Die EU hat es derzeit hinsichtlich Werbe-Mailings, insbesondere E-Mail-Marketing, den Mitgliedsstaaten überlassen, sich für die Opt-In- oder die Opt-Out-Lösung zu entscheiden. Während Österreich per Gesetz klar der Opt-In-Lösung den Vorzug gegeben hat, bei der Kunden der Verwendung ihrer Daten zu Werbezwecken ausdrücklich zustimmen müssen, besteht in Deutschland eine rechtliche Grauzone. Das Bundesdatenschutzgesetz erlaubt die Nutzung von personenbezogenen Daten zu Werbezwecken, sofern der Kunde hierüber ausdrücklich informiert wurde und dem nicht widersprochen hat. Dies gilt in dieser Form jedoch lediglich für Briefwerbung. Fax- und E-Mail-Werbung ist nur eingeschränkt zulässig, nachdem es der Gesetzgeber versäumte, dies im Fernabsatzgesetz zu regeln.
Nach wie vor sind also E-Mail-Mailings gegenüber Kunden erlaubt, gegenüber Firmen aber nicht. Gegenüber sonstigen Privaten aber sollen diese Mailings wiederum erlaubt sein, sofern Letzteren dabei keine Kosten entstehen.
Verstöße können teuer werden
Ein Verstoß gegen die Pflicht zur Unterrichtung des Kunden über die Nutzung seiner Daten zu Werbezwecken und über das bestehende Widerspruchsrecht kann als Ordnungswidrigkeit mit bis zu 50000 Mark geahndet werden. Deshalb empfiehlt es sich, von vorne herein auf den verwendeten Formularen die Opt-In-Lösung vorzusehen: Will der Kunde neben der Bestellung auch laufend Informationsmaterial über Produkte oder von dritter Seite erhalten, sollte er dies ausdrücklich per Kreuz auf dem verwendeten Formular erklären.
Bei E-Commerce geschieht das per Mausklick, der einschließlich der IP-Nummer mitzuprotokollieren ist. Fordert ein Kunde ein Unternehmen auf, ihm keine Werbung mehr zuzusenden, dann ist das zwingend zu respektieren. Hat ein Unternehmen die Daten als Bestandteil einer Adressliste von einem Adress-Broker erhalten, so ist dem widersprechenden Kunden zusätzlich Name und Anschrift dieses Brokers mitzuteilen. Auch diese Pflicht ist per Ordnungsgeld von bis zu 50000 Mark abgesichert.
Die Verarbeitung von Kundendaten in internationalen Konzernen ist unproblematischer geworden, soweit es die Datenübermittlung innerhalb der EU betrifft. Diese ist mit Wissen des Kunden zulässig. Anders im Datenverkehr mit den USA: Auf Grund der anderen Regelung des Datenschutzes in den Vereinigten Staaten gilt, dass an Unternehmen, die sich bei der Federal Trade Commission registrieren lassen und dem Safe-Harbor-Abkommen EU-USA unterwerfen, Daten übermittelt werden dürfen. An andere US-Unternehmen jedoch dürfen weiterhin keine Daten verschickt werden. Ausnahme: Die beteiligten Firmen haben untereinander die Geltung der zwischen den USA und der EU ausgehandelten allgemeinen Bestimmungen zum Datenschutz vereinbart.