Newsletter Anmeldung - Double-Opt-In vs. E-Mail

[ChrisB]

Hi,

Wenn dort eine Adresse eingetragen wird, dann wird exact EINMAL an die Adresse eine Mail mit einer Zufallszahl gesendet als Link, die diese Mail freischaltet, wenn der Mailempfänger dem Link folgt.

Und wenn man das bzgl. dem „Datenschutz“ absichern will – Gunther hatte ja Bedenken in dieser Hinsicht, sofern ich den Hinweis richtig deute – dann kann man auch erst mal nur einen Hash der Emailadresse (plus Salt) speichern, da kann einem kaum noch jemand einen Strick draus drehen, was die Speicherung personenbezogener Daten angeht. Um das erneute senden einer Email an eine solche Adresse zu unterbinden, wenn ein Störenfried für eine fremde Adresse mehrfach den Newsletter zu bestellen versucht, reicht dann hash(eingegebene Adresse + Salt) mit der Datenbank abzugleichen.

Außer diesem Hash braucht mal erst mal gar nichts zu speichern – der einmalig versandte Bestätigungslink enthält dann als Parameter neben dem Hash auch die Emailadresse im Klartext, so dass man diese dann (nach Überprüfung des Hash) in die für den Newsletter-Versand zuständige Tabelle übertragen kann, wenn die Bestätigung tatsächlich erfolgt.

Allerdings sollte man nicht gleich den Eintrag vornehmen, wenn der Link geklickt wird, sondern da noch mal ein Formular vorschalten, mit der Abfrage ob der Nutzer für die angegebene Emailadresse auch tatsächlich den Newsletter bestellen will – Formular-Methode natürlich POST, dann kann es auch nicht mehr vorkommen dass bspw. der (Web-)Mail-Provider durch „klicken“ des Links durch seinen gierigen Bot schon die Bestätigung auslöst.

Andernfalls wird keine weitere Mail an den Empfänger geschickt, insbesondere nicht mehrfach der Link wiederholt (ob man nach einer gewissen Zeit dieser Belästigungssperre die Mail-Adresse wieder löscht, dürfen die Datenschutzbeauftragten klären).

Was man auch noch klären sollte, ist wie man auf erneute Eintragung einer bereits „gesperrten“ Email-Adresse reagiert – darf/sollte ich das dem aktuellen Nutzer anzeigen? Hinsichtlich der Nutzerfreundlichkeit müsste ich eigentlich ja, ich will ja dem Schussel der nur vergessen hat dass er seine eigene Email schon eingetragen hat oder der die erste Bestätigungs-Link-Email verschlampt hat, entsprechendes Feedback geben und ihn nicht kommentarlos im Regen stehen lassen.

Hier würde ich zu folgenden Vorgehen tendieren:

• Wenn die Email-Adresse bereits „gesperrt“ ist, d.h. der Bestätigungs-Links bereits einmal versandt wurde, den Nutzer darauf hinweisen; damit gebe ich nicht zu viel preis, auch wenn es sich nicht um seine Email-Adresse, sondern die eines fremden handeln sollte – aus dieser Sperre allein kann niemand annehmen, dass die Email-Adresse tatsächlich existiert. Sollte es sich um legitimes Interesse des Inhabers der Adresse handeln – dann muss der ggf. auf anderem Wege mit mir Kontakt aufnehmen, um den Newsletter letztendlich doch noch bestellen zu können.

• Wenn die Email-Adresse bereits freigeschalteter Empfänger des Newsletters ist, die „normale“ Bestätigung anzeigen, die auch bei erstmaligem Eintrag einer neuen Adresse erfolgen würde – „wir haben eine Email an … verschickt mit weiteren Hinweisen zur Freischaltung“. Damit gebe ich gegenüber dem potentiellen Störenfried nicht preis, ob die fremde Email Empfänger meines Newsletter ist oder nicht; und da es sich um eine echte, freigeschaltete Adresse handelt, darf ich der wohl auch eine Email schicken, dass die Eintragung erneut vorgenommen wurde. War es ein Versehen, braucht der Empfänger nichts weiter zu machen – und war es der Störenfried, braucht der echte Empfänger ebenfalls nicht aktiv werden. (Alternativ kann ich ihm in dieser Email noch die Möglichkeit anbieten, den Newsletter abzubestellen, mit Hash und Formular wie oben – wir wollen ja freundlich sein, und unseren Newsletter nur an Leute versenden, die wirklich [immer noch] Interesse daran haben.)
  Lediglich hier würde ich dann eine Sperre vorsehen – sonst kann der Störenfried unseren echten Empfänger „terrorisieren“, in dem er diese sie-sind-bereits-Empfänger-unseres-Newsletter-Email vom System immer wieder versenden lässt.

MfG ChrisB