Wie kommt es zu unerwünschten Kontaktaufnahmen?

Unternehmen können öffentlich zugängliche Adressen im Rahmen eines Adresshandels von Dienstleistern einkaufen und diese zu Werbezwecken nutzen. Taugliche Rechtsgrundlagen für das Erfassen und den Weiterverkauf von Daten sind entweder die informierte Einwilligung im Sinne des Art. 6 Abs. 1 lit. a DSGVO oder das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Ein berechtigtes Interesse liegt vor, wenn der Betroffene seine Daten offensichtlich öffentlich gemacht hat und damit selbst durch deren Veröffentlichung den Schutz seiner Daten gelockert hat.

Die Größten Marktanbieter im Bereich Adresshandel sind Deutsche Post Direkt GmbH, ABIS GmbH (Tochter der Deutsche Post Adress GmbH & Co. KG), Unternehmensgruppe EOS (Tochter der Otto Group), Acxiom Deutschland GmbH (Tochterunternehmen eines US-amerikanischen Dienstleisters), AZ Direct GmbH (Tochter der Arvato/Bertelsmann AG) und Adress-Base GmbH & Co. KG.

Dabei ist aber Vorsicht geboten: Nicht alle öffentlichen Einträge hat der Betroffene selbst öffentlich gemacht. Häufig werden Einträge in Telefonbüchern, Handelsregistern oder Veröffentlichungen aufgrund von Impressumspflichten nicht freiwillig veröffentlicht. Außerdem müssten die Betroffenen ihre Daten zum Zweck der werblichen Ansprache veröffentlicht haben. Ist dies nicht der Fall, überwiegen die schutzwürdigen Interessen der Betroffenen gegenüber den der Unternehmen. Die Folge ist, dass es bei der Verwendung der Adressdaten einer Einwilligung bedarf.

Achtung: Betroffene müssen in Fällen wie diesem, wenn die Daten nicht direkt von den Betroffenen erhoben werden, nach Art. 14 DSGVO über die Quelle der Daten informiert werden.

Wie wird eine Anfrage auf Löschung zur Zufriedenheit der Betroffenen beantwortet?

Bei Werbekontakten äußern viele Betroffene den Wunsch auf Löschung ihrer Daten. Damit gemeint ist aber in aller Regel, dass sie von einer werblichen Ansprache durch das Unternehmen verschont bleiben wollen. Werden die Daten gelöscht, kann das Unternehmen beim (erneuten) Ankauf von Fremddaten nicht verhindern, dass der Betroffene wieder Adressat z.B. eines Werbebriefs werden kann.

Die Lösung sind sogenannte Sperrlisten. Hiermit kann beim Einkauf von Adressdaten gewährleistet werden, dass die auf einer Werbesperrdatei gelisteten Betroffenen nicht noch einmal kontaktiert werden. Werbesperrdateien sind aufgrund von Art. 21 Abs. 3, Art. 17 Abs. 3 lit. b und Art. 6 Abs. 1 Satz 1 lit. f DSGVO zur Berücksichtigung der Werbewidersprüche von betroffenen Personen zulässig (so auch die Datenschutzkonferenz der Aufsichtsbehörden).

1. Schritt: Auslegen des Löschbegehrens als Werbesperre

Möchte der Betroffene von Werbung verschont bleiben oder sollen alle Daten unwiderruflich gelöscht werden? Bei Ersterem kann der Wille des Betroffenen nur durch eine Aufnahme seiner Kontaktdaten in eine Werbesperrdatei bei diesem Unternehmen endgültig berücksichtigt werden. Der Wunsch keine Werbung mehr zu erhalten, lässt sich häufig herauslesen durch Formulierungen wie „ich möchte nichts mehr erhalten“, „schicken Sie mir keine Werbung mehr“ oder „nehmen Sie mich aus dem Verteiler“.

Vorsicht: Der Betroffene verlangt in der Regel die tatsächliche Löschung bei Formulierungen wie „löschen Sie mich aus dem System“, „vernichten Sie meine Daten“ oder „löschen Sie alle meine Daten und bestätigen Sie dies“.

Falls Sie sich unsicher sind, was der Betroffene wünscht, treten Sie nochmals mit ihm in Kontakt.

Formulierungsbeispiel:

„Wir gehen davon aus, dass Sie keine weitere werbliche Ansprache durch uns wünschen und werden daher Ihren Kontakt auf eine Werbesperrliste setzen. Diese Daten werden dann ausschließlich zum Abgleich mit unseren künftigen Werbedateien verwendet. Wenn wir Ihre Daten komplett aus unserer Datenbank löschen, können wir nicht garantieren, dass Ihre Adresse nicht erneut über externe Stellen (Adresshandel) in diese aufgenommen wird. Falls wir in den nächsten vier Wochen nichts mehr von Ihnen hören, gehen wir davon aus, dass dies in Ihrem Sinne ist.“

2. Schritt: Hinweis an den Betroffenen über das weitere Vorgehen

Sie müssen den Betroffenen darüber informieren, dass die Daten zum Zweck der Sperrung weiterhin gespeichert werden müssen und der Betroffene dem jederzeit widersprechen kann. Die Sperrliste ist eine eigene Verarbeitung, über deren Zweck und Rechtsgrundlage die betroffene Person noch nicht informiert ist. Einem Werbewiderspruch müssen Sie unverzüglich nachkommen. Schließlich sollte der Betroffene auf die Robinsonlisten der Werbewirtschaft verwiesen werden, die eine Werbesperre der gekauften Werbekontakte berücksichtigen: www.ichhabediewahl.de oder www.robinsonliste.de.

Formulierungsbeispiel:

„Sie können der Speicherung Ihrer Daten für den Zweck der Berücksichtigung von Werbewidersprüchen jederzeit widersprechen. Die betreffenden Daten werden dann gelöscht. Es ist dann jedoch nicht auszuschließen, dass Sie bei einem künftigen – dann rechtlich zulässigen – Einsatz von Fremddaten eventuell wieder Werbung erhalten.“

Fazit: Handeln Sie zügig, systematisch und dokumentiert

Der Umgang mit gekauften Adressen birgt Risiken. Zum einen kann nicht immer davon ausgegangen werden, dass die Dienstleister die Daten rechtmäßig erhoben haben. Zum anderen können Sie mit Löschanfragen überhäuft werden. Umso schneller sollten Sie den Betroffenenanträgen nachgehen und sie ernst nehmen. Durch eine Auslegung im Sinne der Betroffenen sowie eine umfangreiche Information dieser können Sie einer möglichen Auseinandersetzung mit Anwälten und Aufsichtsbehörden entgehen.

Rechtsgrundlage als Grundvoraussetzung für die Speicherung

Die EU-Datenschutz-Grundverordnung (DSGVO) bietet Verantwortlichen mehrere Möglichkeiten, auf die eine Datenverarbeitung gestützt werden kann. Nicht immer ist eindeutig welche der Rechtsgrundlagen die richtige ist. Regelmäßig kommen auch mehrere davon in Betracht.

Im Fall der Speicherung von Kreditkartendaten zum alleinigen Zweck der Ermöglichung weiterer Online-Transaktionen werden regelmäßig herangezogen:

• Ein überwiegendes berechtigtes Interesse an der Verarbeitung
• Die Erforderlichkeit zur Erfüllung eines Vertrags
• Die Erforderlichkeit für eine vorvertragliche Maßnahme
• Eine Einwilligung der betroffenen Person

Speicherung erfordert Einwilligung

Der EDSA hat nun Stellung bezogen und sich klar dafür ausgesprochen, dass eine solche Datenverarbeitung nur mit einer Einwilligung erlaubt sein kann. Daran werden sich die Datenschutz-Aufsichtsbehörden zukünftig orientieren.

Die schlüssige Begründung des EDSA lautet, dass der Kunde, der seine Kreditkartendaten für eine einmalige Transaktion angibt, vernünftigerweise nicht erwartet, dass die Kreditkartendaten länger gespeichert werden, als es für die Bezahlung der gekauften Waren oder Dienstleistungen erforderlich ist. Die Möglichkeit sich auf ein berechtigtes Interesse zu berufen, wie das aktuell noch häufig zu finden ist, wird durch den EDSA ausdrücklich abgelehnt. Es sei nicht ersichtlich, dass die Speicherung der Kreditkartendaten zur Erleichterung künftiger Käufe erforderlich ist, um das berechtigte Interesse des für die Verarbeitung Verantwortlichen oder eines Dritten zu verfolgen.

Auf den Vertrag oder vorvertragliche Maßnahmen wird überhaupt nicht eingegangen. Diese Möglichkeiten erschienen dem EDSA vermutlich zu abwegig. Jedenfalls können der Vertrag oder die vorvertragliche Maßnahme nicht herangezogen werden, da es am notwendigen Merkmal der Erforderlichkeit fehlt. Die erneute Abfrage der Kreditkartendaten ist bei einem weiteren Einkauf ohne weiteres möglich und Komfort ist kein Kriterium, wenn es um die Frage nach der Erforderlichkeit geht.

Zur Klarstellung: Es geht hier nicht um den Fall der regelmäßigen Abbuchung in einem Dauerschuldverhältnis (z.B. Abonnement). Dann dürfen die Daten zu diesem Zweck natürlich aufgrund des geschlossenen Vertrags über die gesamte Laufzeit gespeichert und verarbeitet werden. Allerdings auch nur dafür und nicht für den nächsten Einkauf. Denn dann würde sich der Zweck nicht mehr vom erstgenannten Fall unterscheiden.

Anforderungen an eine wirksame Einwilligung

Damit eine Einwilligung gültig ist, müssen Verantwortliche einige Punkte beachten:

• Informiertheit: Betroffenen Personen müssen die Konsequenzen der Einwilligung bekannt sein. Dazu gehört insbesondere zu wissen, wem gegenüber man die Erklärung abgibt und welche Zwecke sie genau umfasst. Auch der Hinweis auf das Recht, die Einwilligung jederzeit widerrufen zu können, ist vorgeschrieben.
• Freiwilligkeit: Die betroffene Person muss eine echte und freie Wahl haben. Dies drückt sich dadurch aus, dass es keine Nachteile mit sich bringt, die Einwilligung nicht zu geben. Zudem muss sie jederzeit nachträglich widerrufen werden können. Das wäre zum Beispiel nicht der Fall, wenn der Käufer durch die Verweigerung der Einwilligung am Kauf gehindert würde.
• Aktives Verhalten: Vorangekreuzte Kästchen oder die bloße Information über die Speicherung genügen nicht. Die Abfrage muss eine konkrete Willensbekundung der betroffenen Person widerspiegeln. Dies erfolgt regelmäßig durch ein anzukreuzendes, optionales Kästchen.
• Nachweisbarkeit: Der Verantwortliche muss die Einwilligung an sich, aber auch die oben aufgeführten Umstände nachweisen können. Mit den meisten Shopsystemen lässt sich das ohne Probleme umsetzen.

Wenn Ihre Einwilligungserklärung diese Kriterien erfüllt, steht der Speicherung der Kreditkartendaten für den nächsten Einkauf Ihrer Kunden nur noch wenig entgegen. Es ist dann noch sicherzustellen, dass Sie die obligatorischen Informationspflichten erfüllen und garantieren, dass die Datenspeicherung ausreichend sicher ist. An die Maßnahmen zur Sicherheit der Daten ist bei Kreditkartendaten ein hoher Maßstab zu setzen, da der mögliche Schaden für die Karteninhaber bei einer Datenpanne aufgrund der Missbrauchsgefahr als eher hoch einzustufen ist.

Rechtskonformität mit wenig Aufwand

Die von vielen Kunden gewünschte Komfortfunktion, ihre Kreditkartendaten für den nächsten Einkauf hinterlegen zu können, muss nicht aufgrund des Datenschutzes wegfallen. Der Aufwand eine den Anforderungen der DSGVO entsprechende Einwilligung einzuholen, ist auch nicht sehr hoch. Ein kurzer erläuternder Text für die Einwilligungserklärung, die Abfrage mittels zu setzenden Häkchens, die Dokumentation des ganzen sowie das Vorhalten der Möglichkeit, einen Widerruf entgegenzunehmen, stellen für moderne Shopsysteme keine große Herausforderung dar.

Dabei schützt die DSGVO-Konformität nicht nur vor vermeidbaren Bußgeldern, sondern schafft auch Vertrauen bei Ihren Kunden und sorgt so für mehr Zufriedenheit und Kundenbindung.

Begriff der aufgedrängten Daten

Um aufgedrängte Daten handelt es sich, wenn ein Unternehmen Daten ohne aktives Zutun erhält oder wenn mehr Informationen an das Unternehmen gesendet werden, als überhaupt angefragt wurden. Folgende Beispiele, die vermutlich in vielen Unternehmen praktisch relevant sind, illustrieren das Vorkommen aufgedrängter Daten:

• Bei Freitextfeldern in Kontaktformularen besteht das Risiko, dass der Absender dort personenbezogene Daten hinzufügt. Da nicht beschränkt wird, welche Informationen dort eingetragen werden können, kommt es unter Umständen zur Übermittlung von nicht angefragten personenbezogenen Daten. Das ist insbesondere bei Arztpraxen und ähnlichen Unternehmen schwierig, wenn etwa medizinische Diagnosen ungefragt übermittelt werden.
• Bei Online-Bewerbungen wird mit dem Lebenslauf ein Foto des Bewerbers übermittelt. In Deutschland ist es rechtlich nicht zulässig, ein Bild im Lebenslauf einer Bewerbung zu fordern. Es steht dem Bewerber also frei ein Bild mitzuschicken. Daher handelt es sich bei diesem Bild streng genommen um eine aufgedrängte Information.

Rechtliche Einordnung der aufgedrängten Daten

Zunächst bleibt festzuhalten, dass es sich selbstverständlich auch bei aufgedrängten Daten um personenbezogene Daten handeln kann. Nicht so klar ist die Anwendbarkeit der Datenschutz-Grundverordnung (DSGVO). Der sachliche Anwendungsbereich nach Art. 2 DSGVO ist in der Regel eröffnet, da die meisten Verarbeitungstätigkeiten zumindest teilweise automatisiert erfolgen.

Einzig bei analogen Unterlagen, etwa in Papierform, kann etwas Anderes gelten, wenn noch keine Einordnung dieser Daten in ein Dateisystem vorgenommen wurde oder geplant ist. Wie sich jedoch gleich zeigen wird, muss keine vertiefte Prüfung dieses Punktes erfolgen.

Es ist nämlich schon fraglich, ob überhaupt eine Verarbeitung der aufgedrängten Informationen im Sinne des Art. 4 Nr. 2 DSGVO vorliegt. Zu denken wäre zumindest an ein Erheben oder ein Erfassen dieser Daten. Allerdings gehen die Aufsichtsbehörden und die vorherrschende Literatur davon aus, dass für das Erheben ein aktives Handeln des Verantwortlichen erforderlich ist. Auch für das Erfassen, wenn ein solches überhaupt vorliegen sollte, ist ein aktives Tun notwendig.

Hiernach zeigt sich bereits, dass beim bloßen Erhalt aufgedrängter Daten keine Verarbeitung personenbezogener Daten vorliegt und der Erhalt zunächst keine datenschutzrechtlichen Folgen auslöst.

Allerdings muss mit den aufgedrängten Daten irgendetwas passieren. In den meisten Fällen wird es daher entweder zu einer Löschung oder einer Speicherung kommen. Beides ist zwar nach Art. 4 Nr. 2 DSGVO eine Verarbeitung. Allerdings wird das Löschen in diesem Fall nicht als zielgerichtete Verarbeitung gewertet. Wenn schon kein Erheben bei aufgedrängten Daten vorliegt, dann kann auch die Löschung keine datenschutzrechtlichen Pflichten begründen. Denkbar ist auch eine Unkenntlichmachung der überflüssigen Informationen, etwa durch Schwärzen, sofern eine Löschung insgesamt nicht zielführend ist. Die reine Kenntnisnahme des ausführenden Mitarbeiters ist hierbei ebenfalls noch kein Verarbeitungsvorgang.

Anders verhält es sich, wenn die Daten gespeichert werden. In diesem Fall muss eine Rechtsgrundlage gefunden werden und es folgen Pflichten, wie die Erfüllung der Informationspflichten nach Art. 13 f. DSGVO.

Praktisches Vorgehen beim Erhalt aufgedrängter Daten

Wie in vielen Bereichen des Datenschutzes ist eine Schulung der Mitarbeiter hinsichtlich des Umgangs mit aufgedrängten Daten unerlässlich, wenn klar ist, dass diese mit solchen in Berührung kommen können. Wissen Beschäftigte nicht, wie sie sich verhalten müssen, werden sie diese Daten vermutlich zunächst speichern, um später darüber zu entscheiden. Das darf jedoch gerade nicht passieren, da in diesem Fall bereits datenschutzrechtliche Pflichten ausgelöst werden. Diese entfallen auch nicht durch eine spätere Löschung. Mitarbeiter sollten also die klare Vorgabe erhalten, dass alle unaufgefordert erhaltenen und nicht benötigten Daten unverzüglich zu löschen sind.

Sollte das nicht erfolgen bzw. der Mitarbeiter diese Entscheidung nicht treffen können oder die Daten gar erwünscht sein, dann gilt es eine Rechtsgrundlage zu finden und die betroffene Person zu informieren. Je nach Daten kann dies ohne großen Mehraufwand möglich sein, etwa, wenn zusätzlich eine Telefonnummer zur Kontaktaufnahme mitgeschickt wird. In diesem Fall ist ggf. auch das bereits vorliegende Informationsschreiben ausreichend, sollte jedoch im Einzelfall noch geprüft werden.

Bei aufgedrängten Daten sprechen im Rahmen der Interessenabwägung auch einige Argumente für die Annahme eines berechtigten Interesses gemäß Art. 6 Abs. 1 lit. f DSGVO. Anders verhält sich dies bei besonders sensiblen Daten gem. Art. 9 Abs. 1 DSGVO. Dort ist in vielen Fällen eine Einwilligung die einzige Möglichkeit, die personenbezogenen Daten rechtmäßig zu verarbeiten, wenn dies überhaupt statthaft ist.

Ein praktisches Beispiel: Wenn ein Bewerber im Bewerbungsgespräch ungefragt über bestehende Krankheiten berichtet, die irrelevant für die Tätigkeit sind, sollte nichts dazu notiert oder anderweitig gespeichert werden. In diesem Fall wäre selbst die Verarbeitung mit Einwilligung mangels Zwecks nicht statthaft.

Erhalt aufgedrängter Daten minimieren

Bevor es überhaupt zur Notwendigkeit des Umgangs mit aufgedrängten Daten kommt, sollte deren Erhalt nach Möglichkeit verhindert werden. Das kann durch verschiedene Wege erreicht werden, etwa durch Folgendes:

• Bei Bewerbungen sollte entweder darauf hingewiesen werden, dass ein Foto nicht erwünscht ist. Alternativ kann das Informationsschreiben für Bewerber so angepasst werden, dass der Erhalt eines Fotos direkt abgedeckt ist. Es sollte allerdings darauf geachtet werden, dass das Foto freiwillig mitgeschickt werden kann und nicht durch die Datenschutzerklärung quasi zur Pflicht erklärt wird.
• Bei Formularen sollte darauf geachtet werden, dass nur erforderliche Felder vorhanden sind. Wird etwa die Telefonnummer nicht benötigt, dann sollte es hierfür auch kein Feld geben. Das wäre im Rahmen des Art. 25 DSGVO bereits nach dem Grundsatz von Privacy by Design erforderlich. Wer ganz genau sein möchte, der weist noch gesondert darauf hin, dass nach Möglichkeit personenbezogene Daten im Freitextfeld zu vermeiden sind.

Fazit: Aufgedrängte Daten sind handhabbar

Aufgedrängte Daten stellen prinzipiell kein Problem dar, solange der erforderliche Umgang mit ihnen allen Mitarbeitern klar ist. Zunächst sollte eine Löschung bzw. Vernichtung angedacht werden. Ist das nicht möglich, dann kann auch eine Unkenntlichmachung in Betracht gezogen werden.

Ist beides nicht umsetzbar oder soll nicht durchgeführt werden, müssen eine Rechtsgrundlage gefunden und die Informationspflichten nach Art. 13 f. DSGVO eingehalten werden. Besser ist es jedoch, bereits im Vorfeld den Erhalt aufgedrängter Daten aktiv zu minimieren.