Rechtsanwalt Ralf Rösler © Kanzlei Rösler Von Ralf Rösler
Nach der EU-Datenschutz-Grundverordnung (DS-GVO) wird das grundsätzliche datenschutzrechtliche Einwilligungserfordernis für Direktmarketing in § 28 (3) BDSG – mit Ausnahmen bei der postalischen Werbung, u.a. für Spendenmailings – am 25. Mai 2018 Geschichte sein. Die Vereinbarkeit dieses deutschen Sonderwegs mit der zugrundeliegenden EU-Richtlinie 2005/29/EG war ohnehin von Beginn an diskussionswürdig („Datenschutznovelle europarechtswidrig?“, Rösler in: ONEtoONE online 09.01.2009).
Interessenabwägung
Wie schon vor 2009 stellt die Erlaubnis zur Datenverarbeitung für Werbung künftig wieder das Ergebnis eines Abwägungsvorgangs zwischen den berechtigten Interessen des Verantwortlichen oder eines Dritten (z.B. Werbenden) und den schutzwürdigen Belangen des Betroffenen dar (Art. 6 (1) f) DS-GVO).
Erwägungsgrund (47) verweist darauf, wie eine solche Abwägung bei einer Werbenutzung vorgenommen werden könnte: Solange die schutzwürdigen Belange des Betroffenen im Einzelfall nicht überwiegen würden, sei Direktmarketing generell durch ein berechtigtes Interesse des Werbenden gerechtfertigt. Bei der Verarbeitung sensibler oder biometrischer Daten (Art. 9 (1) DS-GVO) bedarf es allerdings weiterhin einer Einwilligung (Art. 9 (2) a) DS-GVO), sofern der Betroffene die Daten nicht selbst offensichtlich öffentlich gemacht hat (Art. 9 (2) e) DS-GVO). Damit gilt nach der DS-GVO statt des grundsätzlichen Opt-In Prinzips wieder eine Opt-Out Regelung, jetzt allerdings über die Verwendung von Listendaten hinaus, so dass auch Telefonwerbung und E-Mail-Marketing grundsätzlich zulässig wären.
Widerspruchsrecht
Mit der grundsätzlichen Erlaubnis zur Werbung korrespondiert ein Widerspruchsrecht des Betroffenen (Art. 21 (2) DS-GVO) und darauf bezogene Informationspflichten der verantwortlichen Stelle (Art. 12 bis 14 DS-GVO).
Der Betroffene hat auch ein Widerspruchsrecht gegenüber einem Profiling, welches mit einer Verarbeitung seiner Daten zum Zwecke der Direktwerbung in Verbindung steht (Art. 21 (2) DS-GVO). Das umfasst (interne) Selektionsmaßnahmen wie Werbescoring und Bildung von Zielgruppensegmenten.
Falls die Daten wie bei der Direktwerbung für eine Kommunikation mit dem Betroffenen verwendet werden sollen, genügt eine Information über das Widerspruchsrecht im Rahmen der ersten Werbemitteilung, also spätestens im Werbemailing (Art. 21 (4) DS-GVO). Der Hinweis soll nach Erwägungsgrund (70) in verständlicher Sprache und in von anderen Informationen getrennter Form erfolgen.
Einwilligung
Wenn kein sonstiger Erlaubnistatbestand vorliegt, kann die Datenverarbeitung auch durch eine Einwilligung gerechtfertigt sein (Art. 6 (1) a) DS-GVO). Die Einholung eines Opt-Ins muss gut überlegt sein. Zum einen kann man eine verweigerte Einwilligung als Werbewiderspruch verstehen (Art. 21 (2) DS-GVO), zum anderen wird sich der Verantwortliche dann nur im Rahmen der Einwilligung bewegen können, wenn er nicht Gefahr laufen will, schutzwürdige Interessen des Betroffenen zu verletzen (Art. 6 (1) f) DS-GVO).
Damit eine Einwilligung (Opt-In) wirksam ist, sind die Voraussetzungen des Art. 7 DS-GVO und die Erwägungsgründe (32), (33), (42) und (43) zu beachten. Diese umfassen jedenfalls alle Anforderungen des aktuellen Rechts und der Rechtsprechung an eine „informierte Einwilligung“ und eine Transparenz. Die Einwilligung muss auch weiterhin für den konkreten Fall und in Kenntnis aller Verarbeitungsvorgänge und -zwecke abgegeben werden. Sie ist zwar formfrei möglich, dennoch sollte der Verantwortliche an seine Nachweispflicht (Art. 7 (1) DS-GVO) denken.
Der Betroffene muss eine „echte und freie Wahl“ haben. Damit sind die von der Rechtsprechung entwickelten Fallgruppen eines übermäßigen Anreizes für eine Datenpreisgabe oder des Ausnutzens geschäftlicher Unerfahrenheit weiter zu beachten.
Nach bisherigem Recht (BDSG und TMG) wirksam eingeholte Einwilligungen gelten auch unter der DS-GVO weiter, wenn „die Art der Einwilligung den Bedingungen der Verordnung entspricht“ (Erwägungsgrund (171) Satz 3), sie genießen Bestandsschutz. Nach dieser Einschränkung scheint es zu genügen, wenn die Alt-Einwilligung den materiellen Kernbestandteilen der DS-GVO (Freiwilligkeit, Information über wesentliche Umstände) entspricht, ohne dass damit alle Vorgaben der DS-GVO erfüllt sein müssten.
ePrivacy-VO
Während die endgültige Fassung der DS-GVO bereits vorliegt, wird die ePrivacy Richtlinie 2002/58/EG derzeit noch überarbeitet. Sie soll ebenfalls am 25. Mai 2018 als unmittelbar geltende „Verordnung über Privatsphäre und elektronische Kommunikation“ (ePrivacy-VO) in Kraft treten. Hierdurch könnten die in der DS-GVO angelegten Werbeerleichterungen erheblich an Bedeutung verlieren; sie würden letztlich nur noch für postalische Spendenwerbung gelten. Nachfolgende Ausführungen beziehen sich auf den aktuellen Entwurfsstand 10. Januar 2017.
Die ePrivacy-VO ist eine Spezialregelung (lex specialis) zur DS-GVO, welche sie im Bereich der Vertraulichkeit der Kommunikation präzisiert und ergänzt (Erwägungsgrund (5)). Die ePrivacy-VO genießt damit für alle Fragen der Verarbeitung personenbezogener Daten im Bereich der elektronischen Kommunikationsdienste (Art. 1 (1) ePrivacy-VO) Vorrang. Sie erfasst darüber hinaus nicht-personenbezogene Daten und Daten in Bezug auf juristische Personen (Art. 1 (2) ePrivacy-VO, Erwägungsgrund (3)). Die ePrivacy-VO erstreckt sich auch auf die Maschine-Maschine-Kommunikation im sogenannten Internet der Dinge (Erwägungsgrund (12)).
Die DS-GVO bleibt für die in der ePrivacy-VO nicht spezifisch geregelte Fälle als Auffangregelung für den Schutz personenbezogener Daten anwendbar. Der räumliche Anwendungsbereich ist der gleiche. Die ePrivacy-VO erfasst webgestützte E-Mail-Dienste, VoIP-Telefonie, Kurznachrichtendienste wie z.B. WhatsApp und Videotelefonie im Internet wie z.B. Skype, aber etwa auch den Einsatz von Cookies und Verfolgungstechniken (Tracking) durch Websitebetreiber und den Schutz von Informationen auf Endeinrichtungen der Nutzer (Art. 8 ePrivacy-VO, Erwägungsgrund 20).
Direktwerbung
Darüber hinaus enthält die ePrivacy-VO Vorschriften über den Schutz vor unerbetener Kommunikation. Das umfasst auch eine Direktwerbung per E-Mail oder Telefon (Art. 16 (1) ePrivacy-VO, Erwägungsgrund (8)). „Direktwerbung“ im Sinne der ePrivacy-VO bezeichnet nicht nur ein auf den Absatz von Waren oder Dienstleistungen bezogenes gewerbliches Handeln (Art. 4 (3) f) ePrivacy-VO), sondern auch Nachrichten von Organisationen ohne Erwerbszweck (NPO), welche die Zwecke ihrer Organisation fördern wollen, also Spendenwerbung (Erwägungsgrund (32)).
Anders als nach der DS-GVO darf ein Anbieter Kommunikationsdaten des Nutzers für eine Direktwerbung gegenüber natürlichen Personen nur bei einer vorherigen Einwilligung nutzen (Art. 16 (1) ePrivacy-VO, Erwägungsgrund 33)).
Eine Ausnahme gilt für eine E-Mail-Werbung unter folgenden Voraussetzungen (Art. 16 (2) ePrivacy-VO, Erwägungsgrund (33)): Der Werbende hat die E-Mail-Adresse vom Kunden im Zusammenhang mit dem Verkauf eines Produkts oder einer Dienstleistung erhalten, die E-Mail-Werbung erfolgt für eigene ähnliche Produkte oder Dienstleistungen, der Kunde wird bereits bei Erhebung der E-Mail-Adresse und in jedem Newsletter darauf hingewiesen, dass er einer werblichen Nutzung jederzeit widersprechen könne und der Kunde hat bisher nicht widersprochen.
Die Ausnahmeregelung in Art. 16 (2) ePrivacy-VO entspricht im Wesentlichen der aktuellen Rechtslage in § 7 (3) UWG. Sie ist für gemeinnützige Organisationen nicht von Bedeutung, da diese den Spendern keine Produkte oder Dienstleistungen verkaufen.
Art. 16 (4) mit Erwägungsgrund (36) der ePrivacy-VO enthalten eine Öffnungsklausel zu Art. 16 (1) ePrivacy-VO, die es den Mitgliedstaaten ermöglicht, für persönliche Direktwerbeanrufe (keine automatischen Anrufsysteme) gegenüber natürlichen Personen ein Opt-Out-System vorzusehen. Es ist fraglich, ob der deutsche Gesetzgeber hiervon Gebrauch machen wird.
Für unerbetene Kommunikation und damit auch für Direktmarketing mittels Direktwerbeanrufen und E-Mail-Marketing gegenüber juristischen Personen sieht Art. 16 (1) ePrivacy-VO kein Einwilligungserfordernis vor, stattdessen werden in Art. 16 (5) ePrivacy-VO die Mitgliedstaaten aufgefordert, im Rahmen des EU-Rechts für einen ausreichenden Schutz zu sorgen. Folglich könnte hierfür nach Art. 6 (1) 1 f) DS-GVO ein Opt-out-System gelten.
Allerdings formuliert Erwägungsgrund (33), dass es gerechtfertigt wäre, bei einer gewerblichen Direktwerbung nicht nur bei natürlichen Personen, sondern auch zum Schutze berechtigter Interessen juristischer Personen eine Einwilligung zu verlangen. Das widerspricht der in Art. 16 (1) ePrivacy-VO allein für natürliche Personen getroffenen Regelung. Dieser Widerspruch ist im weiteren Gesetzgebungsverfahren zu beseitigen.
Der Hinweis auf die „gewerbliche Direktwerbung“ im Erwägungsgrund (33) bietet zumindest Raum für eine Lobbyarbeit der Fundraisingverbände, um noch eine Verbesserung für Spendenwerbung zu erreichen.
Ausblick
Es bleibt spannend zu sehen, wie sich der Entwurf der ePrivacy-VO weiter entwickelt und ob er doch noch stärker der DS-GVO angeglichen wird. Sowohl DS-GVO als auch ePrivacy-VO sollen zwei Jahre nach Inkrafttreten von der Kommission bewertet werden. Dabei wird diese anhand der gewonnenen Erfahrungen auch prüfen, ob sich die ePrivacy-VO in die DS-GVO integrieren lässt (Begründung 5.2., Art. 28 ePrivacy-VO).
Der Autor Ralf Rösler ist Rechtsanwalt und Datenschutzbeauftragter. Kontakt: kanzlei@roesler.de