Rechts-Checkliste DSGVO: Was Marketingentscheider jetzt wissen müssen

Am 25.05.2018 endet die Übergangszeit der Datenschutz-Grundverordnung (DSGVO)  . Dann findet in allen Mitgliedsstaaten der Europäischen Union die DSGVO Anwendung, die das bisherige Datenschutzrecht auf EU-Ebene reformieren wird. Sie ersetzt dabei weitestgehend die bisher gültigen Vorschriften des Bundesdatenschutzgesetzes (BDSG). Ab dem Stichtag drohen bei DSGVO-Verstößen bereits Bußgelder in Höhe von bis zu 20 Millionen Euro oder vier Prozent des gesamten weltweit erzielten Jahresumsatzes. Deswegen müssen Unternehmen ihre Marketingprozesse bereits jetzt in der Übergangsphase anpassen. Auch auf Marketingverantwortliche kommen gestiegene Anforderungen durch die neuen Regelungen zu. So ergeben sich besonders im Online Marketing und in der direkten Kundenansprache zum Teil strenge datenschutzrechtliche Neuerungen.

Die DSGVO bewirkt jedoch nicht nur gestiegene Anforderungen für das Marketing in Sachen Informationspflichten, Risikoabschätzung, Meldepflichten und Co., sondern soll in erster Linie den Datenschutz in der EU in Zeiten der Digitalisierung und Big Data modern und zukunftsfähig gestalten. Da über nationale Grenzen hinweg dieselben Bestimmungen gelten werden, bedeutet das auch gleiche Ausgangsbedingungen für alle EU-Länder.

Da es um das Datenschutzrecht geht, ist jedes Unternehmen von der DSGVO betroffen, das innerhalb der EU Daten erhebt, verarbeitet oder nutzt, selbst wenn der Unternehmenshauptsitz nicht in der EU liegt. Das heißt, dass sich künftig auch Unternehmen wie Google   und Facebook   an die Regelungen der DSGVO halten müssen. Diese genießen bisher Wettbewerbsvorteile, weil sie sich nach aktueller Rechtslage nicht an das deutsche BDSG, sondern an das etwas weniger strenge irische Datenschutzrecht halten müssen.

Besonders erfreulich: Es gibt auch einige wesentliche Vereinfachungen im Bereich der Datennutzung zu Werbezwecken. Wir klären Sie über die wichtigsten Neuerungen und Pflichten im Marketingbereich auf, damit Sie und Ihre Kampagnen ab dem 25.Mai 2018 fit für die neuen Datenschutzregeln sind.

Grundsätzlich: DSGVO

Grundsätzlich gilt auch für das Marketing, dass die allgemeinen Bestimmungen nach der DSGVO für personenbezogene Daten Anwendung finden. Regelungen für das (Online) Marketing finden sich insbesondere in Art. 6 DSGVO  , welcher die Rechtmäßigkeit der Datenverarbeitung regelt, sowie in Art. 21 DSGVO  . Dieser bestimmt die jeweiligen Widerspruchsrechte der Betroffenen. Die Datenschutzgrundverordnung nimmt im Hinblick auf die Zulässigkeit der Datenverarbeitung noch stärker als das BDSG eine Interessenabwägung und die jeweiligen Widerspruchsrechte des Betroffenen in den Fokus.

Personenbezogene Daten zu Marketingzwecken: So war es bisher

Bislang war die Nutzung personenbezogener Daten zu Werbezwecken (beispielsweise für personalisierte Mailings) grundsätzlich untersagt, sofern keine explizite Erlaubnis des Betroffenen vorlag (Erlaubnistatbestand). Lag keine Einwilligung vor, war die Datennutzung laut § 28 BDSG   (Bundesdatenschutzgesetz) nur unter folgenden Bedingungen erlaubt:

• Bei den Daten handelt es sich um sogenannte Listendaten. Das sind Berufs-, Branchen- oder Geschäftsbezeichnung, Name, Titel, akademischer Grad, Anschrift, Geburtsjahr und Zugehörigkeit zu einer Personengruppe. E-Mailadressen, Fax und Telefonnummern gehören nicht dazu.
  
• Die Daten wurden rechtmäßig erworben oder erhoben. Für Eigenwerbung müssen sie aus einem allgemein zugänglichen Verzeichnis stammen oder beim Kunden selbst zum Zweck der Vertragsdurchführung erhoben worden sein. Soweit es sich um Werbung im Hinblick auf die berufliche Tätigkeit des Betroffenen handelt, kommt es auf die Form der Erhebung nicht an.
  
• Schutzwürdige Interessen des Kunden dürfen nicht entgegenstehen. Damit ist eine Interessenabwägung zwischen den Interessen des Kunden und dem kommerziellen Interesse gemeint.

Davon unabhängig sind die Vorschriften des Gesetzes gegen den unlauteren Wettbewerb (UWG  ) zu beachten, die auch nach Einführung der DSGVO weiterhin gültig sein werden.

Grundsätzlich gilt auch für das Marketing, dass die allgemeinen Bestimmungen nach der DSGVO für personenbezogene Daten Anwendung finden. Regelungen für das (Online) Marketing finden sich insbesondere in Art. 6 DSGVO, welcher die Rechtmäßigkeit der Datenverarbeitung regelt, sowie in Art. 21 DSGVO, der die jeweiligen Widerspruchsrechte der Betroffenen bestimmt. Die Datenschutzgrundverordnung nimmt im Hinblick auf die Zulässigkeit der Datenverarbeitung noch stärker als das BDSG eine Interessenabwägung und die jeweiligen Widerspruchsrechte des Betroffenen in den Fokus.

1. Datennutzung zu Marketingzwecken ab dem 25. Mai 2018

Die Nutzung personenbezogener Daten für Marketingzwecke wird in der DSGVO deutlich vereinfacht: Das nicht mehr zeitgemäße Listendatenprivileg (§ 28 Abs. 3 BDSG), welches es so nur in Deutschland gibt, wurde abgeschafft. Stattdessen rücken die kommerziellen Interessen an der Datenverarbeitung stärker in den Vordergrund, sofern das jeweilige Unternehmen ein berechtigtes Interesse an deren Nutzung hat (Art. 6 Abs. 1 f DSGVO). In der Datenschutzgrundverordnung werden spezifische Erwägungsgründe formuliert, welche zumindest das Direkt Marketing bzw. personalisierte Werbung als ein derartig berechtigtes Interesse werten (Erwägungsgrund Nr. 47). Daher scheint auch die Neukundenakquise ab dem 25. Mai 2018 datenschutzrechtlich wieder möglich, wettbewerbsrechtliche Beschränkungen gelten allerdings weiterhin.

2. Betroffenenwiderspruch berücksichtigen

Der Betroffene kann zu jeder Zeit gegen die Nutzung seiner Daten zu Zwecken der Direktwerbung sowie das damit verbundene Profiling Widerspruch einlegen (Art. 21 DSGVO). Insoweit ergeben sich keine großen Unterschiede zur bisherigen Rechtslage, da der Betroffene auch bisher der Nutzung zu Werbezwecken widersprechen konnte. Die DSGVO sieht vor, dass Sie auf das Widerspruchsrecht hinweisen müssen. Erwägungsgrund 70 sieht vor, dass der Hinweis in einer verständlichen und von anderen Informationen getrennten Form erfolgen soll. Der Hinweis muss mit der ersten Kontaktaufnahme erfolgen.

3. Interessen abwägen

Für die Zulässigkeit von Marketingmaßnahmen müssen Sie stets im Einzelfall zwischen den Interessen und Rechten der betroffenen Personen und Ihren eigenen berechtigten Interessen abwägen. Wessen Interesse überwiegt? Aus Erwägungsgrund 47 folgt jedenfalls, dass die Direktwerbung ein solches Interesse darstellen kann. Auf der anderen Seite soll die vernünftige Erwartung des Betroffenen zu berücksichtigen sein. Maßgeblich dafür ist die Beziehung zu dem Verantwortlichen, etwa wenn der Betroffene dessen Kunde ist, oder wenn er absehen kann, dass eine Datenverarbeitung zu Zwecken der Werbung erfolgt. Sofern also die Interessen des Betroffenen nicht überwiegen und dieser keinen Widerspruch gegen die Datennutzung eingelegt hat, dürfen Sie die Daten zu Marketingzwecken verwenden.

4. Informations- und Dokumentationspflichten

Sie müssen in der Lage sein, die Voraussetzungen der Datenverarbeitung, also insbesondere auch die Interessenabwägung, bei einer Prüfung durch die Datenschutzbehörden nachzuweisen (Art. 5 Abs. 2 DSGVO). Zudem bestehen verschiedene Informationspflichten, im Rahmen derer Sie die von Ihnen verfolgten berechtigten Interessen ausdrücklich benennen müssen (Art. 13, 14 DSGVO). Dies kann beispielsweise im Rahmen der Datenschutzerklärung erfolgen. Die Informations- und Dokumentationspflichten gelten auch bei Erteilung einer Einwilligung. Diese Hinweise müssen in leicht verständlicher Form erfolgen (Art. 12 DSGVO).

5. Das Verzeichnis von Verarbeitungstätigkeiten

Bezüglich des zu führenden Verfahrensverzeichnisses gibt es verschiedene Neuerungen, die von Unternehmen zu beachten sind. Nach bisheriger Rechtslage musste ein solches Verzeichnis vom Datenschutzbeauftragten geführt werden, dem die hierfür erforderlichen Informationen von den Verantwortlichen zur Verfügung gestellt werden mussten.

Nunmehr wird dem Verantwortlichen selbst die Führung eines Verzeichnisses aller Verarbeitungstätigkeiten auferlegt. Diese Pflicht entfällt nur unter sehr engen Voraussetzungen, die selten vorliegen werden (Art. 30 Abs. 5 DSGVO: Hier gibt es allerdings unterschiedliche Interpretationen in der englischen und der deutschen Fassung, weshalb derzeit keine rechtskonforme Stellungnahme möglich ist). Das von Ihnen zu führende Verzeichnis muss unter anderem folgende Informationen beinhalten:

• Namen und Kontaktdaten des Verantwortlichen,
  
• Zweck der Verarbeitung,
  
• Kategorien betroffener Personen und personenbezogener Daten und
• etwaige Übermittlungen der Daten.

6. Neue Pflichten bei der Einwilligung

Die Verarbeitung zu Werbezwecken kann auch weiterhin auf die Einwilligung des Betroffenen gestützt werden (Art. 6 Abs. 1 a, Art. 7 DSGVO). Die Einwilligung obliegt jedoch weiterführenden Bestimmungen. Ganz besonders wichtig ist zunächst die Freiwilligkeit der Einwilligung sowie deren Nachvollziehbarkeit (Erwägungsgrund 42). So soll es an der Freiwilligkeit dann fehlen, wenn zu verschiedenen Verarbeitungsvorgängen keine gesonderte Einwilligung erteilt werden kann, obwohl dies angebracht erscheint (Erwägungsgrund 43). Gleiches gilt für den Fall, dass ein großes Ungleichgewicht beziehungsweise ein Abhängigkeitsverhältnis zwischen dem Betroffenen und dem Verantwortlichen besteht. Ist Letzterer beispielsweise eine Behörde oder der Arbeitgeber, so handelt es sich nicht zwangsläufig um eine freiwillige Einwilligung (Erwägungsgrund 43). Große Bedeutung soll zudem dem Umstand zukommen, ob von der Einwilligung die Erfüllung eines Vertrages abhängig gemacht wird, obwohl die Einwilligung hierfür nicht erforderlich ist (Art. 7 Abs. 4 DSGVO). Fehlt es an einer freiwilligen Einwilligung oder einem sonstigen Erlaubnistatbestand und werden dennoch Daten der betroffenen Person verarbeitet, so stellt das einen bußgeldbewährten Verstoß da.

Auch die Form der Einwilligung ist entscheidend. Wichtig ist, dass die Einwilligung in eindeutiger Weise gegeben wurde. Hierbei kann es sich zum Beispiel um schriftliche, elektronische oder sogar mündliche Einwilligungen handeln (Erwägungsgrund 32). Da Sie nach der DSGVO jedoch zur Dokumentation verpflichtet sind, empfehlen wir Ihnen, eine online oder mündlich erfolgte Einwilligung noch einmal vom Betroffenen bestätigen zu lassen (das bloße elektronisch angekreuzte Kästchen reicht insoweit nicht aus). In der Praxis bewährt hat sich - der Einfachheit halber - der per E-Mail versendete Bestätigungslink.
Auch die derzeit noch in der Verhandlung befindliche ePrivacyVO, die zukünftig das TMG ersetzen wird, wird diesbezüglich zu berücksichtigen sein.

Was jetzt zu tun ist: Daten, die aktuell über Werbeeinwilligungen generiert werden, dürfen nach den Erwägungsgründen der DSGVO über den 25.05.2018 hinaus weiter genutzt werden, wenn sie bereits jetzt den neuen datenschutzrechtlichen Anforderungen entsprechen. Überall im Shop, wo über Onlineformulare Werbeeinwilligungen eingeholt werden, sollten die Prozesse daher bereits jetzt auf ein Double-Opt-in mit Einwilligungstext und Checkbox im Formular umgestellt werden.

7. Den Betroffenen ein Recht auf Datenübertragung bereitstellen

Eine wesentliche Neuerung der Datenschutzgrundverordnung ist das Recht für den Einzelnen beziehungsweise Betroffenen, seine Daten in strukturierter, maschinenlesbarer Form zu erhalten, um diese beispielsweise von einem Unternehmen zum nächsten zu übertragen. Die Datenübertragung macht etwa Sinn bei Anbieterwechseln von Social-Media-Portalen oder Telekommunikationsanbietern. Durch die automatische Datenübertragung wird nicht nur dem Betroffenen ein unkomplizierter Wechsel erlaubt, die neue Regelung fördert darüber hinaus zeitgleich den Wettbewerb datengetriebener Unternehmen sowie datensicherer Technologien.

8. Das müssen Sie bei der Analyse von Big Data beachten

In der Datenschutzgrundverordnung werden Big-Data-Analysen unter das sogenannte Profiling gefasst. Im Zusammenhang mit onlinebasierten Systemen handelt es sich dabei insbesondere um die Erstellung von Nutzerprofilen auf der Grundlage von Big Data. Darunter fallen automatisierte Verarbeitungsprozesse personenbezogener Daten unter Bewertung persönlicher Aspekte wie Alter, Haarfarbe, Größe und Co. Dies dient unter anderem der Optimierung von Kundenangeboten zum Beispiel im Bereich des E-Commerce. Das Profiling ist nach Art. 22 Abs.1 grundsätzlich verboten. Es ist jedoch nur unzulässig, soweit eine ausschließlich automatisierte Verarbeitung personenbezogener Daten erfolgt und diese Verarbeitung eine rechtliche oder ähnliche Wirkung für den Betroffenen entfaltet. Was eine rechtliche Wirkung ist und welche Verarbeitung den Betroffenen in ähnlicher Weise beeinträchtigt, ist zwar noch ungeklärt, nach jetzigem Stand können Sie jedoch davon ausgehen, dass personalisierte Werbung nicht unter das Verbot des Art. 22 Abs. 1 DSGVO fällt, da diese eine solche Wirkung wohl nicht entfaltet.

9. Machen Sie eine Datenschutzfolgenabschätzung

Neu eingeführt ist mit der DSGVO zudem die Datenschutzfolgenabschätzung (Art. 35 DSGVO). Diese ist vorgeschrieben, wenn aus der Verarbeitung personenbezogener Daten ein hohes Risiko für die Rechte und Freiheiten von natürlichen Personen folgt. Dies soll insbesondere bei der Verwendung neuer Technologien der Fall sein, oder wenn aufgrund der Art, des Umfangs oder der Zwecke der Datenverarbeitung von einem erhöhten Risiko auszugehen ist. Daraus folgt auch die besondere Bedeutung der Datenschutzfolgenabschätzung für ein gesetzeskonformes Marketing. Prüfen Sie jedes neue Marketingkonzept auf seine datenschutzkonforme Umsetzung. Wenden Sie sich dazu an Ihren Datenschutzbeauftragten beziehungsweise an einen externen Dienstleister.

10. Anpassung der bisherigen Auftragsdatenverarbeitungsverträge

Sämtliche bisherigen Auftragsdatenverarbeitungsverträge sind auf die neuen Pflichten und technischen und organisatorischen Maßnahmen hin zu aktualisieren. Die DSGVO sieht dazu auch Standardvertragsklauseln vor, die jedoch noch nicht vorliegen. Shopbetreiber können aber bereits jetzt schon einmal listen, welche Verträge es bei ihnen gibt und auch schon die vorhandenen Zertifizierungen überprüfen.

11. Meldepflichten beachten

Ein Novum ist auch die Pflicht, die Betroffenen und die Aufsichtsbehörden über etwaige Datenpannen zu informieren (Art. 33, 34 DSGVO). Diese Meldepflicht besteht grundsätzlich, wenn von der Verletzung ein Risiko für Rechte und Freiheiten natürlicher Personen ausgeht. Die Meldung soll unverzüglich und möglichst binnen 72 Stunden erfolgen. Zudem sind die Verletzung und ihre Umstände umfassend zu dokumentieren, damit der Aufsichtsbehörde die Überprüfung der Einhaltung der Vorschriften der DSGVO möglich ist.

12. Vorsicht vor hohen Bußgeldern

Für Unternehmen kann ein Verstoß gegen die Vorschriften der Datenschutzgrundverordnung teuer werden. Es sind bis zu 20 Millionen Euro oder 4 Prozent des gesamten weltweiten Jahresumsatzes als Bußgeld möglich, je nachdem welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO).
Was jetzt zu tun ist: Beginnen Sie noch während der Übergangszeit mit der Überprüfung Ihrer bestehenden Marketingkampagnen und -maßnahmen auf die Kompatibilität mit der DSGVO. Insbesondere bietet es sich an, die Einwilligungserklärungen zu überarbeiten, damit diese auch über den 25. Mai 2018 hinaus nahtlos fortgelten und von Ihnen weiterhin genutzt werden können.

Die DSGVO bietet viele Vereinfachungen im Bereich der Nutzbarmachung von Daten im Marketing, wozu vor allem die Möglichkeit der Ersetzung der Einwilligung durch eine Interessenabwägung zählen dürfte. Durch die DSGVO entstehen aber auch zusätzliche Rechtsunsicherheiten und Risiken. Legen Sie einen besonderen Fokus auf die besprochenen Informations- und Dokumentationspflichten und beobachten Sie auch die aktuelle Entwicklung im Bereich der EPrivacy-Verordnung, welche einzelne Aspekte im (Online) Marketing noch genauer regeln wird. Insgesamt bringt damit die Implementierung der DSGVO viel Klärungsbedarf mit sich, der eine sorgfältige Beobachtung aktueller Entwicklungen sowie eine dementsprechend qualifizierte Beratung nahelegt.

---

iBusiness-Autorin Kathrin Schürmann ist Rechtsanwältin und Partnerin bei Schürmann Wolschendorf Dreyer Rechtsanwälte  . Neben dem Urheber- und Medienrecht, Datenschutz und Wettbewerbsrecht ist sie auf den gesamten Marketingbereich spezialisiert, insbesondere auf der Schwelle zwischen Wettbewerbs- und Datenschutzrecht. Hierbei betreut die Rechtsanwältin unter anderem Kundenbindungssysteme und digitale Geschäftsmodelle.