DSGVO ein Jahr später – wie hat der Adresshandel reagiert?

Die DSGVO jährt sich zum ersten Mal. Daher sollten wir uns die Zeit nehmen, einen nüchternen Blick darauf zu werfen. Bevor die DSGVO im Mai 2018 bindend wurde, haben Unternehmen europaweit unzählige Maßnahmen ergriffen, um sich vor den angedrohten hohen Strafen zu schützen. Man hatte Angst vor einer Klagewelle, die zum Glück ausblieb. Spekuliert wurde über drastische Bußgelder und empfindliche Strafen, selbst bei einem unbedeutenden Ereignis.

Doch welche Strafen wurden mittlerweile tatsächlich verhängt und wie haben diejenigen reagiert, die es am meisten angehen müsste – nämlich Unternehmen, die Adressen verkaufen?

Tatsächliche Strafen

Mit 20.000 Euro Bußgeld gegen das Internetportal Knuddels.de gab es in Deutschland das erste DSGVO Urteil. Grund für die Strafe war die unverschlüsselte Speicherung von Passwörtern. Angesichts des möglichen Spielraums, was die Höhe des Bußgeldes angeht, scheint die Strafe verhältnismäßig gering. Dem Unternehmen wurde zu Gute gehalten, dass es sich nach einem Hackerangriff sofort offen an die Behörden und an die Nutzer wandte.

In Frankreich wurde hingegen ein wesentlich höheres Bußgeld von 50 Millionen Euro gegenüber Google ausgesprochen, weil Google gegen das Gebot der Transparenz der Datennutzung verstößt und somit die Anforderungen der DSGVO nicht ausreichend erfüllt, wenn sich Nutzer für Google Dienste anmelden. Beide Fälle sind sehr unterschiedlich und es sieht so aus als ob Verstöße gegen die Leitlinien der DSGVO besonders streng geahndet würden.

Gerade der aktuellste Fall aus Polen zeigt, dass das sehr vom jeweiligen Gericht abhängig ist. Dort wurde eine Strafe von umgerechnet etwa 220.000 Euro gegen den Datenriesen Bisnode, ein schwedisches Aktienunternehmen, verhangen – nicht etwa wegen des Tatbestands des Datenhandels, sondern lediglich wegen der unterlassenen Informationspflicht. Bisnode will dagegen Revision einlegen.

B2B Adressen kaufen legal oder verboten?

Da Transparenz eine wichtige Leitlinie der DSGVO ist, dürften der Verkauf und der Kauf von personenbezogenen Daten eigentlich nicht mehr legal sein. Denn niemand klickt bewusst ein Häkchen an, mit dem man dem Verkauf seiner Daten zu Werbezwecken zustimmt. Ein im Erwägungsgrund 43 und im Artikel 7 festgeschriebenes Kopplungsverbot in der DSGVO untersagt zudem, die Kopplung von Diensten an die Freigabe von Daten. Es gibt also keine Möglichkeit mehr Personen zur Freigabe von Daten zu „überreden“. Dennoch gibt es Adressanbieter, die nach wie vor Firmenadressen anbieten. Wie ist das möglich?

Direktmarketing ist ein berechtigtes Interesse

Tatsächlich gibt es in der DSGVO Formulierungen, die eine weitere Nutzung von gekauften Adressen zu erlauben scheinen. Da wäre der Erwägungsgrund 47, der Direktmarketing als berechtigtes Interesse bezeichnet. In Kombination mit dem Artikel 6 Absatz f) gewinnt dieser Erwägungsgrund so richtig an Gewicht. Denn dieser besagt, dass ein berechtigtes Interesse das schützenswerte Interesse einer betroffenen Person übertreffen kann. Und genau auf dieser Grundlage geht das Geschäft mit Adressen weiter.

Nun ist Adresshandel nicht gleich Direktmarketing, aber ohne Adresshandel ist Neukundenakquise mit Direktmarketing nicht möglich. Es wären also nicht nur Adresshändler betroffen, sondern vor allem auch Marketing-Agenturen, Druckereien und sämtliche Unternehmen, die über Direktmarketing neue Kunden werben.

Werbung mit gekauften Firmenadressen also legal?

Da es noch kein Grundsatzurteil im Adresshandel gibt, kann niemand sicher sagen, was nun eindeutig legal ist und was nicht. Datenschützer legen die DSGVO naturgemäß wesentlich strenger aus als Adresshändler. Sicher ist nur, dass der Erwägungsrund 14 juristische Personen ganz eindeutig vom Schutz durch die DSGVO ausschließt. Juristische Personen sind zum Beispiel Unternehmensformen wie GmbHs und AGs, Kommanditgesellschaften oder eingetragene Vereine, Stiftungen und Genossenschaften. Diese Verordnung gilt auch nicht für die Verarbeitung personenbezogener Daten, die im Zusammenhang mit einer juristischen Person stehen – einschließlich Name, Rechtsform und konkrete Kontaktdaten und Ansprechpartner der juristischen Person, wie zum Beispiel der Geschäftsführer einer GmbH.

Was ist wirklich sicher?

Lediglich Postwurfsendungen sind unproblematisch. Zum einen sind nicht alle Firmen juristische Personen. Genau genommen ist der Großteil der Firmen in Deutschland, wie zum Beispiel Ärzte, Handwerker und Selbständige, keine juristische Person. Zum anderen gilt auch für juristische Personen auf Bundesebene das Gesetz gegen den unlauteren Wettbewerb (UWG). Der telefonische Erstkontakt als solches, ist also nicht mittelbar von der DSGVO betroffen. Denn ob dies verboten oder erlaubt ist, regelt in Deutschland das UWG. Der Umgang mit den in der Akqusie gesammelten Daten ändert sich allerdings. Lesen Sie dazu mehr über die telefonische Kaltakquise und DSGVO in unserem Blog.

Über den Autor

Die Address-Base GmbH & Co. KG verkauft auf https://www.address-base.de Firmenadressen. Angesichts der DSGVO wurde das Service-Team intensiv im Bereich Datenschutz geschult. Kunden werden auf Anfrage ehrlich über die aktuellen Risiken aufgeklärt. Auch im Firmenblog widmet man sich dem Thema. Address-Base versteht eine ganzheitliche Aufklärung über den Adresskauf als Teil des Kundenservice.