Freundschafts- und Empfehlungswerbung, Nutzung von E-Mailadressen von Bestandskunden etc.
100
Hierbei vertreten die Datenschutzaufsichtsbehörden i.d.R. relativ strenge Positionen. Zwar ist z.B. auch nach Ansicht der Behörden postalische Werbung gegenüber Kunden im Nachgang zu einer Bestellung ohne weitere Selektion oder bei Vornahme einer Selektion, die keinen weiteren Erkenntnisgewinn mit sich bringt, grundsätzlich auf Basis von Art. 6 Abs. 1 lit. f DSGVO zulässig.153 Sollte sich durch die Selektion allerdings ein Erkenntnisgewinn ergeben, wäre die Datenverarbeitung hingegen ohne Einwilligung regelmäßig unzulässig. Ebenso könnten die Profilbildung sowie Verhaltensprognosen- bzw. -analysen, die zu zusätzlichen Erkenntnissen führen, i.d.R. nicht auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden.154
101
Allerdings wird die Orientierungshilfe der deutschen Datenschutzaufsichtsbehörden in der datenschutzrechtlichen Literatur – zu Recht – als zumindest teilweise zu restriktiv kritisiert, weil darin z.B. keine hinreichende Unterscheidung getroffen werde, ob sich die Werbung an Verbraucher oder an Unternehmer richte und das Profiling zu Zwecken der Werbung auf Basis von Art. 6 Abs. 1 lit. f DSGVO sowie die Freundschaftswerbung zu pauschal als unzulässig erachtet werde.155
102
Für Unternehmen, die personenbezogene Daten zu Werbezwecken verarbeiten wollen, ergibt sich vor diesem Hintergrund die folgende Empfehlung: In einem ersten Schritt sollte das jeweilige Unternehmen die Orientierungshilfe der Datenschutzkonferenz dahingehend prüfen, ob sie Hinweise für die geplante Form der Datenverarbeitung zu Werbezwecken enthält. Soweit möglich, sollte das Unternehmen diese Hinweise zur Vermeidung etwaiger Haftungsrisiken einhalten. Auch wenn die deutschen Datenschutzaufsichtsbehörden die DSGVO nicht rechtsverbindlich auslegen dürfen, ist mit großer Sicherheit davon auszugehen, dass sie das in dieser Orientierungshilfe geäußerte Verständnis grundsätzlich auch im Einzelfall (z.B. bei der Prüfung der Zulässigkeit der Datenverarbeitung) ihrer Auslegung der DSGVO zugrunde legen und ggf. auf dieser Basis Bußgelder verhängen werden. Allerdings wäre ein etwa damit (im Anschluss) befasstes Gericht an diese Auslegung nicht gebunden.
103
Sollte das Unternehmen eine Verarbeitung beabsichtigen, die von den Hinweisen der Datenschutzaufsichtsbehörden abweicht, sollte das Unternehmen im Einzelfall prüfen, ob die Datenverarbeitung entgegen diesen Hinweisen (doch) auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann. So sind die Ausführungen in der Orientierungshilfe auch nach hier vertretener Ansicht teilweise zu pauschal – insbesondere im Hinblick auf die Profilbildung sowie die Verhaltensanalyse und -prognose – und dabei dann auch zu restriktiv. So kann es sein, dass bei der geplanten Verarbeitung ein Ausnahmefall besteht, der eine Abweichung von den pauschalen und grundsätzlichen Ausführungen rechtfertigt – unter Umständen sogar auch nach Ansicht der Datenschutzaufsichtsbehörden. Deshalb sollten Unternehmen in einem solchen Fall insbesondere den Grad der Abweichung von den Hinweisen der Datenschutzaufsichtsbehörden sowie die (tatsächlichen) Umstände des Einzelfalls ermitteln und dokumentieren, die die Abweichung rechtfertigen könnten, und auf dieser Basis dann im Einzelfall die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO durchführen.
104
Angesichts der großen Vielzahl an unterschiedlichen Fallgestaltungen bei der Verarbeitung von personenbezogenen Daten zu Werbezwecken und dem begrenzten Umfang dieses Buches kann an dieser Stelle nicht konkret auf einzelne Fallgestaltungen eingegangen werden. In Kapitel 17 finden sich in diesem Zusammenhang aber konkrete Ausführungen zu den besonders praxisrelevanten Themen des „Web Tracking und Online Advertising“ und des „Customer Relationship Management“.
5. Verhältnis der Alternativen des Art. 6 Abs. 1 DSGVO zueinander
105
Die verschiedenen in Art. 6 Abs. 1 DSGVO enthaltenen Erlaubnistatbestände stehen ausweislich des Wortlauts der Vorschrift („wenn mindestens eine der nachstehenden Bedingungen“) gleichberechtigt nebeneinander. Das bedeutet insbesondere, dass keine dieser Alternativen eine Sperrwirkung gegenüber den anderen in Art. 6 Abs. 1 DSGVO enthaltenen Alternativen entfalten kann. Mit anderen Worten: Sind die tatbestandlichen Voraussetzungen einer Alternative erfüllt, kann eine nicht von dieser Alternative erlaubte Datenverarbeitung dennoch durch eine der anderen Alternativen erlaubt werden. So darf z.B. ein Verantwortlicher personenbezogene Daten im Zusammenhang mit einem Vertrag mit der betroffenen Person verarbeiten, wenn dies nicht zur Erfüllung dieses Vertrages erforderlich ist – und damit die Voraussetzungen des Art. 6 Abs. 1 lit. b DSGVO nicht erfüllt sind –, aber z.B. seine berechtigten Interessen die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. In diesem Fall wäre die Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO zulässig.156
106
Dies gilt nach hier vertretener Ansicht grundsätzlich ebenso im Verhältnis zwischen einer Einwilligung i.S.d. Art. 6 Abs. 1 lit. a DSGVO und den übrigen „gesetzlichen Erlaubnistatbeständen“, da die Einwilligung nur eine der in Art. 6 Abs. 1 DSGVO aufgeführten Bedingungen ist, die die Verarbeitung personenbezogener Daten zu rechtfertigen vermag.157 Solange eine dieser Bedingungen erfüllt ist, ist die Datenverarbeitung zulässig. Für die Praxis bedeutet dies, dass eine Datenverarbeitung nach hier vertretener Ansicht auch dann auf Art. 6 Abs. 1 lit. b–f DSGVO gestützt werden kann, wenn eine eingeholte Einwilligung unwirksam oder ein bestimmter Datenverarbeitungsvorgang von dieser nicht erfasst ist. Allerdings können die Umstände des Einzelfalls, warum eine eingeholte Einwilligung eine (geplante) Datenverarbeitung nicht erlauben kann, bei der Interessenabwägung im Rahmen des Art. 6 Abs. 1 lit. f DSGVO – und damit bei der Frage, ob die Daten auf Basis dieser Vorschrift (weiter-)verarbeitet werden dürfen – berücksichtigt werden. Dies gilt insbesondere für den Fall, dass eine betroffene Person ihre Einwilligung widerrufen hat.158
Standpunkte der deutschen Datenschutzaufsichtsbehörden und des Europäischen Datenschutzausschusses
107
Die deutschen Datenschutzaufsichtsbehörden scheinen „dem Nebeneinander“ von gesetzlichen Erlaubnistatbeständen und einer Einwilligung eher skeptisch gegenüberzustehen. So könne es z.B. gegen Treu und Glauben verstoßen, wenn ein Verantwortlicher sich auf eine gesetzliche Erlaubnisnorm berufe, wenn die betroffene Person ihre Einwilligung widerrufen habe. Damit wäre in diesem Fall bei der betroffenen Person durch die Einholung der Einwilligung der (falsche) Eindruck erweckt worden, dass die Verarbeitung ihrer Daten ihrem Wahlrecht unterliege.159
108
Auch der Europäische Datenschutzausschuss vertritt hierzu in seinen Leitlinien zur Einwilligung einen restriktiven Standpunkt. So sei es „gegenüber der betroffenen Person ein in höchstem Maß missbräuchliches Verhalten, ihr zu sagen, dass die Daten auf der Grundlage der Einwilligung verarbeitet werden, wenn tatsächlich eine andere Rechtsgrundlage zugrunde gelegt wird“. Deshalb könne ein Verantwortlicher nicht von einer Einwilligung zu einer anderen Grundlage wechseln. So müssten sich die Verantwortlichen vor der Erhebung der Daten entscheiden, auf welche Rechtsgrundlage sie die Verarbeitung stützen wollen, und die betroffenen Personen hierüber im Rahmen ihrer Informationspflichten informieren.160
109
Die Ausführungen des Europäischen Datenschutzausschusses beziehen sich nach hier vertretener Lesart allerdings (nur) auf den „nachträglichen Wechsel der Rechtsgrundlage“, also – überspitzt formuliert – ein Verantwortlicher, wenn die betroffene Person ihre Einwilligung widerruft oder sich herausstellt, dass diese unwirksam ist, dann prüft, ob er die Verarbeitung eventuell noch auf eine andere Rechtsgrundlage stützen könnte, um die Verarbeitung fortsetzen zu können. Mithin lässt sich diesen Ausführungen nach hier vertretener Ansicht nicht entnehmen, dass es der Europäische