Die ab dem 25. Mai 2018 anwendbare DSGVO ändert die Voraussetzungen für die Verarbeitung personenbezogener Daten für werbliche Zwecke. Die Datenschutzbeauftragten des Bundes und der Länder bieten nun dazu eine erste Orientierung für die Praxis.

Das derzeit geltende Bundesdatenschutzgesetz (BDSG) bietet insbesondere in den §§ 28 und 29 umfassende Bestimmungen dazu, unter welchen Voraussetzungen personenbezogene Daten zu Werbezwecken erfasst, verarbeitet und an Dritte weitergegeben werden dürfen. Diese entfallen mit Wirksamwerden der Datenschutzgrundverordnung (DSGVO) sowie des am 12. Mai 2017 verabschiedeten sogenannten „BDSG-neu“ Ende Mai nächsten Jahres ersatzlos. Zur Frage, wie vor dem Hintergrund der in Deutschland noch bestehenden dahingehenden Maßgaben die DSGVO auszulegen und anzuwenden sei, hat die Datenschutzkonferenz (DSK) der unabhängigen Datenschutzbehörden des Bundes und der Länder nun ein „Kurzpapier Nr. 3“ (Stand 29. Juni 2017) veröffentlicht. Ganz allgemein ist die Umsetzung der teils verschärften Anforderungen der DSGVO für die Unternehmen eine inhaltliche, organisatorische und zeitliche Herausforderung. Solche Handreichungen und Orientierungshilfen von „offizieller“ Seite sind daher bei allen Beteiligten willkommen.

Gemäß dem Kurzpapier sei, sofern der Betroffene nicht eine wirksame Einwilligung gegeben hat, Grundlage für die Beurteilung der Zulässigkeit von Werbung zukünftig allein die Interessenabwägung gemäß Art. 6 Abs. 1 lit. f DSGVO, wonach die Verarbeitung personenbezogener Daten nur rechtmäßig ist, wenn sie „zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich“ ist, „sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen“. Laut DSK ist für die erforderliche Abwägung Erwägungsgrund 74 der DSGVO maßgeblich, der insbesondere auf die „vernünftigen Erwartung der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen“ abstellt dahingehend, ob sie zum Zeitpunkt der Erhebung vernünftigerweise absehen könne, „dass möglicherweise eine Verarbeitung für diesen Zweck [hier z.B. Werbung, Anm. d. Autors] erfolgen“ werde. Im letzten Satz desselben Erwägungsgrundes heißt es dann auch: „Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.“ Zutreffend schildert die DSK dann, dass diese „vernünftigen Erwartungen“ jedenfalls maßgeblich durch diejenigen Informationen bestimmt würden, die die betroffene Person vom Verantwortlichen im Rahmen der Datenerhebung oder einer späteren Auskunft erhält.

Damit ist der Bogen geschlagen zu den umfangreichen Informations- und Auskunftspflichten nach Art. 13 und 14 DSGVO. Danach ist der Verantwortliche verpflichtet, die betroffene Person zum Zeitpunkt der Erhebung personenbezogener Daten zu informieren unter anderen über die Kategorien der erhobenen Daten, die Rechtsgrundlage der Erhebung, also gerade auch über eine etwaige Interessenabwägung wie hier, eine geplante Übermittlung an Dritte oder die Dauer der Speicherung und insbesondere über die Zwecke der Verarbeitung sowie über die Betroffenenrechte. Ginge daraus, so die GSK, transparent und umfassend die vorgesehene werbliche Nutzung der Daten als Zweck hervor, ginge auch „die Erwartung der betroffenen Person in aller Regel dahin, das ihre Kundendaten entsprechend genutzt werden“. Im Umkehrschluss heißt dies, dass eine werbliche Nutzung solcher Daten in Ermangelung einer anderweitigen konkreten Einwilligung der betroffenen Person ausgeschlossen ist, wenn die Informations- und Auskunftspflichten dahingehend nicht erfüllt werden. Dies zeigt nochmals deren erhebliche und mit der DSGVO nochmals gesteigerte Bedeutung - ganz abgesehen von der beträchtlichen Bußgeldbewährung aus Art. 83.

Des Weiteren seien das jederzeitige und umfassende Widerspruchsrecht der betroffenen Person aus Art. 21 Abs. 2 DSGVO, der Umstand, ob diese bereits Kunde des Verantwortlichen sei (so Erwägungsgrund 74), sowie die allgemeinen Grundsätze aus Art. 5 Abs. 1 DSGVO im Rahmen der Interessenabwägung zu berücksichtigen. Letztere sprächen jedenfalls gegen die Erstellung von Profilen zur werblichen Ansprache (Werbescores). Hinsichtlich der Bildung von Nutzerprofilen spreche die Eingriffsintensität für ein Überwiegen des Interesses der betroffenen Person am Ausschluss der Datenverarbeitung.

Die DSK verweist zudem auf die weiter gültigen und zu beachtenden Bestimmungen aus dem Gesetz gegen den unlauteren Wettbewerb (UWG). § 7 Abs. 2 Nr. 2 und 3 UWG untersagen ausdrücklich Werbemaßnahmen per Telefonanruf, Telefax oder elektronischer Post ohne vorherige ausdrückliche Einwilligung des Adressaten. Ausnahmen bestehen gemäß Abs. 3 nur für Bestandskunden, was laut Erwägungsgrund 47 auch im Rahmen obiger Interessenabwägung zu berücksichtigen ist. Insoweit ändert sich durch die DSGVO nichts. Doch Vorsicht: Nach aktuellem Recht erteilte Einwilligung müssen zukünftig auch die verschärften Anforderungen der DSGVO an eine wirksame Einwilligung erfüllen, um weiter Bestand zu haben. Hier verweist das Kurzpapier insbesondere auf das Koppelungsverbot aus Art. 7 Abs. 4 DSGVO.

Zu guter Letzt wagen die Datenschützer den Ausblick, dass womöglich mit weiteren Leitlinien des europäischen Datenschutzausschusses zum Thema personenbezogene Daten für Werbenutzung zu rechnen sei. Wir halten Sie informiert.
(Siehe auch: https://www.lda.bayern.de/media/dsk_kpnr_3_werbung.pdf)

Dr. Daniel Michel, LL.M., Rechtsanwalt,
München