Der Handel mit Adressdaten lässt regelmäßig die unterschiedlichsten Interessen kollidieren – auf der einen Seite stehen werbende Unternehmen, auf der anderen werbemüde Privatpersonen. Unternehmen versuchen auf verschiedenen Wegen, ihre Kampagnen mit möglichst wenig Streuung direkt an interessierte Personen zu schicken. Wichtig ist dabei zu wissen, was in diesem Bereich datenschutzrechtlich erlaubt ist und welche Regeln beim Adresshandel einzuhalten sind.
Dem einen nützlich, dem anderen lästig – Adresshändler
Adresshändler spielen in der Werbewelt eine nicht zu unterschätzende Rolle. Oft versorgen sie interessierte Unternehmen mit den Adressen von potentiell an den Produkten des Unternehmens interessierten Kunden. So haben Adresshändler oftmals nicht bloß gut vorsortierte Datenbanken voller Adressen von kaufwilligen Verbrauchern im Angebot, sondern liefern weitere besondere Daten gleich mit: so sind die Adressdaten nicht selten mit den (wahrscheinlichen) Interessen einer Privatpersonen verknüpft, so dass ein Unternehmen gezielt die Adressdaten von Personen kaufen kann, die aller Wahrscheinlichkeit nach ein höheres Interesse an den eigenen Produkten haben als der allgemeine Durchschnittskunde auf der Straße.
Fraglich ist allerdings, wo hierfür die rechtlichen Grenzen sind. Was darf ein Unternehmen tun, was ist verboten und welche rechtlichen Bestimmungen sind einzuhalten? Die IT-Recht Kanzlei klärt auf.
Das Bundesdatenschutzgesetz (BDSG)
Im Zentrum der Diskussion steht das Bundesdatenschutzgesetz. Darin ist geregelt, wer, wann, welche Daten erheben, speichern, verarbeiten und übermitteln darf. Bevor man allerdings in die einzelnen Regelungen des Bundesdatenschutzgesetzes schaut, muss geklärt werden, ob das Gesetz überhaupt auf den privaten Adresshandel anwendbar ist, denn das Gesetz gilt an für sich nur für sog. personenbezogene Daten.
Nach § 1 II Nr. 3 BDSG gilt das Gesetz
für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch nicht-öffentliche Stellen, soweit sie die Daten unter Einsatz von Datenverarbeitungsanlagen verarbeiten, nutzen oder dafür erheben oder die Daten in oder aus nicht automatisierten Dateien verarbeiten, nutzen oder dafür erheben, es sei denn, die Erhebung, Verarbeitung oder Nutzung der Daten erfolgt ausschließlich für persönliche oder familiäre Tätigkeiten.
Somit müsste es sich bei Unternehmern, die im Rahmen des Adresshandels Adressen kaufen oder verkaufen um derartige nicht-öffentlichen Stellen handeln. Darüber hinaus müssten Adressen bzw. Adressdaten personenbezogene Daten im Sinne dieses Gesetzes sein.
Nach § 2 IV BDSG sind nicht-öffentliche Stellen natürliche und juristische Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts. Unternehmen, die Adressdatenhandel betreiben, fallen hierunter.
Nach § 3 I BDSG sind personenbezogene Daten Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener). Adressen gehören hier selbstverständlich dazu.
Somit ist das BDSG mit seinen Datenschutzbestimmungen auf den Adresshandel anwendbar und die entsprechenden Vorschriften sind einzuhalten.
Zulässigkeit der Datenerhebung und Datennutzung
Nach § 4 I BDSG ist die Erhebung, Verarbeitung und Nutzung personenbezogener Daten nur zulässig, soweit dieses Gesetz oder eine andere Rechtsvorschrift dies erlaubt oder anordnet oder der Betroffene eingewilligt hat.
Somit müsste jeder Betroffene in die genaue Verwendung seiner Daten einwilligen oder das BDSG (oder ein anderes Gesetz) müsste das Erheben und Verwenden der Daten auch ohne eine solche Einwilligung gestatten.
Die grundsätzlichen Anforderungen an eine wirksame Einwilligung sind in § 4a BDSG geregelt. Demzufolge hat die Einwilligung in aller Regel schriftlich zu erfolgen.
Allerdings hat es in der Vergangenheit bereits viele verschiedene, teilweise widersprüchliche Gerichtsentscheidungen diesbezüglich gegeben. Während manche Gerichte der Auffassung sind, dass es für eine wirksame Einwilligung genügt, dass Betroffene dazu aufgefordert werden, entsprechende Textpassagen zu streichen (Beispiel „Ich willige ein, dass meine Adressdaten… – Bitte Unzutreffendes streichen“), fordern andere Gerichte, dass die Einwilligung tatsächlich ausdrücklich erfolgt (Beispiel: „Ich willige in die Verwendung…ein – Bitte kreuzen Sie entsprechend an“).
In jedem Fall sollte aus der jeweiligen Aufforderung zur Einwilligung in die Datenverwendung hinreichend klar und bestimmt hervorgehen, was genau mit welchen personenbezogenen Daten geschehen soll, so dass der Betroffene überblicken kann, auf was er sich einlässt.
Wie § 4 I BDSG bestimmt, ist die Erhebung, Verarbeitung und Nutzung personenbezogener Daten jedoch auch ohne Einwilligung des Betroffenen erlaubt, wenn es gesetzliche Bestimmungen – insbesondere im BDSG – gibt, die dies ausdrücklich gestatten. Gerade dies dürfte für Adresshändler von besonderem Interesse sein.
Zu beachten ist weiterhin unbedingt, dass die personenbezogenen Daten grundsätzlich beim Betroffenen zu erheben sind (§ 4 II BDSG) und der Betroffene in diesem Zusammenhang über die Identität desjenigen informiert werden muss, der die Daten erhebt und verarbeitet (§ 4 III BDSG). Zudem muss der Betroffene über die Zweckbestimmung der Erhebung, Verarbeitung und Nutzung informiert werden.
Die Verwendung personenbezogener Daten ohne Einwilligung des Betroffenen
Der Umgang mit personenbezogenen Daten durch nicht-öffentliche Stellen, d.h. nicht durch Behörden, ist insbesondere in § 28 und § 29 BDSG geregelt.
In § 28 BDSG ist geregelt, dass
das Erheben, Speichern, Verändern und Übermitteln personenbezogener Daten oder ihre Nutzung als Mittel für die Erfüllung eigener Geschäftszwecke zulässig ist,
– wenn es der Zweckbestimmung eines Vertragsverhältnisses oder vertragsähnlichen Vertrauensverhältnisses mit dem Betroffenen dient,
– soweit es zur Wahrung berechtigter Interessen der verantwortlichen Stelle erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung oder Nutzung überwiegt, oder
– wenn die Daten allgemein zugänglich sind oder die verantwortliche Stelle sie veröffentlichen dürfte, es sei denn, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung oder Nutzung gegenüber dem berechtigten Interesse der verantwortlichen Stelle offensichtlich überwiegt.
Dies bedeutet, dass personenbezogene Daten von Unternehmen grundsätzlich verwendet und genutzt werden dürfen, um die Geschäftsbeziehung mit dem Kunden abwickeln zu können. Ein einfaches Beispiel ist die Versandabwicklung im Online-Versandhandel. So dürfen die entsprechenden Adressdaten selbstverständlich an die Versandstelle eines Unternehmens weitergegeben werden, damit die Bestellung des Kunden versandt werden kann.
Rechtliche Unwägbarkeiten können sich insbesondere aus der Formulierung ergeben, dass schutzwürdige Interessen des Betroffenen nicht entgegenstehen dürfen. Daraus kann im Einzelfall folgen, dass die entsprechende Verwendung der Daten doch nicht erlaubt ist. Zu beachten ist auch § 28 Satz 2 BDSG, wonach
bei der Erhebung personenbezogener Daten die Zwecke, für die die Daten verarbeitet oder genutzt werden sollen, konkret festzulegen sind.
Adresshandel ohne Einwilligung – insbesondere Werbung
Die Zulässigkeit der Verwendung und Weitergabe personenbezogener Daten im Rahmen von Werbung und Markt- und Meinungsforschung richtet sich insbesondere nach § 28 III NR. 3 BDSG. Demnach ist die Nutzung und Übermittlung, also somit auch die Weitergabe, personenbezogener Daten auch zulässig,
für Zwecke der Werbung, der Markt- und Meinungsforschung, wenn es sich um listenmäßig oder sonst zusammengefasste Daten über Angehörige einer Personengruppe handelt, die sich auf
– eine Angabe über die Zugehörigkeit des Betroffenen zu dieser Personengruppe,
– Berufs-, Branchen- oder Geschäftsbezeichnung,
– Namen,
– Titel,
– akademische Grade,
– Anschrift und
– Geburtsjahr
beschränken und kein Grund zu der Annahme besteht, dass der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Übermittlung oder Nutzung hat
Unbedingt zu beachten ist jedoch, dass der Betroffene der Verwendung seiner Daten widersprechen kann (§ 28 IV BDSG). Tut er dies, so dürfen seine Daten nicht genutzt oder weitergegeben werden, obwohl es nach § 28 III BDSG grundsätzlich erlaubt wäre. Im Übrigen muss der Betroffene bei der Ansprache zum Zweck der Werbung oder der Markt- oder Meinungsforschung über das Widerspruchsrecht informiert werden (so § 28 IV Satz 2 BDSG).
Werden die Daten an Dritte übermittelt – etwa wenn ein Versandhandelsunternehmen seine Kundendaten an einen Adresshändler verkauft oder wenn ein Adresshändler die Daten weiterverkauft – so dürfen diese Daten nur für den Zweck verarbeitet oder genutzt werden, zu dessen Erfüllung sie ihm übermittelt worden sind, es sei denn es liegt eine Ausnahme vor, die in § 28 II oder § 28 III BDSG (siehe oben) geregelt ist (so § 28 V BDSG).
In § 29 BDSG werden besondere Anforderungen speziell für den Adresshandel aufgestellt. Dort heißt es in Absatz 1:
Das geschäftsmäßige Erheben, Speichern oder Verändern personenbezogener Daten zum Zweck der Übermittlung, insbesondere wenn dies der Werbung, der Tätigkeit von Auskunfteien, dem Adresshandel oder der Markt- und Meinungsforschung dient, ist zulässig, wenn
– kein Grund zu der Annahme besteht, dass der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Erhebung, Speicherung oder Veränderung hat, oder
– die Daten aus allgemein zugänglichen Quellen entnommen werden können oder die verantwortliche Stelle sie veröffentlichen dürfte, es sei denn, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Erhebung, Speicherung oder Veränderung offensichtlich überwiegt.
Hier taucht der Aspekt auf, dass die Daten womöglich nicht beim Betroffenen selbst erhoben werden, sondern aus anderen Quellen – wie etwa (elektronischen) Telefonbüchern / -verzeichnisses – stammen und anschließend verarbeitet werden. Ist dies der Fall, so dürfen die Daten ebenfalls verwendet werden, da es keinen Grund gibt, Adressen, deren Veröffentlichung in allgemein zugänglichen Verzeichnissen der Betroffene bereits zugestimmt hat, nicht verwenden zu dürfen.
Unter welchen Voraussetzungen die so erhobenen Adressdaten weitergegeben werden, ist in § 29 II BDSG geregelt. Dort heißt es:
Die Übermittlung (der Adressdaten) im Rahmen der Zwecke nach § 29 I BDSG ist zulässig, wenn
1:
– der Dritte, dem die Daten übermittelt werden, ein berechtigtes Interesse an ihrer Kenntnis glaubhaft dargelegt hat oder
– es sich um listenmäßig oder sonst zusammengefasste Daten nach § 28 Abs. 3 Nr. 3 handelt (siehe oben), die für Zwecke der Werbung oder der Markt- oder Meinungsforschung übermittelt werden sollen, und
2:
– kein Grund zu der Annahme besteht, dass der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Übermittlung hat.
Dieser Absatz regelt somit die konkreten Grenzen des Adresshandels.
Die ungefragte Weitergabe von Adressdaten – also ohne Einwilligung des Betroffenen – ist somit nur zulässig, wenn derjenige, der die Adressdaten erhält, ein berechtigtes Interesse an ihrer Kenntnis glaubhaft darlegen kann und insbesondere kein schutzwürdiges Interesse des Betroffenen am Ausschluss der Übermittlung besteht. Diese Voraussetzungen sind vom Gesetzgeber nicht besonders präzise formuliert worden und ermöglichen Gerichten, die entsprechende Fälle zu entscheiden haben, einen hinreichenden Spielraum, im Einzelfall zu entscheiden. Dies macht es jedoch schwierig, im Vorhinein zu beurteilen, was von Gerichten womöglich gerade noch als zulässig angesehen wird und was nicht.
Gerichtsentscheidungen lassen sich naturgemäß oft nicht präzise vorhersagen.
Schutzwürdige Interessen des Betroffenen
Sehr unbestimmt ist die Frage, was unter „schutzwürdige Interessen der Betroffenen“ zu verstehen ist. Immerhin bildet diese Formulierung die Grenze für die Weitergabe und den Weiterverkauf von Adressdaten, da sie die grundsätzliche gesetzliche Erlaubnis zur Datenerhebung und -verwendung in § 28 und § 29 BDSG immer wieder einschränkt. Relevante Gerichtsentscheidungen hat es hierzu – soweit ersichtlich – nicht gegeben, so dass nicht hinreichend klar ist, was man wirklich hierunter zu verstehen hat.
Rechtlich riskante und ungeklärte Aspekte
Wie sich gezeigt hat, legt das BDSG – insbesondere in § 28 III Nr. 3 – die Voraussetzungen fest, unter denen die Weitergabe bzw. der Weiterverkauf von Adressdaten auch ohne Einwilligung des Betroffenen erlaubt ist. Allerdings sind die einzelnen Voraussetzungen derart unbestimmt, dass man im Zweifelsfall nicht weiß, ob ein einzelner Sachverhalt nun zulässig oder unzulässig ist.
Wenn ein Unternehmen erst einmal Adressdatensätze gemäß den Vorschriften des BDSG legal erworben hat, so sind auch noch nicht alle rechtlichen Hindernisse beseitigt: problematisch ist dann möglicherweise immer noch das Wettbewerbsrecht (UWG = Gesetz gegen den unlauteren Wettbewerb), wonach beispielsweise unaufgeforderte Werbeanrufe, zu denen der Betroffene nicht ausdrücklich eingewilligt hat, unzulässig sind und von Mitbewerbern abgemahnt werden können.
Wie dünn die Grenzlinie zwischen Zulässigkeit und Unzulässigkeit im Datenschutzrecht generell verläuft, zeigt ein Fall, über den das OLG Köln am 14.12.2007 (Az. 6 U 121/07) entschieden hat. Dort wurde u.a. darum gestritten, ob es zulässig ist, dass das relativ bekannte Rabattprogramm „Happy Digits“ auch das Geburtsdatum des Kunden erfasst. Der Kläger war der Auffassung, dass dies gegen § 28 I Nr. 1 BDSG verstößt, wonach die Erhebung personenbezogener Daten (nur) zulässig ist, wenn dies „der Zweckbestimmung eines Vertragsverhältnisses…mit dem Betroffenen dient“. Dieser Definition ist nach Auffassung des Gerichts immanent, dass die Erhebung der Daten für die Durchführung erforderlich sein muss. Im Ergebnis war die Erhebung des Geburtstags als rechtlich unproblematisch vom Gericht für zulässig erklärt worden. Allerdings zeigt der Fall, dass generell Unsicherheit darüber herrscht, was zulässig ist und was nicht.
Zusammenfassung und Fazit
Das Datenschutzrecht ist eine komplexe Materie, die von den Gerichten in vielen Fällen noch nicht weiter präzisiert worden ist. Somit fehlt es oftmals an Richtwerten, die anzeigen, wie einzelne relativ weite Begriffe tatsächlich auszulegen sind.
Rechtlich am unproblematischsten ist es, wenn ein Unternehmen, das Adressen von Kunden weitergeben möchte, die Betroffenen um deren Einwilligung bittet. Dabei ist es wichtig, dass die Einwilligung klar, bestimmt und sehr präzise sein. Die sachliche Reichweite der Einwilligung muss aus dem entsprechenden Erklärungstext eindeutig hervorgehen. Denn der Betroffene soll genau wissen, was mit seiner Adresse geschieht. Entspricht die entsprechende Formulierung – die auch einen Hinweis auf das gesetzliche Widerrufsrecht des Betroffenen enthalten muss – nicht den gesetzlichen Anforderungen, so ist die Einwilligung nicht wirksam, was für die entsprechenden Unternehmen rechtliche Konsequenzen nach sich zieht.
Es geht aber auch ohne Einwilligung. Allerdings sollten dann die gesetzlichen Bestimmungen des Bundesdatenschutzgesetzes – insbesondere von § 28 und § 29 BDSG – eingehalten werden. Es sollte also stets darauf geachtet werden, dass die Voraussetzungen an die gesetzliche Erlaubnis der Erhebung und der Weitergabe der personenbezogenen Daten eingehalten werden. Das Gesetz ist dabei oft bewusst ungenau, um den Gerichten diesbezüglich genügend Spielraum im Streitfall zu geben. Die Kehrseite davon ist, dass man schwer einschätzen kann, ob beispielsweise „schutzwürdige Interessen des Betroffenen“ im konkreten Einzelfall überwiegen oder ob die Erhebung bzw. Weitergabe der Adressdaten an Dritte „soweit“ (in dem Umfang, in dem sie erfolgt) auch tatsächlich notwendig ist.
Bei Fragen zu diesem Thema wenden Sie sich bitte an:
Max-Lion Keller, it-recht-kanzlei.de
