Home / Aktuelles & Termine / it.sec blog

„Ist das Werbung oder können wir das auch ohne Einwilligung per E-Mail verschicken?“ Diese Frage hören wir in unserem Beratungsalltag sehr häufig. Viele Unternehmen haben ein Interesse daran, ihre Informationen schnell und kostengünstig an die Empfänger zu verteilen, nur ist der Grad zwischen „Werbung“ und „notwendige Kundeninformation“ oftmals ein sehr schmaler.

In seinem jüngst veröffentlichten Urteil VI ZR 225/17-LG Braunschweig stellt der BGH fest, dass hier ggfs. sogar eine Zweiteilung des Inhalts angemessen und richtig sein kann. In dem zu entscheidenden Fall versandt das Unternehmen zusammen mit der Rechnung für das gekaufte Produkt einen Link zu seiner Zufriedenheitsumfrage ohne zuvor die nach § 7 Abs. 2 Nr. 3 UWG notwendige Einwilligung des Rechnungsempfängers eingeholt zu haben. Zu Unrecht, wie der BGH entschied.

Während die Zusendung der Rechnung im Rahmen der Abwicklung des Kaufvertrags ohne weiters auf Art. 6 Abs. 1 lit. b) DSGVO gestützt werden konnte, handelt es sich laut BGH bei dem Link zur Zufriedenheitsumfrage um eine werbliche Ansprache, für die gem. Art. 13 Abs. 1 der Datenschutzrichtlinie EK eine Einwilligung nach Art. 6 Abs. 1 lit. a) DSGVO erforderlich ist, die jedoch nicht vorlag.

Klargestellt hat der BGH damit, dass jeder Teilinhalt einer E-Mail gesondert auf deren Charakter zu überprüfen ist und für jeden Teil daher auch gesondert die entsprechenden Rechtsgrundlagen vorhanden sein müssen. Anderenfalls haben die betroffenen Personen ggfs. einen Unterlassungsanspruch gegenüber dem Unternehmen.

Können sich nun alle Unternehmen, die keine Kundenzufriedenheitsanfragen durchführen, entspannt zurücklehnen? Keineswegs!

Zahlreiche Unternehmen nutzen sogenannte E-Mail-Abbinder, in denen sie auf aktuelle Veranstaltungen, einen Messestand, einen gewonnenen Unternehmenspreis etc. hinweisen. All dies sind Instrumente, um sich bei dem Kunden in Erinnerung zu bringen, was der Kundenbindung dient und eine Weiterempfehlung ermöglicht. Laut BGH sollen damit auch weiteren Geschäftsabschlüssen der Weg geebnet und hierfür geworben werden. Daher bedarf es für den Versand dieser Inhalte per E-Mail einer entsprechenden Einwilligung des Empfängers.

Es ist daher aus unserer Sicht dringend dazu zu raten Ihre E-Mail-Abbinder auf deren werblichen Charakter zu untersuchen und auf den Prüfstand zu stellen, unter anderem auch, da hier aufgrund des neuen BGH-Urteils eine Abmahnwelle zu befürchten ist.

C. Lürmann

Rechtsanwältin

Consultant Datenschutz

In seiner Pressemitteilung vom 04.10.2017 hat das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) klargestellt, dass das Profiling der Webseitenbesucher und Facebook-Nutzer mit Hilfe des Trackingverfahrens ‚Facebook Custom Audience‘ nur mit Einwilligung der betroffenen Personen möglich ist (die Pressemitteilung ist abrufbar unter https://www.lda.bayern.de/media/pm2017_07.pdf).

Das Marketing-Werkzeug ‚Facebook Custom Audience‘ kann durch Unternehmen auf zwei verschiedene Arten genutzt werden: Zum einen können Listen mit personenbezogenen Kundendaten, wie z.B. E-Mail-Adressen, an Facebook Inc. übermittelt werden. Facebook Inc. gleicht diese Daten dann wiederum mit ihren Nutzerkonten ab, um so dem Unternehmen eine zielgruppengenaue Werbeaktion auf der Facebook-Plattform zu ermöglichen. Zum anderen kann ‚Facebook Custom Audience‘ über ein Pixel in die Webseite eingebunden werden, um die Internetaktivitäten der Webseitenbesucher zu tracken und diese Informationen direkt an Facebook Inc. weiterzuleiten, damit dem Unternehmen auch hier wieder eine zielgruppengenaue Werbeaktion auf der Facebook-Plattform möglich wird. Auch bei diesem Verfahren werden personenbezogene Daten an Facebook Inc. übermittelt.

Obwohl Unternehmen in beiden Fällen personenbezogene Daten (u.a. Name, E-Mail-Adresse, Internetaktivitäten) an einen Dritten (= Facebook Inc.), zudem in einen Drittstaat, zu Werbezwecken übermitteln, stellt die Aufsichtsbehörde fest, dass ‚Facebook Custom Audience‘ oftmals nicht in datenschutzrechtlich zulässiger Weise eingesetzt wird, entweder weil Unternehmen keine Ahnung haben, wie diese Trackingverfahren funktionieren, oder sich keine Gedanken darüber machen, welche Vorgaben eigentlich für eine solche Datenverarbeitung gelten (-> Art. 6 Abs. 1, Art. 44 ff, Art. 13 DSGVO, § 7 UWG).

Daher gibt das BayLDA den verantwortlichen Unternehmen in seiner Pressemitteilung Vorgaben an die Hand. Die Aufsichtsbehörde weist zudem darauf hin, dass der Einsatz von ,Facebook Custom Audience‘ zukünftig Gegenstand von Prüfaktionen sein wird und Unternehmen, die dieses Produkt in unzulässiger Weise einsetzen, mit Bußgeldern rechnen müssen: „Unternehmen, die (…) nicht wissen, wie solche Werbetools tatsächlich funktionieren, können auch ihre Nutzer nicht richtig informieren. Wer das nicht kann, darf eben solche Tools nicht einsetzen. (…) Adressat (…) eines Bußgeldbescheides [ist] nicht Facebook, sondern das jeweilige Unternehmen, das dieses Werbemittel unzulässig einsetzt.“

Lisa Benjowski
Informationsjuristin (LL.B.), Consultant für Datenschutz

Die Datenschutzgrundverordnung enthält keine Detailregelungen für Werbung mehr.

 

Mit der DSGVO fallen alle detaillierten Regelungen des BDSG für die Verarbeitung personenbezogener Daten für werbliche Zwecke weg.

 

Die rechtliche Grundlage für die Beurteilung der Zulässigkeit von Werbung ist in Zukunft, neben einer Einwilligung, die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO. Eine tragende Rolle spielt hier Erwägungsgrund 47, der ausführt: „Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.“

 

Bei der dann folgenden Interessenabwägung sind aber auch die allgemeinen Grundsätze aus Art. 5 Abs. 1 DS-GVO zu berücksichtigen. Und es darf kein Widerspruch der betroffenen Person vorliegen. Im Rahmen der Interessenabwägung wird man aber wohl bei der Nutzung der Kontaktdaten von Verbrauchern für Telefon- und Fax-Werbung dazu kommen, das diese weiterhin nur mit einer vorherigen ausdrücklichen Einwilligung erlaubt ist. Des Weiteren ist eine Nutzung für E-Mail- und SMS-Werbung ohne Einwilligung nur im Fall der Eigenwerbung bei Bestandskunden unter den Maßgaben von § 7 Abs. 3 UWG zulässig.

 

Ohne Einwilligung kann aber keine werbliche Nutzung besonderer Datenkategorien aus Art. 9 DSGVO erfolgen. Art 6 Abs. 1 lit. f DSGVO stellt für solche Daten keine zulässige Rechtsgrundlage dar. Die DSGVO enthält keine Erlaubnisnorm für die Verarbeitung besonderer Kategorien personenbezogener Daten für Zwecke der Werbung.

 

Bereits erteilte rechtswirksame Einwilligungen in die Nutzung oder Übermittlung personen-bezogener Daten (z. B. für werbliche Zwecke) gelten fort, sofern sie der Art nach den Bedingungen der Datenschutzgrundverordnung entsprechen, Erwägungsgrund (171 S. 3).

 

Das bisher schon bestehende Koppelungsverbot für Werbung findet sich auch in der DSGVO wieder. Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, ist dem Umstand in größtmöglichem Umfang Rechnung zu tragen, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist.

 

Fazit:

 

Für die Zulässigkeit von Werbung wird in Zukunft fast ausschließlich die nach Art. 6 Abs. 1 lit. f DSGVO vorgeschriebene Interessenabwägung Anwendung finden.

Dr. Bettina Kraft

Beraterin für Datenschutz

Volljuristin

Abbinder Abmahnung Abmahnungen ADCERT Angemessenheitsbeschluss Anwendbarkeit Arbeitsrecht Art. 17 DSGVO Art. 25 DSGVO Art. 26 DSGVO Art. 32 DSGVO Art. 37 DSGVO Art. 4 Nr. 12 DSGVO Art. 45 DSGVO Art. 8 MRK Art. 9 DSGVO Auchfsichtsbehörde Audit Aufsichtsbehörde Auftragsverarbeitung Auskunftei Auskunftsrecht Automatisierte Einzelentscheidung Autsch Backup BAG BDSG-Neu Begrifflichkeiten Beherbergungsstätten Benachrichtigungspflicht Beschäftigtendatenschutz besondere Kategorien personenbezogener Daten betriebliche Nutzung betrieblicher E-Mail-Account betrieblicher Internetzugang Betroffenenrechte BfDI BGH Bildberichterstattung Bildrechte biometrische Daten Biometrische und genetische Daten Bitcoins Bitkom Bonitätsprüfung Brexit Bundesarbeitsgericht Bußgeld BVG Cloud CNIL Compliance Cookie Custom Audience Dashcam Datenlöschung Datenminimierung Datenpanne Datenschutz Datenschutz Grundverordnung Datenschutz-Schulungen Datenschutzabkommen Datenschutzbeauftragte Datenschutzbeauftragter Datenschutzerklärung Datenschutzgrundsätze Datenschutzgrundverordnung Datenschutzprinzipien Datenschutzverletzung Datensicherheit Datenübermittlung Datenübermittlung an Dritte Datenübermittlung in Drittstaaten Datenverarbeitung Deutsche Bahn Do not track-Funktion Donald Trump Dritter Drittstaat ohne angemessenes Datenschutzniveau DSAnpUG-EU DSGVO DSK dynamische IP-Adresse E-Mail e-Privacy-Verordnung eCall-Technologie EES EFAIL Einwilligung Einwilligungserklärung Einwilligungserklärungen Empfänger Entsorgung Erhebung personenbezogener Daten Erwägungsgrund 48 der DSGVO eSafety-Initiative ETIAS EU EU-Datenschutz-Grundverordnung EU-Parlament EuGH Europäische Union Facebook Facebook-Fanpages Facebook-Pixel Fachbereich Fahrzeugdaten Fahrzeuge Fanpage Fernmeldegeheimnis FlugDaG Fluggastdaten Foto Funkmäuse Funktastaturen Geldbörse Gemeinsam Verantwortliche Gesetz gegen den Unlauteren Wettbewerb Google Google Analytics Hacker Home Office Immobilienmakler Informationspflichten Informationssicherheit Infrastruktur Inhalteanbieter Insights interner Datenschutzbeauftragter Investition IP-Adresse Irland ISO/IEC 27001 IT Governance IT GRC IT-Forensik IT-forensische Untersuchung IT-Sicherheit IT-Systeme Joint Control Kanada Klagebefugnis Konzern konzerninterner Datentransfer KUG Kundenbindung Kunsturhebergesetz Leistungs- und Verhaltenskontrolle Löschung personenbezogener Daten Lösegeld Markennamen Markenrecht Marktortprinzip Meldepflicht Meldescheine Meltdown Microsoft Misch-Account MouseJack-Angriffe NIST Nutzungsbedingungen One Stop Shop Passenger Name Records Passwort Passwörter Passwörter. 2016 Passwortregeln Passwortschutz Penetrationstest Personalausweiskopien personenbezogene Daten Personenbilder Persönlichkeitsrechte Plattformbetreiber PNR-Daten PNR-Instrumente Privacy by Default Privacy by Design Privacy Shield private Handynummer private Mobilfunknummer Privatnutzung Privatnutzungsverbot Profiling Quantencomputer Ransomware reale Infrastruktur Recht auf Achtung des Privat- und Familienlebens Recht auf Berichtigung Recht auf Datenübertragbarkeit Recht auf Einschränkung Recht auf Löschung Rechte der betroffenen Person Reichweitenanalyse Risiko Risikomanagement Risk & Compliance Management SamSam Sanktionen Schadprogramm Seitenbetreiber Sicherheitsvorfall Sicherheitsvorfälle kritische Infrastrukturen IT-Sicherheitsbeauftragten ISMS Sicherung der Daten Siegel Skype Software Software-Entwicklung Sony PSN Soziale Netzwerke Spectre Standardvertragsklauseln Supercomputer Risikolage Technische & organisatorische Maßnahmen technische & organisatorische Maßnahmen Telemediendienst Telemediengesetz Telstra Security Report TKG TMG Tracking Tracking Tools Twitter Übermittlung personenbezogener Daten Überwachungssoftware Umfrage Umsetzungsfrist unpersonalisierter Benutzer-Account Unternehmensgruppe US-Regierung USA UWG Verantwortlicher Verantwortung Vereinbarung Vernichtung von Datenträgern Veröffentlichung Verordnung (EU) 2015/758 verschlüsseln Verschlüsselte E-Mails Verschlüsselungsverfahren Vertrag zur Auftragsverarbeitung Verwaltungsakt Verwaltungsgericht Karlsruhe Videoüberwachung Vorteile WannaCry Webseite Webseiten Webtracking Webtrecking Werbeaussage Werbung Wettbewerb Wettbewerbsrecht wettbewerbsrechtliche Abmahnung Wettbewerbsverstöße WhatsApp Widerruf Widerrufsrecht Widerspruchsrecht Zertifikat Zertifizierung Zugangsdaten zulässig Zulässigkeit § 15 TMG § 26 BDSG-Neu § 32 BDSG § 32 DSGVO § 35 BDSG-Neu § 38 BDSG-Neu § 3a UWG § 42a BDSG § 42b BDSG § 88 TKG

Tags

Mo Di Mi Do Fr Sa So
          1 2
3 4 5 6 7 8 9
10 11 12 13 14 15 16
17 18 19 20 21 22 23
24 25 26 27 28 29 30