Werbender und Adresshändler als gemeinsam Verantwortliche
Im aktuellen Tätigkeitsbericht setzt sich der Landesbeauftragte für den Datenschutz und die Informationsfreiheit (LfDI ) :on Baden-Württemberg mit den Rollen werbetreibender Unternehmen und Adresshändler auseinander.
Auf Katalogsendungen oder Werbebriefen findet sich, meist kleingedruckt, die Datenherkunft oder der DSGVO-Verantwortliche. Entsprechende Informationen beziehen sich häufig auf gewerbliche Adresshändler. Der Auftraggeber der Werbesendung bleibt aus Datenschutzgesichtspunkten meist im Hintergrund und zur Wahrnehmung von Betroffenenrechten muss der Werbeempfänger mit dem Adresshändler vorlieb nehmen. Nicht unproblematisch, wenn sich der Adresshändler in einem Drittstaat befindet.
Mit Wirksamwerden der DSGVO gilt nach Ansicht des LfDI: Werbender und Adresshändler sind regelmäßig gemeinsam Verantwortliche.
Nach Art. 4 Nr. 7 DS-GVO ist für eine konkrete Datenverarbeitung verantwortlich, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Datenverarbeitung entscheidet. Über die Zwecke und Mittel kann nämlich nach der Rechtsprechung des EuGH auch derjenige (mit)entscheiden, der die Daten nicht selbst verarbeitet, also selbst gar keinen Zugriff auf die Daten hat (wie es im Hinblick auf das werbende Unternehmen bei der Verarbeitung der Adressdaten z.B. durch einen Lettershop, der die Daten durch den Adresshändler übermittelt bekommt, oft der Fall ist).
Im Falle der Adressvermietung war somit im Lichte der Rechtsprechung des EuGH zu Art. 26 DS-GVO (EuGH, Urteil vom 5. Juni 2018 – EU-C-210/16, Facebook Fanpages sowie EuGH, Urteil vom 10. Juli 2018 – C-25/17, Zeugen Jehovas) die Frage zu beantworten, ob das werbende Unternehmen – auch wenn es keinen Zugriff auf die zu Werbezwecken verarbeiteten Daten hat – gemeinsam mit dem Adresshändler (bzw. Adresseigner) verantwortlich ist.
Gemeinsame Verantwortlichkeit bei Bestimmung von Adresskriterien
Auch hier gilt natürlich zunächst der Grundsatz der Prüfung und rechtlichen Bewertung der jeweiligen Umstände des Einzelfalls. In der Regel ist aber davon auszugehen, dass eine gemeinsame Verantwortlichkeit jedenfalls immer dann vorliegt, wenn das werbende Unternehmen selbst Kriterien für die Adressauswahl festgelegt hat, z.B. Frauen ab 40 Jahren mit Hochschulausbildung; Selbständige bis 45 Jahre mit Hobbies im Sportbereich; Familien im eigenen Einfamilienhaus mit Einkommen über 3.000 Euro im Monat. Auch die Auswahl bestimmter, vom Adresshändler (bzw. Adresseigner) vorgeschlagenen Selektionskriterien kann ausreichen, eine Verantwortlichkeit auch des Werbenden und somit eine gemeinsame Verantwortlichkeit von Werbendem und Adresshändler im Sinne des Art. 26 DSGVO anzunehmen.
Denn wie der Europäische Gerichtshof mehrfach entschieden hat, besteht das Ziel dieser Bestimmung darin, durch eine weite Definition des Begriffs des „Verantwortlichen“ einen wirksamen und umfassenden Schutz der betroffenen Personen zu gewährleisten (Urteil vom 13. Mai 2014, Google Spain und Google, C-131/12, EU-C-2014-317, Rn. 34).
Betroffenenrechte auch gegenüber Werbetreibenden
Durch die gemeinsame Verantwortlichkeit kann nun der Betroffene seine Rechte auch gegenüber dem werbetreibenden Unternehmen geltend machen. Die DSGVO legt in Art 26 (1) zudem fest, das gemeinsam Verantwortliche in einer Vereinbarung in transparenter Form festlegen müssen, wer von ihnen welche Verpflichtungen gemäss der DSGVO, zB Erfüllung von Informationspflichten, Auskunft erteilen, Daten löschen, erfüllt.
Und auch die Datenschutzaufsichtsbehörde kann im Rahmen ihrer örtlichen Zuständigkeit das werbende Unternehmen kontrollieren und einen Verstoß gegen die Aufgaben und Pflichten von gemeinsam Verantwortlichen mit einem Bußgeld ahnden.
Auch etwaige materielle und immaterielle Schadensersatzansprüche können sich im vollen Umfang an jeden der gemeinsam Verantwortlichen richten.
Quelle
- Tätigkeitsbericht Datenschutz 2020, URL: https://www.baden-wuerttemberg.datenschutz.de/wp-content/uploads/2021/02/LfDI_BW_36_Taetigkeitsbericht_DS_2020_WEB.pdf, LfDI-Baden-Württemberg;