Der 25. Mai 2018 rückt immer näher und damit auch die unmittelbare Geltung der europäischen Datenschutzgrundverordnung (DSGVO) in allen Mitgliedsstaaten. Hinzu kommen in Deutschland sowie in den meisten anderen Mitgliedsstaaten nationale Anpassungs- und Umsetzungsgesetze für einzelne Bereiche, die die DSGVO nicht regelt beziehungsweise ausdrücklich für Ergänzungen offen hält (beispielsweise im Beschäftigtendatenschutz). Geplant ist zudem eine EU-Verordnung zum Schutz der Privatsphäre, die sogenannte E-Privacy-Verordnung, welche ebenfalls ab Mitte 2018 die bisher geltende ePrivacy-Richtlinie und die ergänzende Cookie-Richtlinie aus dem Jahr 2009 ablösen soll.
Foto: Africa Studio - shutterstock.com
Die aktuelle Rechtslage
Mit der DSGVO fallen die detaillierten Regelungen des Bundesdatenschutzgesetzes (BDSG) zur Verarbeitung personenbezogener Daten für werbliche Zwecke weg. Auch das neue BDSG enthält keine Regelungen zur Datenverarbeitung für Werbezwecke.
Bisher war Voraussetzung für die Zulässigkeit einer Datenverarbeitung für Werbung grundsätzlich das Vorliegen einer Einwilligung der betroffenen Person. Dieses Erfordernis ergab sich zum einem aus dem BDSG. Nur bei bestimmten Daten und für einzelne Konstellationen entfiel das Einwilligungserfordernis aufgrund des sogenannten Listenprivilegs. Bei bestimmten Werbeformen, etwa der E-Mail-Werbung, greifen neben den Datenschutzbestimmungen auch die Regelungen des Gesetzes gegen den unlauteren Wettbewerb (UWG). Auch danach ist für die zulässige E-Mail-Werbung grundsätzlich eine vorherige ausdrückliche Einwilligung erforderlich.
Zwar lässt § 7 Abs. 3 UWG eine Ausnahme davon zu, wenn es sich um Bestandskunden handelt und für eigene ähnliche Waren und Dienstleistungen geworben werden soll. Ohne Einwilligung bleibt die Bewerbung nicht ähnlicher Waren oder Dienstleistungen, Werbung für Waren und Dienstleistungen von Drittunternehmen oder Werbung bei Neukunden nicht zulässig. Die Anforderungen an die Einwilligung sind in BDSG und UWG nicht identisch geregelt, so dass hier jeweils die strengeren Voraussetzungen anzuwenden sind, um die gesetzlichen Anforderungen zu erfüllen.
Keine Einwilligung mehr erforderlich?
In der DSGVO selbst sind ausdrückliche Regelungen zur Werbung nicht enthalten. Der Begriff der Werbung taucht abgesehen von den Erwägungsgründen allein in Art. 21 DSGVO - dem Widerspruchsrecht - auf. Auch aus einem Verweis in Art. 21 DSGVO wird jedoch hergeleitet, dass zukünftig die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung neben einer ausdrücklichen Einwilligung auch auf eine Interessenabwägung gestützt werden kann. Gemäß Art. 6 Abs. 1 lit. f. DSGVO ist die Verarbeitung personenbezogener Daten gestattet, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist und die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person daran, dass die personenbezogenen Daten nicht verarbeitet werden, nicht überwiegen.
Im BDSG ist eine vergleichbare Regelung enthalten gewesen, doch hat man im noch geltenden Recht eher angenommen, dass die Interessen des Betroffenen das Werbeinteresse des Verantwortlichen überwiegen und deshalb der Rechtfertigungsgrund nicht eingreift. Zukünftig könnte dies anders zu werten sein: der Erwägungsgrund 47 der DSGVO gibt jedenfalls schon einmal vor, dass das Interesse einer Verarbeitung zum Zwecke der Direktwerbung ein berechtigtes Interesse des Verantwortlichen darstellt. Dies ist so schon im geltenden BDSG anerkannt, da das Interesse zu werben ein grundsätzlich legitimes und damit berechtigtes Interesse ist. Probleme bereitete, wie oben dargestellt, die Interessenabwägung. Unklar ist, ob zukünftig im Rahmen der Interessenabwägung unter der DSGVO davon ausgegangen werden kann, dass das Interesse des Werbenden an der Direktwerbung die Interessen der betroffenen Person überwiegt. Denn nur in diesem Fall könnte das datenschutzrechtliche Einwilligungserfordernis entfallen und stattdessen auf eine andere Rechtsgrundlage abgestellt werden. Im Rahmen der Interessenabwägung sind zukünftig auch "die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen". Worin diese vernünftigen Erwartungen bestehen und wie stark sie sich auf die Interessenabwägung auswirken, ist derzeit noch sehr unklar. Einen ersten Hinweis hat die Datenschutzkonferenz (DSK), ein Gremium aus den Datenschutzbehörden des Bundes und der Länder, mit ihrem Kurzpapier Nr. 3 gegeben.
Maßgebend würden die Erwartungen des Betroffenen durch die zu erteilenden Informationen nach Art. 13 und 14 DSGVO bestimmt werden. Danach könnte der Verantwortliche selbst beeinflussen, ob seine Interessen an der Werbung im Rahmen der Interessenabwägung überwiegen. Informiert der Verantwortliche transparent und umfassend über die vorgesehene werbliche Nutzung der Daten, sollen nach Ansicht der DSK die Erwartungen der betroffenen Person in der Regel auch dahin gehen, dass ihre Kundendaten zur Werbung genutzt werden. Im Rahmen der Interessenabwägung könnte diese Information also den Ausschlag für die Zulässigkeit der Datenverarbeitung geben. Die DSK schränkt diese Möglichkeit aber sogleich wieder ein: Eingriffsintensivere Maßnahmen, wie die Profilbildung, könnten trotz Information des Betroffenen eher nicht über eine Interessenabwägung gerechtfertigt werden.
Widerspruchsrecht in jedem Fall
Neben der Nutzung muss die betroffene Person jedoch vor allem über das Widerspruchsrecht aus Art. 21 Abs. 2 DSGVO informiert werden. Danach haben betroffene Personen das Recht jederzeit Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten einzulegen, sofern diese Daten verarbeitet werden, um Direktwerbung zu betreiben. Dies gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht. Widerspricht die betroffene Person, dürfen die personenbezogenen Daten nicht mehr für Werbezwecke verarbeitet werden. Das betroffene Unternehmen muss unverzüglich die Verarbeitung der personenbezogenen Daten einstellen. Probleme bereitet dies, wenn die personenbezogenen Daten zum Beispiel als Foto in Printmedien veröffentlicht wurden. Denn dann dürfen die Printmedien zukünftig nicht mehr verwendet werden und müssen von dem Unternehmen aus dem Verkehr genommen werden. Dies kann mit hohen Kosten einhergehen.
Wenn das UWG nicht wäre
Denkbar ist im Ergebnis also, dass - sofern hinreichend informiert wird - auch Direktmarketing zum Beispiel per E-Mail an potenzielle Kunden, ohne zuvor eine Einwilligung einzuholen, datenschutzrechtlich zulässig sein könnte. Neben dem Datenschutzrecht sind jedoch das UWG und die dazugehörige ePrivacy-Richtlinie (RL 2002/58/EG, Datenschutzrichtlinie für die elektronische Kommunikation) zu berücksichtigen. Deren Regelungen werden durch die DSGVO nicht verdrängt, sondern sind zusätzlich anzuwenden.
Nach dem UWG ist die E-Mail-Werbung aber nur mit Einwilligung des Empfängers zulässig, sieht man von der Ausnahme für die Bewerbung von Bestandskunden für eigene ähnliche Produkte oder Dienstleistungen ab. Das Erfordernis der Einwilligung ergibt sich dann nicht mehr zwingend aus dem Datenschutzrecht, sondern aus dem UWG.
Zwar sollen die bestehenden Regelungen durch die der E-Privacy-Verordnung (EPVO) ersetzt werden, inhaltlich bleiben diese zumindest nach dem aktuellen Verordnungsentwurf jedoch weitestgehend bestehen. Auch nach Art. 16 EPVO-E bleibt es beim Grundsatz der Einwilligung mit der Ausnahme bei Bestandskunden und der Werbung für eigene ähnliche Produkte oder Dienstleistungen.
Das ist für Unternehmen zu tun
Werbung kann zukünftig also vom Grundsatz her auch ohne ausdrückliche Einwilligung der betroffenen Person zulässig sein. Unklar ist jedoch, wie die Anforderungen an die Interessenabwägung im Fall des Direktmarketings von den Datenschutzaufsichtsbehörden interpretiert werden. Ebenso relevant bleibt die weitere Ausgestaltung der EPVO.
Unternehmen müssen also prüfen, inwieweit sie die Erfordernisse an die Einwilligung einhalten und gegebenenfalls nachbessern. Bisher rechtswirksam erteilte Einwilligungen gelten übrigens unter der DSGVO fort (Beschluss des Düsseldorfer Kreises am 13./14. September 2016).
Sicher ist jedenfalls, dass die Verantwortlichen gesteigerte Informations- und Aufklärungspflichten treffen, bei deren Verstoß - beispielsweise durch eine unzulässige Werbeansprache - empfindliche Geldbußen von bis zu vier Prozent des gesamten, weltweit erzielten Jahresumsatzes drohen. (fm)