Es hat wieder wichtige datenschutzrechtliche Entscheidungen gegeben, die wir nachfolgend kurz präsentieren. Für die Werbewirtschaft sind die kürzlich beschlossenen Arbeitsanweisungen des Düsseldorfer Kreises in der Arbeitsgruppe „Werbung und Adresshandel“ von großer Bedeutung. Des Weiteren hat das EU-Parlament einen vorläufigen Entwurf zur EU-Datenschutzgrund-VO verabschiedet.

I. Arbeitsanweisungen der Arbeitsgruppe des Düsseldorfer Kreises zu „Werbung und Adresshandel“

Die Arbeitsanweisungen enthalten zusammengefasst folgende Beschlüsse:

1. Allgemeines

Die maßgeblichen Vorschriften zur Nutzung personenbezogener Daten sind § 28 Abs. 3, 6 BDSG i. V. m. § 7 UWG.

Vor der Erhebung personenbezogener Daten zu Werbezwecken sind die Betroffenen über die Zweckbestimmung der Erhebung, Verarbeitung oder Nutzung der Daten zu unterrichten.

Anspruchsgrundlage für die Erhebung personenbezogener Daten sind die Einwilligung des Betroffenen und § 28 Abs. 1 S. 1 Nr. 1-3 BDSG. Liegt für die Verarbeitung und Nutzung der Daten keine Einwilligung vor, ist § 28 Abs. 3 BDSG die vorrangige Spezialregelung vor § 28 Abs. 1 und Abs. 2 BDSG.

2. Einwilligung in die Verarbeitung oder Nutzung personenbezogener Daten für Werbung

Nach § 4a Abs. 1 Satz 2 BDSG und der herrschenden Rechtsprechung (BGH, Urteil vom 25. Oktober 2012, Az. I ZR 169/10, Beschluss des KG vom 29. Oktober 2012, Az. 5 W 107/12) sind Einwilligungen nur wirksam, wenn sie in Kenntnis der Sachlage und für den konkreten Fall erklärt werden. Daher müssen sie vorab verständlich für den konkreten Zweck formuliert sein, d. h. sie müssen die Art der beabsichtigten Werbung (Brief, E-Mail/SMS, Telefon, Fax), die Produkte oder Dienstleistungen, für die geworben werden soll, und die werbenden Unternehmen konkret aufführen.

Die Einwilligung muss in einem separaten Text oder –abschnitt dargestellt werden und mit der Unterschrift des Betroffenen, d. h. Schriftform gem. § 4a Abs. 1 S. 3 BDSG, versehen sein.

Einwilligungen, die nicht genutzt werden, können nach einiger Zeit (LG München I, Urteil vom 8. April 2010, Az. 17 HK O 138/10: 17 Monate) ungültig werden und „verfallen“.

3. Hinweise zu § 28 Abs. 3 BDSG

Listendaten nach § 28 Abs. 3 Satz 2 BDSG dürfen nur ein (einziges) Gruppenmerkmal aufweisen (s. Beschluss des Düsseldorfer Kreises vom 27. November 2009).Telefonnummer und E-Mail-Adresse sind keine Listendaten nach § 28 Abs. 3 S. 2 BDSG.

Die Rufnummernverzeichnisse der TK-Anbieter dürfen gem. § 104 TKG nur nach Maßgabe und Bestellungen der Kunden (öffentlich, nicht öffentlich etc.) erstellt werden. Andere Verzeichnisanbieter, die keine TK-Anbieter sind, müssen § 28 Abs. 3 BDSG beachten.

§ 28 Abs. 3 S. 2 Nr. 1 BDSG ist für eine werbliche Verarbeitung oder Nutzung von Adressdaten auch bei Preisausschreiben, Gewinnspielen, Katalog- und Prospektanforderungen anwendbar, wenn dabei die Adressdaten vom Betroffenen selbst für eine Kontaktaufnahme genannt werden; eine Einwilligung der Betroffenen ist bei solchen Sachverhalten nicht erforderlich.

Gem. § 28 Abs. 3 S. 2 Nr. 1 BDSG sind für die Datenerhebung nur allgemein zugängliche Verzeichnisse (Rufnummern-, Adressdaten-, Branchenverzeichnisse etc.) zulässig. Sonstige allgemein zugängliche Adressen wie z. B. in Zeitungsanzeigen oder im Impressum dürfen nicht erhoben werden.

Nach § 28 Abs. 3 S. 2 Nr. 1 BDSG dürfen Adressdaten mit weiteren Daten (Merkmale zu Personengruppen etc.) nur eine gewisse Zeit nach einem nicht genutzten Geschäftskontakt zu Werbezwecken oder Rückgewinnungszwecken genutzt werden. Kriterium hierfür sind evtl. entgegenstehende Interessen des Betroffenen gem. § 28 Abs. 6 BDSG, die Frist von 2 Jahren hinsichtlich der Dokumentationspflicht gem. § 34 Abs. 1 a BDSG und die nachvollziehbare Darstellung der Erforderlichkeit der weiteren Nutzung der Daten zu Werbezwecken. Kriterium für die Erforderlichkeit sind die Umstände der Löschung in § 35 Abs. 2 Nr. 3 BDSG.

Für B2B- und Spendenwerbung sind § 28 Abs. 1 Nr. 3 BDSG und § 28 Abs. 3 BDSG maßgeblich, d. h. Daten dürfen aus allen allgemein zugänglichen Quellen erhoben werden. Die Verarbeitung und Nutzung der Daten richtet sich nach § 28 Abs. 3 S. 2 BDSG.

Im Übrigen bestimmt sich B2B-Werbung nach § 28 Abs. 3 S. 2 Nr. 2 BDSG. Für B2B-(Eigen-)Werbung bei Bestandskunden können gem. § 28 Abs. 3 S. 2 Nr. 1 BDSG weiteren Daten hinzugespeichert werden.

E-Mail-Adressen, die im Rahmen einer Geschäftsbeziehung von Bestandskunden erhoben wurden, können nach § 28 Abs. 3 S. 3 BDSG hinzugespeichert und für E-mail-Werbung nach Einhaltung des § 7 Abs. 3 UWG genutzt werden.

Werbeanrufe bei Verbrauchern sind weiterhin nur nach Einwilligung des Betroffenen zulässig.

Werbeanrufe im B2B-Bereich sind bei mutmaßlicher Einwilligung nach § 7 Abs. 2 Nr. 2 UWG zulässig. Das Hinzuspeichern und Nutzen von Telefonnummern für Werbeanrufe nach § 28 Abs. 3 Satz 3 BDSG i. V. m. § 28 Abs. 3 Satz 2 Nr. 1 BDSG (Eigenwerbung bei Bestandskunden oder Eigenwerbung bei Firmenkontakten aus allgemein zugänglichen Verzeichnissen) ist daher zulässig (s. auch BGH, Urteil vom 16. November 2006, Az. I ZR 191/03, und BGH, Urteil vom 20. September 2007, Az. I ZR 88/05).

In der Werbung für B2B und Spenden muss gem. § 28 Abs. 3 S. 4 BDSG deutlich die Stelle erkennbar sein, die die Daten erstmalig erhoben hat (Transparenzgebot). Zudem ist gem. § 28 Abs. 4 S. 2 BDSG bei der Ansprache zum Zweck der Werbung die Daten verarbeitende Stelle ersichtlich sein. Nach § 34 Abs. 1 a S. 2 BDSG muss bei dem Werbenden (als Empfänger der Daten) die unmittelbare Herkunft der Daten für 2 Jahre gespeichert und hierüber auf Verlangen Auskunft gegeben werden.

Gem. § 28 Abs. 3 S. 4 BDSG bzw. § 28 Abs. 3 S. 5 BDSG muss entweder die Stelle, die die Daten erhoben hat oder für die Nutzung der Daten verantwortlich ist mit Namen, Gesellschaftsform und ladungsfähiger Anschrift, kein Postfach, angegeben werden.

Bei § 28 Abs. 3 S. 5 BDSG ist ebenfalls auf die Listendaten zu begrenzen.

Brieflich übersandte Vertragsinformationen können gem. von § 28 Abs. 3 Satz 2, Satz 5 und Satz 6 BDSG mit eigener oder fremder Werbung versehen werden. Bei E-mail-Werbung ist neben § 28 Abs. 3 S. 6 BDSG auch § 7 Abs. 3 UWG zu beachten, wobei es keine Erleichterung für Fremdwerbung gibt.

Aufgrund eines Redaktionsversehens muss es in § 28 Abs. 3 Satz 6 BDSG lauten "nach den Sätzen 2 bis 5". In dieser Weise ist das Gesetz anzuwenden.

Die durch sog. „Freundschaftswerbung“ („Tell-a-friend“) erlangten Daten dürfen gem. 28 Abs. 1 bis Abs. 3 BDSG nicht für werbliche Zwecke verwendet und nach § 4 Abs. 2 S. 1 BDSG nicht erhoben werden, da sie nicht beim Betroffenen selbst erhoben wurden und nicht aus allgemein zugänglichen Quellen stammen gem. § 28 Abs. 3 Satz 2 Nr. 1 BDSG.

4. Hinweise zu § 28 Abs. 3a BDSG

Einwilligungen können gem. § 28 Abs. 3 a BDSG auch mündlich und fernmündlich erteilt werden.

Daten von Visitenkarten, die zur Übersendung von Informationen übergeben worden sind, dürfen zu Werbezwecken verwendet werden.

Eine anderweitig erteilte Einwilligung kann in Textform gem. § 28 Abs. 3 a S. 1 BDSG i. V. m. § 126 b BGB (E-mail, pdf-Dokument) bestätigt werden. Die Originalunterschrift ist für die Bestätigung nicht erforderlich.

Die Bestätigung sollte binnen drei Monaten abgegeben werden. Die schriftliche Bestätigung ist mit der ersten Werbezusendung möglich, wenn beide Bestandteil klar voneinander getrennt sind.

Für elektronisch erteilte Einwilligungen ist das Double-Opt-In-Verfahren nach den Protokollierungskriterien des BGH anwendbar (BGH, Urteil vom 10. Februar 2011, I ZR 164/09), z. B. Ausdruck der E-Mail des Betroffenen etc.

Für über Website erlangte Telefonnummern zur Telefonwerbung sind diese Kriterien jedoch nicht anwendbar.

Nur für Zwecke der Briefwerbung an Verbraucher lässt § 28 Abs. 3 a S. 2 BDSG die Ausnahme zu, dass die datenschutzrechtliche Einwilligung (ausreichend kenntlich gemacht) und eine anderweitige vertragliche Willenserklärung mit einer Unterschrift abgegeben werden können.

5. Hinweise zu § 28 Abs. 4 BDSG

Zur Berücksichtigung der Werbewidersprüche gem. § 28 Abs. 4 BDSG der Betroffenen dürfen gem. § 28 Abs. 1 S. 1 Nr. 2 BDSG sog. Werbesperrdateien geführt werden, in denen die Widersprüche nebst Kontaktdaten zu vermerken sind und so z. B. mit Fremddaten abgeglichen werden können. Die Betroffenen müssen über die Speicherung, sowie den Sinn und Zweck der Speicherung in der Werbesperrdatei unterrichtet werden, um dem evtl. widersprechen zu können.

Im Zweifelsfall ist bei dem Betroffenen konkret nachzufragen, welche Rechte er geltend machen will.

Der Werbewiderspruch kann sich sowohl gegen die Stelle richten, der die Daten gehören, als auch gegen die Stelle, die die Daten nutzt (bei Nutzung von Fremddaten). Beide müssen den Widerspruch dann beachten.

Bei gewünschter Löschung der Daten sollte der Betroffene darüber informiert werden, dass er evtl nochmals später bei gesetzlich zulässiger Nutzung von Fremddaten wieder Werbung erhalten kann.

Die Betroffenen können sich in die sog. Robinsonlisten eintragen lassen unter www.ichhabediewahl.de und www.robinsonliste.de, die von den Werbenden beachtet werden müssen.

Den Widerspruch muss der Werbende unverzüglich umsetzen. Ist die Werbemaßnahme jedoch bereits in die Wege geleitet worden, kann es für den Werbenden unzumutbar sein, den Widerspruch zu beachten (z. B. einen bereits adressierten Brief aus einer großen Menge aussortieren). In diesem Fall sollte der Betroffene neben der Bestätigung der Beachten des Widerspruchs darauf hingewiesen werden, dass er bis zu einem konkreten Zeitraum noch Werbung erhalten kann.

Eine Unterrichtung gem. § 28 Abs. 4 BDSG liegt nur vor, wenn der Betroffene beim üblichen Umgang mit Werbung von der Unterrichtung Kenntnis erlangen konnte. Ein „Verstecken“ in Texten wie z. B. AGBs ist unzulässig.

Der Gesetzestext meint mit Unterrichtung über die „verantwortliche Stelle“ die Unterrichtung über die Stelle, die für die Verwendung der Daten verantwortlich ist (Dateneigner).

Bei mehreren Werbeansprachen muss eine Unterrichtung über das Widerspruchsrecht in jedem Anschreiben erfolgen.

II. EU-Datenschutz-Grundverordnung

Am 21.10.2013 hat der Ausschuss für Bürgerliche Freiheiten, Justiz und Inneres (LIBE) des Europäischen Parlaments nun den Entwurf zur Änderung der durch die EU-Kommission vorgelegten Datenschutz-Grundverordnung angenommen und die Aufnahme von Verhandlungen mit dem Rat der Europäischen Union gem. Art. 70 GO beschlossen. Allerdings muss der Entwurf noch mit den 28 Mitgliedstaaten und der EU-Kommission abgestimmt werden, was zeitlich nicht absehbar ist.

Inhalt des Entwurfs sind u. a. die Erhebung des Rechts auf Datenschutz zum EU-Grundrecht, Verbot der Datenweitergabe ohne rechtliche Grundlage, Unterbindung der Weitergabe von Daten an Strafverfolgungsbehörden von Drittstaaten außerhalb der EU, Einwilligungsvorbehalt für Profiling, Strafe von 5 % des weltweiten Jahresumsatzes bei Datenschutzverstößen, Pflicht zur Bestellung eines Datenschutzbeauftragten in Firmen, die jährlich Daten von mehr als 5000 Betroffenen verarbeitet.