LfDI Rheinland-Pfalz: Gemeinsame Verantwortlichkeit zwischen Werbenden und Adresshändlern

Im März 2022 veröffentlichte der LfDI Rheinland-Pfalz seinen Tätigkeitsbericht für 2020. Hierin hat sich der LfDI auch zur datenschutzrechtlichen Verantwortlichkeit zwischen Werbenden und Adresshändlern geäußert: Angenommen wird hier eine gemeinsame Verantwortlichkeit.

Hintergrund

Um Zielgruppen effektiv ansprechen zu können, nutzen Unternehmen gerne die Dienste von sog. Adresshändlern. So können gezielt Personen angesprochen werden, über deren Kontaktdaten das werbende Unternehmen nicht verfügt.

Der LfDI beschäftigte sich im o.g. Tätigkeitsbericht mit „der Frage der Verantwortlichkeit von Unternehmen, die Adressen mieten oder Werbung im Lettershop-Verfahren versenden lassen“. In beiden Konstellationen ist der Werbende auf die Datensätze des Adresshändlers bzw. des Lettershops angewiesen, da er selbst nicht über die gewünschten Daten verfügt.

Der LfDI beschreibt die Ausgangslage auf S. 35 seines Tätigkeitsberichts wie folgt:

„Bei diesen Werbemaßnahmen [Unternehmen, die Adressen mieten oder Werbung im Lettershop-Verfahren versenden lassen] verfügt das werbende Unternehmen nicht selbst über die personenbezogenen Daten der Werbeadressaten, sondern greift auf Datenbestände eines Adresshändlers oder Lettershops zurück. Ein Adresshändler selektiert Datensätze mit Anschriften von natürlichen Personen nach gewissen Kriterien. An Hand dieser Kriterien wählt das werbende Unternehmen die jeweiligen Datensätze aus und mietet oder kauft sie vom Adresshändler. Bei einem Lettershop übernimmt dieser den kompletten Versand der Werbung. Das werbende Unternehmen liefert lediglich die Werbebotschaft und die Kriterien, die bestimmen, an welche Personen die Werbung versandt werden soll. Mit dem weiteren Ablauf der Werbemaßnahme hat das werbende Unternehmen dann nichts mehr zu tun.
Da die werbenden Unternehmen in dieser Konstellation selbst keine personenbezogenen Daten verarbeiten, war die Frage nach ihrer datenschutzrechtlichen Verantwortlichkeit zu beantworten.“

Definition „Verantwortlicher“

Der LfDI Rheinland-Pfalz führt aus, dass Verantwortlicher i. S. d. DSGVO nicht nur die Stelle ist, die tatsächlich personenbezogene Daten verarbeitet, sondern auch die Stelle, die Zwecke und Mittel der Verarbeitung bestimmt. Auf den konkreten Fall bezogen meint dies, dass ein Unternehmen, das neue Kunden über einen Adresshändler ansprechen möchte, in besonderem Maße über den Zweck seiner Werbebotschaft für einen eigens festgelegten Empfängerkreis entscheidet. Zwar hat das werbende Unternehmen (sog. Listenmieter) selbst keinen Zugriff auf die Daten des Adresshändlers (sog. Listeneigner). Allerdings werden aufgrund der Werbemaßnahme des Listenmieters ausgewählte Datensätze verwendet. Es ist auch in erster Linie das werbende Unternehmen, das durch die Werbemaßnahme Vorteile erzielt. Zudem tritt es gegenüber den angesprochenen Betroffenen als Ansprechpartner sowie als Adressat für Widerspruch auf. In der Folge ist der Listenmieter Verantwortlicher.

Keine Auftragsverarbeitungssituation

Der Listeneigner erfüllt auch nicht die Anforderungen an einen Auftragsverarbeiter. Der LfDI Rheinland-Pfalz äußert sich dahingehend, dass der Listeneigner zwar über die in Rede stehenden Daten der Betroffenen verfügt. Es ist aber nicht ersichtlich, dass er diese lediglich streng weisungsgebunden für den Werbenden verarbeitet. D. h., dass hier dann kein Auftragsverarbeitungsverhältnis zwischen Listeneigner und Listenmieter vorliegen kann. Vielmehr verarbeitet der Listeneigner die Adressdaten zu eigenen Zwecken. Dies resultiert nach Auffassung des LfDI Rheinland-Pfalz daraus, dass der Listeneigner „seine“ Daten wiederholt verwendet und diese in unterschiedlichen Konstellationen für das jeweils werbende Unternehmen zusammenstellt. In der Konsequenz ist somit auch der Listeneigner Verantwortlicher.

Gemeinsame Verantwortung

Eine gemeinsame Verantwortlichkeit liegt dann vor, wenn zwei Verantwortliche gemeinsam über Mittel und Zwecke einer Datenverarbeitung entscheiden. Die Entscheidungskompetenz muss dabei nicht gleich zwischen den Verantwortlichen aufgeteilt sein.

Der LfDI Rheinland-Pfalz führt zu der oben beschriebenen Fragestellung aus, dass der Zweck der Datenverarbeitung durch den Listeneigner und den Listenmieter gemeinsam in mehreren Schritten festgelegt wird. Der Listeneigner erhebt und verwaltet Bestände personenbezogener Daten in der Absicht, diese einem Listenmieter als Infrastruktur bereitzustellen, ohne dass Letztgenannter jedoch Zugriff auf die Daten erhält. Der Listenmieter bestimmt die Inhalte seiner Werbeansprache sowie deren Ausrichtung auf den definierten Kreis Betroffener, der hierdurch angesprochen werden soll.

Bei der Festlegung der Mittel der Verarbeitung liegt die maßgebliche Entscheidungskompetenz beim Listeneigner. Der Listenmieter kann hier lediglich einen allgemeinen Einfluss in der Form geltend machen, dass er die Infrastruktur eines bestimmten Listeneigners auswählt. Dies steht der gemeinsamen Verantwortung jedoch nicht entgegen.

Fazit

Der LfDI Rheinland-Pfalz kommt damit zu dem Ergebnis, dass der Adresslisteneigner – als Partei, die über die Adressdaten verfügt und diese verarbeitet – und der Listenmieter – als Partei, die eine Werbebotschaft an einen bestimmten Empfängerkreis transportieren möchte ohne hierbei selbst Daten zu erhalten – gemeinsam verantwortlich für die Verarbeitung sind und in der Folge einen Vertrag nach Art. 26 DSGVO abschließen müssen.

Abschließend stellt der LfDI Rheinland-Pfalz fest, dass die alleinige Verantwortung des Adresshändlers den Umständen des oben beschriebenen Szenarios nicht gerecht werden würde. Sofern das werbende Unternehmen sich seiner Verantwortlichkeit in solchen Fällen gänzlich entziehen könnte, da es selbst keine Daten verarbeitet, hätte dies zur Folge, dass die Regelungen der DSGVO dadurch umgangen werden könnten, indem entsprechende Serviceleistungen außerhalb der EU/des EWR geordert würden.