Der 25. Mai 2018 rückt immer näher und damit auch die unmittelbare Geltung der europäischen Datenschutzgrundverordnung (DSGVO) in allen Mitgliedsstaaten. Hinzu kommen in Deutschland sowie in den meisten anderen Mitgliedsstaaten nationale Anpassungs- und Umsetzungsgesetze für einzelne Bereiche, die die DSGVO nicht regelt beziehungsweise ausdrücklich für Ergänzungen offen hält (beispielsweise im Beschäftigtendatenschutz). Geplant ist zudem eine EU-Verordnung zum Schutz der Privatsphäre, die sogenannte E-Privacy-Verordnung, welche ebenfalls ab Mitte 2018 die bisher geltende ePrivacy-Richtlinie und die ergänzende Cookie-Richtlinie aus dem Jahr 2009 ablösen soll.

Die aktuelle Rechtslage

Mit der DSGVO fallen die detaillierten Regelungen des Bundesdatenschutzgesetzes (BDSG) zur Verarbeitung personenbezogener Daten für werbliche Zwecke weg. Auch das neue BDSG enthält keine Regelungen zur Datenverarbeitung für Werbezwecke.

Bisher war Voraussetzung für die Zulässigkeit einer Datenverarbeitung für Werbung grundsätzlich das Vorliegen einer Einwilligung der betroffenen Person. Dieses Erfordernis ergab sich zum einem aus dem BDSG. Nur bei bestimmten Daten und für einzelne Konstellationen entfiel das Einwilligungserfordernis aufgrund des sogenannten Listenprivilegs. Bei bestimmten Werbeformen, etwa der E-Mail-Werbung, greifen neben den Datenschutzbestimmungen auch die Regelungen des Gesetzes gegen den unlauteren Wettbewerb (UWG). Auch danach ist für die zulässige E-Mail-Werbung grundsätzlich eine vorherige ausdrückliche Einwilligung erforderlich.

Zwar lässt § 7 Abs. 3 UWG eine Ausnahme davon zu, wenn es sich um Bestandskunden handelt und für eigene ähnliche Waren und Dienstleistungen geworben werden soll. Ohne Einwilligung bleibt die Bewerbung nicht ähnlicher Waren oder Dienstleistungen, Werbung für Waren und Dienstleistungen von Drittunternehmen oder Werbung bei Neukunden nicht zulässig. Die Anforderungen an die Einwilligung sind in BDSG und UWG nicht identisch geregelt, so dass hier jeweils die strengeren Voraussetzungen anzuwenden sind, um die gesetzlichen Anforderungen zu erfüllen.

Keine Einwilligung mehr erforderlich?

In der DSGVO selbst sind ausdrückliche Regelungen zur Werbung nicht enthalten. Der Begriff der Werbung taucht abgesehen von den Erwägungsgründen allein in Art. 21 DSGVO - dem Widerspruchsrecht - auf. Auch aus einem Verweis in Art. 21 DSGVO wird jedoch hergeleitet, dass zukünftig die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung neben einer ausdrücklichen Einwilligung auch auf eine Interessenabwägung gestützt werden kann. Gemäß Art. 6 Abs. 1 lit. f. DSGVO ist die Verarbeitung personenbezogener Daten gestattet, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist und die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person daran, dass die personenbezogenen Daten nicht verarbeitet werden, nicht überwiegen.

Im BDSG ist eine vergleichbare Regelung enthalten gewesen, doch hat man im noch geltenden Recht eher angenommen, dass die Interessen des Betroffenen das Werbeinteresse des Verantwortlichen überwiegen und deshalb der Rechtfertigungsgrund nicht eingreift. Zukünftig könnte dies anders zu werten sein: der Erwägungsgrund 47 der DSGVO gibt jedenfalls schon einmal vor, dass das Interesse einer Verarbeitung zum Zwecke der Direktwerbung ein berechtigtes Interesse des Verantwortlichen darstellt. Dies ist so schon im geltenden BDSG anerkannt, da das Interesse zu werben ein grundsätzlich legitimes und damit berechtigtes Interesse ist. Probleme bereitete, wie oben dargestellt, die Interessenabwägung. Unklar ist, ob zukünftig im Rahmen der Interessenabwägung unter der DSGVO davon ausgegangen werden kann, dass das Interesse des Werbenden an der Direktwerbung die Interessen der betroffenen Person überwiegt. Denn nur in diesem Fall könnte das datenschutzrechtliche Einwilligungserfordernis entfallen und stattdessen auf eine andere Rechtsgrundlage abgestellt werden. Im Rahmen der Interessenabwägung sind zukünftig auch "die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen". Worin diese vernünftigen Erwartungen bestehen und wie stark sie sich auf die Interessenabwägung auswirken, ist derzeit noch sehr unklar. Einen ersten Hinweis hat die Datenschutzkonferenz (DSK), ein Gremium aus den Datenschutzbehörden des Bundes und der Länder, mit ihrem Kurzpapier Nr. 3 gegeben.

Maßgebend würden die Erwartungen des Betroffenen durch die zu erteilenden Informationen nach Art. 13 und 14 DSGVO bestimmt werden. Danach könnte der Verantwortliche selbst beeinflussen, ob seine Interessen an der Werbung im Rahmen der Interessenabwägung überwiegen. Informiert der Verantwortliche transparent und umfassend über die vorgesehene werbliche Nutzung der Daten, sollen nach Ansicht der DSK die Erwartungen der betroffenen Person in der Regel auch dahin gehen, dass ihre Kundendaten zur Werbung genutzt werden. Im Rahmen der Interessenabwägung könnte diese Information also den Ausschlag für die Zulässigkeit der Datenverarbeitung geben. Die DSK schränkt diese Möglichkeit aber sogleich wieder ein: Eingriffsintensivere Maßnahmen, wie die Profilbildung, könnten trotz Information des Betroffenen eher nicht über eine Interessenabwägung gerechtfertigt werden.