Bald ist Weihnachten. Dürfen Unternehmen mit Geltung der neuen Datenschutz-Grundverordnung (DSGVO) seit dem 25. Mai 2018 eigentlich noch Weihnachtskarten an Kunden versenden (lassen)?
Die scheinbar einfache Antwort lautet: Ja, sofern die betroffene Person ihre Einwilligung erteilt hat (Art. 6 Abs. 1 lit. a DSGVO).
Allerdings hat bislang kaum ein Unternehmen seine Kunden ausdrücklich gefragt, ob sie Weihnachtskarten erhalten möchten. Zum Glück findet sich auch für diesen Fall eine mögliche Antwort in der DSGVO …
Alternative: Überwiegende berechtigte Interessen
Für den Versand von Weihnachtskarten an Kunden müssen personenbezogene Daten verarbeitet werden. Die Verarbeitung ist nicht nur rechtmässig, wenn eine Einwilligung vorliegt, sondern gemäss Art. 6 Abs. 1 lit. f DSGVO auch, wenn sie zur Wahrung der überwiegenden berechtigten Interessen des verantwortlichen Unternehmens erforderlich ist.
Die Frage, was überwiegende berechtigte Interessen sind, beantwortet Erwägungsgrund 47, wo es unter anderem heisst:
«Ein berechtigtes Interesse könnte beispielsweise vorliegen, wenn eine massgebliche und angemessene Beziehung zwischen der betroffenen Person und dem Verantwortlichen besteht, zum Beispiel wenn die betroffene Person ein Kunde des Verantwortlichen ist […].»
Und:
«[…] wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. […]»
Wer Kunde bei einem Unternehmen ist, darf und muss damit rechnen, eine Weihnachtskarte zu erhalten. Genauso Personen, die noch nicht Kunden sind, aber ihre Adresse einem Unternehmen mitgeteilt haben, zum Beispiel durch Übergabe ihrer Visitenkarte anlässlich einer Messe oder sonstigen Veranstaltung.
Im Ergebnis gehe ich davon aus, dass Weihnachtskarten auch nach Geltung der DSGVO grundsätzlich noch verschickt werden dürfen.
Einige Hinweise …
- Private Weihnachtskarten, versendet «durch natürliche Personen zur Ausübung ausschliesslich persönlicher oder familiärer Tätigkeiten», sind nicht betroffen (Art. 2 Abs. 2 lit. c DSGVO).
- Einwilligungen gemäss DSGVO sind riskant, denn die Anforderungen an ihre Gültigkeit sind hoch. Der Versuch, mit Einwilligungen zu arbeiten, ist deshalb nur scheinbar die einfachste Antwort im Umgang mit der DSGVO.
- Egal, ob Einwilligung oder überwiegende berechtigte Interessen: Die betroffene Person, das heisst der Empfänger einer Weihnachtskarte, muss auf ihr Widerspruchsrecht gemäss Art. 21 DSGVO hingewiesen werden. Ob man sich (und den Datenschutz) mit einem solchen Hinweis bei den Empfängern von Weihnachtskarten lächerlich machen möchte, ist Teil der üblichen datenschutzrechtlichen Risikoabwägung …
- Die DSGVO gilt nicht innerhalb der Schweiz, zum Beispiel zwischen Unternehmen und ihren Kunden jeweils in der Schweiz. Sie betrifft aber viele Schweizer Unternehmen, weil sie Kunden im Ausland – beispielsweise in Deutschland, im Fürstentum Liechtenstein und in Österreich – haben.
- Weihnachtskarten von Unternehmen sind eine Form von Direktwerbung. Wer Weihnachtskarten nicht traditionell per Briefpost, sondern per E-Mail, Instant Messaging oder Social Media versendet, benötigt in vielen Fällen Einwilligung der Empfänger – nicht aus datenschutzrechtlichen, sondern aus lauterkeitsrechtlichen Gründen (Art. 3 Abs. 1 lit. o UWG in der Schweiz, § 7 Abs. 3 UWG in Deutschland).
- Weihnachtskarten werden häufig bei Dritten unter Verwendung von Personendaten gedruckt. In diesem Fall muss sichergestellt werden, dass solche Dritten das Datenschutzrecht einhalten. Viele Druckereien haben ihre Informationen und Verträge an die DSGVO angepasst.
Bild: Pixabay / 3194556, Public Domain.