DSGVO ein Jahr später – wie hat der Adress­handel reagiert?

Die DSGVO jährt sich zum ersten Mal. Daher sollten wir uns die Zeit nehmen, einen nüch­ternen Blick darauf zu werfen. Bevor die DSGVO im Mai 2018 bindend wurde, haben Unter­nehmen euro­pa­weit unzäh­lige Maßnahmen ergriffen, um sich vor den ange­drohten hohen Strafen zu schützen. Man hatte Angst vor einer Klage­welle, die zum Glück ausblieb. Speku­liert wurde über dras­ti­sche Bußgelder und empfind­liche Strafen, selbst bei einem unbe­deu­tenden Ereignis. 

Doch welche Strafen wurden mitt­ler­weile tatsäch­lich verhängt und wie haben dieje­nigen reagiert, die es am meisten angehen müsste – nämlich Unter­nehmen, die Adressen verkaufen?

Tatsäch­liche Strafen

Mit 20.000 Euro Bußgeld gegen das Inter­net­portal Knuddels.de gab es in Deutsch­land das erste DSGVO Urteil. Grund für die Strafe war die unver­schlüs­selte Spei­che­rung von Pass­wör­tern. Ange­sichts des mögli­chen Spiel­raums, was die Höhe des Bußgeldes angeht, scheint die Strafe verhält­nis­mäßig gering. Dem Unter­nehmen wurde zu Gute gehalten, dass es sich nach einem Hacker­an­griff sofort offen an die Behörden und an die Nutzer wandte.

In Frank­reich wurde hingegen ein wesent­lich höheres Bußgeld von 50 Millionen Euro gegen­über Google ausge­spro­chen, weil Google gegen das Gebot der Trans­pa­renz der Daten­nut­zung verstößt und somit die Anfor­de­rungen der DSGVO nicht ausrei­chend erfüllt, wenn sich Nutzer für Google Dienste anmelden. Beide Fälle sind sehr unter­schied­lich und es sieht so aus als ob Verstöße gegen die Leit­li­nien der DSGVO beson­ders streng geahndet würden.

Gerade der aktu­ellste Fall aus Polen zeigt, dass das sehr vom jewei­ligen Gericht abhängig ist. Dort wurde eine Strafe von umge­rechnet etwa 220.000 Euro gegen den Daten­riesen Bisnode, ein schwe­di­sches Akti­en­un­ter­nehmen, verhangen – nicht etwa wegen des Tatbe­stands des Daten­han­dels, sondern ledig­lich wegen der unter­las­senen Infor­ma­ti­ons­pflicht. Bisnode will dagegen Revi­sion einlegen.

B2B Adressen kaufen legal oder verboten?

Da Trans­pa­renz eine wich­tige Leit­linie der DSGVO ist, dürften der Verkauf und der Kauf von perso­nen­be­zo­genen Daten eigent­lich nicht mehr legal sein. Denn niemand klickt bewusst ein Häkchen an, mit dem man dem Verkauf seiner Daten zu Werbe­zwe­cken zustimmt. Ein im Erwä­gungs­grund 43 und im Artikel 7 fest­ge­schrie­benes Kopp­lungs­verbot in der DSGVO unter­sagt zudem, die Kopp­lung von Diensten an die Frei­gabe von Daten. Es gibt also keine Möglich­keit mehr Personen zur Frei­gabe von Daten zu „über­reden“. Dennoch gibt es Adress­an­bieter, die nach wie vor Firmen­adressen anbieten. Wie ist das möglich?

Direkt­mar­ke­ting ist ein berech­tigtes Interesse

Tatsäch­lich gibt es in der DSGVO Formu­lie­rungen, die eine weitere Nutzung von gekauften Adressen zu erlauben scheinen. Da wäre der Erwä­gungs­grund 47, der Direkt­mar­ke­ting als berech­tigtes Inter­esse bezeichnet. In Kombi­na­tion mit dem Artikel 6 Absatz f) gewinnt dieser Erwä­gungs­grund so richtig an Gewicht. Denn dieser besagt, dass ein berech­tigtes Inter­esse das schüt­zens­werte Inter­esse einer betrof­fenen Person über­treffen kann. Und genau auf dieser Grund­lage geht das Geschäft mit Adressen weiter.

Nun ist Adress­handel nicht gleich Direkt­mar­ke­ting, aber ohne Adress­handel ist Neukun­den­ak­quise mit Direkt­mar­ke­ting nicht möglich. Es wären also nicht nur Adress­händler betroffen, sondern vor allem auch Marke­­ting-Agen­­turen, Drucke­reien und sämt­liche Unter­nehmen, die über Direkt­mar­ke­ting neue Kunden werben.

Werbung mit gekauften Firmen­adressen also legal?

Da es noch kein Grund­satz­ur­teil im Adress­handel gibt, kann niemand sicher sagen, was nun eindeutig legal ist und was nicht. Daten­schützer legen die DSGVO natur­gemäß wesent­lich strenger aus als Adress­händler. Sicher ist nur, dass der Erwä­gungs­rund 14 juris­ti­sche Personen ganz eindeutig vom Schutz durch die DSGVO ausschließt. Juris­ti­sche Personen sind zum Beispiel Unter­neh­mens­formen wie GmbHs und AGs, Komman­dit­ge­sell­schaften oder einge­tra­gene Vereine, Stif­tungen und Genos­sen­schaften. Diese Verord­nung gilt auch nicht für die Verar­bei­tung perso­nen­be­zo­gener Daten, die im Zusam­men­hang mit einer juris­ti­schen Person stehen – einschließ­lich Name, Rechts­form und konkrete Kontakt­daten und Ansprech­partner der juris­ti­schen Person, wie zum Beispiel der Geschäfts­führer einer GmbH.

Was ist wirk­lich sicher?

Ledig­lich Post­wurf­sen­dungen sind unpro­ble­ma­tisch. Zum einen sind nicht alle Firmen juris­ti­sche Personen. Genau genommen ist der Groß­teil der Firmen in Deutsch­land, wie zum Beispiel Ärzte, Hand­werker und Selb­stän­dige, keine juris­ti­sche Person. Zum anderen gilt auch für juris­ti­sche Personen auf Bundes­ebene das Gesetz gegen den unlau­teren Wett­be­werb (UWG). Der tele­fo­ni­sche Erst­kon­takt als solches, ist also nicht mittelbar von der DSGVO betroffen. Denn ob dies verboten oder erlaubt ist, regelt in Deutsch­land das UWG. Der Umgang mit den in der Akqusie gesam­melten Daten ändert sich aller­dings. Lesen Sie dazu mehr über die tele­fo­ni­sche Kalt­ak­quise und DSGVO in unserem Blog.

Über den Autor

Die Address-Base GmbH & Co. KG verkauft auf https://www.address-base.de Firmen­adressen. Ange­sichts der DSGVO wurde das Service-Team intensiv im Bereich Daten­schutz geschult. Kunden werden auf Anfrage ehrlich über die aktu­ellen Risiken aufge­klärt. Auch im Firmen­blog widmet man sich dem Thema. Address-Base versteht eine ganz­heit­liche Aufklä­rung über den Adress­kauf als Teil des Kundenservice.