OH Werbung 2.0 – DSK veröffentlicht neue Orientierungshilfe zur Verarbeitung personenbezogener Daten für Direktwerbung

Die Ausführungen in dem 20 Seiten umfassenden Dokument entsprechen in weiten Teilen der bislang geltenden OH Werbung aus November 2018 („OH Werbung 2018“). Es geht u.a. um ausgewählte Fragen der Zulässigkeit der Datenverarbeitung zu Zwecken der Direktwerbung, den hiermit verbundenen Transparenzpflichten, Anforderungen an die Wirksamkeit einer Einwilligung und die Umsetzung von Werbewidersprüchen. Einleitend wird der Begriff der Direktwerbung definiert und klargestellt, dass die Orientierungshilfe allein „die Datenverarbeitung für Zwecke der „klassischen“ Direktwerbung“ behandelt, nicht aber das Thema Onlinewerbung.

Eine subjektive Auswahl der angesprochenen Themen:

• Abseits zwingender Einwilligungserfordernisse kann die Zulässigkeit der Datenverarbeitung zu Werbezwecken auf die allgemeine Interessenabwägungsklausel des Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO gestützt werden. Die DSK verweist hier auf Erwägungsgrund 47 DSGVO und das Abwägungskriterium der vernünftigen Erwartungshaltung aufseiten der betroffenen Person. Ob eine solche Erwartungshaltung vorläge, müsse anhand einer gemischt subjektiv-objektiven Betrachtung bestimmt werden. Anders als noch in der OH Werbung 2018 vertreten, könnten diese Erwartungen der betroffenen Person jedoch „nicht durch die nach der DS-GVO vorgesehenen Pflichtinformationen (Art. 13, 14 DS-GVO) erweitert werden.“ Die „ordnungsgemäße Erfüllung der Informationspflichten“ habe „keine Auswirkung auf die Abwägung der Interessen.“ Das kann man auch anders sehen.
• Werbeprofiling anhand eines Selektionsmerkmals („z. B. anhand Postleitzahlen oder Alphabet“ (sic!)) und „ohne zusätzlichen Erkenntnisgewinn“ soll in der Regel ohne die Einwilligung möglich sein. Ein klares Einwilligungserfordernis wird wiederum erst bei „eingriffsintensiveren Maßnahmen wie automatisierten Selektionsverfahren zur Erstellung detaillierter Profile, Verhaltensprognosen bzw. Analysen, die zu zusätzlichen Erkenntnissen fuhren“ gesehen. Der große, wirklich praxisrelevante Bereich zwischen diesen Polen, bleibt, wie auch schon in der OH Werbung 2018, unbeleuchtet.
• Zwischen UWG und DSGVO besteht eine Wechselwirkung dergestalt, dass im Falle zwingender Einwilligungserfordernisse nach Wettbewerbsrecht (§ 7 Abs. 2 UWG) auch die Datenverarbeitung nur auf Grundlage der Einwilligung zulässig ist. Diese Wechselwirkung besteht. Allerdings dürfen entgegen der DSK nicht die nationalen Normen des UWG zum Maßstab genommen werden, sondern allein die vollharmonisierend wirkenden Vorgaben von Art. 13 E-Privacy-Richtlinie, auf den § 7 UWG maßgeblich zurückgeht. Soweit Vorgaben von Art. 13 E-Privacy-Richtlinie nicht vollharmonisierend wirken, führte die Einbeziehung unterschiedlicher Umsetzungsrechtsakte der EU-Mitgliedstaaten in die datenschutzrechtliche Prüfung zu einer uneinheitlichen Auslegung der DSGVO. Der vollharmonisierende Ansatz der DSGVO wäre in diesem Bereich bloße Makulatur.
• Die erforderliche Transparenz kann im Wege der sog. gestuften Informationsvermittlung hergestellt werden. Gerade bei kleinteiligen Werbemitteln (z. B. Postkarten, Coupons) oder telefonischer Kommunikation ist diese Lösung oft ohne Alternative.
• Die Dokumentation, wie die erforderliche Transparenz hergestellt wurde, kann z. B. im Online-Umfeld durch „eine Dokumentation des konkreten technischen Verfahrens zur Unterrichtung betroffener Personen, einschließlich der bereitgestellten Inhalte, sichergestellt werden.“ Für den Nachweis einer Einwilligung in Werbung ist es erforderlich, „dass der Verantwortliche die konkrete Einverständniserklärung jeder einzelnen betroffenen Person vollständig dokumentiert.“ Das ist nicht neu. Unternehmen, die Telefonwerbung betreiben, sollten hier ergänzend § 7a UWG in den Blick nehmen. Bei E-Mail-Werbung soll auch nach der DSK das Double-Opt-in Verfahren zur Anwendung kommen.
• Nicht mehr aufrechterhalten wird das Mantra der zeitlichen Verwirkung der legitimierenden Wirkung einer vormals erteilten Einwilligung. Anders als noch in der OH Werbung 2018 nimmt die DSK zu dieser Frage nunmehr eine differenzierende Position ein. Ob eine Einwilligung nur begrenzt gültig sein oder eine unbegrenzte Geltungsdauer haben soll, sei einer Gesamtschau des Wortlauts und der begleitenden Umstände der Erteilung der Einwilligung zu entnehmen. So ist es.

Im Vergleich zu der bislang gültigen OH Werbung 2018 finden sich in der aktualisierten Handreichung neben viel Altbekanntem also auch Ausführungen, bei denen ein neuer Zungenschlag der DSK sichtbar wird. Der wesentlichste Unterschied zwischen beiden Dokumenten liegt aber darin, dass die aktualisierte OH Werbung keine Ausführungen zur Zulässigkeit der Datenverarbeitung für Werbezwecke Dritter enthält. Ausdrücklich thematisiere die Orientierungshilfe „nicht das Thema Adresshandel, da hierzu gesonderte Beratungen erfolgen werden.“ Dass Verarbeitungen, die nach dem Recht des BDSG a.F. als transparente Übermittlung bekannt waren, auch unter der DSGVO weiterhin zulässig sein können, war auf der Ebene der DSK bislang Konsens. Die Ausführungen hierzu in der OH Werbung 2018 sind an dieser Stelle eindeutig und wurden in der Folge durch einzelne Behörden ausdrücklich bestätigt (z. B. HessBfDI 47. TB, 4.7.3; NdsLfD 25. TB, S. 150). Andere Behörden fühlten sich an die eigens getroffenen Aussagen in der OH Werbung 2018 nicht gebunden (z. B. LfDI BW 34. TB, 9.2; BlnBDI Jahresbericht 2019, 1.3.) und leiteten Verwaltungs- und Sanktionsverfahren ein. Dass die Zulässigkeit der Datennutzung zu Werbezwecken Dritter die DSK umtreibt, wissen wir bereits seit Vorlage des Erfahrungsberichts der DSK zur Anwendung der DS-GVO vom November 2019 (vgl. dort Schwerpunktthema Nr. 7). Dies gilt übrigens auch für die kontrovers diskutierte Frage, ob bei Datenverarbeitungen zu Werbezwecken Dritter das werbende Unternehmen und der Adresseigner als gemeinsam Verantwortliche im Sinne von Artt. 4 Nr. 7, 26 DSGVO eingeordnet werden müssen.

Ob und wenn ja, wie sich die DSK zu diesen Fragen letztlich positionieren wird, bleibt abzuwarten. Eine undifferenzierte Betrachtung von Formen der transparenten Nutzung einerseits und dem klassischen Adresshandel andererseits würde den Vorgaben der DSGVO dabei gewiss nicht gerecht.