MailPoet und Datenschutz: Tracking-Cookies und US-Datentransfer durch den Versanddienst
MailPoet ist aus Datenschutzsicht ein Plugin mit klaren Aufgaben – aber der Umfang dieser Aufgaben hängt stark davon ab, wie du es einsetzt. Im einfachsten Fall nimmst du nur die Anmeldeformulare und verschickst Newsletter über deinen eigenen Hosting-Server: dann bleibt der Datenschutzaufwand überschaubar.
Sobald du den MailPoet-Versanddienst aktivierst, fließen Abonnenten-Daten in die USA – und es kommen ein Vertrag und ein Eintrag in der Datenschutzerklärung dazu. Dazu kommen eigene Tracking-Cookies, die du gezielt abschalten kannst.
Überblick
Was ist MailPoet?
MailPoet ist ein WordPress-Plugin, mit dem du Newsletter erstellen, versenden und verwalten kannst – ohne dein WordPress-Dashboard zu verlassen. Du kannst Anmeldeformulare auf deiner Website einbinden, Abonnenten verwalten und automatische E-Mails einrichten, etwa Willkommensnachrichten oder Benachrichtigungen über neue Beiträge. MailPoet gehört zu Automattic, dem Unternehmen hinter WordPress.com und WooCommerce.
| MailPoet – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🟡 | MailPoet setzt Tracking-Cookies für Engagement- und WooCommerce-Auswertungen – abschaltbar über eine Einstellung. |
| Externe Verbindungen | 🟡 | Standardmäßig keine externen Verbindungen; Google Fonts werden nur geladen, wenn du Drittanbieter-Bibliotheken aktivierst. |
| Datenschutzerklärung | 🔴 | MailPoet muss in die Datenschutzerklärung, weil das Plugin Formulardaten verarbeitet und Tracking-Cookies setzt. |
| Drittlandtransfer | 🟡 | Daten fließen in die USA, wenn du den MailPoet-Versanddienst oder die Google Analytics-Integration aktivierst. |
| Auftragsverarbeitung | 🟡 | Ein Vertrag mit Automattic ist nötig, wenn du E-Mails über den MailPoet-Versanddienst verschickst. |
| Benutzereingaben | 🔴 | MailPoet stellt Anmeldeformulare bereit, über die Besucher ihre E-Mail-Adresse und weitere Daten eingeben. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Welche Daten verarbeitet MailPoet auf deiner Website?
MailPoet verarbeitet auf zwei Ebenen Daten. Die erste Ebene ist dein WordPress selbst: Sobald sich jemand über ein MailPoet-Formular für deinen Newsletter anmeldet, speichert MailPoet Name und E-Mail-Adresse in deiner WordPress-Datenbank – auf deinem eigenen Server, nichts verlässt dein Hosting. Das Gleiche gilt für Abonnenten-Listen und Statistiken zu geöffneten E-Mails und geklickten Links.
Die zweite Ebene entsteht durch den MailPoet-Versanddienst. Wenn du ihn aktivierst, schickst du deine Newsletter nicht mehr über deinen eigenen Hosting-Server, sondern über Automattics Infrastruktur in den USA. Dabei überträgt MailPoet die E-Mail-Adressen deiner Abonnenten an Automattic.
Außerdem setzt MailPoet Tracking-Cookies im sichtbaren Bereich deiner Website, um zu messen, welche Seiten Abonnenten besuchen und ob E-Mail-Klicks zu WooCommerce-Käufen führen – das lässt sich über eine Einstellung abschalten.
Cookies
Welche Cookies setzt MailPoet – und brauchen sie eine Zustimmung?
MailPoet setzt vier eigene Cookies im sichtbaren Bereich deiner Website. Der Cookie popup_form_dismissed merkt sich, ob ein Besucher ein Popup-Formular geschlossen hat – er ist technisch notwendig für die Bedienung des Formulars und braucht keine Zustimmung im Cookie-Banner.
Die drei anderen Cookies sind zustimmungspflichtig: mailpoet_subscriber identifiziert bekannte Abonnenten, mailpoet_page_view trackt Seitenaufrufe für Engagement-Auswertungen, und mailpoet_revenue_tracking misst, ob E-Mail-Klicks zu WooCommerce-Käufen geführt haben. Diese Cookies sind personenbezogen und dienen der Auswertung – dein Cookie-Banner muss sie blockieren, bis der Besucher zugestimmt hat.
Du kannst die drei Tracking-Cookies abschalten, ohne dass die Kernfunktionen von MailPoet aufhören zu funktionieren. Geh dazu in deinem WordPress-Dashboard zu MailPoet > Einstellungen > Erweitert und setze die Engagement-Auswertung nicht auf „Vollständig“ (Full). Wenn du diese Funktion nicht brauchst, ist das die einfachste Lösung.
Externe Verbindungen
Baut MailPoet Verbindungen zu externen Servern auf?
Standardmäßig baut MailPoet keine externen Verbindungen im sichtbaren Bereich deiner Website auf. Die Option „Drittanbieter-Bibliotheken laden“ ist in den MailPoet-Einstellungen deaktiviert.
Wenn du diese Option aktivierst – zu finden unter MailPoet > Einstellungen > Erweitert > Drittanbieter-Bibliotheken laden –, lädt MailPoet Google Fonts von den Servern von Google. Diese Verbindung entsteht beim Seitenaufruf und ist nicht zwingend für den Betrieb nötig: dein Cookie-Banner muss sie blockieren, bis der Besucher zustimmt. Lass die Option deaktiviert, wenn du Google Fonts nicht gezielt für deine MailPoet-Formulare oder E-Mail-Vorlagen brauchst.
Benutzereingaben
Welche Daten geben Besucher über MailPoet ein?
MailPoet stellt Anmeldeformulare für den sichtbaren Bereich deiner Website bereit – als eingebetteten Block, als Popup, als Slide-in oder als feste Leiste. Über diese Formulare geben Besucher mindestens ihre E-Mail-Adresse ein; du kannst das Formular aber auch um weitere Felder wie Namen oder andere Angaben erweitern.
Diese Daten landen in deiner WordPress-Datenbank. Wenn du den MailPoet-Versanddienst nutzt, werden die E-Mail-Adressen zusätzlich an Automattic übertragen – direkt beim Absenden des Formulars. Ein Cookie-Banner hilft hier nicht, weil die Übertragung erst durch das aktive Absenden des Formulars ausgelöst wird. Stattdessen muss direkt beim Formular ein Hinweis auf deine Datenschutzerklärung stehen – und du brauchst einen Vertrag mit Automattic.
Drittlandtransfer
Werden durch MailPoet Daten in die USA übertragen?
Daten fließen in die USA, wenn du den MailPoet-Versanddienst aktivierst. In diesem Fall überträgt MailPoet die E-Mail-Adressen deiner Abonnenten an Automattic Inc. mit Sitz in San Francisco. Automattic hat mit der EU vereinbart, dass solche Datenübertragungen unter bestimmten vertraglich geregelten Bedingungen erlaubt sind. Das ändert aber nichts daran, dass der Transfer stattfindet und in deine Datenschutzerklärung gehört.
Wenn du zusätzlich die Google-Analytics-Integration in MailPoet aktivierst (kostenpflichtiger Tarif, über MailPoet > Einstellungen), fließen weitere Daten an Google LLC in den USA. Nutzt du MailPoet ohne Versanddienst und ohne Google-Analytics-Integration – also mit deinem eigenen Hosting-Server zum Versenden –, bleibt kein Drittlandtransfer durch MailPoet selbst.
Auftragsverarbeitung
Brauche ich einen Vertrag mit MailPoet?
Einen Vertrag mit Automattic brauchst du, wenn du E-Mails über den MailPoet-Versanddienst verschickst. In diesem Fall überträgt Automattic die E-Mail-Adressen deiner Abonnenten auf eigene Server und verarbeitet sie in deinem Auftrag. Dafür ist ein schriftlicher Auftragsverarbeitungsvertrag erforderlich.
MailPoet stellt diesen Vertrag auf Anfrage zur Verfügung. Du bekommst ihn über den Support unter mailpoet.com/support – einfach dort anfragen und nach dem Auftragsverarbeitungsvertrag fragen.
Wenn du MailPoet ohne den MailPoet-Versanddienst nutzt – also E-Mails über deinen eigenen Hosting-Server oder einen anderen SMTP-Anbieter verschickst –, verarbeitet Automattic keine Abonnenten-Daten für dich. In diesem Fall brauchst du keinen Vertrag mit Automattic.
Datenschutzerklärung
Muss MailPoet in meiner Datenschutzerklärung stehen?
MailPoet muss in deine Datenschutzerklärung, weil das Plugin Formulardaten von Website-Besuchern verarbeitet und Tracking-Cookies setzt. Was genau du beschreiben musst, hängt davon ab, welche Funktionen du nutzt.
- Zweck: Newsletter-Anmeldung und Versand von E-Mails; bei aktiviertem Engagement-Tracking zusätzlich Auswertung von Seitenaufrufen und E-Mail-Klicks.
- Rechtsgrundlage: Einwilligung der Abonnenten.
- Empfänger: Automattic Inc. / WooCommerce Inc., wenn du den MailPoet-Versanddienst nutzt.
- Drittlandtransfer: Übermittlung in die USA, wenn der MailPoet-Versanddienst aktiv ist.
- Speicherdauer: Solange die Person als Abonnentin eingetragen ist; danach Löschung auf Anfrage oder nach Abmeldung.
Google Fonts (bei aktivierter Drittanbieter-Option) und der MailPoet-Versanddienst benötigen eigene Einträge in deiner Datenschutzerklärung.
Wir nutzen MailPoet für Newsletter.
MailPoet setzt beim Laden der Website Cookies bzw. ähnliche Kennungen ein und baut eine Verbindung zu Servern von Automattic, Inc auf. Beides ist nicht technisch notwendig und erfolgt auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.
Wenn du über ein Formular von MailPoet deine Daten eingibst, werden diese an Automattic, Inc übermittelt. Soweit Automattic, Inc die Daten in unserem Auftrag verarbeitet, besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.
Drittanbieter
Mit welchen Diensten lässt sich MailPoet verbinden?
MailPoet lässt sich mit WooCommerce verbinden und ermöglicht dann automatische E-Mails zu Bestellungen, abgebrochenen Warenkörben und Kundensegmenten. Diese Verbindung wird automatisch hergestellt, sobald beide Plugins aktiv sind.
Im Bereich Versand kannst du zwischen verschiedenen Methoden wählen: neben dem MailPoet-Versanddienst sind SendGrid, Amazon SES und andere SMTP-Anbieter einstellbar. Jeder dieser Dienste hat eigene Datenschutzanforderungen.
Für Automatisierungen und erweiterte Workflows lässt sich MailPoet mit AutomateWoo verbinden. Für Mitgliedschaften und Abonnements gibt es Verbindungen zu WooCommerce Memberships, WooCommerce Subscriptions und WooCommerce Bookings. Im kostenpflichtigen Tarif ist zusätzlich eine Google Analytics-Integration verfügbar, die über MailPoet > Einstellungen aktiviert werden kann.
Alternative
Gibt es datenschutzfreundlichere Alternativen zu MailPoet?
Hier siehst du, wo MailPoet im DSGVO-Vergleich zu anderen Newsletter steht – sortiert nach Datenschutzarbeit. So erkennst du auf einen Blick, ob es Alternativen mit weniger Datenschutzaufwand gibt oder MailPoet in Sachen Datenschutz bereits gut aufgestellt ist.
Fehler
Welche Fehler kommen bei MailPoet in unseren DSGVO-Checks am häufigsten vor?
MailPoet taucht bei 4 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen MailPoet gefunden wurde.
DSGVO-Check
So prüfst du MailPoet auf deiner Website selbst
Du kannst direkt im Browser prüfen, ob MailPoet Tracking-Cookies auf deiner Website setzt. Öffne deine Website in einem normalen Browser-Fenster (nicht eingeloggt als Admin), ruf die Entwicklertools auf (Taste F12) und wechsle zum Tab „Anwendung“ oder „Storage“ . Unter Cookies schau, ob die Einträge mailpoet_subscriber, mailpoet_page_view oder mailpoet_revenue_tracking auftauchen. Wenn ja, muss dein Cookie-Banner diese Cookies blockieren, bis deine Besucher zugestimmt haben.
Für eine vollständige Prüfung deiner Website – inklusive aller aktiven Plugins, Cookies und externen Verbindungen – kannst du einen automatischen Datenschutz-Check mit datenrein.de durchführen. Der Scan erkennt MailPoet und zeigt dir direkt, was auf deiner Website zu tun ist.
