Gemeinsame Verantwortlichkeit von Werbenden und Adresshändler
Der LfDI hat sich im Jahr 2020 mit der der Frage der Verantwortlichkeit von Unternehmen, die Adressen mieten oder Werbung im Lettershop-Verfahren versenden lassen, beschäftigt. Bei diesen Werbemaßnahmen verfügt das werbende Unternehmen nicht selbst über die personenbezogenen Daten der Werbeadressaten, sondern greift auf Datenbestände eines Adresshändlers oder Lettershops zurück. Ein Adresshändler selektiert Datensätze mit Anschriften von natürlichen Personen nach gewissen Kriterien. An Hand dieser Kriterien wählt das werbende Unternehmen die jeweiligen Datensätze aus und mietet oder kauft sie vom Adresshändler. Bei einem Lettershop übernimmt dieser den kompletten Versand der Werbung. Das werbende Unternehmen liefert lediglich die Werbebotschaft und die Kriterien, die bestimmen, an welche Personen die Werbung versandt werden soll. Mit dem weiteren Ablauf der Werbemaßnahme hat das werbende Unternehmen dann nichts mehr zu tun.
Der LfDI nimmt in den beschriebenen Konstellationen eine gemeinsame Verantwortlichkeit zwischen werbenden Unternehmen und Adresshändler/Lettershop an. Hintergrund dieser Frage sind Beschwerden von Bürgerinnen und Bürger, die unverlangt Werbung von rheinland-pfälzischen Unternehmen erhielten. Als Reaktion darauf machten die betroffenen Personen ihren Anspruch auf Auskunft gegen das Unternehmen geltend, von dem die Werbung stammte, vor allem wenn sie mit diesem Unternehmen zuvor noch keinen Kontakt hatten. Oftmals konnten diese Unternehmen keine Auskunft geben, da ein Adresshändler oder Lettershop die Werbung für das Unternehmen versendet hat und das Unternehmen selbst gar nicht über die Daten der Werbungsempfänger verfügte. In vielen Fällen gab der Verantwortliche den Auskunftsantrag weder an den Adresshändler (sog. Listeneigner) weiter noch teilte er den betroffenen Personen die Kontaktdaten des Adresshändlers mit. Die betroffenen Personen wurden zumeist auf die Angaben in der Werbung verwiesen, die meistens nur sehr schwer erkennbare Informationen zum Adresshändler enthielt.
Da die werbenden Unternehmen in dieser Konstellation selbst keine personenbezogenen Daten verarbeiten, war die Frage nach ihrer datenschutzrechtlichen Verantwortlichkeit zu beantworten. Verantwortlicher im Sinne der DSGVO ist nicht nur, wer personenbezogene Daten tatsächlich verarbeitet, sondern auch wer die Zwecke und Mittel der Verarbeitung festlegt. Der Zweck der Werbung für einen bestimmten Personenkreis wird durch das werbende Unternehmen (sog. Listenmieter) und seine Zielgruppenauswahl maßgeblich bestimmt. Für die Einordnung der Verantwortlichkeit ist außerdem zu berücksichtigen, dass der Listenmieter zwar selbst keinen Zugriff auf die für die Werbung verwendeten personenbezogenen Daten erhält, die Verwendung der Daten mit seiner Werbeaktion allerdings veranlasst, von dieser hauptsächlich profitiert und gegenüber den betroffenen Personen als Ansprechpartner und Widerspruchsadressat auftritt. Der Listeneigner hingegen hat vollen Zugriff auf die Daten. Er verarbeitet diese nicht als Auftragsverarbeiter, da er für die beauftragte Werbeaktion „eigene“ Daten mehrfach verwendet und je nach Kunde (Listenmieter) die Daten zusammenstellt und selektiert.
Der LfDI betrachtet den Adresslisteneigener und das werbende Unternehmen in der beschriebenen Konstellation daher als gemeinsam für die Verarbeitung Verantwortliche nach Art. 26 DSGVO. Sie haben einen Vertrag im Sinne des Art. 26 Abs. 2 DSGVO zu schließen und die betroffenen Personen können ihre Rechte bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen. Diese Sichtweise wird der Rollenverteilung zwischen Werbendem und Adresshändler gerecht und sichert die Gewährleistung der Rechte der betroffenen Personen. Diese Art der Rollenverteilung ist inzwischen weit verbreitet, von der Direktpostwerbung über die Online-Werbung bis hin zur modernen Wahlwerbung. Würde in all diesen Konstellationen der Werbende aus der Verantwortung entlassen, weil er selbst die Daten nie verarbeitet, würde der Datenschutz weitgehend entwertet. Die betroffenen Personen würden dann voraussichtlich immer häufiger auf schwer greifbare Dritte (mitunter im nicht EU-Ausland, die nicht das EU-Datenschutzniveau einhalten) verwiesen werden, obwohl der Veranlasser der Verarbeitung vor Ort greifbar wäre. Verantwortliche aus der EU könnten sich so ganz von den Anforderungen der DSGVO befreien, indem sie Dienstleistungen außereuropäisch buchen.
Die Zweckfestlegung wird durch die Adresslisteneigener und die Werbenden gemeinsam in mehreren Schritten vorgenommen. Die Adresslisteneigner sammeln und pflegen beständig personenbezogener Daten mit dem Ziel, diese werbenden Unternehmen als Infrastruktur anzubieten, wobei die Daten nicht offenbart werden, aber genutzt werden können. Durch die vom werbenden Unternehmen vorgenommene Auswahl der Inhalte der Werbung und ihren Zuschnitt auf Zielgruppen wird der spezifische Verarbeitungszweck festgelegt. Die Auswahl von Zielgruppen durch den Werbenden entspricht der vom EuGH im Fanpage-Urteil für die Begründung der gemeinsamen Verantwortung angeführten „Parametrierung“. Auf die Auswahl der Mittel hat das werbende Unternehmen zwar nur einen generellen Einfluss, nämlich die Auswahl, die Infrastruktur eines bestimmten Anbieters zu wählen. Der Adresslisteneigener hat den maßgeblichen Einfluss auf die Auswahl der Mittel der Verarbeitung. Dies ist für die Annahme einer gemeinsamen Verarbeitung aber nicht entscheidend.
Quelle: LfDI Rheinland-Pfalz
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking- Blickschutz hilft.
- Denkanstoß – Daten(schutz)risiko USB-Stick, es passiert immer wieder
- Aktenvernichter für den Arbeitsplatz – Gegen Datenpannen auf Papier
- Tipp: Textpassagen mit einem Camoflage-Rollstempel unkenntlich machen
- Aufsichtsbehörde empfiehlt Buch: DSGVO /ePrivacy auf Websites umsetzen
- Recht im Online-Marketing: So schützen Sie sich vor Fallstricken zur DSGVO
Dieser Absatz enthält Affiliatelinks/Werbelinks