Eine Boutique-Inhaberin, mit der wir in Woodstock arbeiten, verschickte letzten Winter an einem Freitagnachmittag einen WhatsApp-Broadcast an 2.400 Nummern. Die Nachricht war ein Gutschein über 20 % für das lange Wochenende. Am Montag war die Ware von zwei Monaten verkauft, und vier Antworten waren eingegangen, Varianten von „nehmen Sie mich von dieser Liste, ich weiß nicht, wer Sie sind". Eine dieser vier fand das Beschwerdeformular der Information Regulator noch vor der Mittagspause.
Jede dieser Nummern hatte sie 2022 von einem Messeveranstalter gekauft. Sie hatte sich immer vorgenommen, die Liste ordentlich aufzuarbeiten. Der Broadcast war das Erste, was sie je an diese Nummern geschickt hatte.
So sehen die meisten POPIA-Marketing-Probleme in Südafrika aus. Nicht böswillig. Nicht leichtsinnig. Nur die stille Lücke zwischen dem, was das Gesetz tatsächlich verlangt, und dem, was alle annehmen, dass es verlangt. Wenn Sie als südafrikanische Inhaberin oder südafrikanischer Inhaber WhatsApp-Broadcasts, E-Mail-Kampagnen über Everlytic oder Mailchimp oder SMS-Blasts über BulkSMS fahren, sind die folgenden Regeln die, auf die es in der Praxis ankommt. Der Rest ist Rauschen.
Der eine Paragraf, der Marketing regelt
POPIA hat 115 Paragrafen. Für Marketingzwecke müssen Sie einen davon richtig lesen: Section 69. Er gilt für elektronische Kommunikation, also SMS, E-Mail, automatisierte Anrufe und in der Praxis WhatsApp. Section 69(1) sagt: Sie dürfen keine elektronische Werbenachricht an eine Person senden, es sei denn, eine von zwei Bedingungen ist erfüllt.
Die erste: Die Person hat in der vorgeschriebenen Form zugestimmt, diese Art von Nachricht von Ihnen zu bekommen.
Die zweite: Es handelt sich um eine Bestandskundin oder einen Bestandskunden, Sie haben die Kontaktdaten im Zusammenhang mit einem Kauf erhalten, Sie bewerben nun ein ähnliches eigenes Produkt oder eine ähnliche eigene Leistung, und die Person hatte eine zumutbare Gelegenheit zu widersprechen, sowohl beim Zeitpunkt der Erfassung als auch bei jeder einzelnen Nachricht danach.
Das ist der gesamte rechtliche Rahmen. Alles Übrige, einschließlich der Leitlinien der Information Regulator, der Debatten um Form 4 und der Regeln der WhatsApp Business API, sitzt oben auf diesen zwei Pfaden. Finden Sie heraus, auf welchem Pfad jeder einzelne Kontakt in Ihrer Liste steht, und Sie haben neunzig Prozent der Compliance-Arbeit erledigt.
„Sie hat mir ihre Nummer gegeben, also darf ich schreiben, oder?"
Nein.
Das ist das mit Abstand häufigste Missverständnis, das wir bei KMU in Südafrika sehen. Eine Nummer, die in Ihre Datenbank wandert, ist keine Einwilligung in Werbung. Eine Visitenkarte, die bei einer Hyde-Park-Eröffnung in einen Fischkelch fällt, ist keine Einwilligung. Eine beim Messeveranstalter gekaufte Teilnehmerliste ist keine Einwilligung. Eine WhatsApp-Anfrage einer möglichen Kundin zu einer konkreten Leistung ist keine Einwilligung, in Ihren Freitags-Werbe-Broadcast aufgenommen zu werden.
Einwilligung nach Section 11 POPIA zusammengelesen mit Section 69 muss freiwillig, konkret und informiert sein. In der Praxis heißt das: eine klare Aussage am Erfassungspunkt, wofür Sie den Kontakt aufnehmen; eine getrennte Marketing-Handlung, die nicht mit „Ich akzeptiere die AGB" gebündelt ist; und ein gespeichertes Protokoll dessen, was die Person tatsächlich zugestimmt hat, mit dem Wortlaut, den sie gesehen hat, und dem Datum. Wenn Sie diese drei Artefakte für eine Nummer in Ihrer Liste nicht vorzeigen können, stehen Sie auf dem zweiten Pfad, nicht auf dem ersten. Und der zweite Pfad ist enger, als die meisten denken.
Der „Bestandskunden"-Pfad, genau gelesen
Section 69(3) ist die Rettungsleine für kleine Unternehmen, die seit Jahren von Kundenbeziehungen leben, ohne jemals ein formelles Marketing-Opt-in eingeholt zu haben. Sie ist auch der Ort, an dem überschritten wird.
Der Absatz erlaubt Werbung an Bestandskundinnen und -kunden nur, wenn drei Dinge gleichzeitig gelten: Die Kontaktdaten wurden im Zusammenhang mit einem Kauf erhalten, beworben wird ein ähnliches eigenes Produkt oder eine ähnliche eigene Leistung, und die Person hatte eine zumutbare, kostenlose Möglichkeit zu widersprechen, sowohl beim ersten Erfassen der Daten UND bei jeder weiteren Nachricht.
Lesen Sie den letzten Punkt noch einmal. Jede einzelne Nachricht muss eine kostenfreie, einfache Möglichkeit enthalten, Stopp zu sagen. In der E-Mail ist das der Abmeldelink, darüber diskutiert niemand. In WhatsApp ist es schwieriger, weil Sie das Opt-out in den Nachrichtentext selbst setzen müssen und nicht in einen Status verstecken dürfen. „Antworten Sie STOP, um sich abzumelden" am Ende jedes Broadcasts ist nicht optional. Das ist der Preis dafür, auf der Bestandskunden-Ausnahme zu bleiben.
Eine Boutique in Pretoria, die ich kenne, setzt die Opt-out-Zeile in jeden dritten Broadcast. Der Gedanke dahinter: Es fühle sich aggressiv an, sie in jede einzelne zu setzen. Das Gesetz kümmert sich nicht darum, wie es sich anfühlt. Jede einzelne Nachricht. Keine Ausnahmen.
WhatsApp: Metas Regeln sitzen oben auf POPIA
Wenn Sie die WhatsApp Business API über einen Anbieter wie 360dialog, Infobip oder Clickatell nutzen, haben Sie ein zweites Regelwerk über POPIA liegen: die eigenen Handelsrichtlinien von Meta. Die beiden überschneiden sich, sind aber nicht identisch. Drei praktische Konsequenzen daraus.
Erstens: das 24-Stunden-Kundenservice-Fenster. Wenn eine Kundin Ihnen zuerst schreibt, haben Sie 24 Stunden, frei zu antworten, ohne eine vorab genehmigte Vorlage zu nutzen. Außerhalb dieses Fensters muss jede proaktive Nachricht eine freigegebene Vorlage sein, bei der Erstellung kategorisiert als Utility, Authentication oder Marketing. Marketing-Vorlagen verlangen nach Metas eigenen Regeln, dass die Empfängerin dem Erhalt von Werbung zugestimmt hat, was bereits ein strengerer Maßstab ist als Section 69.
Zweitens: Meta verlangt in Marketing-Vorlagen ausdrücklich eine Opt-out-Option. Nummern, die wiederholt „Blockiert"-Signale von Empfängern erzeugen, werden gedrosselt oder gesperrt. Wo POPIA ein „Antworten Sie STOP" akzeptiert, bevorzugt Meta das plus einen förmlichen Opt-out-Button in der Vorlage. Nach meiner Erfahrung achtet Meta hier strenger darauf als die Information Regulator.
Drittens: die WhatsApp Business App, also die kostenlose Handy-App und nicht die API, kennt keine Vorlagen, aber auch keine Skalierung. Sie begrenzt eine Broadcast-Liste auf etwa 256 Kontakte. Wenn Ihr „WhatsApp-Marketing" ein per Copy-Paste aus der Business App abgesetzter Broadcast an 1.500 gespeicherte Kontakte ist, verletzen Sie die Nutzungsbedingungen der App, die Sie dafür verwenden, lange bevor POPIA überhaupt in den Raum tritt. Wir sehen das ständig bei inhabergeführten Salons, Bäckereien und kleinen Modemarken, die unbemerkt über das Limit hinausgewachsen sind.
Was Sie nicht dürfen, in Klartext
Das Folgende liegt ausdrücklich außerhalb des Gesetzes, egal, was das Dashboard anzuklicken erlaubt.
Eine Liste von Nummern bei einem Lead-Generation-Dienst zu kaufen und sie, auch nur einmal, mit Werbeinhalt anzuschreiben. Die unter Section 69(2) erlaubte einmalige Einwilligungsanfrage muss im vorgeschriebenen Form 4 erfolgen, einem rechtlichen Formular, nicht in einer WhatsApp-Nachricht mit einem lächelnden Emoji.
Eine alte Mailchimp-Liste von 8.000 Kontakten aus 2019, zu der Sie die ursprünglichen Opt-in-Nachweise nicht mehr finden, in Everlytic oder Zoho Campaigns zu importieren und weiter zu bemailen. Der Export der Liste hat nichts am Zustand der Einwilligung darunter geändert.
LinkedIn-Profile von Fachleuten in einer Zielbranche abzuschöpfen und eine WhatsApp-„Vorstellungs"-Sequenz an die Nummern zu schicken, die Sie anderswo gefunden haben. Dass die Profile öffentlich sind, hebt Section 69 nicht auf. Section 69 ist über das Senden, nicht über die Herkunft.
Die Anfrage einer Kundin zu einem Nachttisch als Einwilligung zu behandeln, wöchentliche Möbel-Angebote, Lifestyle-Inhalte und eine Weihnachts-Rabattkampagne zu bekommen. Der Kauf eines Nachttischs ist keine Einwilligung, in eine allgemeine Marketing-Datenbank aufgenommen zu werden.
Was Sie ohne neue Einwilligung dürfen
Nicht alles verlangt ein frisches Opt-in. Transaktionale und servicebezogene Kommunikation liegt vollständig außerhalb von Section 69. Eine Zahlungsbestätigung, eine Lieferbenachrichtigung, eine Terminerinnerung, eine WhatsApp-Statusmeldung von einem Takealot-Verkäufer, eine Rechnungs-Nachfassung: das ist kein Marketing. Die Kundin wird kontaktiert wegen einer laufenden Transaktion mit Ihnen, nicht angesprochen, um mehr zu kaufen.
Die Grenze zwischen Service und Werbung wird schnell unscharf. Eine Erinnerung, dass der Fahrzeug-Service bei 10.000 km fällig ist, ist Service. Eine Erinnerung, dass der Service fällig ist, und übrigens laufen diesen Monat auch Winterreifen-Angebote, ist eine Werbenachricht im Servicekostüm. Trennen Sie die beiden, auch dann, wenn das System sie zusammenzulegen erlaubt.
Bewertungsanfragen nach einer Transaktion sind in der Regel als Service haltbar, solange sie durch die Transaktion ausgelöst werden und einmal passieren. Ein „bitte bewerten Sie uns" 72 Stunden nach der Yoco-Zahlung ist auf der Service-Seite. Dieselbe Anfrage, wöchentlich wiederholt, bis die Kundin antwortet, ist durch das Volumen zu Werbung geworden.
Eine Datenbank, die Sie wirklich verteidigen können
Dies ist die Haltung, bei der die meisten unserer südafrikanischen KMU-Kunden landen. Rechtlich wasserdicht ist sie nicht, das kann Ihnen nur ein Anwalt für Ihr konkretes Geschäft sagen, aber sie übersteht den ersten Brief der Information Regulator in glaubwürdiger Form.
Jeder Kontakt in Ihrer Marketing-Datenbank hat ein Herkunftsfeld: Webformular, WhatsApp-Anfrage, Laufkundschaft, Bestandskunde, Messe-Opt-in. Jede Herkunft hat eine gespeicherte Kopie des genauen Wortlauts, den die Person vor der Erfassung gesehen hat. Jede Werbenachricht hat einen funktionierenden Abmeldemechanismus in der Nachricht selbst, nicht in einer aus dem Footer verlinkten Datenschutzerklärung.
Altnummern, deren Herkunft Sie nicht belegen können, die Excel-Tabelle von 2019, die Messe-Scrape-Liste, die gekaufte Liste der Woodstocker Boutique, gehen gar nicht erst in Ihr Broadcast-Tool. Sie bekommen entweder eine einmalige, Form-4-konforme Einwilligungsanfrage über einen nicht-elektronischen Kanal, oder sie bleiben unbenutzt. Die Entscheidung, sie zu löschen, ist billiger als die Entscheidung, sie zu verwenden und das später zu verteidigen.
Ehrliche Einschätzung: Die südafrikanischen Unternehmen, die das gut hinbekommen, behandeln ihre Marketing-Datenbank als Vermögenswert, der einmal im Jahr geprüft wird, wie eine Inventur. Jene, die Probleme haben, behandeln sie als Archiv, das nur wächst. Welche Herangehensweise Sie wählen, ist der größte Einzel-Prädiktor dafür, ob Ihr Freitags-Broadcast ein Verkaufsgenerator oder ein Beschwerdegenerator wird.
Die Kundin aus Woodstock, nebenbei bemerkt, führt heute eine 1.900-Personen-Opt-in-Liste. Sie bringt pro Broadcast mehr Umsatz als die 2.400er Liste jemals brachte. Die Beschwerde bei der Regulator verlief im Sand, weil sie den Brief fristgerecht beantwortete, jede nicht belegbare Nummer löschte und den neuen Einwilligungsprozess vorzeigen konnte.
So enden diese Geschichten, wenn sie gut enden.