Datenschutz im Online-Marketing – Was Unternehmen jetzt wissen müssen

Die Datenschutzgrundverordnung (DSGVO) kommt mit großen Schritten: am 25. Mai diesen Jahres tritt sie endgültig in Kraft. Dabei handelt es sich um eine EU-Verordnung, die in der gesamten Europäischen Union gelten und alle Unternehmen betreffen wird, die in Europa personenbezogenen Daten erheben oder verarbeiten.

Das neue Gesetz regelt den Umgang mit allen personenbezogenen Daten, also solchen Daten, die zu einer konkreten Person, z.B. einem Kunden, gespeichert werden. Darunter fallen aber u.U. auch Online-Kennungen, Cookies und IP-Adressen. Die DSGVO ist also auch auf pseudonymisierte Daten anwendbar. Auch das verhashen von erhobenen Daten reicht nicht aus, um die Anwendung auszuschließen, wenn die Person zu einem späteren Zeitpunkt wiedererkannt werden kann.

 

Notwendigkeit zur Rechtfertigung der Datenverarbeitung

Eines der wichtigen Grundprinzipien der DSGVO ist das sogenannte Verbotsprinzip: Jede Verarbeitung personenbezogener Daten ist verboten. Eine Ausnahme davon gilt, wenn sich eine Rechtfertigung findet. Es gibt mehrere anerkannte Rechtfertigungsgründe. Die wichtigsten drei sind:

1. Die Verarbeitung der Kundendaten ist explizit in einem Vertrag So kann ein Vertrag über die Lieferung einer Ware mit einem Online-Kunden die Verarbeitung und Weitergabe von Adressdaten an einen Logistikdienstleister rechtfertigen. Der Vertrag berechtigt aber nur soweit zur Verarbeitung der Daten, wie diese für die Vertragserfüllung zwingend benötigt werden.
2. Das Unternehmen kann sich auf berechtigten Interessen stützen. Liegt ein solches vor, muss die jeweilige Datenverarbeitung zu dem jeweiligen Zweck notwendig sein. Vor allem aber dürfen die Interessen der betroffenen Person die des Unternehmens nicht überwiegen. Um dies festzustellen, muss eine Abwägung der Interessen stattfinden. Maßgeblich sind dabei die vernünftigen Erwartungen des Betroffenen: rechnet dieser typischerweise mit der Datenverarbeitung, dürfen die Daten im Zweifel genutzt werden.
3. Gibt es keine solche Rechtfertigung, muss eine Einwilligung des Betroffenen eingeholt werden. Die Anforderungen der DSGVO an eine wirksame Einwilligung, insbesondere an die Freiwilligkeit, sind gegenüber der jetzigen Rechtslage gestiegen. So darf eine Einwilligung in einigen Fällen nicht an den Vertragsschluss gebunden sein (Kopplungsverbot).

Die DSGVO bestimmt, dass der Nutzer stets eine Opt-out-Möglichkeit haben muss. Der Betroffene muss also stets seine erteilte Einwilligung widerrufen und der Datenverarbeitung widersprechen können. Über diese Möglichkeiten muss er transparent und ausreichend informiert werden, üblicherweise im Rahmen der Datenschutzinformation auf der Website.

Die Befugnis, die Daten zu speichern erlischt, wenn der Rechtfertigungsgrund wegfällt. Selbst wer ein Verhalten auf berechtigte Interessen stützen kann, darf die Daten also nicht ewig speichern. Es bedarf daher eines Löschkonzepts: Für jedes personenbezogene Datum muss definiert werden, wann es wie zu löschen ist.

 

Auswirkungen auf das Online-Marketing

Jede Maßnahme im Online-Marketing muss sich an der DSGVO messen lassen. So ist z.B. das Tracking der Besucherbewegungen auf der Website weiterhin möglich, allerdings werden die erhobenen Daten nach neuem Recht nahezu immer Personenbezug haben, so dass eine Rechtfertigung erforderlich sein wird.

Die Direktwerbung wird dabei als rechtfertigendes berechtigtes Interesse in einem Erwägungsgrund der DSGVO erwähnt. Im Tracking selbst liegt zwar noch kein Direktmarketing, doch die Analyse ist die Vorstufe für eine spätere Direktwerbung und daher jedenfalls grundsätzlich möglich, solange die konkret erhobenen Daten für den konkreten Zweck erforderlich sind und die Interessen der Nutzer nicht überwiegen. Für die Interessenabwägung bedeutsam sind die berechtigten Erwartungen der Nutzer. Während heutzutage mit einem First-Party-Tracking auf der Website zu rechnen ist, ist ein Cross-Device-Tracking, bei dem Nutzer über mehrere Endgeräte hinweg wieder erkannt werden können, derzeit noch nicht von den Erwartungen der Nutzer umfasst.

Ähnliches gilt auch beim Re-Targeting: Ein pseudonymes Re-Targeting über ein Werbenetzwerk ist zulässig, eine Anreicherung mit allen möglichen anderen Informationen wohl nicht mehr.

Die DSGVO sieht zudem strenge Regelungen zum Profiling vor. Handelte es sich beim Targeting um ein Profiling im Sinne der Verordnung, wäre eine Einwilligung erforderlich. Die Regeln greifen aber nur, wenn dem Betroffenen durch das Profiling eine erhebliche Beeinträchtigung droht.

Datenschutzthemen stellen sich regelmäßig auch bei dem Versand von Newsletter-Werbung. Die DSGVO ändert grundsätzlich nichts daran, dass jede Werbung per E-Mail eine vorherige ausdrückliche Einwilligung des Empfängers braucht. Soll der Newsletter individualisiert werden, ist dies eine Verarbeitung von Daten, die wiederum rechtfertigungsbedürftig ist. In vielen Fällen wird hier eine Rechtfertigung mit den berechtigten Interessen des Werbenden in Betracht kommen. Die DSGVO regelt ausdrücklich, dass das Direktmarketing ein solches berechtigtes Interesse sein kann. Dabei gilt auch hier: Eine Datennutzung im gewissen Umfang ist zulässig. Eine Auswertung aller zugänglichen Informationen über den Kunden etwa aus dem CRM zur Aussteuerung der Werbung setzt wiederum eine Einwilligung voraus. In jedem Falle muss der Empfänger die Möglichkeit haben, die Personalisierung zu beenden.

 

DSGVO Checkliste – What to do?

Die DSGVO sieht selbst horrende Bußgelder vor, die durch die Datenschutzbehörden durchzusetzen sind. Es drohen Bußgelder von bis zu 20 Millionen Euro! Bei Großunternehmern kann das Bußgeld sogar bis zu 4 % vom weltweiten Jahresumsatz betragen. Um diesen Strafen aus dem Weg zu gehen, sollte ein umfangreiches Datenschutz-Assessment erfolgen. Zu den Must-Haves gehören neben der Einhaltung der oben genannten Regelungen zum materiellen Datenschutzrecht jedenfalls folgende Punkte:

• Jedes Unternehmen, das personenbezogene Daten speichert und nutzt, muss ein Verzeichnis aller Datenverarbeitungstätigkeiten führen, in dem die Datenverarbeitungsvorgänge aufgelistet und der Zweck der Verarbeitung sowie die Löschfristen genannt werden. Auch die Marketingaktivitäten und alle Tools müssen darin aufgenommen werden.
• Einwilligungen, Datenschutzinformationen und Verträge mit Dienstleistern müssen an die DSGVO angepasst werden. Keine Website darf nach dem 25. Mai 2018 noch eine alte Datenschutzerklärung haben.
• Um die Rechte der Betroffenen ausreichend gewährleisten zu können, sollten außerdem Prozesse für die Geltendmachung von Auskunftsansprüchen geschaffen und darauf geachtet werden, dass diese auch unverzüglich erfüllt werden.
• Darüber hinaus legt die DSGVO fest, dass geeignete technische und organisatorische Maßnahmen für ein angemessenes Schutzniveau der Daten vorhanden sein müssen.
• In einem Unternehmen, in dem sich mehr als 10 Mitarbeiter ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen, muss zudem ein Datenschutzbeauftragter ernannt werden.

 

Einführung in die DSGVO – was ändert sich?

 

Die Einwilligung unter der Datenschutzgrundverordnung DSGVO

 

Weitere Infos zum Datenschutz

Wenn Sie noch intensiver in das Thema DSGVO und Datenschutz einsteigen wollen, melden Sie sich für eines der Seminare „EU-DSGVO‎ Seminar: Datenschutz im Online-Marketing“ mit Martin Schirmbacher an.

Ebenso bietet er Seminare zu dem Thema „Online-Marketing- & Social-Media-Recht“ an, zu denen Sie sich ebenfalls hier anmelden können.