Kleine Unternehmen sollten beim Datenschutz im Marketing zuerst klären, welche personenbezogenen Daten sie wofür nutzen. Für jede Verarbeitung braucht es eine passende Rechtsgrundlage. Hinzu kommen die Anforderungen an den Werbekanal und die eingesetzte Technik. Wer diese Zusammenhänge bereits bei der Kampagnenplanung betrachtet, kann die rechtlichen Fragen gezielter prüfen. Dieser Artikel ordnet die Vorgaben für Deutschland ein.
Der Verwendungszweck bestimmt, welche Daten nötig sind
Für die Planung einer Kampagne macht es einen Unterschied, ob ein Unternehmen einen Newsletter zustellen oder das Verhalten einzelner Empfänger auswerten möchte. Die Versandadresse erfüllt eine andere Funktion als personenbezogene Informationen darüber, welche Inhalte jemanden interessieren. Entsprechend muss sich die Bewertung der benötigten Daten am jeweiligen Verwendungszweck orientieren.
Artikel 5 DSGVO verlangt, dass personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden. Zugleich müssen sie auf das für diese Zwecke notwendige Maß beschränkt bleiben. Für Marketingverantwortliche bedeutet das, den Zusammenhang zwischen einer geplanten Auswertung und ihrem konkreten Ziel begründen zu können. Dass eine Software zusätzliche Merkmale erfassen kann, beantwortet diese Frage noch nicht.
Vorhandene Daten brauchen einen passenden Verwendungszweck
Auch bei bestehenden Kundendaten bleibt die Zweckbindung maßgeblich. Werden Informationen aus der Bestellabwicklung später für Werbung verwendet, ist zu beurteilen, ob diese Verwendung rechtlich gedeckt ist. Der bloße Zugriff auf den Datenbestand begründet keine Erlaubnis.
Eine spätere Nutzung für einen anderen Zweck ist allerdings nicht grundsätzlich ausgeschlossen. Soweit eine Prüfung der Zweckvereinbarkeit nach Artikel 6 Absatz 4 DSGVO erforderlich ist, zählen unter anderem der Zusammenhang zwischen den Zwecken, der Erhebungskontext und mögliche Folgen für die betroffenen Personen.
Für die Kampagnenplanung ergibt sich daraus eine konkrete Aufgabe. Das gewünschte Ergebnis muss so klar beschrieben sein, dass sich die dafür benötigten Daten bestimmen lassen. Anschließend stellt sich die Frage, welche Rechtsgrundlage die geplante Verarbeitung trägt.
Berechtigtes Interesse braucht eine konkrete Abwägung
Für die Verarbeitung personenbezogener Daten zu Werbezwecken kann das berechtigte Interesse eine Rechtsgrundlage sein. Erwägungsgrund 47 DSGVO nennt Direktwerbung ausdrücklich als möglichen Anwendungsfall. Ob eine konkrete Verarbeitung darauf gestützt werden darf, entscheidet sich jedoch an den Voraussetzungen des Artikels 6 Absatz 1 Buchstabe f DSGVO.
Drei Bedingungen müssen zusammenkommen. Das Unternehmen verfolgt ein berechtigtes Interesse, die Verarbeitung ist dafür erforderlich und die entgegenstehenden Interessen oder Grundrechte der betroffenen Personen überwiegen nicht. Das wirtschaftliche Ziel einer Kampagne allein beantwortet diese Fragen noch nicht. Zur Erforderlichkeit gehört auch die Prüfung, ob sich das Interesse ebenso wirksam mit Mitteln erreichen lässt, die weniger stark in die Rechte der Betroffenen eingreifen.
Welche Nutzung Kunden vernünftigerweise erwarten können
Bei der Abwägung zählt unter anderem, in welcher Beziehung eine Person zum Unternehmen steht und unter welchen Umständen ihre Daten erhoben wurden. Eine bestehende Kundenbeziehung ist dabei ein relevanter Gesichtspunkt. Sie erlaubt jedoch keine beliebige werbliche Nutzung der gespeicherten Informationen.
Die Datenschutzkonferenz betont, dass die Abwägung das konkrete Werbevorhaben berücksichtigen muss. Allgemeine Verweise auf übliche Marketingpraktiken reichen dafür nicht aus. Ebenso wenig lässt sich eine ansonsten unerwartete Verwendung allein dadurch rechtfertigen, dass sie in den Datenschutzhinweisen beschrieben wird. Nach Auffassung der Behörden erweitert die Erfüllung der Informationspflichten die vernünftigen Erwartungen der Betroffenen nicht. Für Marketingverantwortliche folgt daraus, jede geplante Nutzung anhand ihrer tatsächlichen Ausgestaltung zu bewerten. Zusätzlich sind die Regeln des jeweiligen Werbekanals zu beachten. Besonders deutlich wird dieses Zusammenspiel beim Versand werblicher Nachrichten per elektronischer Post.
Für elektronische Werbung gelten auch bei bestehenden Kontakten Grenzen
Für Werbung per elektronischer Post verlangt § 7 UWG grundsätzlich eine vorherige ausdrückliche Einwilligung. Das gilt auch gegenüber geschäftlichen Empfängern. Eine vermutete Offenheit für fachlich passende Angebote genügt dafür nicht. Die Datenschutzkonferenz berücksichtigt diese Vorgaben auch bei der Interessenabwägung nach der DSGVO. Ist der gewählte Kontaktweg wettbewerbsrechtlich unzulässig, fehlt nach ihrer Auffassung bereits das berechtigte Interesse an dieser werblichen Ansprache. Beide rechtlichen Ebenen müssen deshalb zusammen betrachtet werden.
Wann die Bestandskundenausnahme greift
§ 7 Absatz 3 UWG erlaubt elektronische Werbung ohne vorherige ausdrückliche Einwilligung unter vier gemeinsam zu erfüllenden Voraussetzungen. Das Unternehmen muss die Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden erhalten haben. Die Werbung muss eigene ähnliche Waren oder Dienstleistungen betreffen. Der Kunde darf der Verwendung nicht widersprochen haben. Außerdem muss er bei der Erhebung und bei jeder Verwendung klar auf sein jederzeitiges Widerspruchsrecht hingewiesen werden. Dafür dürfen höchstens die Übermittlungskosten nach den Basistarifen entstehen.
Ein Eintrag in der Kundendatenbank belegt diese Voraussetzungen für sich genommen nicht. Auch ein Abmeldelink im Newsletter allein erfüllt die Anforderungen der Ausnahme nicht. Entscheidend sind ebenso die Umstände der Adresserhebung und der Inhalt der beworbenen Angebote. Die datenschutzrechtliche Bewertung bleibt daneben erforderlich. Nach der Orientierungshilfe der Datenschutzkonferenz muss der Werbezweck bei der Erhebung transparent gemacht worden sein. Unter den dort beschriebenen Voraussetzungen kann die Verarbeitung auf ein berechtigtes Interesse gestützt werden.
Die Qualität eines Verteilers hängt damit auch von der nachvollziehbaren Herkunft und zulässigen Verwendung seiner Kontakte ab. Der Status als Bestandskunde beantwortet diese Fragen noch nicht vollständig.
Bei der Erfolgsmessung entscheidet die technische Umsetzung
Mit der zulässigen Ansprache ist die rechtliche Bewertung einer Kampagne noch nicht abgeschlossen. Auch die anschließende Erfolgsmessung verlangt einen Blick auf die eingesetzte Technik. Dabei sind zwei Ebenen zu unterscheiden. § 25 TDDDG schützt die Privatsphäre bei Endgeräten. Die Abkürzung steht für das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. Die DSGVO regelt die Verarbeitung personenbezogener Daten.
Wer Informationen auf einem Endgerät speichert oder auf dort bereits gespeicherte Informationen zugreift, benötigt grundsätzlich eine Einwilligung. Das TDDDG sieht Ausnahmen vor, wenn ausschließlich die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz bezweckt wird. Eine weitere Ausnahme betrifft Vorgänge, die unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen. Der wirtschaftliche Nutzen einer Auswertung für das Unternehmen erfüllt diese Voraussetzung für sich genommen nicht.
Die Bezeichnung „cookieless“ allein lässt offen, welche technischen Vorgänge eine Messlösung tatsächlich ausführt. § 25 TDDDG ist jedoch nicht auf diese Technik beschränkt und erfasst auch Informationen ohne Personenbezug. Entscheidend bleibt, welche Speicherungen oder Zugriffe eine Messlösung tatsächlich ausführt. Entscheidend bleibt, welche Speicherungen oder Zugriffe eine Messlösung tatsächlich ausführt. Selbst wenn eine Umsetzung ohne einwilligungspflichtigen Endgerätezugriff auskommt, kann sie personenbezogene Daten verarbeiten. Dafür ist weiterhin eine passende Rechtsgrundlage nach der DSGVO erforderlich. Wird eine Einwilligung genutzt, muss sie unter anderem freiwillig, informiert und auf die konkreten Zwecke bezogen sein.
Für Marketingverantwortliche ergibt sich daraus ein genauerer Maßstab für die Auswahl einer Messlösung. Relevant sind die tatsächlich verarbeiteten Informationen, ihre Verwendung und die technische Konfiguration. Eine Produktbezeichnung allein beantwortet diese Fragen nicht. Ebenso gehört zur fachlichen Bewertung, welche Aussage die Auswertung liefern soll und welche Daten dafür benötigt werden. Damit führt die Erfolgsmessung zurück zur Kampagnenplanung und weiter zu der Frage, wer die eingesetzten Systeme betreibt und Verantwortung für die Verarbeitung übernimmt.
Zwischen CRM, Agentur und Versandtool muss Verantwortung klar bleiben
Die Zusammenarbeit mit Dienstleistern verändert die Aufgabenverteilung im Marketing. Wer datenschutzrechtlich welche Rolle übernimmt, richtet sich nach der tatsächlichen Verarbeitung. Verantwortlich ist, wer über deren Zwecke und Mittel entscheidet. Ein Auftragsverarbeiter verarbeitet personenbezogene Daten dagegen weisungsgebunden für den Verantwortlichen.
Deshalb ist eine Agentur oder ein Softwareanbieter nicht automatisch Auftragsverarbeiter. Werden Zwecke und Mittel gemeinsam festgelegt, kann gemeinsame Verantwortlichkeit vorliegen. Die Einordnung muss zur konkreten Zusammenarbeit passen.
Bei einer Auftragsverarbeitung verlangt Artikel 28 DSGVO einen Vertrag oder ein anderes dort vorgesehenes verbindliches Rechtsinstrument. Darin werden unter anderem Weisungen, Sicherheitsanforderungen und die Unterstützung bei Betroffenenrechten geregelt. Die eigenen Pflichten des verantwortlichen Unternehmens bleiben bestehen.
Ein Werbewiderspruch betrifft auch verbundene Systeme
Wie wichtig diese Aufgabenverteilung ist, zeigt sich beim Werbewiderspruch. Widerspricht eine Person der Verarbeitung ihrer Daten für Direktwerbung, dürfen diese dafür nicht weiterverarbeitet werden. Eine erneute Abwägung mit den wirtschaftlichen Interessen des Unternehmens findet dann nicht statt. Für die technische Umsetzung bedeutet das, den Widerspruch überall dort zu berücksichtigen, wo die betroffene werbliche Verarbeitung erfolgt. Werden Kontakte zwischen Kundendatenbank und Versandplattform übertragen, muss auch dieser Austausch berücksichtigt werden. Ein späterer Import darf einen bereits erklärten Widerspruch nicht wirkungslos machen.
Dabei geht es um die vom Widerspruch erfasste Nutzung für Direktwerbung. Ob Daten für andere Zwecke weiterhin verarbeitet werden dürfen oder müssen, ist gesondert zu beurteilen. Für kleine Marketingteams liegt hier eine konkrete organisatorische Aufgabe. Es muss nachvollziehbar sein, wo ein Widerspruch eingeht, wer ihn bearbeitet und wie die beteiligten Systeme ihn berücksichtigen. Datenschutz im Marketing zeigt sich damit auch darin, ob vereinbarte Zuständigkeiten im laufenden Betrieb funktionieren.
Klarheit entsteht in der Kampagnenplanung
Für kleine Unternehmen liegt ein sinnvoller Ausgangspunkt darin, die eigene Datenverarbeitung entlang konkreter Marketingmaßnahmen zu verstehen. Welche Informationen werden für den Versand benötigt, welche für die Auswertung und welche für eine spätere Ansprache? Aus diesen unterschiedlichen Verwendungen ergeben sich die Fragen nach Rechtsgrundlage, zulässigem Kontaktweg und technischer Umsetzung. Die beschriebenen Zusammenhänge sprechen dafür, Datenschutz bereits in die Kampagnenplanung einzubeziehen. Dann lassen sich auch die Aufgaben von Unternehmen, Agentur und Softwareanbieter im Zusammenhang betrachten. Dazu gehört, dass Entscheidungen über die Datennutzung im laufenden Betrieb nachvollziehbar bleiben und Widersprüche tatsächlich berücksichtigt werden.
Datenschutz im Marketing wird so zu einem festen Bestandteil professioneller Entscheidungen. Für erfahrene Marketingverantwortliche bedeutet Klarheit, die Voraussetzungen einer Maßnahme benennen zu können und offene Fragen vor ihrer Umsetzung gezielt zu klären.
Weiterführende Ressourcen
Ausgewählte Fachbeiträge, Studien und Ressourcen zum Thema.
