Sauber werben

Die Datenschutzgrundverordnung (DSGVO) ist seit 25. Mai in Kraft, jedoch herrscht  bei deren Umsetzung weiterhin große Unsicherheit. Das gilt auch für Werbung und Marketing: Zahlreiche Unternehmen verzichten auf werbewirksame Maßnahmen, weil sie die Auseinandersetzung mit datenschutzrechtlichen Fragestellungen scheuen, oder – das andere Extrem – die Datenschutzproblematik wird einfach ausgeblendet. Gerade im Marketing ist es jedoch unerlässlich, sich mit den neuen „Spielregeln“ auseinanderzusetzen.

Online-Marketing

Die meisten datenschutzrechtlichen Fragestellungen ergeben sich wohl im Zusammenhang mit Werbemaßnahmen im Internet. Kaum ein Unternehmen kommt ohne eine Internet-Präsenz aus und Online-Werbemaßnahmen sind verhältnismäßig einfach und schnell umgesetzt. Genauso einfach und schnell können diese Maßnahmen aber auch von Wettbewerbern oder professionellen Abmahnern auf Rechtsverstöße hin überprüft werden.

Nicht neu ist die Verpflichtung der Unternehmen, auf ihrer Homepage eine Datenschutzerklärung bereit zu stellen. Diese Verpflichtung ergibt sich auch aus den Informationspflichten gemäß Art. 13, 14 DSGVO, die über die Regelungen nach altem Recht hinausgehen. Daher ist es zwingend erforderlich, die alten Datenschutzerklärungen zu überarbeiten. Hinzugekommen ist z. B. der erforderliche Hinweis auf das Recht auf Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung sowie auf das Widerspruchsrecht, das Recht auf Datenübertragbarkeit und das Beschwerderecht bei einer Aufsichtsbehörde. Darüber hinaus muss nunmehr auch für jede Datenverarbeitung die Rechtsgrundlage genannt und die Speicherdauer festgelegt werden.

Das Online-Marketing umfasst nicht nur die reine Selbstdarstellung des eigenen Unternehmens oder seiner Produkte, sondern vielfach auch die Analyse des Kundenverhaltens. Denn die Unternehmen wollen wissen, wie ihre Werbemaßnahmen bei den Kunden ankommen und wie sie die Werbung für die Empfänger anpassen können. Damit soll erreicht werden, dass die Botschaften bei den Kunden nicht in der allgemeinen Werbeflut untergehen. Für die Analyse des Kundenverhaltens gibt es eine Vielzahl von Tools, die auf der Website eingebunden werden können. Derartige Analysen erfolgen meist in anonymisierter Form. Dabei wird nicht das Verhalten eines bestimmten Kunden analysiert, sondern das Kundenverhalten an sich. Diese Analyse ermöglicht z. B. Erkenntnisse darüber, welcher Teil einer Internet-Seite besonders oft besucht wird. Diese Tracking-Methoden bleiben – sofern datenschutzrechtlich richtig ein- und umgesetzt – auch nach DSGVO weiterhin zulässig. Angepasst werden müssen jedoch zwangsläufig die Datenschutzerklärung und – soweit die Verarbeitung auf einer Einwilligung beruht – die Einwilligungserklärung.

Ein tatsächliches Zielgruppen-Marketing ist mit diesen statistischen Erhebungen jedoch nicht umsetzbar. Um den Kunden individuell ansprechen zu können, muss die Analyse des Kundenverhaltens in irgendeiner Weise personenbezogen erfolgen. Derartige Datenverarbeitungen sind jedoch allenfalls mit einer vorherigen, informierten Einwilligung des Kunden möglich. Informiert bedeutet in diesem Zusammenhang vor allem, dass der Werbetreibende vorab seinen Informationspflichten umfassend nachgekommen sein muss (z. B. im Rahmen einer Datenschutzerklärung).

Inwieweit diese Marketing-Methoden DSGVO-konform eingesetzt werden können, wird sich erst noch im Laufe der Zeit herausstellen. Aktuell hat hierzu das Verwaltungsgericht Bayreuth die Werbeaktion eines Unternehmens auf der Internet-Plattform Facebook beanstandet (Beschluss vom 8. Mai 2018, Aktenzeichen B1 S 18.105). Hintergrund des Rechtsstreits war, dass das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) einem Online-Händler den Einsatz des Analyse-Tools „Facebook Custom Audience“ untersagte. Hauptkritikpunkt war, dass der Online-Händler für die Werbekampagne zuvor eine Liste seiner Kunden an Facebook übermitteln musste, die dann mit vorhandenen Facebook-Profilen abgeglichen wurde. Das BayLDA hat zwischenzeitlich Hinweise für den datenschutzkonformen Einsatz von „Facebook Custom Audience“ unter Geltung der DSGVO veröffentlicht (Download: www.lda.bayern.de/media/pm2017_07_anhang.pdf).

Social Media-Marketing

Die eigene Homepage an die Anforderungen der DSGVO anzupassen, sollte eigentlich zu bewerkstelligen sein. Schwieriger wird es, wenn die Darstellung des Unternehmens nicht auf der eigenen Homepage erfolgt, sondern auf der Internet-Plattform eines Dritten (z. B. Fanpages auf Facebook, YouTube-Videos, Einträge auf GoogleMaps, Profile auf Twitter oder Instagram).

Irrtümlich wird oft davon ausgegangen, dass sich alleine der Drittanbieter um die Datenschutzkonformität des Dienstes kümmern müsse. Hierzu hat der Europäische Gerichtshof (EuGH) erst kürzlich ein Urteil gefällt, wonach der Betreiber einer Facebook-Fanpage gemeinsam mit Facebook für die Einhaltung des Datenschutzes verantwortlich sein kann (Urteil vom 5. Juni 2018, Aktenzeichen C-210/16). Ob durch den Betrieb einer Facebook-Fanpage tatsächlich gegen Datenschutzrecht verstoßen wird, ist noch nicht entschieden worden. Das Urteil des EuGH ist für das Social Media-Marketing aber dennoch brisant, da nunmehr feststeht, dass Facebook nicht alleine für etwaige Datenschutzverstöße haftet, sondern der Betreiber der jeweiligen Fanpage gegebenenfalls mit in die Haftung genommen wird. Nach aktuellem Stand ist davon auszugehen, dass für den datenschutzkonformen Betrieb einer Facebook-Fanpage eine Vereinbarung gemäß Art. 26 DSGVO erforderlich ist, die Facebook ihren Kunden derzeit aber nicht anbietet. Die deutschen Datenschutzaufsichtsbehörden haben zwischenzeitlich bekanntgegeben, dass sie daher auf europäischer Ebene gegenüber Facebook vorgehen wollen. Praktische Hinweise hierzu enthält der Beschluss der „Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder“ (DSK) vom 5. September 2018 (Download: www.datenschutzkonferenz-online.de/beschluesse-dsk.html).

Man sollte deshalb genauer prüfen, über welche Drittanbieter Werbemaßnahmen geschaltet werden. Je nach Ausgestaltung kann es notwendig werden, mit dem Anbieter eine Vereinbarung über die Auftragsverarbeitung (Art. 28 Abs. 3 DSGVO) oder über die gemeinsame Verarbeitung (Art. 26 DSGVO) zu schließen und/oder in der Datenschutzerklärung über die Nutzung des Dienstes des Drittanbieters aufzuklären.

Im alten Datenschutzrecht gab es detaillierte Regelungen zum Umgang mit personenbezogenen Daten zum Zwecke der Werbung oder des Adresshandels (§§ 28 ff. Bundesdatenschutzgesetz a.F.). Entsprechende Regelungen fehlen in der DSGVO. Insoweit kommen als Rechtsgrundlage für die Verarbeitung personenbezogener Daten zum Zwecke der Werbung in der Regel nur die Einwilligung des Betroffenen oder eine Interessenabwägung (gemäß Art. 6 Abs. 1 lit. f DSGVO) in Betracht.

Einwilligungen wurden bereits nach altem Datenschutzrecht zur Rechtfertigung der Datenerhebung, -verarbeitung und -nutzung herangezogen (§§ 4 Abs. 1, 4 a Bundesdatenschutzgesetz a.F.). Die Voraussetzungen dafür, dass eine erteilte Einwilligung auch tatsächlich wirksam ist, wurden jedoch durch die DSGVO erhöht. Für den Einwilligenden muss konkret erkennbar sein, welche Daten zu welchem Zweck von wem verarbeitet werden. Vorsorgliche Einwilligungen ohne Angabe bestimmter Zwecke sind daher unzulässig. Das Risiko einer unwirksamen Einwilligung trägt stets der Werbetreibende. Die Unternehmen sollten deshalb die eigenen Datensätze kritisch daraufhin prüfen, ob eine ausreichende Einwilligung eingeholt worden ist. Bei Daten, die das Unternehmen nicht selbst erhoben hat, gestaltet sich eine solche Überprüfung erfahrungsgemäß meist schwierig.

Eine Datenverarbeitung kann zudem auch dann zulässig sein, wenn sie zur Wahrung berechtigter Interessen erforderlich ist und wenn die Interessen der betroffenen Person nicht überwiegen (Art. 6 Abs. 1 lit. f DSGVO). Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann unter Umständen als ein solches berechtigtes Interesse gewertet werden, wie dem „Erwägungsgrund 47“ zur DSGVO zu entnehmen ist. Die Voraussetzungen hierfür sind zum jetzigen Zeitpunkt aber noch nicht abschließend geklärt. Die Datenschutzkonferenz (DSK) hat hierzu eine Orientierungshilfe herausgegeben (Kurzpapier Nr. 3: „Verarbeitung personenbezogener Daten für Werbung“, Download: www.datenschutzkonferenz-online.de/kurzpapiere.html).

Die Datenschutzgrundverordnung wird es Werbetreibenden deutlich schwerer machen, an „saubere“ Adressdaten zu gelangen. Ohne ausreichende Rechtsgrundlage für die Datenverarbeitung drohen Geldbußen bis zu 20 Mio. Euro bzw. bis zu vier Prozent des Jahresumsatzes (Art. 83 Abs. 5 lit. a DSGVO). Darüber hinaus sind Verstöße gegen Art. 6 DSGVO wettbewerbsrechtlich abmahnfähig, da es sich hierbei um Schutzvorschriften im Sinne des Gesetzes gegen den unlauteren Wettbewerb handelt (§ 3a UWG). Dies hat vor Kurzem auch das Landgericht München so entschieden (Urteil vom 12. Juli 2018, Aktenzeichen 17 HK O 16563/17).

Fotos

Fotos sind – gemäß dem Motto „Ein Bild sagt mehr als 1 000 Worte“ – unverzichtbar für Werbung und Marketing. Zunächst ist sicherzustellen, dass die Aufnahmen auch für die beabsichtigten kommerziellen Zwecke des Unternehmens genutzt werden dürfen. Diese Prüfung sollte bei Fotos aller Art erfolgen, z. B. eigens angefertigte Werbeaufnahmen, Mitarbeiterfotos, Fotos vom laufenden Betrieb oder von Veranstaltungen. Bei Abbildungen von Personen wird auch die Frage der datenschutzrechtlichen Zulässigkeit berührt. Denn sobald eine Person auf der Fotografie in irgendeiner Weise identifizierbar ist, handelt es sich um personenbezogene Daten.

Bislang beurteilte man in Deutschland die Zulässigkeit der Veröffentlichung dieser Bilder zumeist nach §§ 22, 23 Kunsturhebergesetz (KunstUrhG). Nach Inkrafttreten der DSGVO ist aber umstritten, ob die neuen Datenschutzvorschriften die nationalen Regelungen des KunstUrhG verdrängen. Mit dieser Frage hatte sich kürzlich das Oberlandesgericht (OLG) Köln zu befassen: Die Richter kamen zu dem Ergebnis, dass die DSGVO bei Fotos für journalistische Zwecke Abweichungen zulässt und daher für diesen Bereich das KunstUrhG weiterhin anzuwenden ist (Beschluss des OLG Köln vom 18. Juni 2018, Aktenzeichen 15 W 27/18). Für die werbetreibende Wirtschaft liegt das Problem aber darin, dass Werbeaufnahmen in aller Regel keinen journalistischen Zwecken dienen. Auch die weiteren in Art. 85 DSGVO genannten Zwecke (wissenschaftliche, künstlerische oder literarische) helfen hier nicht weiter. Das bedeutet: Um die Zulässigkeit von Fotos für kommerziell-werbliche Zwecke zu prüfen, muss die DSGVO herangezogen werden.

Für lang geplante, große Werbekampagnen werden die Auswirkungen der DSGVO wohl nicht so durchgreifend sein. Hier ist es in der Praxis allgemein üblich, mit den abgebildeten Personen entsprechende entgeltliche Vereinbarungen zu treffen – schon allein, um sich die Bildrechte zu sichern. Rechtsgrundlage für die Datenverarbeitung ist dann der Model-Vertrag (Art. 6 Abs. 1 S. 1 lit. b DS-GVO). Aber auch auf der Basis einer zuvor eingeholten Einwilligung des Betroffenen ist es weiterhin möglich, Fotografien zu verarbeiten und insbesondere auch zu veröffentlichen. Es ist darauf zu achten, Einwilligungserklärungen zu verwenden, die bereits den Vorgaben der DSGVO entsprechen. Einziger Wermutstropfen dabei ist, dass die Einwilligung jederzeit frei widerruflich ist. In diesem Fall ist die Fotografie zu löschen oder der Betroffene darauf unkenntlich zu machen.

Gerade auf Veranstaltungen ist es nicht immer möglich, von allen Betroffenen eine Einwilligungserklärung einzuholen. Hier kann mit dem Vorliegen eines berechtigten Interesses (Art. 6 Abs. 1 S. 1 lit. f DSGVO) argumentiert werden (z. B. wenn zwischen dem Veranstalter und dem Betroffenen eine Beziehung besteht und der Fotografierte angesichts der Umstände vernünftigerweise absehen konnte, dass die Fotografien möglicherweise zu Werbezwecken verwendet werden). Hierbei ist aber stes eine Interessenabwägung mit den Rechten des Abgebildeten vorzunehmen. Wann ein Überwiegen des berechtigten Interesses des Werbetreibenden anzunehmen ist, kann derzeit noch nicht mit Sicherheit gesagt werden. Auch hier gilt es, die künftige Rechtsprechung abzuwarten.

Abschließend ist festzuhalten, dass bereits bei der Planung von Werbemaßnahmen stets überprüft werden sollte, ob eventuell personenbezogene Daten betroffen sein könnten. Um das Risiko hoher Bußgelder zu vermeiden, sollte auf jeden Fall juristisch abgesichert werden, ob deren Verwendung datenschutzrechtlich zulässig ist.