Datenschutz im Marketing: Werbung ist für viele Unternehmen ein zentraler Anlass für die Verarbeitung personenbezogener Daten. Gerade bei digitaler Direktwerbung sind vor allem Transparenz, Zweckbindung und eine passende Rechtsgrundlage entscheidend, damit Kundendaten DSGVO-konform verarbeitet werden.
In diesem Zusammenhang hat die norwegische Datenschutzaufsicht Datatilsynet ein Millionenbußgeld gegen eine vor allem in Nordeuropa tätige Elektronikkette verhängt. Die Geldbuße beläuft sich auf rund 1,78 Millionen Euro. Hintergrund sind insbesondere unzulässige Einwilligungen, Verstöße gegen den Grundsatz der Zweckbindung sowie Defizite bei der Rechenschaftspflicht des Unternehmens als Verantwortlicher.
Kundenclub und personalisierte Werbung
Das Verfahren betraf den Kundenclub des Elektronikunternehmens Elkjøp. Mitglieder konnten dort Rabatt- und Bonusaktionen nutzen. Nach Feststellung der Datenschutzaufsicht wurden Kunden bei der Anmeldung jedoch nicht ausreichend darüber informiert, in welchem Umfang ihre Daten verarbeitet werden.
Zudem war die Einwilligung zur Datenverarbeitung nicht entsprechend von der Zustimmung zu den Allgemeinen Geschäftsbedingungen getrennt. Auch der Zweck der Einwilligung blieb zu unbestimmt. Für Betroffene war daher nicht ausreichend erkennbar, ob ihre Daten nur für die Kundenclub-Mitgliedschaft, für Werbung oder auch für weitere Zwecke wie Profilbildung genutzt werden sollten.
Kritisch bewertete die Behörde außerdem das unternehmensspezifische Verfahren zur Kundenpersonalisierung. Dabei wurden interne Kundendaten mit Daten von Drittplattformen zusammengeführt, um Werbung zu personalisieren. Daten, die ursprünglich für die Verwaltung der Kundenclub-Mitgliedschaft erhoben wurden, wurden damit auch für Werbezwecke und einen Abgleich mit weiteren Datenquellen genutzt. Somit wurden Verstöße gegen die Anforderungen an Transparenz, Zweckbindung und einer wirksamen Einwilligung festgestellt.
Wie erfolgt eine zulässige Einwilligung?
Für Datenverarbeitungen zu Zwecken der Online-Werbung kommt regelmäßig eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Betracht. Diese muss die Anforderungen aus Art. 7 DSGVO erfüllen; Erwägungsgründe 32, 42 und 43 DSGVO sollten entsprechend beachtet werden. Der Kunde muss daher bereits vor der Datenverarbeitung klar darüber informiert werden, welche Daten zu welchen Zwecken verarbeitet werden, in welchem Umfang dies geschieht und ob Dritte oder Drittplattformen einbezogen werden.
Wichtig ist außerdem, dass die Einwilligung freiwillig erfolgt. Im Fall Elkjøp beanstandete die Datenschutzaufsicht unter anderem, dass personenbezogene Daten im Gegenzug zu allgemeinen Rabatten verlangt wurden. Dadurch kann fraglich sein, ob Kundinnen und Kunden tatsächlich frei entscheiden konnten oder ob faktisch ein Druck zur Zustimmung bestand.
Für Betroffene muss jederzeit nachvollziehbar sein, wozu sie einwilligen. Unterschiedliche Verarbeitungszwecke müssen daher transparent und getrennt dargestellt werden. Eine pauschale Zustimmung zu AGB, Kundenclub und Werbung reicht nicht aus, wenn dadurch nicht klar erkennbar ist, welche Datenverarbeitung konkret vorliegt und welche Daten auf welche Weise verarbeitet werden. Außerdem muss der betroffene Person die Möglichkeit gegeben werden, ihre Einwilligung jederzeit zu widerrufen. Nach einem Widerruf muss die entsprechende Datenverarbeitung unverzüglich eingestellt werden.
Datenverarbeitung zu Werbezwecken
Unternehmen sollten bei Werbung und personalisiertem Marketing besonders sorgfältig prüfen, auf welcher Rechtsgrundlage sie Kundendaten verarbeiten. Wird eine Einwilligung genutzt, muss sie auf ausreichenden Informationen beruhen, freiwillig erfolgen und sich auf konkret benannte Zwecke beziehen. Nur so lassen sich vergleichbare Datenschutzverstöße und Sanktionen vermeiden.
Zudem muss die Einwilligung nachweisbar sein. Nach Erwägungsgrund 42 DSGVO sollte der Verantwortliche belegen können, dass die betroffene Person in den jeweiligen Verarbeitungsvorgang eingewilligt hat. Auch Art. 5 Abs. 2 DSGVO verpflichtet Verantwortliche dazu, die Einhaltung der Datenschutzgrundsätze nachweisen zu können.
Gerade bei Werbezwecken sind Zweckbindung, Transparenz und Rechtmäßigkeit zentral. Daten, die ursprünglich für den Kauf eines Produkts oder die Verwaltung einer Kundenclub-Mitgliedschaft erhoben wurden, dürfen nicht ohne Weiteres für personalisierte Werbung, Kundenabgleiche oder Profilbildung genutzt werden. Ihr Datenschutzbeauftragter kann Sie dabei unterstützen, klare Einwilligungsprozesse, getrennte Verarbeitungszwecke und eine saubere Dokumentation sicherzustellen.
Fazit
Das Bußgeld der norwegischen Datenschutzaufsicht zeigt, dass Marketingprozesse datenschutzrechtlich sauber ausgestaltet sein müssen. Marketing und Kundenbindung sind essenzielle Werkzeuge eines Unternehmens. Werbe- und Einwilligungsprozesse sollten daher regelmäßig geprüft und dokumentiert werden, um Datenschutzverstöße und Sanktionen zu vermeiden.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
