Is Mailchimp betrouwbaar?

[Opa Piet]

Mijn vraag:

Ik gebruik MAILCHIMP voor het versturen van nieuwbrieven van een besloten vereniging. Enige vertrouwelijkheid is gewenst. Nu zie ik in de analytics dat mijn bericht geopend is in Nederland, maar ook in de USA (Massachusets, Californië), Roemenië en Zweden. Zie afbeelding.
Welk gevaar schuilt daarin? Wat kunnen ze ermee in het buitenland?
Ik overweeg om te stoppen met Mailchimp.
Ben benieuwd of iemand hier antwoord op weet.

[Boudewijn]

Je kunt je ook afvragen hoe betrouwbaar die geolocatie is

Als je iets echt geheim wil houden zou ik het niet via Mailchimp sturen. Overigens zal een deel van je data toch echt in de vs komen, tenzij niemand Microsoft of google of apple gebruikt als mail-hoster

[True]

Je kunt je afvragen of tracking van het openen van de nieuwsbrief wel gewenst is in een besloten vereniging.

Maar om inhoudelijk antwoord te geven, er zijn mailproviders die bij ontvangst de mails inladen waardoor tracking op een IP adres gebeurd van de server van de mailprovider. Hierdoor kun je niet zien wanneer een mail geopend wordt en waar dit gedaan wordt. Ik gok dat USA bijv. Gmail is en Romania wellicht een EU datacenter voor een mailprovider.
NB het openen van een mail in een browser voorkomt meestal al dat het IP van de ontvanger gelekt wordt naar de verzender van de mail (zie hieronder).

Daarnaast nog het punt van @Boudewijn, het openen van een mailtje waarbij tracking werkt laad een bepaalde afbeeldingspixel in die per mail (ontvanger) anders is, mailchimp kan het inladen op een tijdstip en IP-adres herleiden en zo de geolocatie gebaseerd op IP-adres bepalen. De geolocatie is lang niet altijd even accuraat.

Als laatste heb je ook mailproviders die dit blokkeren waardoor jij als verzender het sowieso niet kunt herleiden.

Om antwoord te geven op je vraag: er zit geen gevaar in, elke ontvanger is vrij om zijn mail te hosten bij een provider naar keuze en als die provider in een ander land de mail verwerkt en ook de mails inlaadt zie je hier een ander land staan.

[mrmrmr]

Je kan het beste een provider uit de EU gebruiken, zonder een vestiging in de Verenigde Staten.

Dat volgt uit de AVG, de enige reden waarom het momenteel toegestaan (gedoogd) wordt is omdat een rechtbank het toestond na een aanklacht van privacybelangenbehartiger NOYB (None Of Your Business).

Bij privacy gaat het over gegevens over personen. Dat omvat niet alleen naam, adres en dergelijke, maar ook wat iemand doet, waar die werkt, waar iemand verblijft.

Dat staat los van de keuze van een ontvanger voor een mailprovider. Dat is de vrijheid van de ontvanger. Wat je wel moet doen is zorgen dat achter links geen persoonsgegevens zijn in te zien, dat kan bijvoorbeeld door op je eigen site inloggen te vereisen.

Microsoft bijvoorbeeld bezoekt automatisch links die in emails voorkomen. Dat verklaart waarom er bezoeken zijn uit de Verenigde Staten. In Roemenië zit een antivirusproducent. Aan de hand van het IP adres kun je herleiden wie erachter zit. Die functie heet whois.

Tracking via links in mailings moet je niet doen in de EU. Daarvoor is een gegronde reden nodig. Lees op de site van de Autoriteit Persoonsgegevens over grondslagen.

[Rukapul]

Apple mail heeft ook een functie om het IP van de ontvanger te verbergen voor de zender. Daar zal dan een soort proxy tussen zitten.

[Croga]

Bij diensten zoals Mailchimp moet je je vooral afvragen: Wie betaald er voor?
Als jij de gratis versie van Mailchimp gebruikt dan weet je één ding zeker: Iemand anders is Mailchimp aan het betalen voor jouw informatie. En jij hebt ze zojuist een schat aan informatie kado gedaan.

Waarom zou je een dergelijke dienst willen gebruiken? Je kunt toch gewoon de mailtjes zelf naar de geabonneerde leden sturen? Geen 3rd party in de loop en geen gevaar dat je gegevens bij anderen belanden (behalve dan de inherente issues die EMail heeft met veiligheid; wil je het echt veilig hebben dan zul je naar zoiets als PGP moeten kijken)

Bottom line: Alles wat van mailchimp af komt wordt bij mij bij de voordeur geweigert. En iedereen die mij op een mailchimp lijst zet krijgt een onmiddelijke afmelding.

[FiscBiker]

Ik heb Mailchimp vervangen door LaPosta toen het hele AVG-gebeuren ging lopen, maar beide zijn feitelijk marketing-tools en gebruiken dus tracking-links e.d.

Als vertrouwelijkheid een top-prioriteit is, dan zouden al dat soort tools volgens mij af moeten vallen en moet je toch meer zelf bouwen.

Als vertrouwelijkheid / privacy voor mij als lid belangrijk zou zijn, dan zou ik een VPN gebruiken om te doen alsof ik in Zweden of Roemenie zit,..

[F_J_K]

Heb je expliciete toestemming van de ontvangers dat je ze zo tracked? En mail je zonder tracking wie die toestemming niet gaf of die het heeft ingetrokken? Zo niet, nee je vereniging schendt wetten. Je voldoet niet aan de AVG, niet aan de Telecommunicatiewet. (Mailchimp is slechts de verwerker, jij bent verantwoordelijk).
[edit: en dat staat min of meer los van Mailchimp, al zal die het als Amerikaans marketing-tool het je wel erg makkelijk maken om foute dingen te doen).

True schreef op zondag 26 januari 2025 @ 12:21:
Je kunt je afvragen of tracking van het openen van de nieuwsbrief wel gewenst is in een besloten vereniging.

Maar om inhoudelijk antwoord te geven, er zijn mailproviders die bij ontvangst de mails inladen waardoor tracking op een IP adres gebeurd van de server van de mailprovider. Hierdoor kun je niet zien wanneer een mail geopend wordt en waar dit gedaan wordt. Ik gok dat USA bijv. Gmail is en Romania wellicht een EU datacenter voor een mailprovider.
NB het openen van een mail in een browser voorkomt meestal al dat het IP van de ontvanger gelekt wordt naar de verzender van de mail (zie hieronder).

Daarnaast nog het punt van @Boudewijn, het openen van een mailtje waarbij tracking werkt laad een bepaalde afbeeldingspixel in die per mail (ontvanger) anders is, mailchimp kan het inladen op een tijdstip en IP-adres herleiden en zo de geolocatie gebaseerd op IP-adres bepalen. De geolocatie is lang niet altijd even accuraat.

Als laatste heb je ook mailproviders die dit blokkeren waardoor jij als verzender het sowieso niet kunt herleiden.

En dan zijn er nog de mensen die toevallig een VPN open hebben staan toen ze de mail openden. Of die voor werk of vakantie er fysiek zijn.

Dat een overzicht ook andere landen laat zien is dan ook heel erg niet vreemd. Dat je een overzicht hebt wel.

In het algemeen kan Mailchimp wel netjes werken.

FiscBiker schreef op zondag 26 januari 2025 @ 13:10:
Als vertrouwelijkheid een top-prioriteit is, dan zouden al dat soort tools volgens mij af moeten vallen en moet je toch meer zelf bouwen.

Al is in deze tijden het niet triviaal om vanaf eigen mailserver nieuwsbrieven te gaan mailen zonder groot risico op te boek komen te staan als mogelijk spammer.

[ Voor 3% gewijzigd door F_J_K op 26-01-2025 13:29 ]

[Opa Piet]

Hartelijk dank voor alle reacties. Het geeft veel stof tot nadenken.
Een paar opmerkingen: De nieuwsbrieven werden aanvankelijk via een eiegen e-mailadres verzonden, maar toen bleek dat die bij een aantal leden rechtstreeks naar de spam ging, ben ik Mailchimp aan gebruiken.
De leden hebben een AVG verklaring ondertekend die de webmaster recht geeft op gebruik van e-mail- en adresgegevens en die onderling te delen. Niet bedoeld voor servers in het buitenland inderdaad. Ik overweeg weer het e-mailadres van de vereniging te gaan gebruiken, maar hoe voorkom ik dat zo's groepsmail aangezien wordt voor spam?

[CAPSLOCK2000]

Ik wil nog een stukje algemeen bewustzijn meegeven dat e-mail geen veilig communicatiemiddel is. Systeembeheerders en mailservers kunnen alles mee lezen tenzij je zelf encryptie toevoegt.
E-mail kan de hele wereld overgaan voor die op z'n eindbestemming komt en kan ook door landen gaan waar de AVG niet telt.

Ik overweeg weer het e-mailadres van de vereniging te gaan gebruiken, maar hoe voorkom ik dat zo's groepsmail aangezien wordt voor spam?

Het is lastig om daar in het algemeen iets over te zeggen, anders dan dat je het probleem moet melden bij de beheerder van dat e-mail-adres. Mail is helaas een wat lastig protocol door de talloze anti-spam maatregelen.
De soms wat sneue realiteit is dat de grote bedrijven (MS & Google) steeds moeilijker doen over het accepteren van mail van kleinere concurrenten die geen enkele informatie krijgen over waarom hun mail wordt geweigerd. Daarom kan er te veel misgaan met mail om vrij te gaan speculeren, de beheerder zal er naar moeten kijken.

[Croga]

CAPSLOCK2000 schreef op zondag 26 januari 2025 @ 14:37:
Het is lastig om daar in het algemeen iets over te zeggen, anders dan dat je het probleem moet melden bij de beheerder van dat e-mail-adres. Mail is helaas een wat lastig protocol door de talloze anti-spam maatregelen.
De soms wat sneue realiteit is dat de grote bedrijven (MS & Google) steeds moeilijker doen over het accepteren van mail van kleinere concurrenten die geen enkele informatie krijgen over waarom hun mail wordt geweigerd. Daarom kan er te veel misgaan met mail om vrij te gaan speculeren, de beheerder zal er naar moeten kijken.

Dat valt serieus alles mee. Zolang je de standaard beveiligingsmaatregelen respecteerd (DKIM, reverse DNS,e tc.) is er geen enkel probleem voor "kleinere concurrenten" of zelfs gewoon thuis servers.

Een vriend van me heeft zijn server gewoon thuis gehost en communiceert met genoeg GMail en MS gebruikers. Zijn mail komt gewoon netjes aan. En zodra dat niet meer zo is, is het ook zo gefixt.

Dus @Opa Piet: Praat even met de beheerder van die mail server en zorg dat hij zijn server de 21e eeuw in transporteert, dan is er geen enkel probleem (tenminste; als je ook gewoon nette content in de mail hebt. Dus geen uitgebreide HTML of javascripts maar gewoon nette opgemaakte tekst me vooral tekst, weinig opmaak, weinig links en geen plaatjes)

[Jester-NL]

Opa Piet schreef op zondag 26 januari 2025 @ 13:58:
Hartelijk dank voor alle reacties. Het geeft veel stof tot nadenken.
Een paar opmerkingen: De nieuwsbrieven werden aanvankelijk via een eiegen e-mailadres verzonden, maar toen bleek dat die bij een aantal leden rechtstreeks naar de spam ging, ben ik Mailchimp aan gebruiken.
De leden hebben een AVG verklaring ondertekend die de webmaster recht geeft op gebruik van e-mail- en adresgegevens en die onderling te delen. Niet bedoeld voor servers in het buitenland inderdaad. Ik overweeg weer het e-mailadres van de vereniging te gaan gebruiken, maar hoe voorkom ik dat zo's groepsmail aangezien wordt voor spam?

Als je mail rechtstreeks in de spam terecht komt, zou ik (zeker anno nu) even de DNS nalopen.
Sinds februari vorig jaar zijn Google en Yahoo (en dus allerlei andere grotere en kleinere partijen in hun kielzog) nog harder gaan letten op SPF-records. En ook DKIM en DMARC worden steeds belangrijker.
Het aanmaken en instellen van dit soort records is geen rocketscience, en een beetje provider zou je daarmee moeten kunnen helpen.

Na aanmaak van die records zijn er de nodige (gratis) sites te vinden waar je je mail vervolgens kunt testen om te zien hoe spammy je verzendingen zijn.

Andersom: ik hoor vaak genoeg mensen klagen dat mail in de spam terechtkomt, die 100% door allerlei checks heenkomt als "100% tiptop in orde", waarna blijkt dat de ontvanger ooit heeft aangegeven in zijn mailprogramma dat een bepaalde afzender spamt. Daar kun je als verzender natuurlijk niets aan veranderen...

[ Voor 10% gewijzigd door Jester-NL op 27-01-2025 15:15 ]

[Zenomyscus]

Opa Piet schreef op zondag 26 januari 2025 @ 13:58:
Hartelijk dank voor alle reacties. Het geeft veel stof tot nadenken.
Een paar opmerkingen: De nieuwsbrieven werden aanvankelijk via een eiegen e-mailadres verzonden, maar toen bleek dat die bij een aantal leden rechtstreeks naar de spam ging, ben ik Mailchimp aan gebruiken.
De leden hebben een AVG verklaring ondertekend die de webmaster recht geeft op gebruik van e-mail- en adresgegevens en die onderling te delen. Niet bedoeld voor servers in het buitenland inderdaad. Ik overweeg weer het e-mailadres van de vereniging te gaan gebruiken, maar hoe voorkom ik dat zo's groepsmail aangezien wordt voor spam?

Zowel Microsoft als Amazon bieden daar oplossingen voor. Waarvan je voor zover ik weet ook enkel servers kunt gebruiken die binnen de EU staan.

Verder eens met bovenstaande. Tegenwoordig heb je niet meer zoveel aan geodata. Het is vaak afkomstig door IP adressen te vergelijken met een database van IP adressen per land. Behalve dat die adressen vaak verkocht worden (ook aan andere landen) en het met de komst van IPv6 geen zin meer heeft, er zijn teveel IP adressen om daar een database van te maken. Het 'werkt' dus alleen voor IPv4 adressen en ook dan was het regelmatig fout. Ik heb dit 10 jaar geleden gebruikt voor een aantal websites, maar tegenwoordig doen we daar niks meer mee. Verder kun je nog wel kijken naar taalinstellingen in je browser en wat andere parameters, maar ook daarvoor geldt dat taal niet per se iets zegt over de locatie.

[kodak]

Als je belangrijkste zorg is dat ontvangers de mail niet als spam behandelen dan kun je je het beste afvragen of je werkelijk zoveel last hebt dat gebruikers het als spam ontvangen en wat de redenen zijn volgens de maildienst van de ontvanger.

Als je niet weet waarom anderen je mail als spam behandelen valt er moeilijk precies aan te voldoen waarop men het wel gewoon bezorgd.

Het zal niet de eerste keer zijn dat volkomen legitieme mail, dat ook aan alle protocollen voldoet, in spamboxen terecht komt door belabberde filtering door de maildiensten van de ontvangers. Die maildiensten passen namelijk volkomen ontransparante filtering op basis van reputatie toe. Ze blokkeren vaak ip-adressen zonder enige redelijke aanleiding, hebben geen duidelijke interesse wat gebruikers willen en negeren dat ook willekeurig. En ze nemen daarbij vaak geen verantwoordelijkheid als ze fouten maken of zich onprofessioneel gedragen naar klanten of verzenders. Als het niet bevalt moet je maar geen klant blijven of geen mail naar ze verzenden lijkt de boodschap.

Diverse maildiensten bieden 'hulp' aan om (verdere) problemen mogelijk te voorkomen. Maar dan moet je je bijvoorbeeld afzonderlijk bij ze registreren of smeken of ze aub de reputatie willen herzien. Maar zonder belofte dat ze dat respecteren of zullen herzien.