfiehlt immer ein vollständiges Impressum in der zu verwenden. 2. Einhaltung technischer Vorgaben Zur Prüfung der Vorgaben müssen die letzten 3 Newsletter (als Anhang) per an certification@trusted-mails.com eingereicht werden! 2.1. Mailserver Die für den Versand verwendeten Mailserver erfüllen die in dem jeweiligen Land des Antragstellers befindlichen gesetzlichen Anforderungen zum Versand von Newsletter. Die Regularien der CSA Whitelist sind zu beachten Double-Opt-In Der Versand von Newsletter erfolgt ausschließlich an Empfänger, die Ihre Einwilligung zum Newsletter mittels Double-Opt-In Verfahren eindeutig bekundet haben Gestaltung Die unterliegt gewissen Mindestanforderungen die neben den gesetzlichen Vorgaben ebenso in den eco Richtlinien und den CSA Anforderungen definiert sind. Registergericht: Frankfurt am Main / HRB: / St. Nr. gemäß 27 a Umsatzsteuergesetz:

5 Absender Aus dem Absender sollte man immer erkennen können, woher die stammt. Der Absender muss klar erkennbar sein. Er muss einen Produkt-, Firmen- oder Personennamen tragen und jederzeit erreichbar sein Impressum Jede versendete muss ein vollständiges Impressum nach 5 Abs. 1 des Telemediengesetzes (TMG) enthalten. Das Impressum muss klar und leicht erkennbar sein. Dies gilt ebenso für die Unternehmenswebseite des Antragstellers Widerrufshinweis Jeder Newsletter muss eine Opt-Out Möglichkeit dem Empfänger klar erkennbar bieten Rettungslink Ein Rettungslink muss verfügbar sein um den Newsletter in einem Browser zu öffnen Bouncer Adressdaten werden nach 3 Hardbounces von den Versandlisten gestrichen und auf Inaktiv gesetzt Subdomainkonfiguration Die Subdomain oder Domainkonfig (FQDN = Fully Qualified Domain Name) kann nur vom Domain Eigentümer (WHOIS) eingerichtet werden. Wird dazu ein weiteres Service (Werbeagentur, Versandagentur, etc.) beauftragt, ist dies schriftlich nachzuweisen. Wird die Subdomain zum Zwecke des Mail-Versands an einen Dritten delegiert, muss die Konfiguration und mögliche Anpassungsmöglichkeiten nachgewiesen werden DKIM Beim DKIM Verfahren werden ausgehende Mails digital signiert. Der empfangende Mailserver kann die Signatur mit Hilfe eines Schlüsselpaares prüfen, und bei Bedarf entsprechend reagieren, wenn die Prüfung fehlschlägt. Er kann z.b. die Verabeitung der Mail ablehnen oder die Mail in Quarantäne setzen, bis sie von einem Admin freigegeben wird. Ausgehende Mails müssen vom MTA mit einer gültigen DomainKey Signatur (DKIM) versehen werden. Die Signatur muss RFC konform sein (RFC 6376) MX Records Müssen mit den Versand-IP Adressen korrespondieren. A-Record und MX-records müssen nicht übereinstimmen. Oft sind Webserver (A-Record) nicht auf derselben physischen Maschine wie der MTA. Das bedingt zwangsläufig unterschiedliche IP Adressen. Sie sollten in einer überschaubaren Range liegen und sich nur zur Optimierung der Reichweite verändern. Spamer wechseln häufig die IPs, um das Versandmuster zu verschleiern. Werden die MX-Records über einen Service-Partner verwaltet, ist die Konfiguration und die eigenständig durchführbaren Anpassungen schriftlich nachzuweisen. Registergericht: Frankfurt am Main / HRB: / St. Nr. gemäß 27 a Umsatzsteuergesetz:

6 List Unsubscribe Trusted Mails Empfehlung: (Nicht Zertifikatsrelevant): List Unsubscribe ist ein Abmeldemechanismus der für die Zertifizierung erforderlich ist. In Deutschland kommt er aber nicht operativ zum Einsatz, da die Datenschutzrichtlinien die Funktionalität nicht zulassen. Außerhalb Deutschlands ist dieser Header Eintrag, insbesondere in Regionen in denen Opt- Out angewendet wird, teilweise sogar gesetzlich vorgeschrieben. Es kann zu Sperrungen der Versand- IPs kommen, wenn man den Header nicht führt. Auch die CSA Zertifizierung setzt diesen Eintrag voraus. 3. Weitere Kriterien 3.1. Seriöse Inhalte TM behält sich vor, ausschließlich seriöse Firmen und deren Inhalte zu zertifizieren Keine Weitergabe von Kundendaten Der Antragsteller versichert, dass generell keine personenbezogenen Kundendaten weitergegeben oder an dritte Unternehmen verliehen oder verkauft werden. Dies gilt auch für den Fall, dass Kunden des Antragstellers in der Vergangenheit einer weiteren Verwendung dieser Art (im gesetzlichen Rahmen) zugestimmt haben. (Die Anwendung in Bezug auf Stand alone Kampagnen bleibt von dieser Regel unberührt.) 4. Haftungsausschluss Der Antragsteller erhält nach eingehender und erfolgreicher Prüfung das Zertifikat Trusted Mails Certified ausgestellt. Die Zertifizierung durch Trusted Mails erfolgt nur nach der erfolgreich bestandenen Prüfung aller auferlegten Prüfungskriterien. Trusted Mails übernimmt für den Zeitpunkt nach der Ausstellung des Güteseigels keine Haftung für Änderungen, die seitens des Antragstellers in deren Medien vorgenommen werden. 5. Nutzungsbedingungen Die Nutzungsbedingungen müssen beachtet werden. Bei Missachtung wird eine Aberkennung des Trusted Mail Zertifikats geprüft. Registergericht: Frankfurt am Main / HRB: / St. Nr. gemäß 27 a Umsatzsteuergesetz: