Direktwerbung, Datenschutz und die Aufsichtsbehörden…

Was ergibt sich aus der Orientierungshilfe der Aufsichtsbehörden zur Direktwerbung?

Vergangenen Monat hat die deutsche Datenschutzkonferenz (DSK), der Zusammenschluss der deutschen Datenschutzaufsichtsbehörden, wieder einmal ein neues Papier zu Fragen der Datenschutz-Grundverordnung (DSGVO) veröffentlicht. Dieses trägt den Titel: „Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung unter Geltung der Datenschutz-Grundverordnung (DS-GVO)“. Die 14-Seitige Orientierungshilfe befasst sich inhaltlich mit den verschiedenen Facetten des (Online-)Marketings und den datenschutzrechtlichen Voraussetzungen, unter denen dieses zulässig sein soll. Dabei geht die DSK u.a. auf das Verhältnis des Gesetzes gegen unlauteren Wettbewerb (UWG) und der DSGVO ein, was zu Rechtsunsicherheit führt. Diese, sowie eine Reihe weiterer Ausführungen der DSK werden im Folgenden einmal genauer unter die Lupe genommen werden.

Profiling nur mit Einwilligung

Profiling bzw. die Profilerstellung ist im (Online-) Marketing gängige Praxis, um das Verhalten von Kunden  zu dokumentieren, zu analysieren und aufgrund der gewonnen Erkenntnisse effizient Werbung ausspielen zu können. Nicht verwunderlich ist es daher, dass sich auch zum Thema Profiling Regelungen in der DSGVO wieder finden. Art. 4 Nr. 4 DSGVO definiert Profiling als

„jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen“.

Ob und wie personenbezogene Daten zu Zwecken des Profilings erhoben und genutzt werden dürfen, unterliegt den normalen Vorschriften für die Verarbeitung personenbezogener Daten (siehe Erwägungsgrund (72) S. 1 DSGVO). Dem Grundsatz des Verbortsprinzips nach bedeutet dies, dass es eine taugliche Erlaubnisgrundalge bedarf, welche eine Verarbeitung personenbezogener Daten zum Zwecke des Profilings rechtfertigt. Als taugliche Rechtsgrundlagen kommen die berechtigen Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO) sowie die Einwilligung der Betroffenen Person (Art. 6 Abs. 1 S. 1 lit. a DSGVO) sowie in Betracht.

Der Orientierungshilfe der DSK nach bedarf es für

Eingriffsintensivere Maßnahmen wie automatisierte Selektionsverfahren zur Erstellung detaillierter Profile, Verhaltensprognosen bzw. Analysen, die zu zusätzlichen Erkenntnissen führen […] die Einholung einer Einwilligung […].“

Das Abstellen von Profiling-Maßnahmen auf berechtigte Interessen hingegen wird nicht als zulässig erachtet. Als Begründung führt die DSK die überwiegenden Interessen der Betroffenen am Ausschluss der Datenverarbeitung an, dies selbst bei einfachstem Profiling. Eine konkrete Unterscheidung von Profiling-Maßnahmen und deren „Eingriffsintensität“ erfolgt nicht. Zudem wird das Widerspruchsrecht nach Art. 21 DSGO – welches jedem Betroffenen zusteht, dessen Daten auf Grundlage berechtigter Interessen verarbeitet werden – als nicht ausreichend angesehen. Die strenge Auslegung der DSK führt im Ergebnis dazu, dass zukünftig jedwedes Profiling ausschließlich aufgrund einer vorab erteilten Einwilligung zulässig ist.

Hier stellt sich die berechtigte Frage vieler Unternehmen und Online-Marketing-Experten, ob dies tatsächlich so sein kann, da es im Online-Marketing bislang gängige Praxis war, einen Großteil der Profiling-Maßnahmen auf die berechtigten Interessen zu stützen.

Gegen die strenge Auslegung der DSK spricht allerdings der Wortlaut des Widerspruchsrechts gem. Art. 21 Abs. 1 und 2 DSGVO selbst. Dort heißt es in Abs. 1 S. 1:

Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Artikel 6 Absatz 1 Buchstaben e oder f erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling.“

Art. 21 Abs. 2 DSGVO konkretisiert dieses Widerspruchsrecht sogar noch einmal wie folgt:

Werden personenbezogene Daten verarbeitet, um Direktwerbung zu betreiben, so hat die betroffene Person das Recht, jederzeit Widerspruch gegen die Verarbeitung sie betreffender personenbezogener Daten zum Zwecke derartiger Werbung einzulegen; dies gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht.

Der Gesetzeswortlaut geht davon aus, dass es Fälle gibt in denen ein Profiling – welches explizit in Verbindung zur Direktwerbung steht – auf berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO) gestützt werden kann. Der restriktiven Auslegung der DSK nach, läuft das Widerspruchsrecht des Art. 21 DSGVO im Falle des Profilings zum Zwecke der Direktwerbung ins leere, das keinen Fall gibt, in eine solche Verarbeitung auf das berechtigte Interesse gestützt werden kann. Dies führt zu Rechtsunsicherheit.

Dies wiederum steht ebenfalls im Widerspruch zu Erwägungsgrund (47) S. 7 DSGVO. Dort heißt es:

„Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.“

Insbesondere im Online-Marketing ist der Direktwerbung fast immer auch ein irgend geartetes Profiling vorgeschaltet. Die logische Konsequenz ist – dies ergibt sich dann auch aus dem Widerspruchsrecht nach Art. 21 Abs. 2 DSGVO – dass es in jedem Fall Konstellationen entgegen der Meinung der DSK gibt, in denen Profiling-Maßnahmen, welche zum Zwecke der Direktwerbung durchgeführt werden, auf berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO) gestützt werden können. Zu diesem Umstand äußert sich die DSK leider nicht.

Das nicht jede Profiling-Maßnahme auf die berechtigten Interessen gestützt werden kann, da die Rechtmäßigkeit anhand einer Interessenabwägung und der Erforderlichkeit und letztlich an der „Eingriffsintensität“ der Verarbeitung bestimmt werden muss, ist unstreitig. Das hingegen jedes Profiling eine solche „Eingriffsintensität“ besitzt, die eine Rechtfertigung über berechtigte Interessen unmöglich machen, ist eine Behauptung der Behörden, die sich nicht halten lässt.

Transparente Information kann die vernünftigen Erwartungen formen

Erfreulicher ist da schon die Ausführung zu den vernünftigen Erwartungen der Betroffenen, welche im Rahmen der Verarbeitung auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO) und somit im Rahmen der Interessenabwägung eine wichtige Rolle spielen (siehe Erwägungsgrund (47) S. 1, 3 und 4 DSGVO). Bisher strittig war, inwiefern sich die Erwartungshaltung der Betroffenen durch die umfangreichen Informationspflichten aus Art. 13 bzw. 14 DSGVO „formen“ lassen. Hierzu führt die DSK folgendes aus:

„Die Erwartungen der betroffenen Person werden bei Maßnahmen zur Direktwerbung auch durch die Informationen nach Art. 13 und 14 DS-GVO zu den Zwecken der Datenverarbeitung bestimmt. Informiert der Verantwortliche transparent und umfassend über eine vorgesehene Verarbeitung von Daten für Zwecke der Direktwerbung, geht die Erwartung der betroffenen Personen in aller Regel auch dahin, dass ihre Kundendaten entsprechend genutzt werden. Allerdings kann durch Transparenz der gesetzliche Abwägungstatbestand nach Art. 6 Abs. 1 Satz 1 lit. f DS-GVO nicht beliebig erweitert werden, da die Erwartungen an dem objektiven Maßstab der Vernunft gemessen werden müssen.“

Diese Auslegung hilft ungemein dabei, die sonst rein subjektive und rechtsunsichere Handhabung mit den vernünftigen Erwartungen in der Praxis anwendbar zu machen. Zudem wird man dies als Argumentationsgrundlage, für ein auf berechtigte Interessen gestütztes Profiling, nutzen können. Insofern steht diese Auslegung auch im Widerspruch zu dem von der DSK propagierten zwingenden Einwilligungserfordernisses zur Durchführung von Profiling-Maßnahmen.

UWG-widrige Werbung kann datenschutzrechtlich nicht gerechtfertigt werden

Zum Verhältnis zwischen dem UWG und der DSGVO herrschte bislang weitgehend Einigkeit, dass Wettbewerbsrecht und Datenschutzrecht nebeneinander gelten. Demnach bedarf es aus wettbewerbsrechtlicher Sicht für Werbung per E-Mail oder Telefon grundsätzlich einer ausdrücklichen Einwilligung (§ 7 Abs. 2 Nr. 2 und 3 DSGVO). Neben den Anforderungen des § 7 UWG ist die Verarbeitung der Kontaktadresse (E-Mail-Adresse bzw. Telefonnummer) des betroffenen zum Zwecke der Direktwerbung nach den datenschutzrechtlichen Grundsätze zu rechtfertigen. So kann es sein, dass eine für eine Marketingmaßname nach den wettbewerbsrechtlichen Anforderungen des § 7 UWG einer ausdrücklichen Einwilligung bedarf, wohingegen die Verarbeitung der Kontaktdaten zum Zwecke der Direktwerbung datenschutzrechtlich auf berechtigte Interessen gem. Art. 6 Abs. 1 S. 1 lit. f DSGVO abgestellt werde kann (siehe Erwägungsgrund (72) S. 7 DSGVO). Entgegen dieser Ansicht, führt die DSK in ihrer Handlungsempfehlung folgendes aus:

Weil Art. 6 Abs. 1 Satz 1 lit. f DS-GVO eine Verarbeitung personenbezogener Daten nur für zulässig erklärt, soweit die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen, sind auch bei der datenschutzrechtlichen Beurteilung einer Verarbeitung personenbezogener Daten für Zwecke der Direktwerbung die Wertungen in den Schutzvorschriften des UWG für die jeweilige Werbeform mit zu berücksichtigen. Wenn für den werbenden Verantwortlichen ein bestimmter Kontaktweg zu einer betroffenen Person danach nicht erlaubt ist, kann die Interessenabwägung nach Art. 6 Abs. 1 Satz 1 lit. f DS-GVO auch nicht zugunsten der Zulässigkeit einer Verarbeitung dieser Kontaktdaten für Zwecke der Direktwerbung ausfallen.“

Weiter führt die DSK aus:

Für Anrufe bei Verbrauchern zu Zwecken der Direktwerbung sieht das UWG (§ 7 Abs. 2 Nr. 2) keine Ausnahme vom Einwilligungserfordernis vor, so dass ein solches Nutzen von Telefonnummern ohne vorherige Einwilligung wegen der besonderen Auswirkungen dieser Werbeform (stärkere Belästigung/Störung) datenschutzrechtlich an den überwiegenden schutzwürdigen Interessen der betroffenen Personen gemäß Art. 6 Abs. 1 Satz 1 lit. f DS-GVO scheitert.“

Um das Verhältnis des UWG zur DSGVO (Achtung! nicht umgekehrt) verstehen zu können, muss der europarechtliche Ursprung des § 7 UWG berücksichtigt werden. Die Norm fußt auf der Regelung des Art. 13 der Cookie-Richtlinie (RL 2002/58/EG) der den Titel „Unerbetene Nachrichten“ trägt. Diese Regelung dient nicht primär dem Schutz personenbezogener Daten, sondern dem Schutz der Privatsphäre vor Verletzungen durch unerbetene Nachrichten für Zwecke der Direktwerbung. Dabei soll Art. 13 RL 2002/58/EG für die Direktwerbung einen europarechtlichen Regelungsrahmen für Unternehmen schaffen (vgl. Erwägungsgrund (40) und (41) RL 2002/58/EG). Ebenfalls zu berücksichtigen ist, dass lediglich die elektronische Werbung im B2C-Bereich (E-Mail, SMS, Fax) sowie die Bestandskundenwerbung im B2C- und B2B-Bereich durch Art. 13 RL 2002/58/EG vollharmonisiert sind und den Mitgliedsstaaten keinen (großen) Spielraum in der Umsetzung lassen. Alle anderen Vorschriften des Art. 13 RL 2002/58/EG zur Direktwerbung sind nicht vollharmonisiert und durch die Mitgliedsstaaten unterschiedlich umgesetzt worden.

Folgt man nun der Auffassung der DSK, ein Verstoß gegen § 7 UWG führe im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 S. 1 lit f DSGVO immer unweigerlich zu einem überwiegenden Interesse der Betroffenen, hätte dies folgende Konsequenzen:

Das undifferenzierte Hineinlesen der wettbewerbsrechtlichen Regelungen des § 7 UWG in den datenschutzrechtlichen Erlaubnistatbestand des Art. 6 Abs. 1 S. 1 lit. f DSGVO führt zur Unterschiedlichen Auslegung der DSGVO. Unternehmen in Deutschland müssten bei einem UWG-Verstoß befürchten für die Verarbeitung von personenbezogenen Kontaktdaten zum Zwecke der Direktwerbung mit einem Bußgeld in Höhe von 20 Mio. Euro oder 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs bestraft zu werden. Für Unternehmen in anderen Mitgliedstaaten, die die nicht vollharmonisierten Regelungen des Art. 13 RL 2002/58/EG anders umgesetzt haben, stellt eine werbliche Ansprache hingegen erlaubt und somit auch datenschutzrechtlich mit den berechtigten Interessen (Art. 6 Abs. 1 S. 1 lit f DSGVO) zu rechtfertigen. Dies steht im Widerspruch zur unionsautonomen Auslegung der DSGVO. Die Rechtsprechung des EuGH ist dahingehend klar, dass europarechtliche Bestimmungen, die zur Ermittlung ihres Sinnes und ihrer Bedeutung nicht ausdrücklich auf das Recht der Mitgliedstaaten verweisen, in der Regel in der gesamten Europäischen Union eine autonome und einheitliche Auslegung erhalten müssen (vgl. EuGH, Urteil vom 27.1.2005 - C-188/03; EuGH, Urteil vom 13.5.2015 - C-182/13).

Auch steht die Auffassung der DSK, dass im Rahmen einer Interessenabwägung (nach Art. 6 Abs. 1 S. 1 lit. f DSGVO) die vernünftigen Erwartungen der Betroffenen durch eine transparente Information in Grenzen geformt werden können, entgegen der Auffassung, ein UWG-Verstoß führe unweigerlich zu überwiegenden Interessen der Betroffenen. Hierzu weicht die Orientierungshilfe der DSK die vorher strikte Behauptung, ein UWG-Verstoß führe immer zu überwiegenden Interessen der Betroffenen, wieder auf:

E-Mail-Adressen, die unmittelbar von den betroffenen Personen im Rahmen einer Geschäftsbeziehung (Bestandskunden) erhoben wurden, können grundsätzlich für E-Mail-Werbung genutzt werden, wenn dieser Zweck der E-Mail-Werbung entsprechend Art. 13 Abs. 1 lit c DS-GVO den betroffenen Personen bei der Datenerhebung transparent dargelegt worden ist. Überwiegende schutzwürdige Interessen der betroffenen Person nach Art. 6 Abs. 1 Satz 1 lit. f DS-GVO sind insbesondere dann nicht gegeben, wenn die in § 7 Abs. 3 UWG enthaltenen Vorgaben für elektronische Werbung eingehalten werden.“

Dem Wortlaut nach muss es also möglich sein, dass die Verarbeitung der E-Mail-Adresse zum Zwecke der Bestandskundenwerbung auf die berechtigen Interessen des Verantwortlichen gestützt werden können, obwohl möglicherweise ein Verstoß gegen die Vorgaben des § 7 Abs. 3 UWG vorliegt (z.B. ist die Voraussetzung der Ähnlichkeit des beworbenen Produkts nicht gegeben). Trotz UWG-Verstoß wird es den vernünftigen Erwartungen des betroffenen entsprechen, dass seine E-Mail-Adresse zum Zwecke der Bestandskundenwerbung genutzt wird.

Letztlich fehlt es den Ausführungen der DSK an einer ausführlichen dogmatischen Begründung, wieso die Schutzvorschriften des § 7 UWG, welche nach unionsautonomer Auslegung ohne jegliche Differenzierung, zu einem überwiegenden Schutzwürdigen Interesse der betroffenen Person führen sollen. Dies wiederum führt abermals zu Rechtsunsicherheit, sodass letztlich nur die Gerichte für Klarheit sorgen können.

Hat die Einwilligungserklärung ein Verfallsdatum?

Nicht nachvollziehbar ist die Stellungname zum Thema „Verfall von Einwilligungserklärungen. Hier führt die DSK aus:

„Die Zivilgerichte sehen bei erteilten Einwilligungen zur werblichen Kontaktaufnahme teilweise keine unbegrenzte Gültigkeit. So hat das LG München I mit Urteil vom 8. April 2010, Az. 17 HK O 138/10, entschieden, dass eine vor 17 Monaten erteilte und bisher nicht genutzte Einwilligung zur E-Mail-Werbung „ihre Aktualität verliert“ und deshalb insoweit keine rechtliche Grundlage mehr ist.“

Wieso die DSK hier nicht auf die jüngste Rechtsprechung des Bundesgerichtshofs vom 1.2.2018 eingeht, nach der § 7 Abs. 3 UWG eine zeitliche Begrenzung einer einmal erteilten Einwilligung nicht vorsieht, ist schleierhaft. Für einen Verfall der Einwilligung gibt es keinerlei Grundlage, weder nach UWG, noch nach der DSGVO. Einwilligungen erlöschen daher grundsätzlich nicht durch Zeitablauf.

Fazit

Die Orientierungshilfe der Datenschutzkonferenz zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung legt die Umsetzung der DSGVO nicht nur zum Nachteil des E-Mail-Marketings aus. Dies zeigen auch die bisherigen Stellungnahmen der Aufsichtsbehörden zum Direktmarketing. Trotz alledem fehlt den Stellungnahmen bei der Auslegung strittiger Themen oftmals an einer ordentlichen rechtlichen Begründung. Insofern sollten diese immer kritisch hinterfragt werden, da es sich letztlich um Behördenmeinungen handelt, die zutreffen können, aber nicht richtig sein müssen. Für eine Rechtsverbindliche Auslegung wird man auch hier abwarten müssen, bis der EuGH einen Sachverhalt entscheidet.

6. Dezember 2018