Wer ist datenschutzrechtlich verantwortlich, wenn Publicité über einen Adresshändler versendet wird? Das werbende Unternehmen, das die Zielgruppe festlegt, oder der Adresshändler, der die Empfänger auswählt und die Adressdaten verarbeitet? Mit dieser Frage musste sich das Verwaltungsgericht Berlin befassen. Die Entscheidung (Az.: 1 K 74/24) schafft Klarheit für Unternehmen, die Direktmarketing über externe Lettershop-Dienstleister betreiben.
Aufsichtsbehörde erlässt Verwarnung
Die Klägerin, Betreiberin eines Berliner Revuetheaters, wollte Ende 2021 für eine Show werben und dabei auch Personen ansprechen, die bislang keine Kunden waren.
Zu diesem Zweck beauftragte sie eine Adresshändlerin mit dem Versand von Werbeschreiben im Lettershop-Verfahren. Die Klägerin definierte lediglich die gewünschte Zielgruppe: Personen in Berlin und Brandenburg mit überdurchschnittlicher Kaufkraft.
Die konkrete Auswahl der Empfänger erfolgte durch die Adresshändlerin anhand eines eigenen Mikrozellen-Modells. Dabei stammten die verwendeten Adressdaten aus dem Datenbestand der Adresshändlerin und wurden der Klägerin zu keinem Zeitpunkt offengelegt.
Nachdem eine Empfängerin der Publicité Plainte bei der Datenschutzaufsicht eingelegt hatte, verwarnte die Behörde die Klägerin. Nach Auffassung der Autorité de surveillance waren die Klägerin und die Adresshändlerin gemeinsam für die Traitement der personenbezogenen Daten verantwortlich.
Die Klägerin klagte darauf hin gegen die Entscheidung der Autorité de surveillance.
Wer ist für die Adressdaten im Lettershop-Verfahren verantwortlich?
Im Mittelpunkt des Verfahrens stand die Frage, ob die Klägerin gemeinsam mit der Adresshändlerin als Responsable im Sinne von Art. 4 Nr. 7 und Art. 26 RGPD anzusehen war.
Conformément à RGPD liegt eine gemeinsame Verantwortlichkeit vor, wenn mehrere Akteure gemeinsam über die Zwecke und Mittel einer Datenverarbeitung entscheiden.
Die Datenschutzaufsicht argumentierte, die Klägerin habe durch die Vorgabe der Zielgruppe Einfluss auf die Datenverarbeitung genommen und sei deshalb gemeinsam mit der Adresshändlerin verantwortlich.
Das VG Berlin folgte dieser Auffassung jedoch nicht.
VG Berlin hebt Verwarnung wieder auf
Adressverwendung unterliegt der DSGVO
Zunächst stellte das Gericht klar, dass die Nutzung von Namen und Postanschriften für den Versand von Werbeschreiben eine Traitement personenbezogener Daten darstellt.
Ob bereits die Bildung und Selektion der Mikrozellen selbst eine Traitement personenbezogener Daten darstellt, musste das Gericht nicht entscheiden. Maßgeblich war, dass konkrete Adressdaten ausgelesen und für den Versand der Publicité verwendet wurden.
Klägerin bestimmte den Zweck der Verarbeitung
Nach Auffassung des Gerichts beeinflusste die Klägerin durchaus den Zweck der Traitement.
Die Werbemaßnahme diente der Gewinnung neuer Kunden und damit unmittelbar ihrem wirtschaftlichen Interesse. Von der Klägerin ging die Entscheidung aus, potenzielle Neukunden anzuschreiben.
Allein dies genügt jedoch nicht für eine gemeinsame Verantwortlichkeit.
Die Mittel der Verarbeitung lagen vollständig beim Adresshändler
Entscheidend war für das Gericht, dass die Klägerin keinerlei Einfluss auf die konkrete Ausgestaltung der Datenverarbeitung hatte.
Die Adresshändlerin bestimmte eigenständig,
- wie die Mikrozellen gebildet werden,
- welche statistischen Merkmale verwendet werden,
- wie die Empfänger ausgewählt werden,
- wie die Daten technisch verarbeitet werden,
- und wie der Versand organisatorisch umgesetzt wird.
Die Klägerin kaufte lediglich eine Dienstleistung ein. Dagegen verblieb die technische, organisatorische und datenschutzrechtliche Ausgestaltung des gesamten Verfahrens ausschließlich bei der Adresshändlerin.
Besonders wichtig ist dabei eine Klarstellung des Gerichts: Die Vorgabe allgemeiner Zielgruppenmerkmale stellt im konkreten Fall keine Mitbestimmung der Mittel der Datenverarbeitung dar. Sie gehört vielmehr zur wirtschaftlichen Zielsetzung der Werbekampagne.
EuGH-Rechtsprechung nicht übertragbar war
Das VG Berlin setzte sich ausführlich mit mehreren Entscheidungen des Europäischen Gerichtshofs auseinander, unter anderem zu Fanpages, Social-Media-Plugins und digitalen Werbesystemen.
Entscheidend war aus Sicht des Gerichts folgender Unterschied:
In den bisherigen EuGH-Fällen (z.B. Urteil vom 29. Juli 2019 – C-40/17 – Fashion ID) hatten die beteiligten Akteure regelmäßig nicht nur Einfluss auf den Zweck, sondern auch auf die technischen oder organisatorischen Mittel der Datenverarbeitung. Teilweise ermöglichten sie die Datenerhebung überhaupt erst oder gestalteten die Verarbeitungsprozesse aktiv mit.
Im Lettershop-Verfahren lag die Situation anders.
Die Adresshändlerin verfügte bereits unabhängig vom Auftrag der Klägerin über ihren Datenbestand und konnte diesen eigenständig nutzen. Dagegen eröffnete die Klägerin keinen Zugang zu personenbezogenen Daten und schuf auch keine technische Infrastruktur für deren Traitement. Sie nutzte lediglich ein bereits bestehendes Geschäftsmodell.
Für das Gericht reichte die bloße Veranlassung der Werbeaktion daher nicht aus, um eine gemeinsame Verantwortlichkeit zu begründen.
Urteil kein Freibrief für Direktwerbung
Die praktische Bedeutung der Entscheidung sollte dennoch nicht überschätzt werden.
Das Gericht hat ausdrücklich nicht geprüft, ob die konkrete Werbemaßnahme datenschutzrechtlich zulässig war. Ebenso wenig wurde entschieden, ob die Adresshändlerin die personenbezogenen Daten rechtmäßig verarbeitet hat.
Offen geblieben sind insbesondere folgende Fragen:
- Est-ce que la Traitement auf Art. 6 Abs. 1 lit. f RGPD gestützt werden?
- Fällt die Interessenabwägung zugunsten der Publicité de ?
- Wurden die Obligations d'information nach Art. 14 RGPD erfüllt?
- Ist das konkrete Lettershop-Verfahren insgesamt DSGVO-konform ausgestaltet?
Das Urteil beantwortet daher ausschließlich die Frage der datenschutzrechtlichen Verantwortlichkeit.
Nach Lettershop-Urteil: Was Unternehmen jetzt prüfen sollten
Für Unternehmen, die mit Adresshändlern oder Lettershop-Dienstleistern zusammenarbeiten, liefert die Entscheidung wichtige Orientierung.
Insbesondere sollte dokumentiert werden,
- welche Rolle der Dienstleister übernimmt,
- wer über Auswahlmethoden und Selektionsverfahren entscheidet,
- ob das werbende Unternehmen Zugriff auf données à caractère personnel erhält,
- welche Einflussmöglichkeiten auf die Traitement tatsächlich bestehen,
- und wer die technischen sowie organisatorischen Verarbeitungsprozesse bestimmt.
Je stärker ein Auftraggeber in die konkrete Ausgestaltung der Datenverarbeitung eingebunden ist, desto eher kann eine gemeinsame Verantwortlichkeit nach Art. 26 RGPD in Betracht kommen.
Die Entscheidung entbindet Unternehmen nicht von einer sorgfältigen Prüfung ihrer Marketingprozesse. Insbesondere die Rechtsgrundlage der Traitement, die Erfüllung der Obligations d'information nach Art. 14 RGPD sowie die datenschutzrechtliche Einordnung des jeweiligen Dienstleisters bleiben weiterhin eigenständig zu bewerten.
Wichtiges Urteil zur Auslegung der gemeinsamen Verantwortlichkeit
Das VG Berlin zieht eine wichtige Grenze bei der Auslegung der gemeinsamen Verantwortlichkeit nach Art. 26 RGPD.
Die bloße Vorgabe eines Werbezwecks und allgemeiner Zielgruppenparameter genügt nicht, um ein werbendes Unternehmen gemeinsam mit einem Adresshändler zum Verantwortlichen zu machen. Erforderlich ist vielmehr ein tatsächlicher Einfluss auf die organisatorischen, technischen oder methodischen Mittel der Datenverarbeitung.
Das Urteil schafft damit Klarheit bei der Verantwortlichkeitsverteilung, beantwortet jedoch nicht die Frage, ob entsprechende Werbeverfahren materiell den Anforderungen der RGPD genügen. Diese Frage bleibt weiterhin offen.
German 
English 
Italian 
French