Oft falsch verwendet, daher: Was genau ist DOI?
Als Double Opt-In (kurz “DOI”) bezeichnet man das Verfahren, nach Absenden eines Formulars dieses nochmal per E-Mail an die angegebene Adresse (bzw. durch Klick auf Link in dieser E-Mail) bestätigen zu lassen.
Dadurch wird bewiesen, dass der Absender des Formulars auch Nutzer der angegebenen E-Mail-Adresse ist, und damit mehr oder weniger die Identität dieser Person (genau genommen natürlich nur den Zugriff auf die angegebene E-Mail-Adresse) nachvollziehbar ist - besonders geeignet natürlich bei Firmenadressen. Dieser Beweis ist vor allem dann wichtig, wenn das fragliche Formular eine technisch oder juristisch wichtige Handlung ist, also z.B. ein Newsletter-Abo oder eine Benutzerregistrierung.
Die Worte "Opt-In" (als Teil des Begriffs “Double Opt-In”) führt hier oft in die Irre, denn eigentlich beschreibt er nur die Verifizierung einer Opt-In Handlung, z.B. für Marketing-Nachrichten.
In der DSGVO ist übrigens nur der Opt-In (nicht Double Opt-In) für die Datenverarbeitung gefordert. Der Bedarf eines DOI folgt daraus erst zwecks Beweisbarkeit des Opt-In.
Was wäre ein besseres Wording?
Zur besseren Trennschärfe sprechen wir gern von
- Marketing Opt-In (MOI, auch “Marketing Permission”) → als Willenserklärung, typischerweise die Checkbox am Formular
- E-Mail-Verifizierung (verkürzt “DOI”) → als Nachweis, dass der Absender des Formulars Zugriff auf das angegebene E-Mail Postfach hat.
Wichtig: E-Mail Verifizierung kann auch für alle anderen Formular-Typen gewünscht oder erforderlich sein, z.B. Benutzerregistrierung, Kauf, Veranstaltungsanmeldung, Musteranforderung, …
Brauche ich einen erneuten DOI (oder MOI), obwohl dieser bereits vorliegt?
Auch hier gehen die Aspekte oft durcheinander:
- Marketing Opt-In sollte als Best Practice aktiv erneuert werden, wenn lange Inaktivität vorliegt.
- DOI im Sinne von “Ich will die Authentizität einer Formularabsendung belegen” brauche ich für jedes derartige Formular!
Ausnahmen:
a) Dieselbe Willenserklärung (also z.B. Marketing Opt-In) wurde bereits abgegeben und bestätigt.
b) Authentizität ist sichergestellt, weil ich die Absendung per Cookie einem eingeloggten User (oder einem früheren DOI zu einem anderen Thema) zuordnen kann.
Fortschrittliche Formularsysteme, und natürlich Mautic, ersparen in diesem Fall dem Benutzer die DOI-E-Mail (und dem Websitebetreiber: die Gefahr des Abbruchs an dieser Stelle). Achtung: Idealerweise sollte auch dies protokolliert werden.
Einholen & Erhalten des Marketing Opt-In (MOI)
Für Marketers ist es ein typisches Ziel, möglichst viele MOIs und damit Zustimmung zum proaktiven Marketing zu erhalten. Also macht es Sinn, dieses an allen Formularen zu erfragen!
Was man andererseits vermeiden möchte: Heute füllt Kunde X ein Formular aus und gibt Marketing Opt-In (MOI) per Checkbox; morgen füllt er oder sie ein anderes Formular aus und kreuzt die MOI-Checkbox NICHT an - und dadurch verfällt der gegebene MOI.
Was also tun?
Der einfachste Weg: Wir definieren die nicht gesetzte MOI-Checkbox als “dies ist NICHT der Widerruf des Opt-Ins”. Wichtig ist dabei lediglich, dass technisch nicht versehentlich trotzdem das Opt-In entfernt wird → Nach unserer Erfahrung gehen die Datenschutzbeauftragten diesen Weg meist problemlos mit!
Wo dies nicht der Fall ist, Datenschützer die obige Definition also nicht durchwinken, haben wir einen anderen Weg gefunden: Nämlich gar keine MOI-Checkbox!
Ja, richtig gehört… Stattdessen fügen wir in der Formularbestätigungs-E-Mail einen “Marketing Opt-In-Button” hinzu. Wird dieser angeklickt, so brauchen wir keinen gesonderten DOI. Das Klicken des Buttons stellt zugleich Einwilligung und Nachweis dar.
Und noch ein paar Pro-Tipps
- Den zuvor erwähnten “Marketing Opt-In-Button” in der Formularbestätigungs-E-Mail kann man natürlich auch hinzufügen, wenn man eine MOI-Checkbox hat (aber diese nicht angekreuzt wurde).
- Vermeiden sollte man hingegen, dass zwei E-Mails (Formularbestätigungs-E-Mail und DOI-E-Mail) gleichzeitig geschickt werden. Also bei angekreuzter MOI-Checkbox immer erst DOI-E-Mail (und ggf. Nachfass- und Timeout-E-Mail), und nach dem DOI dann die Formularbestätigungs-E-Mail.
- No-Brainer: Die DOI-E-Mail muss unbedingt sofort kommen. Minutenlange Verzögerung ist schädlich und nicht akzeptabel.
- Regeln sind nicht überall gleich! Sofern technisch möglich, solltet ihr differenzieren - so sind z.B. viele US-amerikanische (außerhalb CCPA) oder verschiedene asiatische Zielgruppen den MOI oder gar DOI nicht gewohnt und es ist auch nicht zwingend erforderlich.