Kurzbeitrag : Praxisfälle zum Datenschutzrecht XI: Die Kundenbefragung : aus der RDV 4/2021, Seite 212 bis 215

II. Musterfalllösung

1. Datenschutzrechtliche Verantwortlichkeit

Für die Beurteilung der datenschutzrechtlichen Situation ist zunächst relevant, wer für die mit der Kundenbefragung zusammenhängenden Datenverarbeitungen verantwortlich ist.

Sofern es sich bei M um einen Auftragsverarbeiter i.S.v. Art. 28 DS-GVO handelt, setzt nach hier vertretener Auffassung der Datentransfer zwischen B und M keinen gesonderten Erlaubnistatbestand voraus. Der Vorgang der Auftragsverarbeitung ist vielmehr regelmäßig als einheitlicher Verarbeitungsvorgang des Verantwortlichen anzusehen.^[1] Mit anderen Worten: Datenschutzrechtlich legitimationsbedürftig ist lediglich die Datenverarbeitung als solche (hier: die Befragung unter Rückgriff auf die Kundendaten), nicht damit einhergehende Datenflüsse zwischen Auftraggeber und -nehmer. Die Rechtmäßigkeit der Verarbeitung durch den Auftragsverarbeiter bestimmt sich durch den von dem für die Verarbeitung personenbezogener Daten Verantwortlichen erteilten Auftrag.^[2] Sofern B und M hingegen jeweils eigenverantwortlich sind für die von ihnen getätigten Datenverarbeitungen oder auch gemeinsam Verantwortliche (Art. 26 DS-GVO), bedürfte es hingegen eines Erlaubnistatbestandes für die Datenflüsse zwischen den Parteien.

Die Auftragsverarbeitung ist durch die Beschränkung auf eine weisungsgebundene Tätigkeit gekennzeichnet, es werden durch den Beauftragten keine eigenen Interessen im Hinblick auf die verarbeiteten personenbezogenen Daten verfolgt. Führt ein Markt- oder Meinungsforschungsinstitut für Unternehmen Kunden- oder Haushaltsbefragungen durch, so handelt es sich um Auftragsverarbeitung, falls die Durchführung der Befragung sowie die Auswertung der Ergebnisse durch den Auftraggeber genau festgelegt sind.^[3] Keine Auftragsverarbeitung liegt vor, sofern das Institut nur einen allgemein gehaltenen Auftrag bzgl. der zu untersuchenden Fragestellung erhält, die Details zu Fragebogeninhalt, Untersuchungsablauf und Auswertung jedoch diesem überlassen bleiben.

Hier soll M zwar bei der Fragebogenerstellung maßgeblich unterstützen, die Entwicklung des Fragebogens begründet jedoch noch keine personenbezogene Datenverarbeitung. Bzgl. der personenbezogenen Datenverarbeitung bestimmt B jedoch Zwecke wie auch Mittel: Der Zweck der Datenverarbeitung, die Zufriedenheit der Kunden zu ermitteln, wird ausschließlich durch B gesetzt. B entscheidet über den finalen Fragenbogen, den Kommunikationskanal, die anzurufenden Personen und gibt M auch die Auswertung der Ergebnisse genau vor. M demgegenüber telefoniert nur vorgegebene Telefonnummern ab und stellt auch nur von B freigegebene Fragen, handelt insofern also weisungsgebunden. Auch die Auswertung der Ergebnisse erfolgt nach Vorgaben von B, und M hat kein eigenes Interesse an den Befragungsergebnissen. M ist damit als Auftragsverarbeiter i.S.v. Art. 28 DS-GVO anzusehen, während B Verantwortlicher i.S.v Art. 4 Nr. 7 DS-GVO bleibt. Der Datentransfer zwischen B und M setzt damit nach hier vertretener Auffassung keinen gesonderten Erlaubnistatbestand voraus.

Allerdings muss der Dienstleister vor seiner Einschaltung auf seine Geeignetheit geprüft werden. Der Verantwortliche darf sich nur solcher Auftragsverarbeiter bedienen, die hinreichende Garantien dafür bieten, dass sie geeignete technische und organisatorische Maßnahmen für einen ausreichenden Datenschutz anwenden, so dass die Verarbeitung im Einklang mit der DS-GVO erfolgt und den Schutz der Rechte der betroffenen Personen gewährleistet (Art. 28 Abs. 1 DS-GVO). Auch muss der Verantwortliche mit dem Auftragsverarbeiter einen Vertrag über die weisungsgebundene Tätigkeit mit in der DS-GVO festgelegten Mindestinhalten schließen (Art. 28 Abs. 3 DS-GVO).

2. Rechtmäßigkeit der Datenverarbeitung zur Kundenbefragung

a) Allgemeines

Die von M durchgeführte Befragung ist datenschutzrechtlich dem verantwortlichen Unternehmen B zuzuordnen, da M lediglich Auftragsverarbeiter ist.^[4] Fraglich ist, ob B sich auf eine Rechtsgrundlage für die mit der Befragung einhergehende Datenverarbeitung berufen kann.

b) Privilegierung wissenschaftlicher Befragungen

Markt- und Meinungsforschung stellt für öffentliche und private Auftraggeber mittels wissenschaftlicher Methoden und Techniken notwendige Informationen als empirische Grundlage und zur Unterstützung wirtschaftlicher, gesellschaftlicher und politischer Entscheidungen bereit.^[5] Wissenschaftliche Forschung wird von der DS-GVO aufgrund ihrer Bedeutung für die Allgemeinheit privilegiert behandelt (vgl. Art. 89 DS-GVO), ein Umstand, der sich auch auf die Interessenabwägung nach Art. 6 Abs. 1 S. 1 lit. f DS-GVO auswirkt.^[6] Mit anderen Worten: Eine Interessenabwägung wird eher zugunsten des Verantwortlichen ausfallen, wenn wissenschaftliche Forschungszwecke verfolgt werden, als wenn andere, nicht privilegierte Zwecke verfolgt werden.

Werden, wie vorliegend, Daten, die zunächst zu einem anderen Zweck erhoben wurden, für Zwecke der Markt- und Meinungsforschung zweckändernd weiterverarbeitet (sog. „Sekundärnutzung“)^[7], findet Art. 6 Abs. 4 DS-GVO Anwendung.^[8] Auch im Rahmen der Kompatibilitätsprüfung ist dabei die Privilegierung wissenschaftlicher Forschung entsprechend zu berücksichtigen, sofern es sich um solche handelt. Fraglich ist allerdings, ob es sich vorliegend um wissenschaftliche Forschung handelt.

Trotz der Privilegierung ist der Begriff der wissenschaftlichen Forschung weder in der DS-GVO noch im BDSG explizit definiert. Wie sich jedoch aus Erwägungsgrund 159 DS-GVO ergibt, übernimmt die DS-GVO den in Art. 179 Abs. 1 AEUV und Art. 13 S. 1 GRCh angelegten weiten Forschungsbegriff.^[9] Forschung ist demnach jede „Tätigkeit mit dem Ziel, in methodischer, systematischer und nachprüfbarer Weise neue Erkenntnisse zu gewinnen.“^[10] Auch Vorhaben der Markt- und Meinungsforschung als angewandte Forschung unterfallen prinzipiell diesem Begriff, wenn sie nach den anerkannten wissenschaftlichen Methoden der empirischen Sozialforschung durchgeführt werden.^[11]

Entscheidend ist insofern insbesondere, dass die Marktund Meinungsforschung betreibende Stelle unabhängig ist.^[12] Sofern ein Auftraggeber Einfluss auf den Untersuchungsverlauf oder den Umgang mit Ergebnissen nimmt, kann man regelmäßig schon nicht mehr von einem methodischen, systematischen und nachprüfbaren Vorgehen sprechen.^[13] Vorliegend kann von einer Unabhängigkeit von M im Verhältnis zu B keinerlei Rede sein. Mit Ausnahme der Beratung im Hinblick auf den Fragebogen hat M keine Möglichkeiten der Einflussnahme, und auch diesbezüglich bleibt die Letztentscheidung bei B.

Eine Privilegierung der Datenverarbeitung scheitert im Übrigen vorliegend auch an der Art der geplanten Befragung, denn Zufriedenheitsumfragen sind nach herrschender Auffassung von der Markt- und Meinungsforschung abzugrenzen und als Werbemaßnahme einzuordnen.^[14]

Die personenbezogene Datenverarbeitung im Zusammenhang mit der geplanten Kundenbefragung ist nach alledem nicht privilegiert.

c) Berechtigte Interessen

Fraglich ist, ob die Verarbeitungen im Zusammenhang mit der Befragung über eine „normale“ Interessenabwägung (Art. 6 Abs. 1 S. 1 lit. f DS-GVO) gerechtfertigt sein können, also eine solche ohne Berücksichtigung privilegierter Interessen auf Seiten von B. Als Maßstab für die Datenverarbeitung zu den Zwecken der Kundenzufriedenheitsbefragung kommt Art. 6 Abs. 1 S. 1 lit. f DS-GVO vorliegend aber im Ergebnis nicht in Betracht, da die relevanten Daten zunächst für einen anderen Zweck als diesen erhoben worden sind, nämlich die Vertragsabwicklung, und nun zweckändernd weiterverarbeitet werden sollen.

Nach der DS-GVO gilt der Grundsatz der Zweckbindung (Art. 5 Abs. 1 lit. b DS-GVO). Zweckändernde Weiterverarbeitungen sind nur nach Maßgabe von Art. 6 Abs. 4 DS-GVO möglich, der eine sog. Kompatibilitätsprüfung verlangt. Ist der neue Verarbeitungszweck mit dem ursprünglichen Verarbeitungszweck kompatibel, ist die zweckändernde Weiterverarbeitung zulässig und über den ursprünglichen Erlaubnistatbestand mitabgedeckt. Weiterverarbeitungen zu einem nicht kompatiblen Zweck kommen nur auf Basis einer Einwilligung der betroffenen Person oder bei Bestehen einer entsprechenden Rechtsvorschrift in Betracht.

c) Zweckändernde Weiterverarbeitung

Maßstab für die Zulässigkeit ist nach Vorgesagtem hier also an sich Art. 6 Abs. 4 DS-GVO. Allerdings kann die Frage der Zulässigkeit einer Zweckänderung dahinstehen, sofern eine Datenverarbeitung bereits ohne Zweckänderung unzulässig ist. Mit anderen Worten: Ist eine Datenverarbeitung zu einem bestimmten Zweck unzulässig, muss sie es auch dann bleiben, wenn dieser Zweck neu hinzutritt.

Wie bereits ausgeführt, werden Kundenzufriedenheitsbefragungen von der herrschenden Meinung als Werbung eingestuft. Diese unterliegen damit den spezifischen datenschutzund wettbewerbsrechtlichen Zulässigkeitsvoraussetzungen.

Im Hinblick auf die datenschutzrechtliche Bewertung ist zunächst zu berücksichtigen, dass nach Erwägungsgrund 47 S. 7 DS-GVO Direktwerbung zwar grundsätzlich als berechtigtes Interesse zu betrachten ist. Als Direktwerbung bezeichnet man die unmittelbare Ansprache der betroffenen Person mittels Zusendung von Briefen oder Prospekten, durch Telefonanrufe, E-Mails oder Übermittlung von SMS.^[15]

Zu beachten ist allerdings auch, dass die Werbung per Telefon gegenüber Verbrauchern durch das Gesetz gegen den unlauteren Wettbewerb (UWG) in dem Sinne reglementiert wird, dass diese nur mit vorheriger ausdrücklicher Einwilligung möglich ist (§ 7 Abs. 2 Nr. 2 UWG). Nach Auffassung der Datenschutzaufsichtsbehörden schlägt diese wettbewerbsrechtliche Wertung auch auf das Datenschutzrecht durch.^[16] Konkret bedeutet dies, dass wegen der wettbewerbsrechtlichen Wertung auch die datenschutzrechtliche Interessenabwägung nicht zugunsten der werbenden Stelle ausfallen kann.

Einwilligungserfordernisse des § 7 Abs. 2 UWG können auch nicht dadurch umgangen werden, dass bei einer Kundenzufriedenheitsumfrage die Kundenbefragung zuvor unter Hinweis auf eine Widerspruchsmöglichkeit schriftlich angekündigt wird.^[17]

Der Datenschutzbeauftragte hat folglich darauf hinzuweisen, dass die geplante Befragung sowohl gegen Datenschutz- als auch gegen das Wettbewerbsrecht verstößt.

III. Praxishinweis

Anders als Telefonwerbung gegenüber Verbrauchern, die wettbewerbsrechtlich stets an die Einwilligung der Beworbenen gebunden ist, kann E-Mail-Werbung gegenüber Bestandskunden nach § 7 Abs. 3 UWG ausnahmsweise auch ohne Einwilligung zulässig sein, wenn alle dort genannten Voraussetzungen eingehalten werden. Nach dem KG Berlin19 können über § 7 Abs. 3 UWG auch Kundenzufriedenheitsbefragungen per Mail legitimiert sein, sofern die in der Norm genannten notwendigen Informationspflichten eingehalten werden. Nach § 7 Abs. 3 Nr. 3 und 4 UWG darf der Kunde der werblichen Verwendung der E-Mail-Adresse nicht widersprochen haben, und der Kunde muss bereits bei Erhebung der Adresse und sodann bei jeder Verwendung klar und deutlich darauf hingewiesen werden, dass er der Verwendung jederzeit widersprechen kann, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen.

* Miriam Claus, LL.M. ist Referentin bei der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). RAin Yvette Reif, LL.M. ist stellvertretende Geschäftsführerin der GDD und Mitautorin des Werks Gola/Reif, Praxisfälle Datenschutzrecht, 2. Aufl. 2016.

_{[1] So auch Simitis/Hornung/Spiecker/Petri, Datenschutzrecht, DS-GVO Art. 28 Rn. 33, vgl. dort auch zum Streitstand.}

_{[2] Vgl. Ehmann/Selmayr/Bertermann, Datenschutz-Grundverordnung, 2. Aufl. 2018, Art. 28 Rn. 8.}

_{[3] Vgl. hierzu vorstehend unter 1.}

_{[4] BT-Drs. 16/13657, 33.}

_{[5] Vgl. Gola/Schulz, DS-GVO, 2. Aufl. 2018, Art. 6 Rn. 93.}

_{[6] Vgl. Hornung/Hofmann, ZD-Beil. 2017, 1 (2).}

_{[7] Vgl. Gola/Schulz, DS-GVO, 2. Aufl. 2018, Art. 6 Rn. 94.}

_{[8] Vgl. Gola/Schulz, DS-GVO, 2. Aufl. 2018, Art. 6 Rn. 93.}

_{[9] Hornung/Hofmann, ZD-Beil. 2017, 1 (4).}

_{[10]  Hornung/Hofmann, ZD-Beil. 2017, 1 (4).}

_{[11] Vgl. Gola/Heckmann/Krohm, BDSG, 13. Aufl. 2019, § 27 Rn. 17.}

_{[12] Zum Ganzen Hornung/Hofmann, ZD-Beil. 2017, 1 (4 f.).}

_{[13] BGH, Urteil v. 10.07.2018 – VI ZR 225/17.}

_{[14] Vgl. Kühling/Buchner/Herbst, DS-GVO BDSG, 3. Aufl. 2020, Art. 21 DSGVO Rn. 26.}

_{[15] DSK, Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung unter Geltung der Datenschutz-Grundverordnung (DS-GVO), Stand: Nov. 2018, Abschnitt 1.4; ebenso OVG Saarland, Beschluss v. 16.02.2021 (2 A 355/19): Bei Telefonwerbung schlägt die UWG-Wertung zur Unzumutbarkeit auch auf die datenschutzrechtliche Interessenabwägung durch; ähnlich auch der BGH zur Abwägung im Zusammenhang mit dem allgemeinen Persönlichkeitsrecht: BGH, Urteil v. 10.07.2018 – VI ZR 225/17.}

_{[16] So OLG Köln, Urteil v. 12.12.2008 – 6 U 41/08.}

_{[17] Beschluss v. 07.02.2017 – 5 W 15/17.}