Autsch! Das ungewollte Paket zum Nikolaus

Das Weihnachtsfest nähert sich rasant – und damit nimmt auch die Brief- und Paketpost hierzulande zu. Denn viele Unternehmen halten weiterhin an Weihnachtskarten oder kleinen Geschenken fest, die in diesen Tagen per Briefpost an ausgewählte Personen verschickt werden.

Doch hier sollte zwischen der Post an die eigenen Beschäftigten und selbige an „Business-Partner“ oder Ansprechpersonen von Firmenkunden unterschieden werden. Das Datenschutzrecht wie auch das Wettbewerbsrecht gebieten eine nähere Differenzierung.

Der folgende Beispielfall aus dem wahren Leben, das bekanntlich die besten Geschichten schreibt, soll die hiesige Rechtslage bei Zusendung von Werbung per Brief-/Paketpost einmal kurz skizzieren:

Einer angestellten Juristin aus der Rechtsabteilung eines größeren deutschen Unternehmen wurde im September, wenige Tage vor Ablauf der arbeitsvertraglich vorgesehenen Probezeit, überraschend gekündigt, sodass sie im Oktober nicht mehr in einem Beschäftigungsverhältnis mit diesem Unternehmen stand. Alle Geräte wurden zurückgegeben und es war dann alles mehr oder weniger geklärt. Aus unerklärlichen Gründen erhielt diese Person jedoch zum Nikolaus – also Anfang Dezember – ein Paket von ihrem ehemaligen Arbeitgeber, welches neben einer allgemeinen (sehr freundlichen) Weihnachtsgrußkarte auch eine kleine, deutlich mit dem Logo des Unternehmens verzierte Schokoladenschachtel enthielt. Angesichts der vorangegangenen Kündigung und des vermeintlich unfairen Umgangs wirft dieses Päckchen des ehemaligen Arbeitgebers nun natürlich Fragen auf:

Wie konnte das geschehen? Und ist das überhaupt zulässig?

Zulässigkeit von Werbung per Post

Zunächst lässt sich konstatieren, dass die Zusendung der Grußkarte des Unternehmens, insbesondere aber das kleine Präsent (mit Firmenlogo!) grundsätzlich hierzulande als Werbung im Sinne des Wettbewerbsrechts zu verstehen ist. Das Branding auf dem Geschenk und weitere Infos untermauern diesen Gedanken.

Daher erfordert die Verarbeitung der personenbezogenen Daten für die Zusendung von solchen Paketen eine datenschutzrechtliche Rechtsgrundlage, bspw. die Einwilligung der betroffenen Person (Art. 6 Abs. 1 S. 1 lit. a DSGVO) oder ggf. das überwiegend berechtigte Interesse des Unternehmens (Art. 6 Abs.1 S. 1 lit. f DSGVO). Eine derartige Nutzung der Adressdaten stellt regelmäßig eine „neue“ Datenverarbeitung dar: Denn wird ein zuvor für die Vertragsanbahnung/Vertragserfüllung/Personalakte erhobener Datensatz einer betroffenen Person (z. B. ein Beschäftigter oder eine Ansprechperson eines Firmenkunden) nun für diese Werbeaktion genutzt und an entsprechend einbezogene Dienstleister übermittelt, liegt eine Zweckänderung vor. Sofern diese Datenverarbeitung auf das berechtigte Interesse gestützt wird, müsste der betroffenen Person vorab ein erkennbares Widerspruchsrecht eingeräumt werden. Eine Einwilligung hingegen erfordert grundsätzlich einen dokumentieren Prozess der Zustimmung.

Mithin müssen die betroffenen Personen bei der Datenerhebung und ebenso bei einer etwaigen Zweckänderung über diese (neue) Datenverarbeitung gem. Art. 13, 14 DSGVO informiert werden. Dies setzt also transparente, passende Datenschutzhinweise voraus.

Empfängerkreis

Die Rechtslage gestaltet sich aber je nach dem Empfängerkreis unterschiedlich:

1. Aktiv Beschäftigte

Sollen aktiv Beschäftigte per Briefpost an die hinterlegte, private Adresse mit einem Geschenk überrascht werden, wäre zu prüfen, ob dieses Vorhaben auf die zuvor freiwillig erteilte Einwilligung der Beschäftigten gestützt werden soll oder auf das berechtigte Interesse des Unternehmens. Letzteres könnte darin begründet sein, dass das Unternehmen zum einen großen Wert auf zufriedene Beschäftigte und ein gutes Betriebsklima legt und sich die Beschenkten zum anderen auch mutmaßlich über die Schokolade oder eine persönliche Grußkarte freuen. Gleichwohl kommt es hier auf den Einzelfall an; denn es könnte auch ebenso gut sein, dass Beschäftigte es als belästigend empfinden, wenn der Arbeitgeber auf diese Weise in die „Privatsphäre“ eintaucht und in der Freizeit oder während des Weihnachtsurlaubs nun auch noch wieder durch die Karte und das Logo „präsent“ ist. Hier könnte das Motto gelten: Zuhause will ich nichts von der Arbeit hören oder sehen, also auch nicht die Karte vom Geschäftsführer oder das Firmenlogo auf einem Nikolaus.

Inwiefern alternativ eine Einwilligung aktiv einzuholen wäre und überdies freiwillig ist, lässt sich diskutieren. Gleiches gilt bei der „werblichen“ Nutzung der in der Personalakte hinterlegten Privatadresse, insbesondere wenn dadurch andere Kolleg*innen nun die Adressen aller Kolleg*innen einsehen könnten, was zu gewissen Spannungen im Unternehmen führen könnte.

In jedem Fall müsste aber an geeigneter Stelle über diese (neue) Datenverarbeitung nach Art. 13, 14 DSGVO informiert werden.

2. Ehemalige Beschäftigte

Ganz anders verhält es sich bei der Verarbeitung der privaten Anschrift von ehemaligen Beschäftigten für den Zweck der Zusendung solcher Geschenke. Zum einen könnte eine etwaige Einwilligung der betroffenen Person nach Ausscheiden aus dem Beschäftigungsverhältnis mit zeitlichem Abstand entfallen sein, zum anderen müsst diese ggf. immerhin beim Austritt erneut abgefragt werden.

Sofern das berechtigte Interesse für diese Datenverarbeitung herangezogen werden soll, müsste im Rahmen der vorzunehmenden, dokumentierten Interessenabwägung geprüft werden, ob das schutzwürdige, berechtigte Interesse der betroffenen Person nicht überwiegt. Je nach Grund des Austritts und mit zunehmendem zeitlichen Abstand könnte das berechtigte Interesse der ehemaligen Beschäftigten daran überwiegen, nicht mehr vom alten Arbeitgeber „belästigt“ zu werden. Auch die nett gemeinte Grußkarte bekommt bei Personen, die gekündigt wurden, einen gewissen Beigeschmack.

Überdies bestehen ohnehin Zweifel an der Rechtmäßigkeit einer solchen, möglicherweise digital geführten, Liste der ehemaligen Beschäftigten und deren Adressen für diese Nutzung. Diese sensiblen Daten sollten grundsätzlich mit Ausscheiden der Person aus dem Unternehmen gelöscht werden, sofern sie nicht noch an bestimmten Stellen aufgrund von Aufbewahrungspflichten und für bestimmte, der nachgelagerten Vertragsbeziehung relevante Aspekte (z. B. der Kommunikation oder Zusendung des Arbeitszeugnisses) vorgehalten werden.

3. Geschäftspartner und Firmenkunden

In der B2B-Konstellation, also bei der Verarbeitung von beruflichen Kontakt- und Adressdaten von Ansprechpersonen bei Firmenkunden und Geschäftspartnern, ist das Schutzniveau bei weitem niedriger, sofern hier keine privaten Anschriften verwendet werden. In der Regel könnte dieser Vorgang auf das berechtigte Interesse gestützt werden, indem für die gute Zusammenarbeit gedankt oder diese verbessert werden soll, gleichwohl auch das werbende Unternehmen bei den Firmenkunden einen guten Eindruck hinterlassen möchte. Die betroffene Person müsste basierend auf einer vorherigen Korrespondenz oder aktiven Vertragsbeziehung mit dieser Datenverarbeitung rechnen.

Eine Nutzung der Adressdaten für die Zusendung von Karten und Präsenten stellt aber auch in diesem Kontext eine werbliche Nutzung dar, die unter Umständen eine Zweckänderung begründet und über die in den Datenschutzhinweisen nach Art. 13, 14 DSGVO zu informieren ist.

Das Wettbewerbsrecht würde hier allgemein keine Belästigung vermuten lassen und daher keine weiteren Hürden darstellen.

Fazit

Zusammenfassend lässt sich festhalten: Gut gemeint ist nicht immer gut gemacht!

Der oben genannte Fall der in der Probezeit gekündigten Mitarbeiterin zeigt, wie differenziert die Rechtslage zu betrachten ist. Häufig werfen solche Marketingaktionen rechtliche Bedenken auf. Betroffene Personen könnten nach dem Erhalt von Werbung/Post bspw. ihr Auskunftsrecht nach Art. 15 DSGVO gegenüber dem Absender geltend machen. Dann müsste das Unternehmen im Rahmen der Beauskunftung auch über die Zwecke und Dauer der Datenverarbeitung informieren. Dies ermöglicht eine Überprüfung der Rechtmäßigkeit der Verarbeitung. Unternehmen bzw. die für die Werbeaktion verantwortliche Abteilung sind gut beraten, vorab den*die Datenschutzbeauftragte*n einzubeziehen, um nachträglichen Ärger zu vermeiden.