Diese Verordnung schafft einen einheitlichen Datenschutzraum innerhalb der EU und wird nachhaltig gerade in Deutschland zu Änderungen etwa im Bereich der noch geltenden Datenschutzgesetze führen. So tritt zum Beispiel das bisherige Bundesdatenschutzgesetz ebenso mit der Verordnung außer Kraft wie nationale Datenschutzgesetze auf Länderebene. Doch was bringt die Verordnung für Unternehmen, die im Bereich Direktmarketing tätig sind?
Bislang?
Bislang mussten die Unternehmen zwei Einwilligungen einholen, wenn sie Kunden per EMail oder telefonisch über neue Angebote informieren wollten. Die Versendung von WerbeEMails war sowohl B2B wie B2C an ein sehr starres Optin gebunden, sofern es um die Frage ging, wieso überhaupt ein Kunde eine solche Marketingmaßnahme dulden müsse. Für das Wie der Marketingmaßnahme in Telefon- und EMailBereich galt §7 UWG, der solche Marketingmaßnahmen streng von einer (vorherigen) Einwilligung des Kunden abhängig machte. Etwas lockerer war das UWG, wenn es um Telefonwerbung ging. Hier galt im Bereich B2B eine Art Out, während Konsumenten auch hier gegen Telefonwerbung ohne vorherige Zustimmung opponieren konnten. Hinzu
kommt die zweite Einwilligung, nämlich die nach dem BDSG. Jeder, dessen personenbezogenen Daten im System eines MarketingUnternehmens stecken, konnte und durfte die Frage stellen, woher überhaupt die Daten stammen und wieso diese ohne seine Einwilligung zum Marketingzweck verarbeitet werden. Einen Optin galt insofern auch für das Woher der Daten nach § 28 Abs. 3a BDSG.
Was ist neu?
Doch nun ist die Welt anders. Mit der Verordnung ist die datenschutzrechtliche Zulässigkeit der Verarbeitung personenbezogener Daten nunmehr auf sechs verschiedene Säulen gestellt. Sie hängen zum einen nach Art. 6 Abs. 1 lit. A) a davon ab, ob der Betroff ene seine Einwilligung vorab erteilt hat. Völlig selbstständig steht aber die Möglichkeit off en, personenbezogene Daten zu verarbeiten nach Art. 6 Abs. 1 lit. f, das heißt nach Maßgabe einer allgemeinen Güterabwägung.1 Nach der genannten Regelung ist die Verarbeitung personenbezogener Daten auch zulässig für legitime Interessen sofern nicht diese legitimen Interessen durch übergeordnete Interessen des Betroff enen zu vernachlässigen sind. Dabei ist die besondere Darlegungs- und Beweislast zu beachten. Die verarbeitende Stelle braucht nur noch ein legitimes Interesse nachzuweisen, während der Betroffene seinerseits dann nachzuweisen hat, dass besondere Schutzinteressen das Interesse der verarbeitenden Stelle übersteigen.
Diese Güterabwägung ist dem BDSG nicht ganz fremd. § 28 Abs. 1 Satz 1 Nr. 2 BDSG sah ebenfalls eine Güterabwägung vor, wobei die deutschen Datenschutzaufsichtsbehörden dem Regress auf eine solche Güterabwägung im Falle des Direktmarketings immer mit Verweis auf die vorrangige Einwilligung des Betroff enen abgelehnt haben. Doch die Welt ist eben nun off ener und europäischer.
Das besondere Wohlwollen der Kommission im Falle des Direktmarketing wird auch noch an einer anderen Stelle deutlich. Im Erwägungsgrund 47 der Verordnung wird darauf verwiesen, dass die Verarbeitung personenbezogener Daten für Direktmarketingzwecke als in einem legitimen Interesse abgedeckt gelten soll. Daraus ergibt sich ein Freibrief für Direktmarketingverbände, was das Datenschutzrecht angeht. Die Verwendung von personenbezogenen Daten für Telefon- und EMailWerbung ist datenschutzrechtlich nicht mehr im Grundsatz zu beanstanden. Sie kann auch ohne Zustimmung des Betroffenen erfolgen, gilt stattdessen von einem legitimen Verarbeitungsinteresse der verarbeitenden Stelle gedeckt. Widerspricht der Betroff ene dem Direktmarketing nach Art. 21 Abs. 3, dann dürfen die personenbezogenen Daten nicht weiter verwendet werden. Ergänzt wird diese harte Regelung durch Art. 14 Abs. 1 lit. c, die das verarbeitende Unternehmen verpfl ichtet, über die Zwecke der Verarbeitung von Daten den Betroff enen zu informieren. Ferner gilt Art. 14 Abs. 2 lit. B, dass sich die Informationspfl icht auch auf das legitime Interesse der verarbeitenden Stelle an den zu verarbeitenden Daten bezieht.
Und das UWG?
Die nun streitige Frage ist, wie sich diese neue Situation auf das UWG auswirkt. Denn das Datenschutzrecht wird künftig also vom Optout beim Direktmarketing ausgehen müssen. Man kann den Betroff enen soweit mit Direktmarketingmaßnahmen überziehen, sofern dieser nicht widerspricht. Das UWG hingegen geht weiterhin vom Erfordernis einer vorherigen Einwilligung aus. Das passt nicht zusammen. Nun nimmt die Verordnung für sich grundsätzlich in Anspruch, eine Maximalharmonisierung zu sein und alle nationalen Regeln, die der Verordnung widersprechen, auszuhebeln. Dann würde man die Regelungen in der Verordnung auch auf das UWG beziehen müssen. afür spricht, dass es keinen Sinn ergibt, im Datenschutzrecht das Zustimmungserfordernis aufzuheben, um es dann wieder über das UWG in das Alltagsgeschäft des DirektmarketingUnternehmens einzuführen. Art. 13 der Datenschutzrichtlinie über elektronische Kommunikation von 2002 verpflichtet die Mitgliedstaaten zum Verbot unaufgeforderter EMailWerbung. Allerdings lässt es den Mitgliedstaaten Wahlmöglichkeiten bei der Telefonwerbung. Ferner verbietet die EURichtlinie über unlautere Geschäftspraktiken Belästigungen, die zu einer Beeinträchtigung der Entscheidungsfreiheit führen. Umstritten war aber immer schon, ob § 7 UWG nicht so eine Art Fremdkörper im UWG war. Wie Köhler schon betont hat, wäre die Regelung generell wohl besser im Datenschutzrecht aufgehoben, was die Zwecke des Unionsrechts besser erfüllt hätte.2
Art. 13 Abs. 3 der Richtlinie 2002/58/EG erlaubt ausdrücklich mitgliedstaatliche Regelungen, nachdem Telefonwerbung ohne Einwilligung des Betroffenen nicht gestattet ist. Von dieser Regelerhöhungsmöglichkeit hat der deutsche Gesetzgeber in § 7 Abs. 2 Nr. 2 UWG Gebrauch gemacht.3 Nach Nummer 26 des Anhangs 1 der UGPRichtlinie (Richtlinie 2005/29/EG) ist allein das hartnäckige und unerwünschte Ansprechen von Kunden über Telefon, Fax, EMail und sonstige für den Fernabsatz geeignete Medien unter allen Umständen unlauter. Allerdings soll diese Regelung nur unbeschadet der Vorschiften in der Richtlinie Regelungen zur elektronischen Kommunikation gelten (Satz 2). Insofern ergibt sich ein Kompatibilitätsproblem zwischen den EURichtlinien und der Verordnung. Wenn nach Art. 13 der Datenschutzrichtlinie die Verwendung von elektronischer Post nur bei vorheriger Einwilligung der Teilnehmer gedeckt ist, stellt sich die Frage nach dem Verhältnis von Richtlinie und Datenschutzverordnung. Nur für den Bereich der Telefonwerbung hat auch schon der alte Richtliniengeber nationalstaatliche Sondermöglichkeiten zur Regelung vorgesehen. Für den Bereich der EMailWerbung ist das Erfordernis Optin allerdings durch die Datenschutzrichtlinie zwingend vorgegeben.
Die Kommission hat versucht, dieses Problem in Erwägungsgrund 173 der Verordnung zu lösen. Dort wird darauf verwiesen, dass die Verordnung für alle datenschutzrechtlichen Belange gelten soll, sofern nicht besondere Regelungen mit dem gleichen Regelungsziel sich aus der Datenschutzrichtlinie 2002/58 ergeben. Im Übrigen lässt die Verordnung die Beziehung zur Richtlinie off en (Erwägungsgrund 173 zweiter Satz) und unterwirft die Klärung künftigen entsprechenden Anpassungen der entsprechenden Richtlinie. Insofern sind auch den europäischen Verordnungsgebern die Zusammenhänge zwischen der Datenschutzrichtlinie 2002/58 und der neuen Verordnung unklar.
Ergebnis
Dies spricht dafür, dass es für Telefonwerbung weiterhin nach der Richtlinie 2002/58 bei einer Zulässigkeit nur bei vorheriger Einwilligung des Betroff enen bleiben wird. Bei EMailWerbung allerdings ist der deutsche Sonderweg des § 7 Abs. 2 Nr. 2 UWG nicht mehr zulässig. EMailWerbung wird daher spätestens ab Mitte 2018 auch ohne Einwilligung des Betroffenen zulässig sein, so lange die Regularien der Verordnung, insbesondere sein Widerspruchsrecht eingehalten ist. Faktor Mensch in der IT-Sicherheit Isabel Braun, Presse sprecherin, und Dennis Buroh, Senior Consultant Security, Consist Software Solutions
1 Dammann, ZD 2016, 307, (314)
2 Köhler GRUR 2012, 1073, 1079
3 Köhler, GRUR 2012, 1073, 1079
Prof. Dr. Thomas Hoeren,
Universität Münster,
Leiter des Instituts für Informations-, Telekommunikations- und Medienrecht
Dieser Beitrag ist Teil der aktuellen Ausgabe des Handelsblatt Journals „Cyber Security & Datenschutz“, das Sie hier erhalten können.
