Datenschutz im Dialogmarketing

Transkript

1 Praxishelfer Dialogmarketing Datenschutz im Dialogmarketing Zulässigkeit Transparenz Dienstleister Durchsetzung Schutzgebühr 12,90

2 IMPRESSUM Herausgeber Deutscher Dialogmarketing Verband e.v. Hasengartenstraße Wiesbaden Tel / Fax 0611 / info@ddv.de Gestaltung rahlwespietz, Frankfurt/Main Druck ABT Print und Medien GmbH, Weinheim Stand Juni 2014

3 INHALT VORBEMERKUNG DIALOGMARKETING ZULÄSSIG GESTALTEN Die Ausnahmen vom Einwilligungsvorbehalt Das Widerspruchsrecht der beworbenen Person Die Einwilligungserklärung Die Verarbeitungsgrundsätze Die Adressaktualisierung Der Konzern Das Werbescoring Die Markt- und Meinungsforschung Die geschäftsmäßigen Anbieter TRANSPARENZ VERSTÄNDLICH HERSTELLEN Die allgemeinen Informationspflichten Die Unterrichtungspflichten im Werbeschreiben Die Information über Datenschutzverstöße DIENSTLEISTER RICHTIG BEAUFTRAGEN Der Auftragsdatenverarbeiter Die Mindestanforderungen an den Vertrag DATENSCHUTZ EFFEKTIV DURCHSETZEN Der betriebliche Datenschutzbeauftragte Die Datenschutzaufsichtsbehörden Der Datenschutzaudit GRENZÜBERSCHREITENDE VERARBEITUNG ANGEMESSEN ABSICHERN Der Schutz gilt für jedermann Die Freiheiten innerhalb des Europäischen Wirtschaftsraums Die Grenzen des Europäischen Wirtschaftsraums Die Sonderstellung von Dienstleistern Die Transparenzpflichten bei Drittländerübermittlungen BEGRIFFLICHKEITEN RICHTIG VERSTEHEN BUNDESDATENSCHUTZGESETZ MIT ALLEN ÄNDERUNGEN

4 VORBEMERKUNG Das Bundesdatenschutzgesetz (BDSG) schreibt seit dem Jahr 2009 für die Verwendung von Daten zu Zwecken des Marketings und Adresshandels grundsätzlich die Einwilligung der betroffenen Personen vor. Jeder Grundsatz hat aber Ausnahmen und so ist es auch beim Einwilligungsvorbehalt. Die Ausnahmen tragen vor allem den Besonderheiten des postalischen Dialogmarketings Rechnung. Für viele Unternehmen ist das postalische Dialogmarketing ein zentrales Element der Neukundengewinnung und Kundenpflege. Die Einholung von Einwilligungen wäre in diesen Fällen aus tatsächlichen und juristischen Gründen meist nicht praktikabel. Außerdem wird das postalische Dialogmarketing von den Bürgern gut angenommen und zeigt in der Praxis keine Ausuferungstendenzen. Die ausgewogenen Ausnahmen vom Einwilligungsvorbehalt sind deshalb zu begrüßen. Das Datenschutzrecht enthält weitere Regelungen, die für das Dialogmarketing von besonderer Bedeutung sind. Beispielsweise gelten besondere Transparenzpflichten. Insbesondere auf das Werbewiderspruchsrecht muss stets hingewiesen werden. Für die Einbindung von Dienstleistern im Wege der so genannten Auftragsdatenverarbeitung greifen detaillierte Anforderungen an die Vertragsgestaltung. Die Markt- und Meinungsforschung unterliegt einer Sonderregelung, die Beschränkungen für die Zweitverwertung von nichtanonymisierten Forschungsergebnissen festlegt. Der Best Practice Guide gibt auf der Grundlage einer pragmatischen Auslegung der datenschutzrechtlichen Vorschriften eine Orientierungshilfe für die Praxis. Es versteht sich bei dieser abstrakten Materie von selbst, dass es zu einzelnen Auslegungsfragen unterschiedliche Ansichten geben kann. Die Empfehlungen des Best Practice Guides ersetzen deshalb keine juristische Beratung. Der DDV wird sich auf der Grundlage des Best Practice Guide weiterhin aktiv an der Diskussion beteiligen und der Gefahr einer übertriebenen bürokratischen Auslegung der Vorschriften entgegenwirken. Dies gilt besonders für die von Brüssel geplante europäische Datenschutzreform. 2

5 Im Dezember 2013 hat der so genannte Düsseldorfer Kreis Anwendungshinweise zur Verwendung personenbezogener Daten für werbliche Zwecke herausgegeben. Diese sind von besonderer Bedeutung für die Praxis, denn der Düsseldorfer Kreis ist der Arbeitskreis der Datenschutzbeauftragten des Bundes und der Länder. Die Anwendungshinweise enthalten die gemeinsamen Positionen der Datenschutzaufsichtsbehörden. Bei der Erstellung des Best Practice Guide wurden sie deshalb einbezogen. Soweit die Positionen in wichtigen Punkten von denen des DDV abweichen, weist der Best Practice Guide darauf hin. Der Best Practice Guide wurde vom Arbeitskreis Datenschutz des DDV erarbeitet. Rechtsanwalt Dr. Ulrich Wuermeling, Latham & Watkins LLP, Frankfurt, ist zur fachlichen Unterstützung in den Arbeitskreis Datenschutz des DDV seit Jahren eingebunden und hat an der Erstellung des Best Practice Guide mitgewirkt. Ihm sei an dieser Stelle ausdrücklich gedankt. 3

6 1. DIALOGMARKETING ZULÄSSIG GESTALTEN Wer personenbezogene Daten für Werbezwecke verwendet, muss das Datenschutzrecht beachten. Das Bundesdatenschutzgesetz enthält für die Verwendung von Daten zu Werbezwecken im Grundsatz einen Einwilligungsvorbehalt (so genanntes Opt-in ) und sieht hiervon eine Reihe von Ausnahmen vor. Da die Einholung von Einwilligungen häufig nicht praktikabel ist ( siehe Ziffer 1.3), geben die Ausnahmen vom Einwilligungsvorbehalt den maßgeblichen Handlungsspielraum für das postalische Dialogmarketing vor. Nachfolgend werden die Ausnahmen im Detail beschrieben, bevor auf die Anforderungen an eine wirksame Einwilligung eingegangen wird. 1.1 DIE AUSNAHMEN VOM EINWILLIGUNGSVORBEHALT Die Verwendung von personenbezogenen Daten für Zwecke der Werbung ist unter bestimmten Voraussetzungen auch ohne Einwilligung der jeweiligen Person erlaubt ( 28 Absatz 3 BDSG). Erst nennt das Gesetz drei Fallgestaltungen, unter denen Daten über Angehörige einer Personengruppe verwendet werden dürfen. Dabei enthält die erste Ziffer genau genommen zwei Ausnahmen, nämlich eine für Bestandskunden und eine für Daten aus allgemein zugänglichen Verzeichnissen. Die zweite Ziffer betrifft geschäftliche Werbung (B2B) und die dritte Spendenwerbung. Anschließend enthält die Vorschrift noch zwei weitere Ausnahmen unter der Voraussetzung, dass die Übermittlung oder Nutzung zu Werbezwecken transparent erfolgt. Insgesamt handelt es sich damit um sechs Fälle, in denen die Verwendung von Daten zu Werbezwecken ohne eine Einwilligung erlaubt ist. In jedem Fall sind Werbewidersprüche strikt zu beachten ( siehe Ziffer 1.2). Die Ausnahmen zum Einwilligungsvorbehalt unterscheiden sich insbesondere darin, dass sie teilweise auf Listendaten beschränkt sind. Dies gilt für B2B, Spendenwerbung und die transparente Übermittlung. Unter den anderen Ausnahmen können weitere Daten hinzu gespeichert werden. Nach Ansicht der Datenschutzaufsichtsbehörden ist auch die Ausnahme zur transparenten Nutzung auf Listendaten zu beschränken. Da bei der transparenten Nutzung keine Übermittlung der Daten erfolgt, ist jedoch eine Beschränkung auf Listendaten nicht geboten. Das Gesetz differenziert deshalb hinsichtlich der Verwendung von Listendaten klar zwischen transparenter Übermittlung und Nutzung. Unter die Listendaten fallen Adresslisten über Angehörige einer Personengruppe. Die Adressliste darf sich nur auf eine Personengruppe beziehen. Zu dem so genannten Gruppenmerkmal darf die Liste folgende Daten enthalten: Berufs-, Branchen- und Geschäftsbezeichnung Name Titel akademischer Grad Anschrift Geburtsjahr Das Gruppenmerkmal einer Adressliste ist ein wichtiges Instrument, um die Werbesendung interessengerecht auswählen und gestalten zu können. Die Liste soll sich auf die Angehörigen einer Personengruppe beziehen ( 28 Absatz 3 Satz 2 BDSG). Dabei kann sich eine Personengruppe über aussagekräftige Kriterien definieren. Beispielsweise kann eine Liste das Gruppenmerkmal Einkaufsmanager im elektronischen Maschinenbau enthalten. Ihre Grenze findet die Definition des Gruppenmerkmals dort, wo schutzwürdige Interessen der betroffenen Personen entgegenstehen ( 28 Absatz 3 Satz 6 BDSG). Dies ist beispielsweise der Fall, wenn das Gruppenmerkmal besonders sensible Informationen über die Gruppe enthält. 4

7 EINZELFRAGEN Dürfen besonders sensible Daten oder Profile verwendet werden? Bei jeder Verwendung von Daten oder Profilen für Werbezwecke sind die entgegenstehenden schutzwürdigen Interessen der beworbenen Person zu berücksichtigen (auch wenn es bei der Erlaubnis zur transparenten Nutzung versehentlich nicht ausdrücklich im Gesetz steht). Das Bundesdatenschutzgesetz schützt außerdem besondere Arten von sensiblen Daten durch eine Reihe von Sonderregelungen. Unter den Begriff der besonderen Arten von Daten fallen dabei Angaben über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit und Sexualleben ( 3 Absatz 9 BDSG). Die Liste ist abschließend. Die Erhebung, Verarbeitung oder Nutzung besonderer Arten von Daten ist in der Regel nur mit Einwilligung der betroffenen Person zulässig. Dies gilt insbesondere für die Verwendung solcher Daten für Werbezwecke. Wenn eine Einwilligung besondere Arten von Daten umfasst, dann muss sich der Einwilligungstext ausdrücklich hierauf beziehen ( 4a Absatz 3 BDSG). Was ist bei Werbung per Telefon, Telefax, und SMS zu beachten? Bei der elektronischen Werbung gelten zusätzlich die wettbewerbsrechtlichen Ein willigungsanforderungen, die im Best Practice Guide UWG erläutert werden. Gelten Sonderregelungen für Internetdienste? Strenge Anforderungen gelten außerdem unter den bereichsspezifischen Datenschutzregelungen für das Angebot von Telemedien. Darunter versteht der Gesetzgeber vor allem die über das Internet angebotenen Dienste und Webseiten. Die speziell hierfür geltenden Anforderungen sind im Best Practice Guide Datenschutz im Internet erläutert. Außerdem gelten für einzelne Sektoren spezielle Regelungen wie beispielsweise der öffentlichen Verwaltung oder Telekommunikationsunternehmen BESTANDSKUNDEN Bestandskunde oder Interessent Listendaten Hinzuspeicherung Unternehmen Werbung für eigene Angebote Werbung für eigene Angebote darf an Adressen von Bestandskunden gesendet werden. Hierzu dürfen die Listendaten (Gruppenmerkmal, Adresse und Geburtsjahr; siehe Ziffer 1.1) verwendet werden, die vom Kunden erhoben worden sind. Zusätzlich zu diesen Listendaten dürfen weitere Daten hinzugespeichert werden. Diese Daten müssen nicht direkt vom Bestandskunden erhoben werden. Sie können auf andere Weise im Rahmen der Geschäftsbeziehung entstehen oder von gewerblichen Datenanbietern oder aus öffentlich zugänglichen Quellen erhoben werden. 5

8 Die Ausnahme über Bestandskunden erfasst auch Personen, mit denen noch kein Vertrag zustande gekommen ist. Ein so genanntes rechtsgeschäftsähnliches Schuldverhältnis genügt. Damit können beispielsweise auch Listendaten von Interessenten, die ein Angebot angefragt haben, unter die Bestandskundenregelung fallen. Außerdem entsteht bei der Teilnahme an Preisausschreiben oder Gewinnspielen ein rechtsgeschäftsähnliches Schuldverhältnis mit dem auslosenden Unternehmen, so dass es die Listendaten weiter für eigene Werbung verwenden und weitere Daten hinzuspeichern kann. Eine konkrete zeitliche Beschränkung für die Dauer der Speicherung der Daten sieht die Regelung nicht vor. Es kommt nicht darauf an, ob ein Vertragsverhältnis noch andauert. Wenn keine Aufbewahrungspflichten bestehen, sind nicht mehr sinnvoll verwendbare Listendaten jedoch aus Gründen der Datensparsamkeit zu löschen ( siehe Ziffer 1.4). Die Regelung zu Bestandskunden findet sich in 28 Absatz 3 Satz 2 Nr. 1 BDSG und die Regelung zur Hinzuspeicherung in 28 Absatz 3 Satz 3 BDSG. EINZELFRAGEN Welche Daten dürfen hinzugespeichert werden? Die Hinzuspeicherung betrifft nach dem Willen des Gesetzgebers insbesondere Selektionskriterien, die eine gezieltere Ansprache der Bestandskunden ermöglichen. So kann hier für Werbezwecke beispielsweise die Information verwendet werden, für welche Produkte der Kunde sich bisher interessiert hat. Dürfen -Adressen und Telefonnummern hinzugespeichert werden? Die Hinzuspeicherung von -Adressen oder Telefonnummern ist zulässig, wenn sie beispielsweise für die Zuordnung der Responses erforderlich sind. Zum Zwecke der Ansprache der betroffenen Personen dürfen sie aber nur gespeichert werden, wenn für die Versendung von -Werbung eine Einwilligung der betroffenen Person vorliegt. Bei der Telefonnummer muss zwischen B2C und B2B unterschieden werden. Im B2C- Bereich ist die Speicherung der Telefonnummer zum Zwecke von Werbeanrufen grundsätzlich unzulässig, im B2B-Bereich kann sie aber zulässig sein, wenn eine mutmaßliche Einwilligung vorliegt. Die genauen Anforderungen ergeben sich aus dem UWG, die im Best Practice Guide UWG beschrieben sind. Darf auch Werbung für fremde Angebote versendet werden? Dies richtet sich nicht nach der Ausnahme für Bestandskunden, ist aber unter den Ausnahmen der B2B-Werbung (1.1.3), Spendenwerbung (1.1.4), transparenten Übermittlung (1.1.5) und transparenten Nutzung (1.1.6) zulässig. Hierfür können auch Daten von Bestandskunden oder Interessenten verwendet werden ALLGEMEIN ZUGÄNGLICHE VERZEICHNISSE Allgemein zugängliche Verzeichnisse Beworbener Listendaten Werbung für eigene Angebote Hinzuspeicherung Unternehmen 6

9 Werbung für eigene Angebote darf an Adressen aus allgemein zugänglichen Verzeichnissen verschickt werden. Etwas versteckt findet sich die Erlaubnis in der Bestandskundenregelung. Allgemein zugängliche Verzeichnisse bieten wegen dieser Erlaubnis eine interessante Quelle für die Gewinnung von Adressen. Wie bei Adressdaten von Bestandskunden und Interessenten ist die Hinzuspeicherung von Daten erlaubt. Es gibt in der Praxis zahlreiche allgemein zugängliche Verzeichnisse, aus denen Adressdaten entnommen werden können. Sie können vom Staat oder von privaten Anbietern herausgegeben sein. Hierzu gehören beispielsweise Adressdaten aus: Adressverzeichnissen, Rufnummernverzeichnissen oder Branchenverzeichnissen. Die Regelung zu Daten aus allgemein zugänglichen Verzeichnissen findet sich in 28 Absatz 3 Satz 2 Nr. 1 BDSG und die Regelung zur Hinzuspeicherung in 28 Absatz 3 Satz 3 BDSG. EINZELFRAGEN Ist das Internet ein allgemein zugängliches Verzeichnis? Das Internet ist nicht als solches ein allgemein zugängliches Verzeichnis. Deshalb ist zweifelhaft, ob die Impressumangaben auf Webseiten aus einem Verzeichnis stammen. Solche Impressumsangaben auf Webseiten sollten deshalb nicht unter der Ausnahme für öffentliche Verzeichnisse zu Werbezwecken verarbeitet werden. Was gilt für zugangsbeschränkte Verzeichnisse im Internet? Verzeichnisse sind nur dann allgemein zugänglich, wenn sie ohne besondere Zugangsbeschränkungen im Internet veröffentlicht werden. So ist beispielsweise ein im Internet veröffentlichtes Verzeichnis von Vereinsmitgliedern ein allgemein zugängliches Verzeichnis, es sei denn, es ist nur den Vereinsmitgliedern selbst zugänglich. Müssen Urheberrechte an den Verzeichnissen beachtet werden? Wer Daten aus allgemein zugänglichen Verzeichnissen entnehmen will, muss die Urheberrechte der Herausgeber wahren. Außerdem enthalten die Nutzungsbedingungen (beispielsweise von Social Media-Diensten) Einschränkungen hinsichtlich der Verwendung von Daten aus den Verzeichnissen. Häufig können die Adressdaten aber entgeltlich von den Herausgebern mit den erforderlichen Nutzungsrechten erworben werden GESCHÄFTLICHE WERBUNG (B2B) Beworbener B2B-Werbung an berufliche Anschrift Listendaten Unternehmen 7

10 Werbung für eigene oder fremde Angebote darf im Hinblick auf die berufliche Tätigkeit einer Person an ihre berufliche Anschrift gesendet werden. Der Name des Ansprechpartners darf in der Anschrift stehen (beispielsweise Herr Ingo Müller, Leiter Einkauf ). Außerdem dürfen die Listendaten mit der Angabe zu einer Personengruppe (beispielsweise Käufer von Baumaschinen ) verbunden werden. Über die Listendaten hinaus ist die Hinzuspeicherung weiterer Daten zum Ansprechpartner nicht ausdrücklich erlaubt. Dies ist erstaunlich, denn die Schutzwürdigkeit von B2B-Daten wird als gering angesehen. Ungeklärt ist bisher, ob es sich um ein gesetzgeberisches Versehen handelt. Selbst wenn die B2B-Ausnahme tatsächlich auf Listendaten beschränkt ist, können Daten zum Unternehmen hinzugespeichert werden, die sich nicht auf konkrete Personen beziehen. Auf diese Weise lassen sich in jedem Fall sinnvolle Selektionskriterien hinzuspeichern. Wenn ein geschäftlicher Kontakt zum Bestandskunden wird oder die Adressdaten aus einem allgemein zugänglichen Verzeichnis stammen, dann greifen die schon beschriebenen Ausnahmen (Ziffern oder 1.1.2), die eine Hinzuspeicherung weiterer Daten erlauben. Auch die transparente Nutzung (Ziffer 1.1.6) lässt sich im geschäftlichen Bereich als Erlaubnis verwenden. Sie ist hinsichtlich der Selektionskriterien ebenfalls nicht auf Listendaten beschränkt. Bei B2B-Daten ist weiterhin zu beachten, dass reine Firmenangaben ohne Ansprechpartner und ohne Bezug zur Person des Eigentümers (beispielsweise Schreinerei GmbH, aber nicht Ortwin Müller Schreinerei) nicht unter das Bundesdatenschutzgesetz fallen. Das gilt auch für die Telefon- und Faxnummern der Zentrale sowie für allgemeine - Adressen (beispielsweise info@xy-schraubenfabrik.de). Auch diese Daten dürfen hinzugespeichert werden. Bei der elektronischen Ansprache sind aber die im Best Practice Guide UWG beschriebenen Grenzen zu beachten, so dass bei Faxwerbung immer und bei Telefon- und -Werbung meistens eine Einwilligung erforderlich ist. Die Regelung zu geschäftlichen Kontakten (B2B) findet sich in 28 Absatz 3 Satz 2 Nr. 2 BDSG. EINZELFRAGEN Dürfen Daten aus dem Internet für B2B-Werbung verwendet werden? Gerade im B2B-Bereich bietet sich das Internet als wertvolle Quelle für Adressen an. Wie bereits erwähnt, dürfen Adressen aus allgemein zugänglichen Verzeichnissen verwendet und weitere Daten hinzugespeichert werden. Die B2B-Ausnahme geht jedoch noch weiter, denn wenn es sich bei der Webseite um eine gewerbliche Unternehmenswebseite handelt, dann können Listendaten aus den Impressumsdaten erhoben werden. Der Nachteil der B2BAusnahme besteht dann aber darin, dass vermutlich keine Hinzuspeicherung weiterer personenbezogener Daten erfolgen darf. Dadurch entsteht eine sehr feine Differenzierung: B2B-Daten aus allgemein zugänglichen Verzeichnissen dürfen durch weitere Daten ergänzt werden. B2B-Daten aus allgemein zugänglichen Quellen, die keine Verzeichnisse sind, müssen auf Listendaten beschränkt bleiben. Es dürfte fraglich sein, ob der Gesetzgeber dies tatsächlich so regeln wollte. Insofern ist auch vertretbar, dass die fehlende Erlaubnis zur Hinzuspeicherung ein gesetzgeberisches Versehen ist. Die Datenschutzaufsichtsbehörden sehen dies jedoch anders. 8

11 Muss in der Werbung die Herkunft der Adresse genannt werden? Wenn Listendaten für B2B-Werbung übermittelt oder vermietet werden, kann dies auf Grund der B2B-Ausnahme erfolgen. Im B2B-Bereich finden deshalb die Ausnahmen zur transparenten Übermittlung (siehe Ziffer 1.1.5) keine praktische Anwendung. Dennoch fordern die Datenschutzaufsichtsbehörden in ihren Anwendungshinweisen, dass bei der Übermittlung von Listendaten im B2B-Bereich wie bei der transparenten Übermittlung die Herkunft der Daten im Werbeschreiben genannt wird. Aus Sicht des DDV fordert der Gesetzgeber dies nicht. Die B2B-Werbung wird hier aus guten Gründen weniger streng als die sensitivere B2C-Werbung behandelt. Auf Anfrage muss dem Betroffenen aber die Herkunft genannt werden SPENDENWERBUNG Listendaten Beworbener Spendenwerbung Spenderorganisation Steuerbegünstigte Organisationen dürfen Adressen für Spendenwerbung verwenden. Neben den Listendaten dürfen keine weiteren Daten hinzugespeichert werden. Die Erlaubnis gilt auch für die Spendenwerbung durch gemeinnützige politische Parteien. Eine Ausnahme für Wahlwerbung ist jedoch nicht vorgesehen. Hierfür können die Parteien allenfalls auf Privilegien im Melderecht zurückgreifen, die jedoch keine sinnvolle Adressenselektion erlauben. Die Regelung zu Spendenwerbung findet sich in 28 Absatz 3 Satz 2 Nr. 3 BDSG EINZELFRAGEN Dürfen Adressen potentieller Spender aus dem Internet erhoben werden? Grundsätzlich ja. Es können auch Adressdaten aus Impressumsangaben privater Webseiten erhoben werden. Auch hier wäre die Erhebung jedoch auf Listendaten zu beschränken. Ist in der Spendenwerbung die Herkunft der Adressdaten zu nennen? Wie bei der Übermittlung von B2B-Daten fordern die Datenschutzaufsichtsbehörden in ihren Anwendungshinweisen, dass die Herkunft der Daten im Werbeschreiben genannt wird. Der Gesetzgeber wollte den Austausch von Listendaten zu Zwecken der Spendenwerbung jedoch nicht mit zusätzlichen Transparenzpflichten belasten. Aus Sicht des DDV besteht deshalb bei der Übermittlung von Listendaten unter der Ausnahme für Spendenwerbung kein besonderes Transparenzerfordernis hinsichtlich der Herkunft der Daten. Auf Anfrage muss dem Betroffenen aber die Herkunft genannt werden. 9

12 1.1.5 TRANSPARENTE ÜBERMITTLUNG Beworbener Werbung mit Angabe der erstmalig erhebenden Stelle Listendaten Unternehmen Werbung für eigene oder fremde Angebote darf an Adressen gesendet werden, die dem Werbungtreibenden listenmäßig zusammen mit der Angabe zu einer Personengruppe übermittelt wurden. Eine Übermittlung liegt beispielsweise vor, wenn ein Versandhändler einem anderen Versandhändler Adressdaten über Personen verkauft, die bereits im Versandhandel bestellt haben (Personengruppe Versandhandelskunden ). Diese Art der Übermittlung ist von der Nutzung der Adressdaten eines Listeigners für eine Werbeaussendung im klassischen Listbroking zu unterscheiden, denn hier kommt es datenschutzrechtlich nicht zu einer Übermittlung ( siehe Ziffer 1.1.6). Die übermittelten Adressdaten dürfen die Angabe zu einer Personengruppe und das Geburtsjahr enthalten (Listendaten). Wenn die Übermittlung der Listendaten auf Grundlage dieser Erlaubnis erfolgt, dann ist die ursprüngliche Adressquelle in der Werbung zu nennen. Deshalb wird sie auch als Erlaubnis zur transparenten Übermittlung bezeichnet. Mit der Adressquelle ist beispielsweise ein Unternehmen A gemeint, das die Adressdaten ursprünglich von der beworbenen Person erhoben hat und dann zu Zwecken der Werbung an das Unternehmen B übermittelt. Wenn das Unternehmen A die Adressdaten an das Unternehmen B weitergibt, dann muss das Unternehmen B später in seiner Werbung auf das Unternehmen A hinweisen ( siehe zu den Informationspflichten im Werbeschreiben die Beispiele in Ziffer 2.2). Die Regelung zur transparenten Übermittlung findet sich in 28 Absatz 3 Satz 4 BDSG. Die Protokollierung ist in 34 Absatz 1a BDSG geregelt. EINZELFRAGEN Welche Details sind hinsichtlich der Quelle der Daten zu nennen? Die Stelle, die die Daten erstmals erhoben hat, soll eindeutig aus der Werbung hervorgehen. Bei größeren Unternehmen ist häufig schon die Angabe von Name und Ort eindeutig. Bei kleineren Unternehmen sollten Postleitzahl und Straße mit angegeben werden. Die Datenschutzaufsichtsbehörden fordern in ihren Anwendungshinweisen die Angabe einer ladungsfähigen Anschrift. Im Bundesdatenschutzgesetz findet sich diese Anforderung jedoch nicht. Entscheidend ist, dass die Angabe der Herkunft eindeutig ist. 10 Wer ist die Quelle der Adressdaten, wenn die Adresse mehrfach übermittelt wird? Sollte sich die Übermittlungskette über mehrere Unternehmen erstrecken, dann ist immer das Unternehmen zu nennen, das den letzten von der betroffenen Person ausgehenden Kunden oder Interessentenkontakt hatte. Wenn also beispielsweise ein Unternehmen in der Kette wieder eine Bestellung erhält, dann wird es selbst zur Quelle der Adressdaten. Hierzu ein Beispiel: Das Unternehmen B, das die Adressdaten vom Unternehmen A erhalten hat, gewinnt den Beworbenen als eigenen Kunden. Wenn das Unternehmen B dann die Daten an das Unternehmen C übermittelt, dann muss das Unternehmen C in seiner Werbung das Unternehmen B nennen.

13 Muss die Übermittlung der Adressdaten protokolliert werden? Wenn eine transparente Übermittlung erfolgt, dann ist diese für zwei Jahre zu protokollieren, um der beworbenen Person hierüber nachträglich Auskunft geben zu können. Die Protokollierungspflicht besteht sowohl für den Übermittler als auch für den Empfänger der Adressdaten. Sie kann aber auch durch einen Dienstleister für beide Seiten im Auftrag erfolgen. Ist Freundschaftswerbung zulässig? Die Datenschutzaufsichtsbehörden halten Freundschaftswerbung grundsätzlich für unzulässig. Da Unternehmen anderen Unternehmen Listendaten zu Werbezwecken übermitteln dürfen, sollte dies aber auch für private Personen gelten. In entsprechender Anwendung der Ausnahme zur transparenten Nutzung ist dann aber die übermittelnde Person als Herkunftsangabe zu nennen. Für Freundschaftswerbung per gelten strengere Voraussetzungen. Jedermann darf zwar einem Freund einen Hinweis auf andere Produkte senden. Ein Unternehmen darf dies aber nicht. Wenn ein Internetdienst die Möglichkeit bietet, die -Adresse eines Freundes zur Bewerbung einzugeben, damit dann das Unternehmen Werbung per schicken darf, ist dies nach UWG unzulässig. Anders könnte es aber sein, wenn der Internetdienst nur die technische Möglichkeit bietet, eine mit Hinweisen auf Produkte des Internetdienstes zu verschicken. Die muss dann den Absender der empfehlenden Person tragen. Außerdem muss für die empfehlende Person transparent sein, welche Nachricht er an seinen Freund schickt. In der Rechtsprechung sind die genauen Voraussetzungen jedoch noch nicht vollständig geklärt TRANSPARENTE NUTZUNG Werbetreibender Werbung Listeigner Daten Verarbeitung Beworbener Werbung für fremde Angebote mit Angabe der verantwortlichen Stelle Werbung für fremde Angebote ist ebenfalls zulässig. Die Erlaubnis ermöglicht insbesondere Empfehlungs- und Beipackwerbung. Entscheidend ist, dass die für die Nutzung der Daten verantwortliche Stelle im Werbeschreiben eindeutig erkennbar ist. Sie muss dazu nicht im Briefkopf stehen. Die Erlaubnis gilt deshalb unabhängig davon, ob die Werbung auf dem Briefkopf des Listeigners oder des Werbungtreibenden erfolgt, solange die für die Nutzung verantwortliche Stelle eindeutig genannt wird. Damit erlaubt die Regelung insbesondere das klassische Listbroking, bei dem es zu einer Nutzung, aber nicht zu einer Übermittlung im datenschutzrechtlichen Sinne kommt. Wenn also ein Unternehmen die Versendung seiner Werbung an eine bestimmte Adressliste veranlasst und die Nutzung für diese Zwecke im Auftrag des Listeigners durch ein Rechenzentrum, einen Lettershop oder sonstige Dienstleister erfolgt, greift die Erlaubnis. Die Transparenz ist durch Nennung der verantwortlichen Stelle herzustellen. Da in der Werbung außerdem über die Werbewiderspruchsbelehrung zu informieren ist, lässt sich die Information über die verantwortliche Stelle mit der Information über das Widerspruchsrecht verbinden ( siehe Beispieltexte unter Ziffern 1.2 und 2.2). 11

14 Wenn die verantwortliche Stelle weitere Informationen hat, die eine Selektion der Daten ermöglichen, dann dürfen diese im Rahmen der transparenten Nutzung auch verwendet werden. So kann beispielsweise zu Selektionszwecken die Information darüber genutzt werden, welche verschiedenen Produkte ein Kunde bisher erworben hat. Die Regelung zur transparenten Nutzung findet sich in 28 Absatz 3 Satz 5 BDSG. EINZELFRAGEN Dürfen für die Selektion nur Listendaten verwendet werden? In dieser Frage unterscheidet sich die Erlaubnis zur transparenten Nutzung von der Erlaubnis zur transparenten Übermittlung, denn letztere ist auf Listendaten beschränkt. Grund für diese Differenzierung ist, dass der Werbungtreibende bei der transparenten Nutzung die Daten nicht erhält. Damit wird den schutzwürdigen Interessen der Betroffenen stärker Rechnung getragen. Der Werbungtreibende erfährt vom Beworbenen nur, wenn dieser auf die Werbung reagiert. Die Datenschutzaufsichtsbehörden vertreten in ihren Anwendungshinweisen die Ansicht, dass der mutmaßliche Wille des Gesetzgebers ein anderer gewesen sei. Sie fordern deshalb auch, die Ausnahme zur transparenten Nutzung auf Listendaten zu beschränken. Nach Ansicht des DDV war dies nicht der Wille des Gesetzgebers und ist zum Schutz der betroffenen Personen auch nicht geboten. Welche Details sind zur verantwortlichen Stelle zu nennen? Ebenso wie bei der transparenten Übermittlung wird vom Gesetz gefordert, dass die verantwortliche Stelle eindeutig erkennbar ist ( siehe Ziffer / Einzelfragen). 1.2 DAS WIDERSPRUCHSRECHT DER BEWORBENEN PERSON Wenn eine beworbene Person der Verwendung ihrer Daten zu Werbezwecken widerspricht, dann ist der Widerspruch strikt zu beachten. Niemandem darf Werbung gegen seinen Willen gesendet werden. Die Selbstbestimmung der betroffenen Person ist in diesem Fall vorrangig. Auf das Widerspruchsrecht ist die beworbene Person in jedem Werbeschreiben hinzu weisen. Außerdem muss ein Kunde bei einem Vertragsschluss oder bei der Be gründung eines rechtsgeschäftsähnlichen Schuldverhältnisses den Hinweis erhalten ( siehe Ziffer 2.2). Wenn der Werbungtreibende den Widerspruch einer betroffenen Person erhält, dann kommt es für die notwendige Reaktion auf den genauen Willen der betroffenen Person an. Die Variationen der Eingaben von Verbrauchern sind unbegrenzt. Teilweise ist der tatsächliche Wille durch Auslegung zu ermitteln. Variante 1: Ich möchte von Ihnen keine Werbung erhalten. Der Widerspruch richtet sich an den Werbetreibenden. Um dem Willen der widersprechenden Person zu entsprechen, kann er die Adresse beispielsweise in eine interne Sperrliste aufnehmen. Die Führung einer solchen Sperrliste erfolgt im Interesse des Betroffenen. Er sollte über die Aufnahme in die Sperrliste informiert werden. Neue Werbeaussendungen des Werbetreibenden sind mit der Sperrliste abzugleichen. Wegen der bekannten und nicht zu verhindernden Unsicherheiten bei Adressabgleichen, lässt sich damit nicht immer eine erneute Werbeaussendung an die betroffene Person ver meiden. Vom Werbungtreibenden kann aber nicht mehr als die Anwendung der erforderlichen Sorgfalt erwartet werden. 12

15 Variante 2: Ich möchte keine Werbung von Firmen erhalten, mit denen ich nichts zu tun habe. Der Werbungtreibende kann die widersprechende Person auch hier in eine interne Sperrliste aufnehmen. Darüber hinaus wird empfohlen, dass der Adresseigner die Adressdaten nicht mehr Dritten zur Verfügung stellt. Die widersprechende Person sollte über die Aufnahme in die Sperrliste informiert werden. Variante 3: Bitte löschen Sie meine Daten. Häufig wird die Löschung der Daten gefordert, wenn keine Werbung erwünscht ist. Wenn der Betroffene ein solches Löschungsbegehren vorbringt, sollte darauf hingewiesen werden, dass eine dauerhafte Einstellung der Werbesendung nur bei einer Sperrung, nicht jedoch bei einer Löschung der Daten möglich ist und dass seine Daten deshalb in eine Sperrdatei aufgenommen werden. Zugleich ist er darauf hinzuweisen, dass er sich nochmals melden soll, wenn er gleichwohl eine vollständige Löschung, also auch aus der Sperrdatei, wünscht. Die Regelung zum Widerspruchsrecht findet sich in 28 Absatz 4 BDSG. 1.3 DIE EINWILLIGUNGSERKLÄRUNG Für postalische Werbung werden in der Regel keine Einwilligungen eingeholt. Die Anforderungen des Bundesdatenschutzgesetzes an eine wirksame Einwilligung sind auch nur schwer zu erfüllen. Dagegen sind Einwilligungen für elektronische Werbung üblich, da das UWG nur wenige Ausnahmen vom Einwilligungsvorbehalt enthält. Die Anforderungen werden im Best Practice Guide UWG beschrieben. Wie können Interessenten oder Kunden zur Abgabe einer Einwilligung bewegt werden? In der Begründung zum Gesetzentwurf der Datenschutznovelle 2009 wird klargestellt, dass Einwilligungen durch Gewährung von Vorteilen erlangt werden können. Der Gesetzgeber nennt hier ausdrücklich Kundenbindungsprogramme. In diesem Bereich lassen sich Einwilligungen tatsächlich mit entsprechenden Anreizen einholen, die aber auch nicht übertrieben werden dürfen. Neben den datenschutzrechtlichen Anforderungen gilt für formularmäßige Einwilligungserklärungen das Recht über allgemeine Geschäftsbedingungen. Das Bundesdatenschutzgesetz verlangt zusätzlich zu den geltenden Anforderungen, dass die schriftlich zusammen mit anderen Erklärungen abgegebene Einwilligung drucktechnisch deutlich gestaltet wird. Bereits nach den bisherigen Regelungen waren sie hervorzuheben. Bei der Gestaltung von Formularen bereitet dies häufig Schwierigkeiten, weil auch andere Elemente wegen gesetzlicher Vorgaben deutlich zu gestalten sind. In der Praxis finden sich Einwilligungserklärungen in der Regel auf den Formularen und nicht versteckt in den gegebenenfalls angehängten allgemeinen Geschäftsbedingungen. Sie werden außerdem durch Fettdruck oder Einrahmung hervorgehoben und stehen über dem Unterschriftsfeld. Wegen der UWG-Regelungen zur elektronischen Werbung ist die Einwilligung in Telefon-, Fax-, - und SMS-Werbung gesondert (beispielsweise durch Ankreuzen) zu erteilen. Besonders bei der Telefonwerbung ist zu bedenken, dass die Rechtsprechung weitreichende Einwilligungen häufig für unwirksam hält. Einwilligungen zur Erlaubnis der Nutzung zu Werbezwecken bedürfen weiterhin grundsätzlich der Schriftform (Unterschrift), soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Dies kann beispielsweise im Internet oder bei telefonischen Kontakten der Fall sein. Fehlt es deshalb an einer Unterschrift, dann muss eine schriftliche Bestätigung durch das Unternehmen erfolgen. 13

16 Die allgemeine Regelung zur Einwilligung findet sich in 4a BDSG und die werbespezifischen in 28 Absatz 3a und b BDSG. EINZELFRAGEN Muss die schriftliche Bestätigung von der betroffenen Person gegengezeichnet werden? Die schriftliche Bestätigung erfordert keine Antwort der Person, die eine Einwilligung mündlich oder elektronisch abgegeben hat. Die Bestätigung dient der einwilligenden Person allein zur Dokumentation der Einwilligung. Wenn man sicher beweisen will, dass diese Information auch angekommen ist, dann kann man sich das bestätigen lassen. Die gesetzliche Verpflichtung zur Zusendung einer Bestätigung ist aber bereits durch die Zusendung der Bestätigung an die einwilligende Person erfolgt. Muss die Bestätigung per Post erfolgen? Wenn eine Einwilligung per Telefon eingeholt wird, muss die Bestätigung schriftlich erfolgen. In Übereinstimmung mit den Datenschutzaufsichtsbehörden ist der DDV der Ansicht, dass eine solche schriftliche Bestätigung auch per erfolgen kann. Dies gilt auch bei Einwilligungen, die über andere elektronische Medien abgegeben werden. Gilt die Bestätigungspflicht auch für UWG-Einwilligungen? Diese Pflicht zur Bestätigung gilt nur für datenschutzrechtliche Einwilligungen, die angesichts der Ausnahmen vom Einwilligungsvorbehalt nicht immer erforderlich sind. Wenn also beispielsweise ein Bestandskunde ein Unternehmen anruft und bei dieser Gelegenheit eine Einwilligung für einen eigenen Werbeanruf zu eigenen Angeboten eingeholt wird, dann bedarf es nur einer Einwilligung in die Telefonwerbung nach dem UWG. Hierfür ist eine schriftliche Bestätigung durch das Unternehmen nicht erforderlich, weil die datenschutzrechtliche Nutzung durch die Erlaubnis für Bestandskunden gedeckt ist ( siehe Ziffer 1.1.1). Darf die Einwilligung zur Bedingung zum Vertragsschluss gemacht werden? Grundsätzlich gilt für Werbeeinwilligungen ein Kopplungsverbot ( 28 Absatz 3b BDSG). Vertragsschlüsse dürfen danach nicht von Einwilligungen in die Verwendung der Daten zu Werbezwecken abhängig gemacht werden. Dies gilt aber nur, wenn der betroffenen Person ein anderer Zugang zu gleichwertigen vertraglichen Leistungen ohne die Einwilligung nicht oder nicht in zumutbarer Weise möglich ist. Damit soll vor allem verhindert werden, dass marktbeherrschende Unternehmen (beispielsweise ein Stromversorger) ihre Leistungen von einer Einwilligung abhängig machen. Eine vergleichbare Regelung besteht bereits für Vertragsschlüsse im Internet und wird im Best Practice Guide Datenschutz im Internet beschrieben. 1.4 DIE VERARBEITUNGSGRUNDSÄTZE Der Grundsatz der Datenvermeidung und -sparsamkeit gilt nicht nur für die Gestaltung von Datenverarbeitungssystemen, sondern für jede Verwendung von Daten. Auf eine mögliche Anonymisierung und Pseudonymisierung darf verzichtet werden, wenn sie einen unverhältnismäßigen Aufwand verursacht. Dies bedeutet jedoch nicht, dass personenbezogene Daten, die für die Aufgabenerfüllung erforderlich sind, nicht erhoben, verarbeitet oder genutzt werden dürfen. Die Verarbeitungsgrundsätze sind sehr allgemeine Zielsetzungen. Der Grundsatz der Datensparsamkeit greift beispielsweise bei Bestandskundendaten, wenn der Kontakt nicht mehr sinnvoll verwendbar ist und die Daten keinen Aufbewahrungspflichten unterliegen. Sie sind dann zu löschen. Die Regelung zu den Verarbeitungsgrundsätzen findet sich in 3a BDSG. 14

17 1.5 DIE ADRESSAKTUALISIERUNG Unrichtige Adressdaten sind zu berichtigen. Die Verpflichtung ergibt sich aus den allgemeinen Grundsätzen des Datenschutzrechts. Dabei gibt das Gesetz nicht vor, ob, auf welche Weise und in welchen zeitlichen Abständen eine Überprüfung der Adressdaten stattzufinden hat. Die spezifischen Regelungen zur Werbung finden keine Anwendung, wenn die Aktualisierung nicht zu Werbezwecken erfolgt. Selbst wenn sie Werbezwecken dient, können beispielsweise Daten aus allgemein zugänglichen Verzeichnissen verwendet werden. Urheberrechtliche Beschränkungen sind zu beachten, wenn Adressaktualisierungen aus geschützten Verzeichnissen entnommen werden. Es gibt aber zahlreiche Dienstleister, die regelmäßige Aktualisierung und Validierung von Adressdaten rechtmäßig anbieten. Die Regelung zur Berichtigungspflicht findet sich in 35 Absatz 1 Satz 1 BDSG. 1.6 DER KONZERN Das Datenschutzrecht sieht keine Vereinfachung für Konzerngesellschaften vor. Jede Gesellschaft ist datenschutzrechtlich als separate Einheit zu betrachten. Um konzernübergreifende Customer Relationship Management- (CRM-)Systeme zu betreiben und Daten hieraus für Werbezwecke verwenden zu können, müssen die verfügbaren Ausnahmen vom Einwilligungsvorbehalt genutzt oder Konzerneinwilligungen eingeholt werden. Die Erlaubnisse geben den Handlungsspielraum für konzernweite CRM-Systeme vor. Dabei ist aber zu beachten, dass CRM-Systeme vordringlich nicht Werbezwecken dienen und damit unter allgemeine Rechtsgrundlagen wie die allgemeinen Interessenabwägungsklauseln fallen können. Für die Verwendung zu Werbezwecken stehen die Ausnahmen zur Übermittlung an Dritte und zur Nutzung für fremde Angebote zur Verfügung. So können Listendaten unter der Erlaubnis für transparente Übermittlungen ( siehe Ziffer 1.1.5) zwischen Konzernunternehmen ausgetauscht werden. Unter der Erlaubnis für transparente Nutzung ( siehe Ziffer 1.1.6) können Konzernunternehmen gegenseitig Empfehlungswerbung betreiben oder Werbung unter dem Briefkopf einer anderen Gesellschaft versenden. Wichtig ist nur, dass wie bei konzernfremden Unternehmen die gesetzlich geforderte Transparenz gewahrt wird. 1.7 DAS WERBESCORING Das Bundesdatenschutzgesetz enthält eine Reihe von Vorschriften zu Kreditauskünften und Scoring. Insbesondere das so genannte Geo-Scoring auf der Basis mikrogeographischer Daten wird beschränkt. Hiervon nicht erfasst ist das Scoring für die Auswahl von Adressdaten für Werbezwecke, wenn mit der Werbung kein unmittelbar verbindliches Vertragsangebot verbunden ist. Da in Deutschland Werbung in der Regel kein unmittelbar annehmbares Vertragsangebot enthält (sondern nur eine so genannte invitatio ad offerendum ), stellt sich das Problem meist nicht. Die Regelungen zur Kreditauskünften und Scoring finden sich in 28a und b und 29 Absätze 6 und 7 BDSG. 1.8 DIE MARKT- UND MEINUNGSFORSCHUNG Die Zulässigkeit der Verwendung von personenbezogenen Daten für Markt- und Meinungsforschung richtet sich nach einer Abwägung der Interessen. Die Daten dürfen aber nur für das Forschungsvorhaben verwendet werden, für das sie erhoben wurden. 15

18 Ansonsten sind sie für die weitere Verwendung zu anonymisieren. Eine Ausnahme greift nur für Daten aus allgemein zugänglichen Quellen oder Daten, die veröffentlicht werden dürfen. Ansonsten sind bei der Markt- und Meinungsforschung die Grenzen des UWG zu beachten, denn Kunden- oder Interessentenbefragungen können Werbecharakter haben. Dies wird beispielsweise bei Kundenzufriedenheitsbefragungen teilweise von Gerichten angenommen. Die Regelung zur Markt- und Meinungsforschung findet sich in 30a BDSG. 1.9 DIE GESCHÄFTSMÄSSIGEN ANBIETER Die Tätigkeit geschäftsmäßiger Anbieter wird in einer eigenen Vorschrift des Bundesdatenschutzgesetzes geregelt. Die Speicherung oder Übermittlung durch geschäftsmäßige Anbieter ist zulässig, wenn die schutzwürdigen Interessen der betroffenen Personen gewahrt bleiben. Einen allgemeinen Einwilligungsvorbehalt kennt die Vorschrift nicht. Sie verweist aber auf 28 Absatz 3 BDSG, das heißt der geschäftsmäßige Anbieter darf seine Daten nur insoweit zu Zwecken der Werbung übermitteln, wie der Empfänger der Daten diese zulässig weiterverwenden darf. Die Regelung zu geschäftsmäßigen Anbietern findet sich in 29 BDSG. 2. TRANSPARENZ VERSTÄNDLICH HERSTELLEN 2.1 DIE ALLGEMEINEN INFORMATIONSPFLICHTEN Das Bundesdatenschutzgesetz enthält allgemeine Informationspflichten für die Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten. Die Informationspflichten gelten für drei Fallgruppen: Im Falle der Erhebung bei der betroffenen Person ( 4 Abs. 3 BDSG). Bei der erstmaligen Speicherung zu eigenen Zwecken ohne Kenntnis der betroffenen Person ( 33 Abs. 1 Satz 1 BDSG). Bei der erstmaligen geschäftsmäßigen Übermittlung ohne Kenntnis der betroffenen Person ( 33 Abs. 1 Satz 2 BDSG). Hinsichtlich des Inhaltes der Informationsverpflichtung unterscheiden sich die einzelnen Fallgruppen nicht. Zu informieren ist jeweils über die Identität der verantwortlichen Stelle, die Zweckbestimmung der Erhebung, Verarbeitung oder Nutzung und die Kategorien von Empfängern, soweit der Betroffene nach den Umständen des Einzelfalles nicht mit der Übermittlung an diese rechnen muss. Nach dem Gesetzeswortlaut ist die Information über die Identität der verantwortlichen Stelle zwingend. In den Formulierungsvorschlägen wird darauf verzichtet, da die verantwortliche Stelle in der Regel aus dem Briefkopf, den Vertragspartnerangaben, dem Impressum oder den verwendeten allgemeinen Geschäftsbedingungen hervorgeht. 16

19 Eine Doppelinformation erscheint auch nicht erforderlich, wenn diese Informationen in direktem Zusammenhang mit der Information über das Widerspruchsrecht dem Betroffenen zugänglich sind. Das ist dann der Fall, wenn die verantwortliche Stelle im Rahmen der transparenten Nutzung angegeben wird ERHEBUNG BEIM BETROFFENEN BEISPIEL: Ein Autovermieter speichert seine Kundendaten zur Abwicklung von Vermietungen und zu eigenen Werbezwecken. Außerdem plant er, Dritten die Nutzung der Daten für Werbezwecke zu ermöglichen, ohne sie an diese zu übermitteln (transparente Nutzung). Formulierungsvorschlag: Wir erheben und verarbeiten Ihre Daten zur Durchführung des Vertrages, zur Pflege der laufenden Kundenbeziehung und um Ihnen Informationen über unsere aktuellen Angebote und Preise zuzusenden. Darüber hinaus ermöglichen wir ausgewählten Unternehmen und Institutionen, Ihnen im Rahmen der werblichen Ansprache Informationen und Angebote zukommen zu lassen. Bei der technischen Durchführung der Verarbeitung der Daten bedienen wir uns teilweise externer Dienstleister. Wenn Sie künftig keine Informationen und Angebote mehr erhalten wollen, können Sie bei uns der Verwendung Ihrer Daten für unsere eigenen oder fremde Werbezwecke jederzeit widersprechen. EINZELFRAGEN Wann muss informiert werden? Das Bundesdatenschutzgesetz enthält sich genauer Vorgaben hinsichtlich des Zeitpunktes der Information. Es verlangt nicht ausdrücklich, dass vor der Erhebung informiert wird. Dies wäre in der Praxis in Einzelfällen auch kaum durchführbar (beispielsweise Fernseh-, Plakat- oder Couponwerbung, in der eine Kontaktadresse angegeben wird). Die Informationspflicht knüpft aber an den Erhebungsvorgang an und sollte deshalb im unmittelbaren Zusammenhang mit der Erhebung erfolgen. Auf das Werbewiderspruchsrecht ist bei Begründung des Schuldverhältnisses oder des rechtsgeschäftsähnlichen Schuldverhältnisses hinzuweisen, also beispielsweise bei der Annahme einer Bestellung ( 28 Absatz 4 Satz 2 BDSG). Welche Information muss über die Empfänger der Daten gegeben werden? Es ist über die Kategorien von Empfängern zu informieren, an die zulässigerweise Daten übermittelt werden. Die Vorschrift enthält zwei wichtige Details: Erstens sind nicht konkrete Empfänger, sondern nur Kategorien von Empfängern zu nennen. Zweitens erübrigt sich die Information, wenn der Betroffene mit entsprechenden Übermittlungen rechnen muss. Wann ist auf die Freiwilligkeit der Angaben hinzuweisen? Das Bundesdatenschutzgesetz sieht eine Hinweispflicht auf die Freiwilligkeit der Angabe von Informationen vor ( 4 Absatz 3 Satz 2 BDSG). Wenn beispielsweise ein Versandhändler Daten eines Kunden im Zusammenhang mit einer Bestellung erhebt, die er nicht zwingend für den Abschluss und die Durchführung des konkreten Vertrags benötigt, sondern beispielsweise für künftige Werbung erhebt, dann muss er auf die Freiwilligkeit der Angaben hinweisen. 17

20 2.1.2 ERSTMALIGE SPEICHERUNG ZU EIGENEN ZWECKEN OHNE KENNTNIS DER BETROFFENEN PERSON BEISPIEL: Ein Versandhändler erwirbt Listendaten über Personen, die an bestimmten Sportartikeln interessiert sind. Die Adressdaten werden vom Versandhändler in die Marketingdatenbank eingepflegt und für Werbung genutzt. Der Versandhändler ermöglicht auch anderen Unternehmen, diese Daten im Rahmen einer transparenten Nutzung für Werbezwecke zu verwenden. Formulierungsvorschlag: Die XY GmbH speichert Ihre Adressdaten für eigene Werbezwecke und ermöglicht ausgewählten Unternehmen und Institutionen, Ihnen im Rahmen der werblichen Ansprache Informationen und Angebote zukommen zu lassen. Bei der technischen Durchführung der Datenverarbeitung bedienen wir uns teilweise externer Dienstleister. EINZELFRAGEN Zu welchem Zeitpunkt hat die Information zu erfolgen? Auch hierzu findet sich im Bundesdatenschutzgesetz keine Vorgabe. Die Information sollte aber zeitnah zur erstmaligen Speicherung erfolgen. Wann ist die Information entbehrlich? Die Information ist nicht erforderlich, wenn der Betroffene auf andere Weise Kenntnis von der Speicherung erlangt hat. Spätestens mit dem Empfang der ersten Werbung erfährt die beworbene Person, dass der Versandhändler seine Adressdaten für eigene Werbezwecke verwendet. Eine weitere Ausnahme besteht, wenn die Daten aus allgemein zugänglichen Quellen (insbesondere aus allgemein zugänglichen Verzeichnissen) entnommen sind und eine Benachrichtigung wegen der Vielzahl der betroffenen Fälle unverhältnismäßig wäre. Wann muss über die Herkunft der Daten informiert werden? Wenn die Übermittlung der Daten unter der Ausnahme für transparente Übermittlungen erfolgt, muss das Werbeschreiben die Information enthalten. Außerdem ist auf Anfrage der betroffenen Person über die Herkunft der Daten zu informieren. Ein Hinweis auf dieses Auskunftsrecht muss nicht erfolgen. In den Verträgen zwischen Listeignern, Brokern und Werbungtreibenden sollte geregelt werden, wie den Widersprüchen und Auskunftsbegehren in der Praxis nachzukommen ist ERSTMALIGE GESCHÄFTSMÄSSIGE ÜBERMITTLUNG OHNE KENNTNIS DES BETROFFENEN BEISPIEL: Ein Dialogmarketingunternehmen erwirbt Listendaten über Personen, die in der Vergangenheit Gartenmessen besucht haben. Die Daten sollen geschäftsmäßig an Hersteller von Gartenartikeln übermittelt werden. Formulierungsvorschlag: Die XY GmbH speichert Ihre Adressdaten, um sie ausgewählten Unternehmen und Institutionen verschiedenster Branchen zur Verfügung zu stellen, damit diese Ihnen im Rahmen der werblichen Ansprache Informationen und Angebote zukommen lassen können. 18