FAQ zur Nutzung von Daten

Die DSGVO regelt den Umgang mit personenbezogenen Daten. Juristische Personen sind grundsätzlich nicht betroffen. Personenbezogene Daten sind nicht nur Daten, die den Namen einer Person enthalten, sondern auch pseudonymisierte Daten und ähnliche Informationen, die zwar auf den ersten Blick verschlüsselt sind, die von der verarbeitenden Stelle aber einer Person (wieder) zugeordnet werden können. Typische Beispiele dafür sind Kundennummern, Kreditkartennummern oder Online- und Gerätekennungen (IP-Adressen, Cookie-IDs).

Ja, dem Geltungsbereich der DSGVO unterliegen sowohl die in der EU niedergelassenen Unternehmen als auch diejenigen, die zwar in einem Drittland ansässig sind, aber gleichwohl gegenüber EU-Bürgern ihre Dienste anbieten oder Daten von EU-Bürgern verarbeiten. Ein Geschäftssitz der datenverarbeitenden Stelle im Ausland schützt mithin nicht (mehr) vor der Anwendbarkeit europäischen Datenschutzrechts.

An den Nutzungsrechten bereits bezogener Daten ändert sich nichts. Diese richten sich unverändert nach dem zwischen Ihnen und Dun & Bradstreet (vormals Bisnode) über die betreffende Datenlieferung geschlossenen Bezugsvertrag. Auch die allgemeinen Vorgaben des Wettbewerbsrechts für zulässige Direktwerbung bleiben vom Wirksamwerden der DSGVO unberührt. Mit Blick auf den Datenschutz sollten Sie allerdings insbesondere überprüfen, ob die Dokumentation Ihrer Datenverarbeitungsprozesse auf dem neuesten Stand ist und Sie etwaige Betroffenenrechte (beispielsweise Auskunfts und Beschränkungsrechte) ordnungsgemäß erfüllen können. Der Anpassungsaufwand an das neue Recht wird dabei in der Regel um so geringer ausfallen, je mehr Sie diese Dinge auch in der Vergangenheit bereits im Fokus hatten. Denn die Kernprinzipien der DSGVO sind in weiten Teilen nicht neu, sondern eine Fortschreibung der aus dem alten BDSG bekannten Regeln.

Sorgen Sie für eine funktionierende Datenschutzorganisation, die sicherstellt, dass die gesetzlichen Pflichten nicht nur bekannt sind und umgesetzt werden, sondern dass Sie das auch gegenüber Dritten nachweisen können. 

Sie brauchen in jedem Fall einen vollständigen Überblick über alle Vorgänge, in denen Sie personenbezogene Daten verarbeiten. Diese Verfahrensübersicht ist fortlaufend aktuell zu halten. Denken Sie daran, sich über die Rechtsgrundlagen Ihrer Verarbeitungsprozesse zu vergewissern. Darüber hinaus sollten Sie strukturierte Prozesse zur Erfüllung von Informations- und Auskunftspflichten etablieren sowie zum Umgang mit den Rechten und Anliegen Betroffener. Schaffen Sie Bewusstsein für den Datenschutz. Trainieren Sie Ihre Mitarbeiter in Bezug auf die Einhaltung Ihrer technischen und organisatorischen Schutzvorkehrungen. Prüfen Sie Ihre Dienstleister und geben Sie Ihre Daten nur in zuverlässige Hände.

Ja, durchaus. Das Datenschutzrecht unterscheidet nicht zwischen Verbrauchern und Unternehmern. Es gilt für die Verarbeitung personenbezogener Daten und damit auch dann, wenn die betreffende Personeninformation im Zusammenhang mit einer beruflichen Tätigkeit steht. Reine Geschäftsadressen und Unternehmensinformationen ohne Personenbezug wie etwa Branchenangaben oder Umsatzzahlen bleiben von den Anforderungen des Datenschutzrechts natürlich unbehelligt. Informationen zur geschäftlichen Tätigkeit oder zur geschäftlichen Funktion einer Person (wie sie als Ansprechpartner der ersten und zweiten Führungsebene in der „Bisnode Firmendatenbank“ enthalten sind) unterfallen dagegen grundsätzlich dem Datenschutzrecht, sind aber in der Regel als weitaus weniger schutzwürdig einzustufen als Informationen über Private. Das ergibt sich daraus, dass die geschäftsbezogenen Informationen häufig öffentlich zugänglich sind (beispielsweise im Handelsregister) oder von den Betroffenen selbst öffentlich gemacht wurden (beispielsweise uns gegenüber in Telefoninterviews oder für die Allgemeinheit auf den Internetseiten des betreffenden Unternehmens).

Nein, ist es nicht. Wenn Sie keine Vertragsbeziehung mit dem Werbeadressaten und erst recht keine Einwilligung von ihm haben, bleibt als mögliche Rechtsgrundlage für Ihre Direktmarketingabsichten immer noch das „berechtigte Interesse“ im Sinn von Artikel 6 Absatz 1f DSGVO. Wie die Abwägung im konkreten Fall ausgeht, hängt erneut von den spezifischen Umständen ab. Eigene Werbezwecke (und spiegelbildlich dazu auch die Datenverarbeitung und Übermittlung durch den Adresshandel) sind grundsätzlich legitime Anliegen. Denn die kommerzielle Kommunikation ist unter anderem als Bestandteil der unternehmerischen Freiheit anzusehen. Gebremst werden diese Interessen durch die Erwartungen der betroffenen Werbeadressaten. Je weniger intensiv der Eingriff in die Schutzinteressen der Betroffenen ist (beispielsweise, indem Sie auf unnötige Datenfelder und die Nutzung sensibler Daten bei der werblichen Verarbeitung verzichten) und je transparenter Sie Ihre Datenverarbeitungsvorgänge machen (beispielsweise durch Bereitstellung umfassender Datenschutzinformationen), desto mehr wird Ihre Werbung im Einklang mit den Erwartungen des Betroffenen stehen. Anders ausgedrückt: Je ausgewogener Sie den Rahmen Ihrer werblichen Datenverarbeitungsprozesse abstecken, desto sicherer können Sie sich auf Artikel 6 Absatz 1f DSGVO als Rechtsgrundlage für die Nutzung der Daten berufen.

Egal was Sie vorhaben, Sie müssen für den Umgang mit personenbezogenen Daten immer eine Erlaubnisgrundlage aus Artikel 6 DSGVO belegen können. Das kann eine Einwilligung sein (Artikel 6 Absatz 1a DSGVO), diese ist aber nicht die einzige Möglichkeit, die Datenverarbeitung auf erlaubte Füße zu stellen. Wenn keine Einwilligung der zu bewerbenden Person vorliegt, ist die Datenverarbeitung zulässig, wenn sie zur Abwicklung Ihrer Geschäftsbeziehung erforderlich ist (Artikel 6 Absatz 1b DSGVO) oder wenn Sie sich auf ein berechtigtes Interesse berufen können (Artikel 6 Absatz 1f DSGVO). Wie das zu bewerten ist, hängt wiederum von Ihren konkreten betrieblichen Umständen ab. Der Begriff der „Erforderlichkeit“ macht dabei deutlich, dass der Gesetzgeber zwar keine uferlose Datenverarbeitung gestatten wollte – auch dann nicht, wenn Sie mit dem Adressaten der Werbung vertraglich verbunden sind. Ein Totalverbot spricht er aber auch nicht aus. Wenn Daten zur Katalog- oder Prospektanforderung oder zur Erstellung eines individualisierten Angebots überlassen werden, ist dagegen kaum etwas einzuwenden. Dasselbe gilt für das Einpflegen Ihrer Kundendaten in ein Customer-Relationship-Managementsystem. Solche Prozesse der Bestandskundenpflege dürften heute als üblich und damit als für die Geschäftsabwicklung „erforderlich“ anzusehen sein, so dass Artikel 6 Absatz 1b DSGVO eine taugliche Rechtsgrundlage ist. Verlassen Sie mit Ihren Datenverarbeitungsabsichten aber den engeren Zusammenhang mit der Vertragsbeziehung und streben Sie beispielsweise Kundenprofilbildungen oder die Speicherung bestimmter Vorlieben an, sollten Sie dies besser auf Basis einer Einwilligung tun. Merkregel: Je weiter Sie sich vom eigentlichen Geschäftsinhalt mit ihrer Kampagne entfernen, desto schwieriger wird es, die rechtliche Erforderlichkeit zu begründen.

Nein, ein generelles Verbot enthält die DSGVO nicht. Solange kein Widerspruch vorliegt, spricht gemäß Artikel 22 Absatz 1 DSGVO nichts dagegen, einen Datenbestand vor einer Werbeaktion nach bestimmten Kriterien zu filtern, um die Effektivität der Aktion zu erhöhen und unnötige Streuverluste so gering wie möglich zu halten. Das Gesetz will den Betroffenen in erster Linie die Möglichkeit geben, sich gegen automatische Entscheidungsprozesse zu wehren, die einen Nachteil oder eine rechtliche Wirkung mit sich bringen. Wenn das Werbescoring aber nur dazu führt, dass jemand von einer Werbeaktion ausgenommen wird, hat das weder eine rechtliche Wirkung und kann auch kaum als „Nachteil“ bezeichnet werden, weil insoweit ja gerade keine Daten verarbeitet werden – was aus datenschutzrechtlicher Sicht eher als Vorteil gelten muss.

Ja, denn rechtlich gesehen findet bei Ihnen, wenn sie Marketingdaten bei uns einkaufen und selbst (oder durch einen beauftragten DirektmarketingDienstleister) nutzen, eine „Datenerhebung“ statt. Für die Fälle der Datenerhebung schreibt das Gesetz aus Gründen der Verarbeitungstransparenz eine Benachrichtigungspflicht vor, damit die betroffenen Personen nachvollziehen können, wer und warum welche Daten über sie nutzt. Wir empfehlen zu prüfen, ob sich die notwendigen Informationen in Ihre Werbeschreiben integrieren lassen, um sich separaten Benachrichtigungsaufwand zu sparen. Einzelheiten zur Art und Weise und zum Inhalt der Benachrichtigung finden Sie in Artikel 12 und 14 DSGVO.