GNU Mailman

Was ist GNU Mailman?

GNU Mailman ist ein freier, quelloffener Mailinglisten-Manager, der vom GNU-Projekt entwickelt und unter der GNU GPL veröffentlicht wird. Er betreibt Diskussionslisten, Ankündigungslisten und Newsletter, indem er Anmeldungen, Moderation, Bounce-Verarbeitung und Web-Archive übernimmt. Da Mailman Software ist, die Sie selbst installieren und betreiben, ist die betreibende Organisation der Verantwortliche im Sinne der DSGVO: kein SaaS-Anbieter, keine integrierten Drittanbieter-Analysen, keine gemeinsame Abonnentendatenbank. Für einen EU-Betreiber gehört Mailman damit zu den datenschutzfreundlichsten Optionen für Newsletter, sofern Server, Hosting und Betriebspraktiken mit DSGVO und ePrivacy-Richtlinie in Einklang stehen.

Verarbeitete Daten und Rechtsgrundlage

Eine Mailman-Liste verarbeitet typischerweise E-Mail-Adressen der Abonnenten, optionale Anzeigenamen, Mitgliedschafts-Metadaten, Nachrichteninhalte, Moderationsentscheidungen und Bounce-Daten. Der Mailserver (Postfix, Exim) und die Weboberfläche (häufig über Apache oder Nginx) protokollieren zudem IP-Adressen, Zeitstempel und User-Agent-Strings. Für Newsletter und Marketing-Listen ist die einschlägige Rechtsgrundlage nach Art. 6 Abs. 1 lit. a DSGVO die freiwillige, spezifische, informierte und unmissverständliche Einwilligung des Abonnenten, ergänzt durch Art. 13 der ePrivacy-Richtlinie zu unaufgeforderten elektronischen Kommunikationen. Interne Verteiler für Beschäftigte können sich auf berechtigte Interessen oder den Vertrag stützen; Newsletter an die Öffentlichkeit erfordern jedoch eine Einwilligung.

Double-Opt-In und EU-Best-Practice

Mailman aktiviert die E-Mail-Bestätigung standardmäßig - exakt das vom BfDI in Deutschland, der CNIL in Frankreich und der AEPD in Spanien empfohlene Double-Opt-In-Verfahren. Nach Absenden des Anmeldeformulars verschickt Mailman eine Bestätigungs-E-Mail mit einem eindeutigen Token; erst nach Klick auf den Link wird die Adresse in die Liste aufgenommen. Heben Sie das Bestätigungsprotokoll (Datum, IP und User-Agent des Klicks) als Nachweis der Einwilligung gemäß Art. 7 Abs. 1 DSGVO auf. Vorausgewählte Kästchen, gebündelte Einwilligungen und zu allgemeine Listenbeschreibungen sind zu vermeiden - sie würden die Einwilligung nach EDSA-Leitlinien unwirksam machen.

Cookies, Tracking und Weboberfläche

Die Mailman-Weboberfläche setzt eine kleine Anzahl unbedingt erforderlicher Cookies, um Moderatoren und Abonnenten während der Verwaltung ihrer Einstellungen eingeloggt zu halten. Diese Sitzungscookies sind nach Art. 5 Abs. 3 der ePrivacy-Richtlinie einwilligungsfrei, da sie für den vom Nutzer ausdrücklich angeforderten Dienst zwingend erforderlich sind. Mailman bindet ab Werk keine Drittanbieter-Schriften, Analytik, Pixel oder Social-Widgets ein, sodass eine reine Mailman-Installation kein Cookie-Banner auslöst. Achten Sie bei der Anpassung der Templates darauf, keine Tracker (etwa Google Fonts von Google geladen oder Matomo auf einer Drittdomain) einzuführen, ohne die Einwilligung neu zu bewerten.

Betroffenenrechte und Archive

Jede Mailman-Nachricht enthält einen Abmeldelink sowie einen List-Unsubscribe-Header und erfüllt damit das Recht auf jederzeitigen Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO). Abonnenten können ihre Mitgliedschaftseinstellungen einsehen und ändern, was die Rechte auf Auskunft und Berichtigung abdeckt. Für die Löschung muss der Betreiber die Adresse aus der aktiven Liste entfernen und eine Richtlinie für öffentliche Web-Archive festlegen: Deaktivierung, Beschränkung auf Mitglieder oder Anonymisierung auf Anfrage. Eine klare Aufbewahrungsrichtlinie (zum Beispiel Löschung inaktiver Adressen nach 24 Monaten und befristete Archive) hilft, Art. 5 Abs. 1 lit. e DSGVO (Speicherbegrenzung) einzuhalten.

Hosting und Sicherheit

Weil der Betreiber den Server kontrolliert, kann eine EU-Organisation Mailman vollständig im EWR betreiben und so die im Kapitel V DSGVO geregelten Fragen internationaler Datenübermittlungen vermeiden, die bei US-basierten Newsletter-SaaS aufkommen. Betreiben Sie den Dienst über HTTPS mit gültigem Zertifikat, aktivieren Sie SPF, DKIM und DMARC auf der Versanddomain, beschränken Sie Admin-URLs nach Möglichkeit per IP oder VPN und spielen Sie Sicherheitsupdates des Mailman-Projekts zeitnah ein. Zusammen mit Double-Opt-In und einer klaren Datenschutzerklärung ist eine selbst gehostete Mailman-Instanz eine belastbare, im niedrigen bis mittleren Risikobereich anzusiedelnde Wahl für den DSGVO-konformen Newsletter-Betrieb.