Der Widerspruch gegen Datenverarbeitungen zur Direktwerbung: Umsetzung im Online-Shop + Reaktionsmuster für Mandanten

Online-Händler haben viele Möglichkeiten, um Seitenbesucher und Kunden gezielt werblich anzusprechen. Egal ob online (etwa über personalisierte Anzeigen) oder offline (z.B. über Briefwerbung), werden hierbei jedoch meist personenbezogene Daten verarbeitet. An diese Datenverarbeitungen knüpft nun ein zunehmend bedeutsames DSGVO-Betroffenenrecht an: Der Widerspruch gegen Direktwerbemaßnahmen. Unter Berufung auf dieses Widerspruchsrecht kann vom Online-Händler verlangt werden, Datenverarbeitungen zu Direktwerbezwecken in Zukunft wirksam abzustellen. Welche Pflichten haben Online-Händler bei einem solchen Werbewiderspruch zu beachten? Hierzu der aktuelle Beitrag der IT-Recht Kanzlei - inklusive hilfreicher Formulierungsmuster für die rechtskonforme Umsetzung.

Inhaltsverzeichnis

I. Der Werbewiderspruch nach Art. 21 Abs. 2 DSGVO
II. Die Bedeutung des Werbewiderspruchs im Online-Shop
1.) Anwendungsbereich des Werbewiderspruchs im Online-Handel
2.) Kundenorientierte Auslegungspflicht
III. Anforderungen an die wirksame Widerspruchserklärung
IV. Reaktionspflichten des Online-Händlers
1.) Technische Umsetzungspflichten: Abstellung und ggf. Datenlöschung
2.) Bestätigungspflicht
V. Besonderheit im Internet: Widerspruch über automatisierte Verfahren
VI. Reaktionsmuster für Mandanten

I. Der Werbewiderspruch nach Art. 21 Abs. 2 DSGVO

Erwägungsgrund 47 der DSGVO erkennt in Satz 7 die Direktwerbung als berechtigtes Interesse von Verantwortlichen für Datenverarbeitungen an.

Als Direktwerbung gilt hierbei jede Äußerung im Wege einer individuellen Kommunikation zwischen dem Verantwortlichen und dem Betroffenen bei der Ausübung eines Handels, Gewerbes, Handwerks oder freien Berufs mit dem Ziel, den Absatz von Waren oder die Erbringung von Dienstleistungen zu fördern.

Verantwortlichen ist es also auf Basis ihres unterstellt berechtigten Interesses an der direkten werblichen Ansprache von Betroffenen gestattet, deren personenbezogenen Daten gemäß Art. 6 Abs. 1 lit. f DSGVO hierfür zu verarbeiten.

Die DSGVO unterwirft Datenverarbeitungen zu Werbezwecken keinem grundsätzlichen Einwilligungserfordernis, sondern lässt die Rechtfertigung über bloße berechtigte Interessen ausreichen.

Um das Interesse von Betroffenen, über den Verbleib und die Verwendung Ihrer Daten vor allem auf dem Gebiet von Werbemaßnahmen selbst zu entscheiden, wirksam zu schützen, gibt die DSGVO ihnen im Gegenzug aber mit Art. 21 Abs. 2 ein starkes Betroffenenrecht an die Hand.

Nach dieser Vorschrift kann ein Betroffener gegen die Verarbeitung seiner Daten zu Direktwerbezwecken zu jeder Zeit Widerspruch einlegen und so diese Verarbeitung für die Zukunft unterbinden.

Der Werbewiderspruch erfasst nicht nur die konkrete Verarbeitung zu Werbezwecken, sondern auch ein hiermit im Zusammenhang stehendes Profiling (also die Auswertung von Daten, etwa für Marketingmaßnahmen und Marktanalysen).
Wird der Widerspruch wirksam erklärt, muss der Verantwortliche gemäß Art. 21 Abs. 3 DSGVO die Datenverarbeitung zu Direktwerbezwecken (und auch ein damit zusammenhängendes Profiling) einstellen.

Gleichzeitig geht mit einem wirksamen Widerspruch gegen die Direktwerbung auch eine Löschungspflicht des Verantwortlichen einher:

Gemäß Art. 17 Abs 1 lit. c DSGVO muss die Verarbeitung zu Werbezwecken nicht nur abgestellt werden, sondern es müssen vielmehr die verwendeten Datensätze grundsätzlich auch unwiederbringlich entfernt werden.

II. Die Bedeutung des Werbewiderspruchs im Online-Shop

Von den EU-Gesetzgebern als bedeutendes Betroffenenrecht konzipiert, entwickelt der Werbewiderspruch im Online-Shop nur in wenigen Fallkonstellationen eigenständige Bedeutung.

Hintergrund ist, dass er nur für solche Direktwerbemaßnahmen relevant wird, die auf berechtigte Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO gestützt werden und die insbesondere keinem Einwilligungserfordernis (nach Art. 6 Abs. 1 lit. a DSGVO) unterliegen.

1.) Anwendungsbereich des Werbewiderspruchs im Online-Handel

Das Werbewiderspruchsrecht kommt also dort nicht zum Tragen, wo spezialgesetzliche Vorschriften die Zulässigkeit einer Werbemaßnahme von der Einwilligung des Betroffenen abhängig machen. Das hierfür vorgesehene Betroffenenrecht ist nämlich der Widerruf der Einwilligung und nicht der Werbewiderspruch.

In Bezug auf die gängigen werblichen Verarbeitungssituationen im Online-Handel bedeutet dies, dass der Werbewiderspruch grundsätzlich nicht relevant ist bei

Verarbeitungen zum Zwecke des E-Mail-Newsletterversandes (da Einwilligungspflicht nach § 7 Abs. 2 Nr. 3 UWG)
Verarbeitungen zum Zwecke der Telefonwerbung gegenüber Verbrauchern (da Einwilligungspflicht nach § 7 Abs. 2 Nr. 2 UWG)
cookie-basierte Verarbeitungen über spezielle Tools zur Einblendung personalisierter Werbeanzeigen (da Einwilligungspflicht nach Art. 5 Abs. 3 der Cookie-Richtlinie)

Der Anwendungsbereich des Werbewiderspruchs im Online-Handel ist aber vor allem auf dem Gebiet der postalischen Direktwerbung (Briefkastenwerbung, Werbeflyer-Marketing, Prospekteinwurfwerbung) eröffnet.

Datenverarbeitungen für diese Werbeform können nach DSGVO und UWG grundsätzlich auf berechtigte Interessen an der Direktwerbung gestützt werden und werden so vom Widerspruchsrecht erfasst.

Gleiches gilt auch für toolbasierte Datenverarbeitungen zur Einbindung von Direktwerbung, die nicht auf einem Cookie-Tracking oder einer vergleichbaren Technologie (etwa dem sog. „Device Fingerprinting“ basieren).

2.) Kundenorientierte Auslegungspflicht

Zu beachten ist aber, dass der Online-Händler nach der DSGVO verpflichtet ist, Kundengesuchen effizient abzuhelfen und diese vor allem zugunsten des Kunden zu bewerten.

Vielen Kunden ist der Unterschied zwischen einem Einwilligungswiderruf und einem Direktwerbewiderspruch nicht geläufig. Daher erklären sie vielmals einen „Werbewiderspruch“ nach Art. 21 Abs. 2 DSGVO, wollen damit aber tatsächlich (auch) die Datenverarbeitung für den Versand von Newslettern, After-Sales-Mails, Verfügbarkeitsbenachrichtigungen und Co. abstellen.

Demnach muss der Händler bei Zugang eines als solchen bezeichneten „Werbewiderspruchs“ prüfen, in welchem Umfang der Kunde Direktwerbemaßnahmen für die Zukunft unterbinden will, und diesem Gesuch entsprechend nachkommen.

Meint der Kunde auch Datenverarbeitungen, die rechtlich gesehen über einen Widerruf der jeweils erteilten Einwilligung abgestellt werden müssten, ist der Händler trotzdem verpflichtet, den Werbewiderspruch als Begehr zu deuten, auch diese Direktwerbemaßnahmen für die Zukunft abzustellen.

III. Anforderungen an die wirksame Widerspruchserklärung

Der Werbewiderspruch nach Art. 21 Abs. 2 DSGVO ist im Rechtssinne eine einseitige empfangsbedürftige Willenserklärung.

Ein Formerfordernis kennt die DSGVO für die Widerspruchserklärung allerdings nicht.

Ausreichend ist daher jede als Widerspruchserklärung zu deutende Handlung, also nicht nur mündliche oder schriftliche ausdrückliche Widerspruchserklärungen, sondern auch Beschwerden und sogar der Abbruch von Geschäftsbeziehungen oder die Verweigerung der Annahme von postalischem Werbematerial.

Nicht erforderlich ist die genaue Bezeichnungen der Werbemaßnahmen, für die der Widerspruch gelten soll. Wird er allgemein für „Direktwerbemaßnahmen“ erklärt, sind alle hierzu ablaufenden Datenverarbeitungen betroffen und vom Händler auch so zu deuten.

Keine wirksame Widerspruchserklärung ist speziell auf dem Gebiet der postalischen Werbesendung die Eintragung des Verbrauchers in eine sog. „Robinson-Liste“ zur Vermeidung von Werbewurfsendungen.

Für eine wirksame Erklärung zwingend erforderlich ist, dass der Anspruchssteller sich selbst hinreichend identifiziert, damit der Händler den Widerspruch den betroffenen Datensätzen auch korrekt zuordnen kann.

Fehlt es an der Mitteilung hinreichender personenbezogener Informationen so, dass der Widerspruch nicht korrekt bewertet werden kann, ist der Händler gemäß Art. 12 Abs. 6 DSGVO verpflichtet, beim Betroffenen eine eindeutige Identifizierung abzufragen.

IV. Reaktionspflichten des Online-Händlers

Geht dem Online-Händler eine Widerspruchserklärung gegen Direktwerbemaßnahmen zu, treffen ihn zwei unterschiedliche Pflichtprogramme, nämlich

technische Umsetzungspflichten einerseits und
Mitteilungspflichten gegenüber dem Anspruchsteller andererseits

1.) Technische Umsetzungspflichten: Abstellung und ggf. Datenlöschung

Geht ein Direktwerbewiderspruch zu, müssen zunächst die von der DSGVO vorgesehenen Abstellungsmaßnahmen technisch umgesetzt werden.

a) Unterbindung der Datenverarbeitung für Direktwerbezwecke in der Zukunft

Auf einen wirksamen Werbewiderspruch hin hat der Händler zunächst sicherzustellen, dass die Datenverarbeitung zu Direktwerbezwecken für die Zukunft unterbleibt, Art. 21 Abs. 3 DSGVO.

Er ist also verpflichtet, durch hinreichende Maßnahmen sicherzustellen, dass die Daten des Betroffenen für Direktwerbezwecke nicht weiterverarbeitet werden. Dies muss unverzüglich, also ohne schuldhaftes Zögern geschehen. Es gibt also keine Übergangs- oder Bearbeitungsfristen.

Das Widerspruchsbegehr ist dabei kundenorientiert auszulegen und erfasst auch Werbemaßnahmen, für die eigentlich nicht der Werbewiderspruch, sondern der Widerruf der Einwilligung das richtige Mittel wäre (s.o.).

Unbedingt mit abzustellen sind Profilingmaßnahmen im Zusammenhang mit der Direktwerbung.

b) Datenlöschung?

Grundsätzlich geht mit einer wirksamen Widerspruchserklärung auch die Pflicht des Händlers einher, die betroffenen Daten gemäß Art. 17 Abs. 1 lit. c DSGVO unverzüglich zu löschen.

Diese Pflicht versagt aber dort, wo die Datenbestände zu anderen (legitimen) Zwecken weiterverarbeitet werden und eine Löschung mithin übrige Verarbeitungen unmöglich machen würde.

Im Bereich von Kundendaten kommt eine Löschung nicht in Betracht, wenn die Datenbestände noch verwendet werden

zur Unterhaltung eines Kundenkontos
im Rechnungswesen
im Wege einer laufenden Geschäftsbeziehung mit wiederkehrenden Leistungspflichten

c) Statt Löschung zulässig: Überführung in Werbesperrdatei

In der Praxis hat sich für die Umsetzung des Widerspruchs anstelle einer Löschung die Überführung der betroffenen Datensätze in eine sog. Werbesperrdatei oder Blacklist bewährt, die technisch abgeglichen werden kann und die Datenverwendung für Direktwerbezwecke in Zukunft unterbindet.

Die Überführung in Sperrlisten ist von den Aufsichtsbehörden anerkannt und wird von Ihnen als geeignete Umsetzung des Widerspruchsrechts beurteilt. Die hierfür erforderliche Datenverarbeitung (Überführung des Datenstamms in die Sperrdatei) wird durch Art. 6 Abs. 1 lit. f DSGVO gerechtfertigt.

2.) Bestätigungspflicht

Ein wirksam erklärter Widerspruch lässt – neben dessen technischer Umsetzung – auch eine Informationspflicht gegenüber dem Anspruchsteller entstehen.

Diesem gegenüber ist der Widerpruch gemäß Art. 12 Abs. 3 DSGVO schriftlich grundsätzlich innerhalb eines Monats nach Zugang zu bestätigen.

Erklärt der Betroffene den Widerspruch elektronisch (etwa per Mail), so soll die Bestätigung nach Art. Art. 12 Abs. 3 Satz 4 DSGVO nach Möglichkeit auf demselben Weg erfolgen.

V. Besonderheit im Internet: Widerspruch über automatisierte Verfahren

Relevant für den Online-Handel ist, dass nach Art. 21 Abs. 5 DSGVO der Werbewiderspruch auch mithilfe automatisierter Verfahren ausgeübt, der Widerspruch also durch entsprechende technische Einstellungen erklärt werden kann.
Wesentliche Anwendungsfälle sind ein technisches Opt-Out-Management über Browser Add-Ons oder Do Not Track-Funktionen.

Die Besonderheit dieser Funktionen ist, dass der Widerspruch des Nutzers unmittelbar technisch registriert und umgesetzt werden kann. Die Widerspruchserklärung ist die Widerspruchshandlung, über die technisch unmittelbar die wirksame Umsetzung des Widerspruchs und ein Abstellen der weiteren Datenverarbeitung zu Direktwerbezwecken sichergestellt wird.

Kann der Nutzer den Widerspruch über ein elektronisches Verfahren im Internet durch technische Einstellungen selbst umsetzen, wird er über dessen Erfolg durch eine technische Bestätigung grundsätzlich unmittelbar informiert.
In diesem Fall erübrigt sich die Pflicht, eine separate schriftliche Bestätigung im Sinne von Art. 12 Abs. 3 DSGVO zu versenden.

VI. Reaktionsmuster für Mandanten

Geht Online-Händlern der Werbewiderspruch eines Betroffenen zu, sind grundsätzlich drei verschiedene Konstellationen denkbar:

1.) Der Betroffene stellt keine hinreichenden Angaben über seine Identität bereit, sodass der Händler den Widerspruch nicht zuordnen kann
2.) Der Händler verarbeitet Daten des Betroffenen überhaupt nicht zu Direktwerbezwecken und kann dem Widerspruch daher aus tatsächlichen Gründen nicht stattgeben
3.) Der Händler verarbeitet Daten des Betroffenen zu Direktwerbezwecken und bestätigt die Abstellung der Verarbeitung für die Zukunft