Shopbetreiber aufgepasst: Stichtag 25.05.2018 – Auswirkungen der DSGVO auf Onlinemarketing

Shopbetreiber aufgepasst: Stichtag 25.05.2018 – Auswirkungen der Datenschutzgrundverordnung auf Onlinemarketing

von Rechtsanwalt Dr. Marc Laukemann unter Kooperation mit einer angestellten Rechtsanwältin bei LFR Wirtschaftsanwälte

Sie ist mittlerweile in aller Munde: die Datenschutzgrundverordnung – kurz DGSVO –, die am 28.05.2018 für alle Mitgliedstaaten der Europäischen Union verbindlich in Kraft treten wird. Dies aber mehr aus Prinzip und aus Unsicherheit, welche Neuerungen mit der Vereinheitlichung des Datenschutzrechts auf EU-Ebene verbunden sein werden.

Vieles ist noch nicht klar, aber eines wird man wahrscheinlich jetzt schon sagen können: Aus Sicht des Mitgliedstaates Deutschland ändert sich eigentlich bis auf den Austausch von bisher angewandten Rechtsvorschriften gegen die Vorschriften der DSGVO faktisch nicht so viel. Dies liegt maßgeblich an der Tatsache, dass der deutsche Gesetzgeber einen im Vergleich zu vielen anderen Mitgliedstaaten bereits starken Schutz in Gesetz gemeißelt hat. Das Niveau des Datenschutzes und das Bewusstsein für diese Notwendigkeit ist in Deutschland bereits in den letzten Jahren sehr hoch.

Dennoch wird ab dem 25.05.2018 nach anderen Spielregeln gespielt werden. So sieht die DSGVO beispielsweise einen strengeren Haftungsmaßstab für Unternehmer vor, eine Erweiterung von Dokumentations- oder Löschungspflichten oder eine Erweiterung von Transparenzvorschriften vor. Diese Regelungen sind hierzulande in ihren Grundzügen aber nicht unbekannt.

Gerade in Bezug auf die Erhebung von Daten zum Zwecke der Analyse von Nutzerverhalten und Anpassung des Werbeangebotesauf die jeweiligen Nutzer – das sog. „Profiling“ oder die Zulässigkeit von Werbemaßnahmen gegenüber Verbrauchern allgemein, ist bereits nach jetzt geltender Rechtslage in Deutschland detailliert geregelt. All diese Vorschriften werden mit In‑Kraft‑Treten der DSGV ihre formelle Geltung verlieren. Bleiben werden jedoch im Grunde wohl die Maßstäbe, nach denen sich eine Zulässigkeit dieser Datenverarbeitungsvorgänge beurteilen wird.  

I.   Was sagt die aktuelle Rechtslage?

Wer kennt sie nicht: überall, sei es in sozialen Medien oder Musikstreaming-Diensten oder auch inmitten eines Zeitungsartikels tauchen Werbebanner auf, die einem wenig überraschende Angebote anzeigen. Zumeist wird in den Werbebannern auf das Angebot verwiesen, dass man sich bereits ohnehin vor kurzem angesehen hat. Die Individualisierung dieser wird allgemein Profiling oder auch Dialogmarketing genannt.

Diese Arten der Marketingstrategien haben im Netz die unspezifisch gestaltete Werbung nahezu gänzlich abgelöst. Dies überrascht aber ebenfalls wenig, da die Wahrscheinlichkeit viel höher ist, dass ein Kunde, der ein bestimmtes Produkt oder Markenprodukt erworben hat, ein weiteres, ähnliches Produkt erwirbt.

Die Erstellung von Kundenprofilen, die eine derartige Direktwerbung möglichmacht, funktioniert über die Sammlung, Speicherung und Auswertung von Userdaten. Wohingegen es den werbenden Unternehmen in der Vergangenheit eher um die Erlangung von E-Mail-Adressen ging, liegt der Fokus heutzutage eher in der Analyse von Hobbys, Interessen oder dem Gesundheitszustand des jeweiligen Users. Üblicherweise werden die erforderlichen Nutzerdaten durch das Setzen eines Cookies auf dem Endgerät bzw. dem Browser des Users gewonnen. Das Cookie ermöglicht die Wiedererkennung des jeweiligen Users bei erneutem Besuch der Website und hilft so, ein Nutzerprofil zu erstellen – dies alles selbstverständlich in pseudonymisierter Form.

Die Zulässigkeit der Erstellung solcher Art von Nutzerprofilen fußt nach gegenwärtiger Rechtslage auf zweizentralen Vorschriften: § 28Abs. 3 BDSG und § 15 Abs.3 TMG.

Das BDSG ist in seiner Gänze ein sogenanntes Verbotsgesetz mit Erlaubnisvorbehalt. Die Erhebung und Nutzung von personenbezogenen Daten – damit ist jede Angabe gemeint, die einen Personenbezug aufweist, wie z. B. Name, E-Mail-Adresse, Hobby oder auch die IP-Adresse – zum Zwecke der Werbung ist verboten, es sei denn, der Betroffene willigt ausdrücklich ein. Dies geschieht beispielsweise durch das sicherlich jedem bekannte Pop-up während des Surfens auf einer Website, welches einen auf den Vorteil des Abonnements eines Newsletters hinweist. Mit einem einfachen Häkchen im Pop-up ist die Einwilligung auch schnell erteilt und der Website-Betreiber kann bedenkenlos täglich E-Mail-Angebote verschicken.

Bei elektronisch abgegebenen Einwilligungserklärungen muss der Werbende jedoch darauf achten, dass diese entsprechend den Vorgaben des BDSG gespeichert werden und jederzeit abrufbar sind, z. B. durch das Versenden einer Bestätigungs-E-Mail. Diese Einwilligung muss auch jederzeit und ohne Erschwerungen rückgängig gemacht werden können. Zumeist findet sich hierzu in der Signatur einer jeden Werbe-E-Mail ein Hinweis auf die Widerruflichkeit sowie ein farblich hervorgehobener Direkt-Link zur Abmeldung vom Newsletter.

Nicht so strenge Vorgaben statuiert hingegen § 15 Abs. 3 TMG. Demnach dürfen Anbieter von sog. Telemedien wie z. B. Webseitenbetreiber für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung des angebotenen Dienstes Nutzerprofile erstellen, sofern der Nutzer dem nicht widerspricht.

Ein Widerspruch? Auf den ersten Blick scheinen die Vorschriften klar gegenläufig. Erlaubt ist aber nach § 15Abs. 3 TMG nur die Erstellung von pseudonymen Nutzerprofilen, also gerade nicht die Verwendung personalisierter Daten. Da die Daten keine Rückschlüsse auf konkrete Personen erlauben, sind die Betroffenen auch weniger schutzbedürftig, als bei der Nutzung von konkreten E‑Mail‑Adressen zum Zwecke der Werbung. Eine Einwilligung ist daher nicht erforderlich. Wie die Daten zu Pseudonymen zu bearbeiten sind, regelt § 3Abs. 6a BDSG: Identifikationsmerkmale sind so durch Kennzeichen zu ersetzen, dass ein Rückschluss auf eine bestimmte Person ausgeschlossen ist.

II.  Was ändert die DSGVO

Nach Inkrafttreten der DSGVO wird keine der oben genannten Vorschriften mehr anwendbar sein und die Zulässigkeit von Datenverarbeitung zum Zwecke der Werbung richtet sich allein nach den Vorgaben der Verordnung.

Anders als die bislang geltenden deutschen Rechtsvorschriften fällt zunächst auf, dass die DSGVO keine speziellen Regelungen für den Datenschutz bei Werbung enthält. Dies bedeutet allerdings nicht, dass sich die zukünftige Rechtslage zu Gunsten der werbenden Webseitenbetreiber gelockert hätte.

Die Zulässigkeit von Datenverarbeitungsvorgängen zu Zwecken der Werbung wird sich mangels spezieller Regelungen daher nach dem allgemeinen Zulässigkeitstatbestand des Art. 6 DSGVO richten. Relevant im Rahmen von Werbung sind nur Art. 6 Abs. 1 lit. a) und lit. f): Demnach ist die Datenverarbeitung nur zulässig, wenn

•     es sich um personenbezogene Daten handelt und der Betroffene seine Einwilligung für bestimmte Zwecke gegeben hat oder

•     die Verarbeitung der Wahrung berechtigter Interessen den Verantwortlichen oder eines Dritten dient und die Grundrechte oder Grundfreiheiten, die den Schutz personenbezogener Daten erfordern, nicht betroffen sind.

Letzteres ist für Werbetreibende in jedem Fall die relevantere Vorschrift, da sie nicht von einer aktiven Zustimmungshandlung des Betroffenen abhängt. Die Zulässigkeit der Datenverarbeitung zum Zwecke der Werbung wird also in Zukunft maßgeblich von einer Abwägung der betroffenen Interessen abhängen. Die Vorschrift an sich ist in hohem Maße unbestimmt, da klare Kriterien für die Interessenabwägung nicht enthalten sind.

Wie soll der Werbende also wissen, welche Kriterien herangezogen werden, um die Verarbeitung zu rechtfertigen und hohe Bußgelder auszuschließen?

Bis zu einer verbindlichen Klärung dieser Frage durch den Europäischen Datenschutzausschuss oder die Ausfüllung der unbestimmten Rechtsbegriffe durch die – vor allem – europäische Rechtsprechung werden die Kriterien der bislang hiergeltenden Rechtslage herangezogen werden können.

Allerdings ist bereits jetzt klar, dass die Verarbeitung von Daten zu Zwecken der Werbung durchaus ein berechtigtes Interesse darstellen kann, vgl. Erwägungsgrund47 zur DSGVO.

Alternativ oder im Falle von Zweifeln ist die Verarbeitung und Nutzung von personenbezogenen Daten nur zulässig, wenn eine entsprechende Einwilligung der Betroffenen eingeholt wird. Diese Vorschrift ist dem deutschen Webseiten-Betreiber bei Weitem nicht unbekannt. Sie statuiert auch im Übrigen keine anderen Anforderungen als das Einwilligungserfordernis des § 28 Abs. 3 BDSG. In diesem Bereich sind daher weniger faktische Änderungen zu erwarten.

Ein Widerspruchsrecht in die Verarbeitung zu jeder Zeit sieht auch die neue DSGVO vor.

III. Fazit

In den Grobzügen ist bereits vor Inkrafttreten der DSGVO erkennbar, dass gerade im Bereich der Werbung im Vergleich zu bereits in Deutschland geltendem Recht erst einmal keine riesigen Veränderungen zu befürchten sind. Für bestehende Unklarheiten gerade im Bereich des Rechtfertigungstatbestandes des Art. 6 f) der DSGVO sollten Shop-Betreiber jedenfalls die Stellungnahmen der Datenschutzbehörden im Auge behalten. Die Unklarheit bietet für Unternehmen allerdings auf der Kehrseite unter Umständen auch eine flexiblere Handhabung der Datenverarbeitung, solange die Kriterien nicht ausgefüllt sind durch die Rechtsprechung oder weitere Gesetze wie die angekündigte E-Privacy-Verordnung, die den Datenschutz auf europäischer Ebene nochmals schärfer umreißen soll.  

IV. Checkliste

Folgende Punkte sollten werbende Shopbetreiber nach Inkrafttreten der neuen DSGVO in Bezug auf Werbungbeachten:  

Werbung nach Einwilligung des Betroffenen

•     eine Einwilligung ist nur dann ausreichend, wenn sie als klares Einverständnis gewertet werden kann, Unklarheiten gehen zu Lasten des Verwenders!

•     Pauschaleinwilligungen bleiben unzulässig, der konkrete Umfang der Einwilligung muss klar erkennbar sein!

•     sofern die Daten für mehrere Zwecke verarbeitet werden, müssen alle Zwecke ausnahmslos angegeben werden!

•    die Einwilligung kann mündlich, schriftlich oder auf elektronischem Wege erfolgen.

Werbung aufgrund berechtigter Interessen

•     zulässiger Zweck: allein die Wahrung berechtigter Interessen, wobei Werbung hierzu zählen dürfte

•     vernünftige Erwartung des Betroffenen: Verarbeitung ist nur dann zulässig, wenn der Betroffene die Interessen, die gewahrt werden sollen, auch erkennen kann

•     kein Eingriff in Grundrechte und Grundfreiheiten durch die Datenverarbeitung

•     Datensparsamkeit: Daten dürfen nur im zum Zwecke der Speicherung absolut notwendigen Maßgesammelt und verarbeitet werden

•     Löschung der Daten, sobald der Zweck der Wahrung berechtigter Interessen wegfällt