Mit der DS-GVO fallen alle detaillierten Regelungen des BDSG für die Verarbeitung personenbezogener Daten für werbliche Zwecke weg. In Teil 12 der BayLDA-Reihe über die EU-Datenschutzgrundverordnung heißt das Thema „Verarbeitung personenbezogener Daten für Werbung“.

KEINE DETAILLIERTEN REGELUNGEN MEHR!

Alle detaillierten Regelungen des BDSG für die Verarbeitung personenbezogener Daten zu werblichen Zwecken fallen ab 2018 weg. Damit entfällt dann auch jede Unsicherheit darüber, ob die Werberegelungen des BDSG diesbezüglich schon heute nicht anwendbar sind, soweit kein nach der Datenschutz-Richtlinie erforderliche Abwägung vorgesehen ist.

INTERESSENABWÄGUNG

Grundlage für die Beurteilung der Zulässigkeit von Werbung ist ab 2018, abgesehen von einer Einwilligung, eine Interessenabwägung nach Art. 6 Abs. 1 Buchst. f DS-GVO: „die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.“
Bei der Interessenabwägung sind aber auch die allgemeinen Grundsätze aus Art. 5 Abs. 1 DS-GVO zu berücksichtigen:
• faire Verfahrensweise
• dem Verarbeitungszweck angemessen
• kein umfangreiches Interessenprofil
• in einer für die betroffene Person nachvollziehbaren Weise (insbesondere Nennung der Quelle der Daten)
Es darf aber auch kein Widerspruch des Betroffenen vorliegen, der weiterhin ausdrücklich auf sein Widerspruchsrecht hinzuweisen
ist (Art. 21 Abs. 2 bis 4 DS-GVO).

BESONDERE DATENKATEGORIEN

Für Unternehmen und Berufe des Gesundheitswesens besonders relevant: „Art. 9 DS-GVO enthält keine Erlaubnisnorm für die Verarbeitung besonderer Kategorien personenbezogener Daten für Zwecke der Werbung. Dies ist nur bei Vorliegen einer ausdrücklichen Einwilligung der betroffenen Person möglich.“

TELEFON-, FAX-, E-MAIL- UND SMS-WERBUNG

Die Aufsichtsbehörde geht davon aus, dass man im Rahmen der o.g. Interessenabwägung wohl bei der Nutzung der Kontaktdaten von Verbrauchern für Telefon- und Fax-Werbung dazu kommen wird, das diese weiterhin nur mit einer vorherigen ausdrücklichen Einwilligung erlaubt ist. Ebenso ist eine Kontaktdatennutzung für E-Mail- und SMS-Werbung außerhalb einer Einwilligung nur im Fall der Eigenwerbung bei Bestandskunden unter den Maßgaben von § 7 Abs. 3 UWG zulässig.

PFLICHTEN UND VERANTWORTLICHKEITEN

Neu sind in der DS-GVO hier spezielle Haftungsregelungen für Auftragsverarbeiter bei Datenschutzverletzungen, wie in Art. 82 DS-GVO dargelegt. Demnach drohen Auftragsverarbeitern bei Verstößen Schadensersatzforderungen von Betroffenen. „Verstößt ein Auftragsverarbeiter gegen die Pflicht zur weisungsgebundenen Verarbeitung, indem er die Daten des Auftraggebers für eigene Zwecke oder Zwecke Dritter verarbeitet, gilt er nach Art. 28 Abs. 10 DS-GVO insoweit selbst als Verantwortlicher – mit allen rechtlichen Folgen“.
Auftragsverarbeiter sind aber zukünftig auch in der Pflicht ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DS-GVO für alle Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung führen. Diese müssen dann auch der Aufsichtsbehörde auf Anfrage, z. B. bei Audits, zur Verfügung gestellt werden.

KOPPLUNGSVERBOT

Das bisher schon bestehende Koppelungsverbot für Werbung findet sich auch in der DSGVO wieder. Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, ist entscheidend, ob die Erfüllung eines Vertrags, und die Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist. Das BayLDA geht davon aus, dass dies im Rückschluss bedeutet, „dass bei „kostenlosen“ Dienstleistungsangeboten, die die Nutzer mit der Zustimmung für eine werbliche Nutzung ihrer Daten ‚bezahlen‘ (z. B. kostenloser E-Mail-Account gegen Zustimmung für Newsletter-Zusendung als ‚Gegenfinanzierung‘), diese vertraglich ausbedungene Gegenleistung des Nutzers bei Vertragsabschluss klar dargestellt werden muss. Raum oder Notwendigkeit für eine Einwilligung besteht dann nicht mehr.“