Mittlerweile gibt es viele Unternehmen, die Gutscheine anbieten, sowohl im stationären Einzelhandel als auch über Onlineshops. Während es sich dabei überwiegend um nicht-personalisierte Gutscheine handelt, gibt es auch solche, die personalisiert verkauft werden (müssen). Der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI) hat in seinem „3. Tätigkeitsbericht zum Datenschutz nach der DS-GVO“ für das Berichtsjahr 2020 personalisierte Reisegutscheine datenschutzrechtlich beleuchtet. Ein Reisebüro kann nämlich darauf angewiesen sein, bereits beim Verkauf den Empfänger des Gutscheins zu kennen.
Rechtmäßigkeit von personalisierten Reisegutscheinen
Bei personalisierten Reisegutscheinen bestellt der Schenker beim Reisebüro einen Gutschein, der für den Beschenkten gedacht ist. Dass der Gutschein auf den Beschenkten ausgestellt wird, ist erforderlich, damit nicht lediglich ein Wertgutschein, sondern eine konkrete Reise aus dem Kontingent gebucht werden kann.
In solchen Fällen, in denen der Schenker personenbezogene Daten des Beschenkten angibt, liegt i. d. R. keine Einwilligung des Beschenkten gem. Art. 6 Abs. 1 S. 1 lit. a DSGVO vor, da der Beschenkte meist keine Kenntnis vom Kauf hat und auch nicht vom Reisebüro um Einwilligung gebeten wird. Anderenfalls würde der Überraschungseffekt eines Geschenks zunichte gemacht.
Art. 6 Abs. 1 S. 1 lit. b DSGVO besagt, dass die Verarbeitung rechtmäßig ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist. Im Hinblick auf den Kaufvertrag eines Gutscheins ist die Vertragspartei des Reisebüros der Schenker. Dessen Daten dürfen somit nach Art. 6 Abs. 1 S. 1 lit. b DSGVO verarbeitet werden.
Rechtsgrundlage für die Verarbeitung der Daten des Beschenkten durch das Reisebüro ist aus Sicht des TLfDI das berechtigte Interesse gem. Art. 6 Abs. 1 S. 1 lit. f DSGVO. Das berechtigte Interesse des Reisebüros kann darin gesehen werden, den Vertrag mit dem Schenker zugunsten des Beschenkten aus finanziellem Eigeninteresse zu ermöglichen. Der Beschenkte dürfte i. d. R. keine Einwände haben, dass seine Daten an das Reisebüro weitergegeben werden; da er von dem Geschenk profitiert, ist es vertretbar anzunehmen, dass die Interessen des Beschenkten nicht überwiegen. Es dürfte den vernünftigen Erwartungen des Beschenkten entsprechen, dass seine Daten dabei verarbeitet werden müssen. Wenn der Beschenkte für die eigentliche Abwicklung der Reise weitere Daten angeben muss, erfolgt diese Verarbeitung dann zur Durchführung der Reise gem. Art. 6 Abs. 1 S. 1 lit. b DSGVO.
Das Reisebüro darf jedoch nur die zwingend erforderlichen Daten erheben und die Daten nicht für andere Zwecke – z. B. dem Versenden von Werbung – nutzen.
Informationspflicht des Reisebüros
Gem. Art. 13 DSGVO hat das Reisebüro den Betroffenen über die Datenverarbeitung zu informieren. Dies gilt jedoch nur für solche Fälle, in denen die Daten direkt beim Betroffenen erhoben werden. Nur der Schenker (dessen Daten bei ihm erhoben werden) ist nach Art. 13 DSGVO zu informieren.
Doch die DSGVO sieht in Art. 14 DSGVO auch vor, dass das Reisebüro den Beschenkten informiert, da dessen Daten nicht beim Beschenkten selbst erhoben, sondern vom Schenker an das Reisebüro übermittelt wurden. Denn diese Vorschrift soll transparent aufzeigen, wer Daten von einem selbst aus welcher Quelle erhalten hat und warum sie verarbeitet werden.
Dies führt dazu, dass die Beschenkten so ggf. schon vor der Geschenkübergabe erfahren könnten, dass sie beschenkt werden. Art. 14 DSGVO sieht drei Fälle vor, wann die Information erfolgen muss:
- Spätestens nach einem Monat,
- falls die Offenlegung an einen anderen Empfänger beabsichtigt ist (z. B., wenn ein Versanddienstleister die Adressdaten erhält), spätestens zum Zeitpunkt der ersten Offenlegung oder
- falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an diese.
Wenn der Gutschein mehr als einen Monat vor der Übergabe (z. B. zum Geburtstag) gekauft wird, würde der Beschenkte also durch das Reisebüro von seinem Geschenk erfahren. Gleiches gilt, wenn ein Versanddienstleister die Daten vor Ablauf eines Monats und noch vor dem Geburtstag des Beschenkten erhält. Auch dann würde der Beschenkte vorab informiert werden. Nur wenn das Reisebüro den Gutschein selbst innerhalb eines Monats und ohne Offenlegung an weitere Stellen am Geburtstag übermittelt, erfährt der Beschenkte nicht vorher vom Gutschein.
Fazit
Da die Informationspflicht gem. Art. 14 DSGVO ggf. vor der Geschenkübergabe erfüllt werden muss, sollte ein personalisierter Gutschein nur dann in Erwägung gezogen werden, wenn der Schenker davon ausgeht, der Beschenkte könne auf eine Überraschung verzichten. Anderenfalls kann es nur bei nicht-personalisierten Gutscheinen bei einer Überraschung bleiben.
7. Dezember 2021 @ 15:36
Guten Tag Herr Grünheidt,
Ich möchte doch noch mal auf das Thema zurückkommen. § 29 Abs. 1 BDSG spricht von der Ausnahme, wenn anderenfalls Informationen offenbart, „die ihrem Wesen nach“ geheim gehalten werden müssen. Der Gesetzgeber hat hier m.E. bewusst eine sehr offene Formulierung gewählt und sich eben nicht ausschließlich an Berufsgeheimnisse und ähnlichem orientiert. Wenn er dies gewollt hätte, hätte er dies auch im Absatz 1 getan. Und es gibt oft gute und nachvollziehbare Gründe, warum ein Gutschein personalisiert ist. Und der Gutschein soll ja auch eine Überraschung sein und nicht vor dem eigentlichen Geschenk-Termin bekannt werden. Sicherlich gibt es noch die Möglichkeit, dass der den Gutschein ausstellende Verantwortliche seiner Informationspflicht bis spätestens innerhalb eines Monats nachkommen könnte. Ob und inwieweit diese Option dann aber immer passend ist, ist eine andere Frage. Ich würde sogar einen Verweis auf die Datenschutzinformation des Gutschein-Schuldners für die sinnvollere Lösung halten, was unter Berücksichtigung von Art. 14 auf jeden Fall noch gesetzeskonform wäre (unabhängig von der m.E. möglichen Ausnahmeregelung nach BDSG), wenn die Gutscheinübergabe an den Beschenkten innerhalb eines Monats nach Ausstellung des Gutscheins erfolgen würde. Aber warum sollte für diese Konstellation nicht das Motto der baden-württembergischen Datenschutzaufsichtsbehörde gelten: „Wenn es nicht vernünftig ist, dann ist es kein Datenschutz! „?
16. Dezember 2021 @ 11:12
Guten Tag Herr Eul, Rechtsprechung zu diesem konkreten Fall ist mir leider nicht bekannt, mit entsprechender Argumentation sind beide Ansichten aber vermutlich vertretbar. Allerdings würde ich das Merkmal „ihrem Wesen nach geheim“ aufgrund des Gesamtcharakters der Norm enger auslegen.
M.E. MÜSSEN die Informationen (Datenschutzhinweise bzgl. eines Gutscheins) auch nicht geheim gehalten werden („…Informationen offenbart würden, die ihrem Wesen nach…geheim gehalten werden müssen.“), wie es z.B. bei Informationen, die einer Geheimhaltungsvereinbarung unterliegen, oder einem Berufsgeheimnis der Fall ist. Die Informationen SOLLTEN lediglich geheim gehalten werden.
23. November 2021 @ 13:29
Und warum soll die Ausnahmeregelung von der Informationspflicht nach § 29 Abs. 1 Satz 1 BDSG nicht anwendbar sein (zur Vermeidung einer Information, die ihrem Wesen nach geheim gehalten werden muss)?
29. November 2021 @ 10:27
Guten Tag Herr Eul,
§29 BDSG schützt vertrauliche oder geheimhaltungsbedürftige Informationen. In § 29 BDSG wird von „Berufsgeheimnisträger“, „Geheimhaltungspflicht“ und „Geheimhaltungsinteresse“ gesprochen. In der Regel ist gesetzlich geregelt, welche Informationen vertraulich behandelt werden müssen, z.B. bei Berufsgeheimnisträgern wie Rechtsanwälten, Steuerberatern und Wirtschaftsprüfern. Eine vertragliche Geheimhaltungsvereinbarung ist ebenfalls möglich. Zum Erhalt des Transparenzgebots sind die Anforderungen an geheimhaltungsbedürftige Informationen grds. hoch. Die Vorschrift enthält auch keine Angabe dazu, dass die Datenschutzinformationen nach Art. 14 DSGVO zu einem späteren Zeitpunkt erteilt werden müssen, sondern schließt diese ganz aus. Eine Person, die beschenkt wird, kann jedoch durchaus ein Interesse an den Datenschutzhinweisen haben. Daher wäre ein kompletter Ausschluss dieser Informationspflicht des Verantwortlichen aus meiner Sicht nicht sachgerecht.