Ab dem 25. Mai 2018 wird die 2016 verabschiedete neue Datenschutzgrundverordnung ( DSGVO ) rechtsbindend in der EU. Für Online-Händler bedeutet das unter anderem, dass sie ihre Marketing-Maßnahmen anpassen müssen.

Es ist Haarspalterei: Entgegen vielfacher Darstellung ist die Datenschutzgrundverordnung schon seit Mai 2016 in Kraft, wird in der EU allerdings erst mit einer Übergangsfrist von zwei Jahren am 25. Mai 2018 rechtsbindend. Online-Händler müssen sich darauf einstellen, denn die kurz DSGVO oder GDPR genannte Verordnung zielt auf einen stärkeren Schutz personenbezogener Daten ab. Das hat bestimmte Einschränkungen bei Online-Marketingmaßnahmen zur Folge, wie Dr. Frank Remmertz, Fachanwalt für IT- und Medienrecht in einem Blog-Beitrag des Münchner Online-Zahlungsdienstleisters PAYMILL darlegt.

Schachtelsätze statt klarer Regeln

Bei einem Verstoß – und sei er nur versehentlich – drohen dem Unternehmen hohe Bußgelder von 20 Millionen Euro oder maximal vier Prozent des weltweiten Jahresumsatzes. Das sollte zu denken geben und ist Grund genug, entsprechende Anpassungen nicht auf die lange Bank zu schieben.
Remmertz zufolge sollten Online-Händler die wenigen verbleibenden Monate nutzen, ihre Marketingmaßnahmen dem neuen Recht anzupassen. Dabei gebe es aber gar keine Spezialregeln zum Online-Marketing in der neuen DSGVO. „Stattdessen findet man allgemeine Bestimmungen mit Schachtelsätzen und unbestimmten Rechtsbegriffen, die für den Anwender den Umgang mit der –zugegebenermaßen – etwas spröden Materie des Datenschutzrechts nicht unbedingt erleichtern“, so der Fachanwalt. Das führe zu Rechtsunsicherheit.

Als die wichtigste Änderung für E-Commerce-Betreibende sieht er, dass sich die Erhebung und Nutzung personenbezogener Daten für Werbezwecke künftig wohl verstärkt auf „berechtigte Interessen“ stützen muss. Denn die Anforderungen an eine wirksame Einwilligung werden im Rahmen der neuen DSGVO deutlich angehoben. Den Versand von Werbebotschaften auf eine Einwilligung zu stützen, wird nämlich erschwert. Auf die Werbetreibenden kommen auch höhere Auflagen bezüglich ihrer Informations- und Aufklärungspflichten zu.

Die Datenschutzerklärung muss transparent sein

Ein ganz wesentlicher Teil der neuen Datenschutzgrundverordnung ist der, dass Werbung im Netz sich künftig ganz klar auf die Einwilligung des Adressaten stützen muss. Das ist mit einigen Hürden verbunden. So muss die Einwilligung eine eindeutig bestätigende Handlung (opt-in) sein. Ein Stillschweigen oder Untätigkeit der Betroffenen wie bisher reicht nicht aus. Voreingestellte Häkchen, die der Betroffene wegklicken muss, wenn sie überhaupt wegzuklicken sind, sind nach der DSGVO erst recht nicht mehr zulässig.

Der Adressat muss vor der Erteilung einer wirksamen Einwilligung in der Datenschutzerklärung auch umfassend, klar verständlich und vollkommen transparent über die Verarbeitung seiner personenbezogenen Daten für Werbezwecke informiert werden. Wie Remmertz betont, sollte die Datenschutzerklärung durch eine geeignete Menüführung auf der jeweiligen Webseite leicht zu finden sein.

Nachweispflicht und Widerrufsrecht

Die Einwilligung in die Datenschutzerklärung muss jeweils nachweisbar sein und ohne Angabe von Gründen widerrufen werden können. Das Widerrufsrecht muss auch klar aus der Einverständniserklärung hervorgehen. Technisch muss der Widerruf auch genauso einfach ermöglicht sein wie die Einwilligung selbst. Nach dem Widerruf dürfen auch keine (weiteren) Werbesendungen an den Adressaten versandt werden.

Aktionen für Kinder und Teenies erschwert

Bei Kindern und Jugendlichen unter 16 Jahren gilt, dass die Einwilligung bzw. Zustimmung durch einen Erziehungsberechtigten erforderlich ist. Der Werbende trägt die Nachweispflicht, dass eine wirksame Einwilligung erteilt wurde und muss auf Anfrage der Betroffenen und Behörden auch den Nachweis vorlegen können. Der Nachweis der Zustimmung durch die Erziehungsberechtigten bei Kindern und Jugendlichen unter 16 Jahren wird durch die DSGVO erschwert, was heißt, dass so manche Werbeaktion, die sich an die Zielgruppe richtet, künftig schwieriger wird. Das hat vor allem Auswirkungen auf Unternehmen, die sich im Bereich sozialer Medien tummeln.

Neue Hürden für Gewinnspiele

Die Altersgrenze von 16 Jahren wird außerdem noch wichtiger, wenn es um Gewinnspiele im Internet geht. Denn ein Novum ist ein strenges Kopplungsverbot nach Art. 7 Abs. 4 DSGVO, das laut einer Artikelserie des Berliner Rechtsanwalts Dr. Thomas Schwenke in t3n vor allem Online-Plattformen und Apps treffen wird.

Das Kopplungsverbot sieht vor, dass eine Leistungserbringung (z.B. die Aussicht auf einen Gewinn) nicht von einer dafür erforderlichen Einwilligung abhängig gemacht werden darf. Sich die Einwilligung für Werbung mit der Gewährung von Gewinnspielen und anderen Vorteilen zu „erkaufen“, wird somit erschwert. Denn normalerweise ist für die Teilnahme an einem Gewinnspiel keine Einwilligung in die Verarbeitung der Daten zu Werbezwecken erforderlich. Eine zusätzliche Hürde ist, dass nicht nur direkte Nachteile, sondern auch entgangene Vorteile die vorgeschriebene Freiwilligkeit verhindern können. Allerdings müssen die unmittelbaren Nachteile laut Schwenke eine bestimmte Spürbarkeitsgrenze überschreiten. Wo diese liegt, werde noch für Gesprächsbedarf zwischen Datenschützern und der Wirtschaft sorgen. Das gelte auch für das bereits genannte Kopplungsverbot.

„Berechtige Interessen“

Gesprächsbedarf sehen die Juristen auch bei berechtigten Interessen als Rechtfertigungsgrund. Denn wenn die schutzwürdigen Belange der Betroffenen nicht überwiegen, kann neben der Einwilligung auch die Verarbeitung von personenbezogenen Daten eben aus diesem Grund auch zulässig sein. Wie Remmertz schreibt, gilt es hier zwischen den Interessen abzuwägen. Die Datenschutzkonferenz von Bund und Ländern (DSK) hat dazu im Sommer 2017 schon eine Orientierungshilfe veröffentlicht. Dieses „Kurzpapier Nr. 3“ weist darauf hin, dass die Verarbeitung der betreffenden Daten „zum Zwecke der Direktwerbung“ durchaus als eine „dem berechtigten Interesse dienende Verarbeitung“ betrachtet werden kann. Allerdings ist ohne Einwilligung keine werbliche Nutzung besonderer Datenkategorien erlaubt. Gemeint sind vor allem Gesundheitsdaten, womit dieser Passus unter anderem Unternehmen wie Apotheken, Sanitätshäuser, Optiker und Orthopäden betrifft.

Derweil gibt es noch einige offene Fragen. Zum Beispiel die, ob das Tracking des Leseverhaltens bei Web-Anwendungen oder Newslettern auf berechtigte Interessen gestützt werden kann.

Die betreffende E-Privacy-Verordnung sollte eigentlich zeitgleich mit der DSGVO im Mai 2018 in Kraft treten, doch der Zeitplan gilt als sehr straff und ist daher möglicherweise nicht einzuhalten.

Bild: Dr. Frank Remmertz, Fachanwalt für IT- und Medienrecht

Quelle PAYMILL GmbH