Adresshandel: Liegt eine gemeinsame Verantwortlichkeit vor?

Laut dem Verwaltungsgericht Berlin ist ein Auftraggeber, der beim Versand von Werbung selbst keinen Zugriff auf die Adressdaten der Werbeempfänger hat, nicht gemeinsam mit dem Dienstleister verantwortlich. Das Urteil gibt Leitlinien für die nicht immer einfache Abgrenzung, wann Akteure gemeinsam oder getrennt Verantwortliche für die Verarbeitung gemäß der DSGVO sind.

Adresshandel – Wer hat wen beauftragt?

Die Klägerin betreibt ein Theater in Berlin. Für eine dortige Veranstaltung wollte sie Ende 2021 eine Werbekampagne durchführen und sich dafür auch an Personen wenden, die noch keine Kunden bei ihr waren. Für die Durchführung der Kampagne beauftragte die Klägerin eine Adresshändlerin. Hierbei gab die Klägerin die Gestaltung des Werbeschreibens und die Zielgruppe vor, nämlich in Berlin und Brandenburg lebende Personen mit überdurchschnittlicher Kaufkraft. Leider teilt das Urteil nicht mit, ab wann eine Person das letztere Kriterium erfüllt, ab 2.500, 3.500, 5.000… € Nettoeinkommen?

Der Betreuer einer der Empfänger dieser Werbeschreiben beschwerte sich bei der beklagten Aufsicht. Diese verwarnte nach Anhörung die Klägerin. Sie sei mit der Adresshändlerin gemeinsame Verantwortliche (Art. 26 DSGVO). Als solche habe sie gegen Art. 6, 14 und 26 DSGVO verstoßen. Weder könne die Beklagte den Versand auf eine Rechtsgrundlage nach der DSGVO stützen, noch habe sie die Adressaten nach der DSGVO gem. Art. 14, 26 Abs. 2 DSGVO informiert.

Dies sah die Klägerin anders und erhob Klage vor dem VG Berlin, das die Sache rapido in drei bis vier Jahren durchentschied.

Gemeinsame oder getrennte Verantwortung beim Adresshandel?

Das VG Berlin hob die Verwarnung auf. Es fehle an der (gemeinsamen) Verantwortlichkeit der Klägerin.

Ausgangspunkt für das VG Berlin war die Rechtsprechung des EuGH, wonach als Verantwortlicher gilt, wer bei der Festlegung der Zwecke und Mittel der Verarbeitung personenbezogener Daten – in diesem Fall der Adressdaten der Empfänger – entscheidend mitwirkt. Das VG sah die Beteiligung der Klägerin als nicht ausreichend für eine gemeinsame Verantwortung an. Die Festlegung des Empfängerkreises durch die Klägerin stelle keine organisatorisch-konzeptionelle Mitwirkung an der Nutzung der Adressdaten dar. Hierin liege noch keine prozedurale Mitwirkung an der Ausgestaltung der Nutzung. Die Konzeption, Organisation und technische Umsetzung des Auftrags habe allein in den Händen der Adresshändlerin gelegen. Insofern sei allein diese nach der DSGVO verantwortlich.

Take-Away: Kommissionsähnliche Geschäftsmodelle als schützende TOM?

Das Urteil präzisiert die Grundlagen zur Abgrenzung von gemeinsamer und getrennter Verantwortlichkeit. Interessant hierbei ist, dass das VG Berlin eine gemeinsame Verantwortlichkeit nicht allein dadurch gegeben sieht, dass der Auftraggeber Vorgaben für die Auftragsdurchführung macht. Das Urteil bietet insoweit Auftragnehmern und Auftraggebern die Möglichkeit, ihre Verantwortlichkeiten zu überdenken und ihre Geschäftsmodelle bei Bedarf neu zu gestalten.