198
2.3. Datenverarbeitung auf gesetzlicher Rechtsgrundlage
a) Verwendung der Daten für die Durchführung des Vertrags / Beantwortung von Anfragen
Das BDSG gestattet die Erhebung, Verarbeitung und Nutzung von Daten für die Durchführung eines Vertrags oder zur Beantwortung von Anfragen von Interessenten, wenn sie hierfür erforderlich sind. Das Unternehmen kann daher nicht beliebige Daten erheben, sondern muss im Vorfeld überlegen, welche Daten für die Erfüllung des genannten Zwecks erforderlich sind.Zur Verarbeitung und Nutzung von Daten zur Vertragsdurchführung darf daher keine objektiv zumutbare Alternative bestehen. Die Daten müssen aber nicht unverzichtbar sein für die Erreichung des Zwecks. Auf der anderen Seite genügt es auch nicht, dass sie einfach nur „nice to have“ sind. So kann etwa die Erhebung des Geburtsdatums erforderlich sein, wenn das Geburtsdatum zum Zwecke der Altersfeststellung oder zur sicheren Identifikation im Rahmen der Bonitätsprüfung benötigt wird.
b) Verwendung von Daten zur Bewerbung eigener Angebote
Das neue BDSG gestattet die Verwendung von Listendaten, sofern dies für die Bewerbung eigener Angebote der verantwortlichen Stelle erforderlich ist.aa) Anwendungsbereich der Sonderregel
Die Sonderregelung zur Bewerbung eigener Angebote ist primär für die Verwendung von Verbraucherdaten geschaffen worden. Diese Ausnahmeregelung ist aber auch auf die Verarbeitung und Nutzung von Kundendaten im gewerblichen Bereich für Werbezwecke anwendbar.bb) Voraussetzungen für die Bewerbung eigener Produkte
Die verantwortliche Stelle muss diese Listendaten beim Betroffenen im Rahmen des Vertragsschlusses bzw. im Rahmen einer Anfrage als Interessent erhoben haben. Ergänzend sieht das BDSG auch vor, dass die Listendaten aus allgemein zugänglichen Adress-, Rufnummern-, Branchen- oder vergleichbaren Verzeichnissen erhoben werden können.Als mögliche Adressquelle ausgeschlossen sind damit Social Networks, wie z. B. Facebook, oder auch die Adressangaben auf der Internetseite des Betroffenen. Dagegen wäre die Erhebung von Listendaten aus online zugänglichen Verzeichnissen, wie z. B. www.telefonbuch.de, weiterhin zulässig.
Urheberrechtliche Beschränkungen bei der Entnahme von Daten aus allgemein zugänglichen Verzeichnissen sind selbstverständlich zu beachten.
cc) Hinzuspeichern von Daten bei Bewerbung eigener Angebote
Der Gesetzgeber hat erkannt, dass mit Listendaten in Unternehmen noch keine vernünftige Zielgruppe gebildet werden kann. Daher darf die verantwortliche Stelle für die Bewerbung eigener Angebote zu den Listendaten weitere Daten hinzu speichern.Voraussetzung ist hierfür aber, dass diese Daten rechtmäßig erhoben wurden. So kann das Unternehmen etwa die Daten aus der Geschäftsbeziehung des Kunden zu den Listendaten hinzu speichern. Hat etwa ein Kunde bislang französischen Rotwein bestellt, kann dieses Kriterium zur Erstellung der Zielgruppe für ein Mailing über italienische Rotweine verwendet werden.
Weiterhin dürfen auch allgemein zugängliche Daten zu den Listendaten in begrenztem Umfang hinzu gespeichert werden. Dagegen dürfen die Listendaten selbst nicht aus den allgemein zugänglichen Quellen erhoben werden. Daten sind allgemein zugänglich, wenn die Informationsquelle einem individuell nicht abgrenzbaren Personenkreis Informationen vermitteln will. Hierzu zählen neben Zeitungen und Zeitschriften auch die dem Internet zu entnehmenden Informationen.
dd) Freundschaftswerbung – Zulässigkeit ungeklärt
Zufriedene Kunden sind die beste Werbung für die eigenen Produkte. Daher werden zufriedene Kunden animiert, Freunde zu benennen, die Interesse an den Produkten haben könnten. Das Unternehmen unterstützt die Werbebemühungen, indem den benannten Interessenten der aktuelle Katalog zugeschickt wird. Die Bemühungen der Kunden werden entsprechend belohnt.Aus datenschutzrechtlicher Sicht ist dieses Vorgehen kritisch zu bewerten, da hier die Daten nicht beim Betroffenen selbst erhoben werden. Stattdessen werden Daten beim Dritten erhoben. Die Zulässigkeit der Maßnahme hängt maßgeblich davon ab, ob die Sonderregelung zur werblichen Nutzung von Daten eine abschließende Regelung darstellt oder nicht. Wird dies von Gerichten bejaht, wäre diese Marketingmethode auf Basis der gesetzlichen Rechtsgrundlage nicht mehr zulässig.
Was es zu beachten gilt:
>Verwende ich Name/Anschrift, die beim Betroffenen erhoben wurden oder die aus allgemein zugänglichen Adress-, Rufnummern- oder vergleichbaren Verzeichnissen stammen?>Habe ich Daten, die ich zu den Listendaten hinzu speichere, rechtmäßig erhoben?
>Die Zulässigkeit der Freundschaftswerbung ist nicht abschließend geklärt.
c) Vermietung von Daten für Werbezwecke
Unternehmen sind zur Neukundengewinnung darauf angewiesen, dass andere Unternehmen ihre Kundendaten für Werbezwecke vermieten. In diesem Fall beauftragt die verantwortliche Stelle – das Unternehmen, das Kundendaten etwa im Rahmen einer Geschäftsbeziehung erhoben hat – einen Dienstleister mit der Nutzung seiner Kundendaten zur Erstellung eines Werbeschreibens. Das zu versendende Werbematerial wird von dem Unternehmen zur Verfügung gestellt, das die Daten nutzen möchte.aa) Zulässigkeit
Auch nach der BDSG-Novelle ist dieses Verfahren zur Vermietung von Daten für Werbezwecke anderer Unternehmen zulässig, wenn folgende Vorgaben eingehalten werden:- Das Unternehmen, das seine Kundendaten für die Bewerbung von Produkten oder Dienstleistungen anderer Unternehmen zur Verfügung gestellt hat, muss eindeutig erkennbar sein.
- Die Nennung des Unternehmens muss im Klartext erfolgen.
- Das Unternehmen ist dann eindeutig erkennbar, wenn der Betroffene die verantwortliche Stelle ohne Zweifel mit seinen Kenntnissen und Möglichkeiten identifizieren kann.
Durch diese Verpflichtung zur Transparenz soll der Eindruck zerstört werden, den ein Kunde bislang bei einer bloßen Vermietung seiner Adresse gehabt hat: es war für ihn nicht ersichtlich, dass das werbende Unternehmen seine Daten nur angemietet hat. Nach dem ersten Eindruck musste der Empfänger des Werbeschreibens davon ausgehen, dass das werbende Unternehmen seine Daten – schlimmstenfalls – durch irgendwelche unlautere Machenschaften erhalten hat. Dem Mailing konnte nicht angesehen werden, dass das werbende Unternehmen seine Daten gar nicht erhalten hat, sondern diese Daten von einem anderen Unternehmen zur Verfügung gestellt wurden.
bb) die Umsetzung der Transparenzpflicht
Das Gesetz enthält keine Vorgaben, wie die Nennung der Adressquelle erfolgen soll. Auch gibt es keine Vorgaben, wo der Hinweis anzubringen ist. Der Kunde muss lediglich die verantwortliche Stelle ohne Zweifel und mit seinen Kenntnissen und Möglichkeitenidentifizieren können.
So kann etwa beim Adressfeld ein entsprechender Hinweis auf die Adressquelle angebracht werden. Alternativ hierzu bietet es sich an, in der Fußzeile einen entsprechenden Hinweis mit aufzunehmen.
Ob zusätzlich zu dem Namen der Adressquelle noch weitergehende Hinweise erforderlich sind, hängt vom Einzelfall ab. Wird etwa zu dem Namen der Adressquelle noch ein Logo verwendet, das weithin bekannt ist, oder ist der Name der Adressquelle so bekannt, dass der Kunde die Adressherkunft zuordnen kann, bedarf es keines weitergehenden Hinweises. Eine Identifizierbarkeit wäre sichergestellt.
Kann der Betroffene den angegebenen Namen nicht direkt der verantwortlichen Stelle zuordnen, sollte noch die Anschrift mit angegeben werden. Die bloße Angabe des Namens der Adressquelle wird in diesem Fall nicht genügen. Dies kann unter Umständen dazu führen, dass der Betroffene mit diesem Hinweis gar nichts anfangen kann. Dementsprechend sollte der Hinweis mit entsprechenden Präzisierungen versehen sein, damit die verantwortliche Stelle identifizierbar ist. Das Risiko, dass eine eindeutige Identifizierbarkeit vorliegt, trägt die verantwortliche Stelle.
Folgende Texte könnten verwendet werden:
„Adressquelle: (Name – ggf. Anschrift – des Unternehmens)“ oder
„Verantwortliche Stelle i.S.d. Datenschutzrechts …“ oder
„Adresse aus dem Datenbestand von ...“
cc) Erstellung der Zielgruppe bei Bewerbung fremder Produkte
Für die Erstellung von Zielgruppen im Rahmen der Adressvermietung sieht das neue BDSG vor, dass die verantwortliche Stelle nicht auf Listendaten begrenzt ist. Zudem kann etwa auch das bisherige Kaufverhalten des Kunden für die Erstellung der Zielgruppe verwendet werden. So sind künftig auch Angaben in Datenkarten wie „Erstbesteller“ oder „Einkauf im letzten Quartal“ zulässig.Was es zu beachten gilt:
>Die verantwortliche Stelle muss im Klartext benannt werden.>Der Betroffene muss die verantwortliche Stelle ohne Zweifel und mit seinen Kenntnissen und Möglichkeiten identifizieren können.
d) Übermittelung von Adressdaten - Verkauf oder Tausch
Beim Verkauf oder Tausch von Listendaten findet eine Übermittlung der Kundendaten statt. Der Empfänger der Kundendaten erhält diese zur weiteren eigenen Verwendung und kann sie in sein System zur Kundenpflege (CRM-System) einspeisen.Die Übermittlung – der Kauf oder Tausch von Daten – ist abzugrenzen von der Vermietung von Daten. Im Fall der zuvor besprochenen Vermietung von Daten erhält das werbende Unternehmen Kundendaten erst dann, wenn die beworbene Person auf die werbliche Ansprache hin reagiert und beispielsweise eine Bestellung tätigt oder eine Anfrage stellt (Reagierer). Im Fall der Übermittlung kann das Unternehmen, das die Daten angekauft hat, direkt über den gesamten Datensatz bestimmen und ihn etwa komplett in das interne CRM-System einspielen.
Bei einer Übermittlung von Kundendaten für Werbezwecke ohne Einwilligung müssen die Informations-, Dokumentations- und Transparenzpflichten beachtet werden.
> Informationspflicht beachten!
Voraussetzung für die Zulässigkeit des Verkaufs von Kundendaten für Werbezwecke ist zunächst einmal, dass der Kunde bei Datenerhebungdiesen Verwendungszweck informiert über wurde. Ein Verkauf ist regelmäßig nur zulässig innerhalb der Gruppe von Empfängern, die dem Kunden bei Datenerhebung genannt wurden.
> Dokumentationspflicht beachten!
Erfolgt eine Übermittlung, muss die übermittelnde Stelle für den Zeitraum von zwei Jahren den Empfänger der Daten speichern. Das Unternehmen, das die Daten erhalten hat, muss die Herkunft der Daten für zwei Jahre speichern und ebenfalls weitere Empfänger, sollte eine zusätzliche Übermittlung stattfinden. Neben der Adressquelle müssen als weitere Merkmale die Verwendungszwecke der Daten mit übermittelt werden, damit der Empfänger der Daten auch weiß, in welchem Umfang er überhaupt die Daten verwenden darf. Zusätzlich muss noch die Kategorie der möglichen Empfänger (z. B. Verlag, Telekommunikationsdiensteanbieter etc.) mit übermittelt werden, da eine weitere Übermittlung nur in diesem Kreis zulässig ist.
> Transparenzpflicht beachten!
Ebenso wie im Fall der Adressvermietung muss die Adressquelle in der Werbung benannt werden. Hierbei ist das Unternehmen zu benennen, das die Daten erstmals erhoben hat. Die Ausführungen zur Nennung der Adressquellen gelten somit entsprechend.
Die Übermittlung von Kundendaten für Werbezwecke ist begrenzt auf die Listendaten. Will ein Unternehmen somit darüber hinaus gehende Daten übermitteln, bedarf es einer Einwilligung.
bb) Beispiel zur Illustration
Unternehmen A erhebt Name und Anschrift beim Verkauf von Kleidung. Hier ist eine Information über die werbliche Nutzung erforderlich, verbunden mit dem Hinweis auf eine Übermittlung der Listendaten an Unternehmen aus dem Bereich Verlage und Anbieter und Vermittler von Glücks- und Gewinnspielen.Unternehmen A übermittelt Listendaten an den Verlag B. Unternehmen A speichert Verlag B als Empfänger der Daten. Verlag B speichert Unternehmen A als Adressquelle.
Verlag B übermittelt Listendaten an die Lotterieeinnahme L. Verlag B speichert Lotterieeinnahme L als Empfänger. Lotterieeinnahme L speichert Verlag B als Adressherkunft. Zusätzlich muss noch Unternehmen A als Adressquelle für die Angabe im Werbeschreiben aufgeführt werden.
Was es zu beachten gilt:
> Informationspflicht: Bei Datenerhebung über die vorgesehene Übermittlung einschließlich einer Benennung der Empfänger-Kategorien.> Dokumentationspflicht: Speicherung von Herkunft und Empfänger.
> Transparenzpflicht: Die Adressquelle muss im Klartext benannt werden
e) Ausnahmeregelung für den gewerblichen Bereich
Das neue BDSG enthält eine Ausnahmeregelung für die Nutzung und Übermittlung von Listendaten zur Bewerbung von Produkten und Dienstleistungen im gewerblichen Bereich. Folgende zwei Voraussetzungen müssen erfüllt sein: Die Werbung muss im Hinblick auf die berufliche Tätigkeit des Betroffenen erfolgen. Außerdem muss er unter seiner beruflichen Anschrift angeschrieben werden. Fallen berufliche Anschrift und private Anschrift zusammen, ist die Verwendung dieser Anschrift auch nach der Ausnahmeregelung zulässig, sofern die Werbung im Hinblick auf die berufliche Tätigkeit erfolgt.Die werbliche Ansprache erfolgt nicht im Hinblick auf die berufliche Tätigkeit, wenn es sich um Freizeitaktivitäten des Betroffenen handelt. Beispiel: Name und Anschrift des Zugführers der freiwilligen Feuerwehr dürfen nicht von der Homepage für Werbezwecke entnommen werden. Der Fall wäre anders zu beurteilen, wenn es sich um einen Brandmeister der Berufsfeuerwehr handeln würde.
Die werbliche Ansprache ist nicht auf „gewerblich Tätige“ beschränkt. Es können auch die Funktionsträger im Unternehmen – etwa der Leiter der IT-Abteilung – direkt angesprochen werden.
Diese Ausnahmeregelung für den gewerblichen Bereich erfasst sowohl die Vermietung von Listendaten (= Nutzung) als auch die Übermittlung der Daten. Die Pflicht zur Quellenangabe im Werbeschreiben muss bei dieser Ausnahmeregelung nicht beachtet werden. Die Dokumentationspflichten im Fall der Übermittlung entfallen ebenfalls.
Im Gegensatz zu der vorangegangenen Ausnahme zur Bewerbung eigener Produkte ist in diesem Fall auch ein Rückgriff auf allgemein zugängliche Quellen zulässig. Name und Anschrift des Betroffenen oder die Berufsbezeichnung können daher aus dem Internet (etwa die Homepage des Dachdeckers) entnommen werden. Hier war es Intention des Gesetzgebers, diese Quellen weiterhin für die werbliche Ansprache offen zu halten.
Unklar ist bislang, ob ein Hinzuspeichern von weiteren Daten in diesem Fall gestattet ist. Der Gesetzgeber hat diesen Fall nicht ausdrücklich geregelt. An dieser Stelle soll nur auf Folgendes hingewiesen werden: Der Gesetzgeber hat in der Gesetzesbegründung selbst ausgeführt, dass im gewerblichen Bereich der Betroffene einer Werbung eine andere Aufmerksamkeit schenkt und sie für ihn – etwa in Form eines Marktüberblicks – durchaus wünschenswert ist. Die wesentliche Zielrichtung der Datenschutznovelle war der verstärkte Schutz des Verbrauchers bei einer werblichen Nutzung seiner Adressdaten. Gestattet der Gesetzgeber aber ein entsprechendes Hinzuspeichern von Daten zu den Listendaten bei den besonders schutzwürdigen Verbrauchern, muss dies erst recht zulässig sein, wenn der weniger schutzbedürftige gewerbliche Bereich betroffen ist. Eine abschließende Entscheidung durch Aufsichtsbehörden oder durch Gerichte liegt noch nicht vor.
Weiterhin ist nicht abschließend geklärt, in welchem Verhältnis diese Regelungen zur werblichen Nutzung von Name und Anschrift zu den Vorgaben zum Telefonmarketing im gewerblichen Bereich stehen. Der Gesetzgeber wollte nur die schriftliche Ansprache zu Werbezwecken regeln und hat sich nicht mit der telefonischen Ansprache befasst.
Die Vorgaben im Gesetz gegen den unlauteren Wettbewerb (UWG) enthalten insofern spezielle Zulässigkeitstatbestände, was aber von Aufsichtsbehörden für den Datenschutz bestritten
Was es zu beachten gilt:
>Die Werbung muss im Hinblick auf die berufliche Tätigkeit erfolgen!>Reine Freizeitbeschäftigung genügt nicht!
>Werbliche Ansprache der Funktionsträger im Unternehmen gestattet!
>Keine Pflicht zur Quellenangabe bei werblicher Ansprache!
>Unklar, ob ein Hinzuspeichern von weiteren Daten gestattet ist!
>Das Verhältnis der datenschutzrechtlichen Bestimmungen zu den wettbewerbsrechtlichen Vorgaben des UWG ist nicht abschließend geklärt!
f) Ausnahmeregelung zur Spendenwerbung
Der Gesetzgeber hat eine weitere Ausnahme für die Verwendung von Listendaten zum Zweck der Werbung für Spenden von steuerbegünstigten Organisationen erstellt. Auch in diesem Fall bedarf es keiner Pflicht zur Angabe der Quelle im Werbeschreiben.Das Gesetz gestattet eine Verarbeitung und Nutzung von Listendaten für diesen Zweck. Das heißt, eine Übermittlung an Dritte oder eine einfache Nutzung durch die verantwortliche Stelle zur Spendenwerbung von steuerbegünstigten Organisationen ist zulässig. Zu den steuerbegünstigten Organisationen zählen neben den gemeinnützigen Organisationen auch politische Parteien.
Auch in diesem Fall ist unklar, ob weitere Daten zu den Listendaten – etwa im Fall der Vermietung – hinzu gespeichert werden dürfen.
Was es zu beachten gilt:
>Bei Spendenwerbung keine Pflicht zur Quellenangabe bei werblicher Ansprache.
>Unklar, ob ein Hinzuspeichern von weiteren Daten gestattet ist.
g) Interessenabwägung weiterhin erforderlich!
Die Verarbeitung von Daten für Werbezwecke auf Basis der gesetzlichen Rechtsgrundlage steht weiterhin unter dem Vorbehalt, dass keine schutzwürdigen Interessen des Betroffenen dem entgegenstehen. Daher muss regelmäßig noch eine Interessenabwägung durchgeführt werden.In der Praxis zeigt sich diese Verpflichtung insbesondere darin, dass eine Verwendung von Name und Anschrift für Werbezwecke auf Basis der gesetzlichen Rechtsgrundlage zeitlich nicht unbegrenzt zulässig ist. Ein Unternehmen ist verpflichtet, entsprechende Löschungsregeln zu erstellen und vorab zu definieren, in welchem Zeitraum eine werbliche Nutzung der Daten vorgesehen ist. Bitte beachten Sie, dass an die Stelle der Löschung eine Sperrung tritt, wenn gesetzliche Aufbewahrungspflichten zu beachten sind.
Was es zu beachten gilt:
> Wie lange speichere ich Daten in Unternehmen?> Löschungsregeln festlegen!
h) Pflicht zur Pseudonymisierung beachten!
Das neue BDSG schreibt vor, dass personenbezogene Daten zu anonymisieren oder zu pseudonymisieren sind, soweit dies nach dem Verwendungszweck möglich ist und keinen im Verhältnis zum angestrebten Schutz unverhältnismäßigen Aufwand erfordert.Diese Verpflichtung ist immer zu beachten und stellt eine wichtige Gestaltungsvorgabe für das CRM-System dar. Nach dieser Regelung darf ein CRM-System grundsätzlich nur mit pseudonymen Daten erstellt werden. Ein Personenbezug ist nur noch dann gestattet, wenn dies im Rahmen der Vertragsdurchführung erforderlich ist oder eine Pseudonymisierung einen unverhältnismäßigen Aufwand darstellen würde.
Was es zu beachten gilt:
> Datenmodell im CRM-System prüfen!> Pseudonymisierung oder Anonymisierung der Daten vornehmen, sofern dies nach dem Verwendungszweck möglich ist und keinen unverhältnismäßigen Aufwand erfordert!
ZURÜCK 2. Welche Rechtsgrundlagen stehen zur Verfügung?
