Kurzbeitrag : Praxisfälle zum Datenschutzrecht XXIV: Einmal Spender – immer Spender? : aus der RDV 5/2023 Seite 313 bis 315
I. Sachverhalt
A spendet regelmäßig an das Flüchtlingshilfswerk F, welches in Deutschland sitzt und steuerrechtlich anerkannt ist als Organisation, die mildtätige Zwecke verfolgt. Jetzt schreibt ihn das Hilfswerk mit einem neuen Spendenaufruf an. Dem Schreiben liegt ein bereits ausgefüllter Überweisungsträger bei. Angegeben sind neben dem Namen und Konto des Hilfswerks auch der Name und die Kontodaten des A. Die Postadresse stammt aus der Spenderdatei des Flüchtlingshilfswerks. A hatte diese im Rahmen seiner ersten Spende auf einem Formular des Flüchtlingshilfswerks zur Verfügung gestellt, um eine Spendenquittung zu erhalten. Auf dem Formular wurde darauf hingewiesen, dass die Adresse auch verwendet wird, um Spender künftig noch mal auf ihre Spendenbereitschaft anzusprechen. Den Betroffenen wurde insofern ein entsprechendes Widerspruchsrecht eingeräumt. Die Kontodaten von A hatte das Hilfswerk seinen Kontoauszügen entnommen und den Adressdaten in der Spenderdatenbank hinzugespeichert.
A wendet sich an die zuständige Datenschutzaufsichtsbehörde und beschwert sich über den aktuellen, mit dem vorausgefüllten Überweisungsträger versehenen Spendenaufruf des Hilfswerks. Wie wird die Behörde den Fall beurteilen? [1]
II. Musterlösung
1. Anwendungsbereich der DS‑GVO und Erforderlichkeit eines datenschutzrechtlichen Erlaubnistatbestandes
Bzgl. der räumlichen Anwendbarkeit der DS-GVO (Art. 3) ergeben sich im vorliegenden Fall keine Bedenken. Der sachliche Anwendungsbereich der DS-GVO ist gemäß Art. 2 Abs. 1 DS-GVO eröffnet im Hinblick auf die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nicht automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
Postadresse und Kontodaten von A stellen personenbezogene Daten i.S.v. Art. 4 Nr. 1 DS-GVO dar. In der Nutzung der Daten zum Versand des Spendenaufrufs inklusive vorausgefülltem Überweisungsträger liegt eine Verarbeitung i.S.v. Art. 4 Nr. 1 DS-GVO in Form der Erhebung bzw. Verwendung von Daten. Die Adress- und Kontodaten werden von F in der Spenderdatenbank automatisiert erfasst und gespeichert sowie später zum Zweck des Versandes des Spendenaufrufs entsprechend verwendet. Der sachliche Anwendungsbereich der DS-GVO ist damit vorliegend eröffnet. Dies gilt auch, soweit die Erhebung der Kontoverbindungen aus den Kontoauszügen im Vorfeld betroffen ist, denn gemäß Art. 2 Abs. 1 DS-GVO gilt diese auch für die nicht automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert werden sollen.
Nach Erwägungsgrund 40 DS-GVO ist eine Verarbeitung personenbezogener Daten (nur) rechtmäßig, sofern sie mit Einwilligung der betroffenen Person oder auf Basis einer sonstigen zulässigen Rechtsgrundlage erfolgt, welche sich aus der DS-GVO oder – wann immer in der DS-GVO darauf Bezug genommen wird – aus dem sonstigen Unionsrecht oder dem Recht der Mitgliedstaaten ergibt.
Vorliegend müsste daher ein entsprechender datenschutzrechtlicher Erlaubnistatbestand für die Datenverarbeitung im Zusammenhang mit dem Spendenaufruf inklusive vorbereitetem Überweisungsträger vorliegen, damit das Vorgehen des Flüchtlingshilfswerks rechtmäßig ist.
2. Erlaubnistatbestand für den Spendenaufruf inklusive vorbereitetem Überweisungsträger
a) Spendenaufruf allgemein
Festgestellt werden kann zunächst, dass die betroffenen Personen keine Einwilligung für die erneute Ansprache als Spender/-innen erteilt haben.
Als gesetzlicher Erlaubnistatbestand kommt vorliegend nur Art. 6 Abs. 1 S. 1 lit. f) DS-GVO (sog. Interessenabwägung) in Betracht. Nach der genannten Vorschrift ist eine Verarbeitung personenbezogener Daten auch ohne Einwilligung der betroffenen Person erlaubt, sofern die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist und nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.
Im Zusammenhang mit Art. 6 Abs. 1 S. 1 lit. f) DS-GVO ist zu beachten, dass Erwägungsgrund 47 S. 7 DS-GVO das Interesse an „Direktwerbung“ explizit als mögliches berechtigtes Interesse i.S. der DS-GVO benennt. Dies führt dazu, dass jedenfalls im Bereich der herkömmlichen Briefwerbung[2] eine Interessenabwägung tendenziell zugunsten des Verantwortlichen (hier: F) ausfällt, sofern sich nicht im Einzelfall besondere Gesichtspunkte ergeben, die zugunsten der betroffenen Personen sprechen.
Ob bzw. in welchen Fällen Werbung für Spenden als Werbung i.S. des Datenschutz- und Wettbewerbsrechts anzusehen ist, ist durch die Rechtsprechung bislang nicht abschließend geklärt.[3] Festgestellt werden können wird jedenfalls Folgendes: Auch Spendenwerbung dürfte von Erwägungsgrund 47 S. 7 DS-GVO erfasst sein. Ansonsten käme man zu dem widersprüchlichen und durch den europäischen Gesetzgeber wohl nicht beabsichtigten Ergebnis, dass die Einwerbung von Spenden höheren datenschutzrechtlichen Anforderungen unterliegen würde als „normale“ Direktwerbung für Produkte oder Dienstleistungen. Sofern die Spendenwerbung durch anerkannt gemeinnützige oder mildtätige Organisationen zur Verfolgung ihrer Zwecke erfolgt, dürfte sich dies zusätzlich zugunsten des Überwiegens des Verarbeitungsinteresses der werbenden Stelle auswirken. In der Fassung des BDSG vor Geltung der DS-GVO war für Werbung für Spenden, die nach § 10b Abs. 1 und § 34g des Einkommensteuergesetzes steuerbegünstigt sind, explizit ein spezieller datenschutzrechtlicher Erlaubnistatbestand vorgesehen.[4] Indem die werbliche Ansprache von Spendern erleichtert wurde, sollte, in Anlehnung an bestehende steuerliche Vergünstigungen, der finanzielle Fortbestand solcher Organisationen begünstigt werden, so die damalige Gesetzesbegründung.[5] Zwar findet sich ein vergleichbarer spezieller datenschutzrechtlicher Erlaubnistatbestand für Spendenorganisationen im aktuell geltenden Datenschutzrecht nicht mehr, die Förderungs- und Erhaltungswürdigkeit entsprechender Organisationen kann aber im Rahmen der Interessenabwägung gem. Art. 6 Abs. 1 S. 1 lit. f) DS-GVO Berücksichtigung finden. M.a.W.: Werbliche Interessen zugunsten anerkannt gemeinnütziger oder mildtätiger Zwecke lassen die Waagschale i.R. der Abwägung stärker zugunsten des Verantwortlichen ausschlagen als die Verfolgung rein kommerzieller werblicher Interessen. Dies bedeutet jedoch ebenso wenig, dass rein kommerzielle werbliche Interessen kein berechtigtes Interesse i.S. der DS-GVO begründen können, wie, dass i.R. von Spendenwerbung für gemeinnützige oder mildtätige Zwecke die Interessen der angeschriebenen Betroffenen vollständig zurücktreten würden.[6]
Zugunsten eines grundsätzlichen Überwiegens der Interessen von F spricht vorliegend im Übrigen, dass F die Post nicht an beliebige Adressaten sendet, sondern konkret an Personen, die schon einmal zugunsten der Organisation gespendet haben. Bezogen auf solche Personen darf F zunächst davon ausgehen, dass diese sich im Hinblick auf eine neue Ansprache durch F jedenfalls nicht erheblich beeinträchtigt fühlen dürften, ggf. sogar im Gegenteil aktives Interesse an erneuter Ansprache haben.
Im Ergebnis ist daher davon auszugehen, dass die werbliche Ansprache der früheren Spender per Brief durch das Flüchtlingshilfswerk im Grundsatz gem. Art. 6 Abs. 1 S. 1 lit. f DS-GVO datenschutzrechtlich gerechtfertigt ist.
Laut Sachverhalt ist das Flüchtlingswerk insofern auch seinen Informationspflichten bei Datenerhebung nach Art. 13 DS-GVO nachgekommen und die Spender/-innen wurden entsprechend Art. 21 Abs. 4 DS-GVO bzgl. des Zwecks der erneuten Ansprache auf ihr Widerspruchsrecht hingewiesen. Unabhängig von der Frage, ob Spendenwerbung den datenschutzrechtlichen Begriff der Werbung erfüllt,[7] sollte insofern aus Gründen der Rechtssicherheit unterstellt werden, dass – wie gegen kommerzielle Werbung auch – entsprechend Art. 21 Abs. 2 DS-GVO ein voraussetzungsloses und begründungsfreies Widerspruchsrecht besteht.
b) Verwendung der Kontoinformationen der Angeschriebenen
Von der oben beschriebenen allgemeinen Beurteilung der brieflichen Ansprache von ehemaligen Spendern/ Spenderinnen im Hinblick auf eine eventuelle nochmalige Spendenbereitschaft ist die Beurteilung der Frage zu unterscheiden, ob zu dem genannten Zweck auch mit konkreten Kontoinformationen der Angeschriebenen vorausgefüllte Überweisungsträger erstellt und mitversandt werden dürfen.
Insoweit ist zu berücksichtigen, dass es sich bei Kontoinformationen um besonders schützenswerte personenbezogene Daten handelt. Dies zeigt etwa § 42a BDSG a.F., die Vorgängerregelung in Deutschland zu den Informationspflichten bei Datenschutzverletzungen nach Art. 33 f. DS-GVO. § 42a BDSG a.F. knüpfte die Informationspflicht bei unrechtmäßiger Kenntniserlangung von Daten daran, dass von dem Datenschutzvorfall bestimmte, gesetzlich abschließend aufgezählte Kategorien personenbezogener Daten betroffen waren. Zu den aufgezählten Datenkategorien zählten dabei u.a. „personenbezogene Daten zu Bank- oder Kreditkartenkonten“ und damit auch die Bankverbindungsdaten natürlicher Personen. Zwar knüpfen die aktuellen Regelungen in Art. 33 f. DS-GVO nicht mehr an die Betroffenheit bestimmter Kategorien von Daten. Die Betroffenheit von Datenkategorien nach § 42a BDSG a.F. wird allerdings nach wie vor, also auch i.R.v. Art. 33 DS-GVO, ein Indikator für ein tendenziell hohes Risiko für die vom Datenschutzvorfall betroffenen Personen sein.[8]
Konkret kann sich vorliegend insbes. ein Risiko dadurch ergeben, dass vorausgefüllte Überweisungsträger von Unbefugten, denen sie in die Hände fallen, missbräuchlich genutzt werden. Dies kann etwa in der Weise erfolgen, dass unter Einsatz einer gefälschten Unterschrift eine von der betroffenen Person nicht gewünschte Spende an das Flüchtlingshilfswerk veranlasst wird. Denkbar ist auch, dass die aufgedruckten Kontodaten „entwendet“ werden und das Konto des Betroffenen i.R.v. Onlinebestellungen im Wege des Lastschriftverfahrens missbräuchlich belastet wird.
Für die Inkaufnahme dieser Risiken besteht keine Notwendigkeit, denn das Ziel der Spendenaktion kann problemlos auch ohne Verwendung der Kontoinformationen der Angeschriebenen erreicht werden. Zwar mag der Aufdruck der eigenen Kontoverbindung auf dem Überweisungsvordruck für potenzielle Spender eine gewisse Erleichterung darstellen. Gerade in den heutigen Zeiten des Onlinebankings und moderner Zahlungsdienstleister wie PayPal etc. ist es aber mit kaum noch Aufwand verbunden, anderen Personen oder auch Organisationen Zahlungen zukommen zulassen. Auch das händische Ausfüllen eines Überweisungsträgers ist innerhalb kürzester Zeit erledigt, falls ein/e Spender/-in das klassische Papierformular bevorzugt. Das datenschutzrechtliche Risiko steht insofern in keinem Verhältnis zum Anlass für die Verarbeitung der Daten. Überdies kollidiert es mit dem Prinzip der Zweckbindung (Art. 5 Abs. 1 lit. b) DS-GVO), wenn Informationen, die nur deshalb angefallen sind, weil sie zwingende Voraussetzung für die Abwicklung des Zahlungsverkehrs sind, für werbliche Zwecke verarbeitet werden.
III. Fazit
Während die personenbezogene Datenverarbeitung für den Spendenaufruf als solchen, d.h. das Anschreiben allgemein nach Art. 6 Abs. 1 S. 1 lit. f) DS-GVO als zulässig anzusehen ist, war bereits die initiale Erhebung und Speicherung der Kontoverbindungen aus den Kontoauszügen zu dem hiermit verfolgten Zweck rechtswidrig. Ebenso rechtswidrig ist die spätere Verwendung der Kontoinformationen der Betroffenen, um damit die Überweisungsträger vorauszufüllen.
RAin Yvette Reif, LL.M. ist stellvertretende Geschäftsführerin der Gesellschaft für Datenschutz und Datensicherheit (GDD) e.V. und Mitautorin des Werks Gola/Reif, Praxisfälle Datenschutzrecht, 2. Aufl. 2016
[1] Der Sachverhalt basiert auf HessDSB, 43. Tätigkeitsbericht (2014), Ziff. 5.3.7. Die rechtliche Würdigung im Tätigkeitsbericht bezieht sich allerdings noch auf das damalige Recht.
[2] Insbes. im Hinblick auf E-Mail- und Telefonwerbung sind zudem die wettbewerbsrechtlichen Vorgaben nach § 7 UWG zu beachten, wonach diese Werbeformen gegenüber Verbrauchern regelmäßig der vorherigen ausdrücklichen Einwilligung bedürfen. § 7 UWG erfasst zwar auch Briefwerbung. Wettbewerbsrechtlich ist Briefwerbung aber primär dann problematisch, wenn diese entgegen dem vom Adressaten erklärten Willen erfolgt, keine Werbung erhalten zu wollen, vgl. § 7 Abs. 1 UWG.
[3] Vgl. hierzu ausführlich Paal/Nikol, Spendenwerbung durch E-Mail-Direktmarketing zwischen UWG und DS-GVO, GRUR 2023, 78.
[4] § 28 Abs. 3 S. 2 Nr. 3 BDSG a.F.
[5] BT-Drs. 16/12011, S. 32.
[6] Zum letzten Punkt vgl. auch Simitis, Bundesdatenschutzgesetz, BDSG 2003 § 28 Rn. 242.
[7] Vgl. dazu oben in diesem Abschnitt.
[8] Gola/Heckmann/Reif, DS-GVO Art. 34 Rn. 9; für Bankverbindungs- und Kreditkartendaten ebenfalls regelmäßig von einem voraussichtlich hohen Risiko ausgehend auch Simitis/Hornung/Spiecker gen. Döhmann/Dix, DS-GVO Art. 34 Rn. 5.