Sind Listendaten und Adresshandel nach der DSGVO zulässig?

Listendaten und Adressen konnte man schon immer auf dem Markt kaufen. Das alte Datenschutzgesetz (BDSG) hat das sogar – in gewissen Grenzen – ausdrücklich erlaubt. Die DSGVO und das neue BDSG enthalten keine Regelung mehr zu diesem Thema. Und nun? Ist es noch erlaubt?

Lesen Sie hier weiter und erfahren Sie, ob Sie Adressen noch (ver)kaufen dürfen!

Vielleicht kennen Sie es noch aus Zeiten vor Inkrafttreten der DSGVO: Nach den früher in Deutschland geltenden Datenschutzgesetzen (hier: § 28 BDSG alt) gab es einen Erlaubnistatbestand für die Verarbeitung von sogenannten Listendaten („Listenprivileg“). Unternehmen durften danach in der Regel unkritische Daten verarbeiten, wenn es sich um allgemein zugängliche Daten handelte. Der Adresshandel war damals zulässig. So konnte man z. B. große Datensätze (Name, Adresse, Geburtsdatum) von Verzeichnisanbietern kaufen und verkaufen, die beispielsweise durch ein gemeinsames Kriterium verknüpft waren (Alter, Wohnort etc.). Diese Adressaten konnte dann der Käufer der Daten mit einem Postmailing umwerben (Direktwerbung).

Gibt es ein Listenprivileg in der DSGVO?

Dieses Listenprivileg gibt es in der DSGVO nicht mehr. Dort kommt nur noch der allgemeine Rechtfertigungsgrund des berechtigten Interesses (Art. 6 Abs. 1 S. 1 Buchst. f) DSGVO) in Betracht. Da die Ausnahme der Verarbeitung von Listendaten nun nicht mehr im Gesetz steht, werde ich häufig gefragt, was denn nun gilt. Darf ich Listendaten weiterhin kaufen und verarbeiten oder nicht?

Die Antwort ist leider unbefriedigend, denn es gibt dazu zwei gegenläufige Meinungen:

Meinung 1: DSGVO lässt die Verarbeitung von Listendaten und Adresshandel zu

Diese Meinung sagt, dass das Listenprivileg auch noch nach Inkrafttreten der DSGVO gilt. Eine Verschärfung der Anforderungen an die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung habe der EU-Gesetzgeber keinesfalls gewollt. Das zeige er, indem er den Aspekt der Direktwerbung zumindest im Erwägungsgrund 47 Satz 7 der DSGVO aufführt. Kurz zur Erläuterung: Dieser Erwägungsgrund sagt, dass Direktwerbung in der Regel im berechtigten Interesse des Datenverarbeiters steht. Nach dieser Meinung ist daher der Erwerb bzw. die Weitergabe von Listendaten und deren Verarbeitung zum Zweck der Direktwerbung auf der Grundlage von Art. 6 Abs. 1 S. 1 Buchst. f) DSGVO möglich.

Meinung 2: Verarbeitung von Listendaten und Adresshandel verstoßen gegen die DSGVO

Auch wenn die Argumente für die Zulässigkeit der Verarbeitung der Listendaten bzw. des Adresshandels überzeugend sind, gibt es dennoch Gegenwind. So schreibt z. B. der Landesdatenschutzbeauftragte von Baden-Württemberg, Stefan Brink, in einer Stellungnahme, dass der Betroffene

[…] gerade nicht davon aus[geht], dass ein Unternehmen, mit dem er geschäftlichen Kontakt hat, ungefragt seine Kundendaten an andere, ihm völlig fremde Unternehmen verkauft oder vermietet und er von dort plötzlich unerwünschte Werbung bekommt. Zudem hat der Betroffene […] ein sehr starkes Interesse daran, dass seine Kundendaten nicht zu einer grenzenlos gehandelten Ware verkommen, auf die er keinerlei Einfluss mehr hat. Der Betroffene hat auch aus dem Gesichtspunkt der Transparenz (Art. 5 Abs. 1 Buchstabe a DS-GVO) heraus ein überwiegendes Interesse daran, Herr (oder Frau) seiner Daten zu bleiben. Dies gilt umso mehr bei angereicherten Adressdaten, die regelmäßig ein ziemlich konkretes Persönlichkeitsprofil des Betroffenen abbilden.

Auch die Landesdatenschutzbeauftragte von Berlin, Maja Smoltczyk, teilte diese Ansicht und hat einen Verein wegen der Erstellung einer Adressliste aus einer öffentlich zugänglichen Datenbank verwarnt. Eine Verwarnung (Art. 58 Abs. 2 Buchst. b) DSGVO) ist zwar noch nicht so drastisch wie ein Bußgeld, dennoch hat die Datenschutzbeauftragte von Berlin mit dieser Entscheidung gezeigt, dass auch nach ihrer Ansicht die Erstellung einer Adressliste nicht unter das berechtigte Interesse im Sinne der DSGVO fällt und damit unzulässig ist. Wichtig zu erwähnen ist, dass es im letztgenannten Fall gar nicht um Werbung ging, sondern eher darum, dass der Verein die ermittelten Adressen in politischer Hinsicht informieren wollte, das Mailing also dem öffentlichen Informationsinteresse diente, nicht der Produkt- oder Imagewerbung.

Meine Meinung

Personenbezogene Daten, die die betroffene Person erkennbar veröffentlicht hat (z. B. auf der Website oder im Telefonbuch), können Sie in der Regel auf der Rechtsgrundlage des berechtigten Interesses (Art. 6 Abs. 1 S. 1 f. DSGVO) verarbeiten. In der Regel sage ich deshalb, weil immer für den jeweiligen Einzelfall eine Interessenabwägung nötig ist. In dem eben genannten Fall wird regelmäßig das berechtigte Interesse des Verarbeiters (Adresskäufers) überwiegen, weil die betroffene Person ihre Daten selbst veröffentlicht hat.

Anders verhält es sich mit öffentlichen Einträgen, zu denen die betroffene Person gesetzlich verpflichtet ist (z. B. im Impressum oder im Handelsregister). Auf die Freiwilligkeit kann allein aus dem Umstand der Veröffentlichung nicht geschlossen werden. Hier überwiegen deshalb eher die schutzwürdigen Interessen der betroffenen Personen gegenüber den berechtigten Interessen Datenverarbeiter. Dann dürfen Sie die Daten nur noch mit einer Einwilligung (Art. 6 Abs. 1 S. 1 a. DSGVO) verarbeiten – und das macht keinen Spaß!

👉 Lesen Sie auch zum Thema: Zulässigkeit von E-Mail-Werbung nach DSGVO und UWG

Zusammenfassung

Die Erstellung, der Kauf oder die Weitergabe von sogenannten „Listendaten“, also generell der Adresshandel, ist seit Inkrafttreten der DSGVO nicht mehr gesetzlich geregelt und daher riskant. Meine Meinung ist ganz klar diejenige, dass die Verarbeitung von Listendaten und damit der Adresshandel auch nach Inkrafttreten der DSGVO noch in der Regel zulässig sind. Das gilt jedenfalls dann, wenn es sich um Daten handelt, die die betroffene Person freiwillig veröffentlicht hat, wie es z. B. im Telefonbuch der Fall ist.

Aber auch in den erlaubten Fällen muss man auch alle übrigen Anforderungen an den Datenschutz einhalten. Dazu gehört insbesondere die Erstellung eines ordentlichen Verarbeitungsverzeichnisses (Art. 30 DSGVO) sowie die Übermittlung der Datenschutzhinweise an die Adressaten, die mit den erworbenen Listendaten angesprochen werden (Art. 12 ff. DSGVO). Hält man diese Kriterien strikt ein, dürften die Verantwortlichen das Risiko eines Bußgelds auf ein Minimum reduzieren können.

Titelfoto: Benedikt Geyer auf Pixabay