Fragen des GDD Erfa-Kreises Coburg:
- Muss beim Postversand von Werbung, Newslettern, etc. durch ausländische Niederlassungen im Geltungsbereich der DS-GVO vorab eine Einwilligung des Betroffenen eingeholt werden? In Deutschland wird diese Frage mit Hinweis auf §7 UWG verneint. Was gibt die DS-GVO hierzu her?
- Welche Datenschutzhinweise müssen beim o.a. Postversand beigefügt werden: alle aus Art. 13 bis 21 DS-GVO? Oder genügen Hinweise auf das Widerspruchsrecht des Betroffenen, die Herkunft der Adressdaten und deren Verwendung/Speicherungsdauer durch den Verantwortlichen?
- Beim Versand von Werbung, Newslettern, etc. per E-Mail muss vorab die Einwilligung des Betroffenen mittels „Double opt-in“ eingeholt werden. Welche Datenschutzhinweise müssen hier unbedingt enthalten sein?
- Muss eine Datenschutzerklärung jedem einzelnen Angebot, das auf dem Postweg oder per E-Mail versandt wird (z.B. Servicevertrag, Kaufvertrag, Bestellung), beigefügt werden?
Antworten des BayLDA:
Zu Frage 1: Versand von Werbung, Newslettern, etc. durch ausländische Niederlassungen im DS-GVO-Geltungsbereich:
An den datenschutzrechtlichen Anforderungen für eine werbliche Verarbeitung personenbezogener Daten deutscher Verbraucher wird sich nach Wirksamwerden der DS-GVO am 25.05.2018 nichts Wesentliches ändern. Wegen des geltenden „Marktortprinzips“ müssen sich auch ausländische Werbende an die deutschen Regelungen halten.
Es gelten weiterhin folgende grobe Aussagen:
- Postbriefwerbung ist zulässig, solange eine betroffene Person dem nicht widersprochen hat.
- Telefonanrufwerbung und Fax-Werbung bedürfen der vorherigen Einwilligung der betroffenen Person.
- E-Mail-/SMS-Werbung bedarf außerhalb von Bestandskundenverhältnissen der vorherigen Einwilligung (z. B. Bestellung eines Newsletter und double-opt-in). Siehe dazu auch das DSK-Kurzpapier Nr. 3.
Darüber hinaus sind die Aufsichtsbehörden im Moment dabei, die bisherigen Anwendungshinweise für Werbung für die DS-GVO-Geltung zu überarbeiten.
Zu Frage 2: Datenschutzhinweise beim Postversand
Die hier relevanten Informationspflichten sind in den Art. 13 und 14 DS-GVO, ergänzt durch Art. 12 Abs. 1 DS-GVO, geregelt. Hat eine betroffene Person die gesetzlich vorgesehenen Informationen schon erhalten, z. B. Bestandskunde, muss nicht wiederholt informiert werden (siehe Art. 13 Abs. 4 und Art. 14 Abs. 5 lit. a DS-GVO).
Im Übrigen empfiehlt es sich, zur Erfüllung der Informationspflichten einen allgemeinen Informationstext mit den gesetzlich geforderten Angaben zu erstellen („Datenschutzinformationen“), der Postzusendungen, Katalogen, der Homepage usw. beigefügt werden kann.Siehe zu Einzelheiten auch das WP 260 der EU-Art.-29-Datenschutzgruppe und und das DSK-Kurzpapier Nr. 10.
Zu Frage 3: Datenschutzhinweise bei der Einholung von Einwilligungen mittels double-opt-in
Wenn per double-opt-in eine Verifizierung einer Einwilligungserklärung, einer Newsletterbestellung, etc., eingeholt wird, sind vorher schon Kontakte mit der betroffenen Person erfolgt, z. B. über die Homepage, wo die allgemeinen gesetzlichen Informationspflichten gegenüber der betroffenen Person erfüllt werden können, z. B. über direkt/unschwer zu erreichender „Datenschutzinformationen“ auf der Homepage.
Bei der dann folgenden double-opt-in-Verifizierungsrückfrage zur Einwilligung sind noch die in Art. 4 Nr. 11 und Art. 7 DS-GVO geforderten Informationen zu geben, siehe näher die Erläuterungen in Nr. 42 der ErwGr., also
- gegenüber wem die Einwilligung erfolgen soll,
- was diese genau beinhaltet („…wer der Verantwortliche ist und für welche Zwecke ihre personengezogenen Daten verarbeitet werden sollen.“)
- und dass die Einwilligung jederzeit widerrufen werden kann und wie dies erfolgen kann.
Zu Frage 4: Datenschutzerklärung zu jeder einzelnen Zusendung (Angebot, Servicevertrag, Kaufvertrag, Bestellung)
Hierzu kann auf die Antwort auf Frage 2 verwiesen werden: Hat eine betroffene Person die gesetzlich vorgesehenen Informationen schon erhalten, z. B. Bestandskunde, muss nicht wiederholt informiert werden (siehe Art. 13 Abs. 4 und Art. 14 Abs. 5 lit. a DS-GVO).