Die Digitalisierung hat das Marketing revolutioniert – doch mit der neuen Freiheit kommt auch neue Verantwortung. Wer personenbezogene Daten für Werbung nutzen will, muss sich an klare Regeln halten. Die Datenschutzkonferenz (DSK) hat in einem Informationspapier zusammengefasst, wie die Datenschutz-Grundverordnung (DSGVO) und das Gesetz gegen den unlauteren Wettbewerb (UWG) bei werblicher Nutzung von E-Mail-Adressen und anderen Kontaktdaten zu verstehen sind.

Letzteres ist nur zulässig, wenn eine Interessenabwägung ergibt, dass die Verarbeitung die Rechte der betroffenen Person nicht überwiegt. Dabei sind die „vernünftigen Erwartungen“ der Nutzer*innen entscheidend – etwa ob sie über die werbliche Nutzung transparent informiert wurden.

2. Widerspruchsrecht: Werbung darf nicht alternativlos sein

Selbst wenn Werbung auf berechtigtem Interesse basiert, haben Betroffene ein starkes Widerspruchsrecht (Art. 21 DSGVO). Nach Ausübung dieses Rechts dürfen die Daten nicht mehr für Werbung verwendet werden. Unternehmen müssen auf dieses Recht ausdrücklich hinweisen. Die Möglichkeit eines Widerspruchs sollte zudem nicht hinter Kaskaden von aufeinanderfolgeden Links versteckt, sondern einfach zugänglich sein.

Besondere Kategorien personenbezogener Daten – etwa Gesundheitsdaten – dürfen nicht für Werbung verwendet werden, es sei denn, die betroffene Person hat ausdrücklich eingewilligt (Art. 9 DSGVO). Das betrifft insbesondere Branchen wie Apotheken, Sanitätshäuser oder Optiker.

Einwilligungen für Werbung müssen freiwillig erfolgen. Sie dürfen also nicht erzwungen werden. Das bedeutet: Die Nutzung eines Dienstes darf nicht davon abhängig gemacht werden, ob jemand in Werbung einwilligt – es sei denn, die werbliche Nutzung ist Teil der vertraglichen Gegenleistung (z. B. kostenloser E-Mail-Dienst gegen Newsletter-Zustimmung). Diese „Gegenfinanzierung“ muss aber klar und verständlich kommuniziert werden.

Die DSK betont, dass künftig die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO die zentrale Rechtsgrundlage für Werbung sein wird – sofern keine Einwilligung vorliegt. Einheitliche EU-weite Verhaltensregeln wären wünschenswert, andernfalls sind Leitlinien des Europäischen Datenschutzausschusses zu erwarten.