Voraussetzungen und Hinweise aus datenschutzrechtlichen Gesichtspunkten
Um vertriebliche Maßnahmen fördern oder den Absatz der eigenen Waren und Dienstleistungen zu steigern, kaufen Unternehmen oftmals Datensätze, um diese auf verschiedenen Kanälen zu nutzen.
Nicht selten enthalten diese Datensätze auch personenbezogene Daten (bspw. Namen, E-Mail-Adressen oder Anschriften) und damit fangen die Herausforderungen an. Sind personenbezogene Daten in den aufgekauften Datensätzen enthalten, die ihr Unternehmen erwirbt und bspw. in das CRM zur weiteren Verwendung einspielt, werden im Rahmen der Europäischen Datenschutzgrundverordnung (DSGVO) automatisch Informationspflichten an betroffene Personen ausgelöst. Der hier einschlägige Artikel 14 DSGVO listet hierbei schon 13(!) Punkte auf, über die die betroffenen Personen aus den Datensätzen jeweils informiert werden müssen.
So müssen beispielsweise Informationen über folgende Punkte erfolgen:
- Welches Unternehmen hat die Daten angekauft?
- Welche Daten (Kategorien) wurden angekauft?
- Für welchen Zweck wurden diese Daten angekauft?
- Wer war Verkäufer/Lieferant der Daten?
- Wie lange speichert das Unternehmen diese Daten?
Die Aufzählung ist hierbei nicht abschließend und lässt erahnen, dass dies nicht so einfach möglich sein wird. Die Erfüllung der Informationspflicht (egal ob per E-Mail oder per Brief) wird immer mit einem nicht unerheblichen Aufwand verbunden sein, welcher mindestens binnen eines Monats zu erfolgen hat – immer mit der Frage, ob es diesen Aufwand am Ende Wert sein wird. Werden diese Informationspflichten nicht erfüllt, hat dies eine Verletzung der Betroffenenrechte zur Folge, was eine nicht unwesentliche Datenschutzverletzung darstellt, die bußgeldbewährt ist.
Neben den, in der Praxis recht aufwändigen und umständlichen, Informationspflichten besteht auch die Frage, ob die aufgekauften Datensätze mit den personenbezogenen Daten für den erdachten Zweck überhaupt verwendet werden dürfen.
So stellt sich die Frage, ob die betroffenen Personen entsprechend freiwillig, transparente und informierte Einwilligungen für bspw. eine Weitergabe und Verwendung ihrer personenbezogenen Daten abgegeben haben und ob dies im Zweifel auch nachweisbar ist oder ob die mögliche Einwilligung zwischenzeitlich nicht widerrufen wurde. Derartige Informationen werden meist von den Anbietern solcher Datensätze nicht mit zur Verfügung gestellt.
Auch kann es entscheidend sein, auf welchen Weg die betroffenen Personen aus den Datensätzen kontaktiert werden sollen. Ob dies per Brief, E-Mail, Telefon, SMS oder Direct Message erfolgen soll, kann Auswirkungen auf die Zulässigkeit und Möglichkeit einer Interessenabwägung haben.Neben diesen datenschutzrechtlichen Aspekten gibt es jedoch auch eine Vielzahl von Vorgaben aus dem Gesetz gegen den unlauteren Wettbewerb (UWG), welche ebenfalls mit beachtet werden müssen. Eine schnelle und pauschale Aussage ist daher nicht einfach möglich.
Unsere Empfehlung
Wenn ihr Unternehmen derartige Ankäufe von Datensätzen plant, kontaktieren Sie rechtzeitig vorab den Datenschutzbeauftragten des Unternehmens bzw. die Rechtsabteilung oder einen Rechtsanwalt, der ihr Unternehmen berät, um gegebenenfalls entsprechende Datenschutz- oder Wettbewerbsverstöße zu vermeiden und den Ankauf sowie die Verwendung rechtssicher vollziehen zu können. Im besten Fall lässt sich ein Maßnahmenkatalog ableiten, der bei einem erneuten Ankauf von Datensätzen mit personenbezogenen Daten bereits zur Verfügung steht und gleich umgesetzt werden kann.
Autor: Robert Postler (Senior Data Privacy Consultant / LL.M.)