Artikel vom 14.05.2019

DSGVO Verstoß in 6 Mio. Fällen: Polen verhängt Bußgeld gegen Adresshändler

Informationspflichten nach Art. 14 DSGVO zu verletzen, kann richtig teuer werden: Die polnische Datenschutzbehörde UODO verhängte jetzt ein Bußgeld in Höhe von 200.000 Euro gegen Bisnode Polska. Ja - Wirtschaftsauskunfteien dürfen Daten sammeln. Aber nicht, ohne die Betroffenen davon zu unterrichten.

Adresshändler Bisnode Polska: Informationserteilung zu teuer

Verstöße gegen den Datenschutz in sechs Millionen Fällen, lautet der Vorwurf gegen Bisnode Polska, Tochter der schwedischen Auskunftei für digitale Wirtschaftsinformationen Bisnode AB. Denn der Adresshändler hat seine Informationspflichten gem. Art. 14 DSGVO zur Verwendung von Daten verletzt. Personenbezogene und unternehmerische Daten, die Bisnode aus öffentlich zugänglichen Quellen bzw. dem elektronischen Zentralregister sammelte. Anschließend fanden diese Eingang in Datenbanken für kommerzielle Zwecke. Lediglich 680.000 Personen - mit E-Mail-Adresse in der Datenbank - informierte Bisnode Polska auf elektronischem Weg. Das Argument: Der finanzielle und organisatorische Aufwand, alle postalisch zu informieren, sei zu hoch. Stattdessen stellte die Auskunftei Informationen auf ihre Website, um ihrer datenschutzrechtlichen Pflicht genüge zu tun. Bisnode beruft sich auf Art. 14 Abs. 5 lit. b DSGVO, der besagt: Erweist sich eine Informationserteilung als nicht machbar oder erfordert sie einen unverhältnismäßigen Aufwand, kann darauf verzichtet werden.

Datenschutzbehörde kontert: Per Post oder Telefon informieren zumutbar

Das sah die polnische Datenschutzbehörde anders: Allein die Informationen ins Netz zu stellen, genüge den DSGVO Anforderungen nicht. Vielmehr hätte Bisnode sämtliche Betroffene per Post oder telefonisch informieren müssen. Und entkräftete das Aufwandsargument so: Hier würde nichts Unmögliches im Sinne von Art. 14 Abs. 5 Buchst. b DSGVO verlangt. Eine Benachrichtigung per Einschreiben sei nicht gefordert, weil ein normaler Brief reiche. Außerdem verwies UODO darauf, dass das Unternehmen an diesen Datensätzen bislang gut verdient hätte. Richtig - allein 2017 konnte sich die Firmengruppe über einen Umsatz von 3,6 Milliarden schwedischen Kronen freuen. Mehr noch: Bisnode Polska hätte mit Vorsatz gehandelt, weil es um die Pflicht zur Informationserteilung gewusst hätte. Auch die Kooperationsbereitschaft ließ zu wünschen übrig: Der Adresshändler habe weder Maßnahmen ergriffen, um die Verletzungshandlung zu stoppen, noch seine Bereitschaft dazu bekundet. Wie sollten sich Unternehmen, die im Kontext von Selbstauskunft und Adresshandel agieren, verhalten? Wie der aktuelle Fall zeigt, spielt die Kooperationsbereitschaft mit den Datenschutzbehörden eine wichtige Rolle: Wer sich taub stellt, muss unter Umständen ein erhöhtes Bußgeld verschmerzen. Besser, Unternehmen reagieren auf Mahnungen der Datenschutzbehörde mit Kommunikationswillen und der Bereitschaft, zeitnah Transparenz zu schaffen.

Auf Informationserteilung verzichten? Nur, wenn es keine Kontaktdaten gibt

Gibt es Situationen, in denen Adresshändler auf Informationserteilung verzichten können? Nach Ansicht der polnischen Datenschutzbehörde nur dann, wenn es keine Kontaktdaten - also keine Kontaktmöglichkeit zum Betroffenen - gibt. Sprich, keine Adresse, keine Festnetz- bzw. Handynummer oder E-Mail-Adresse. Da aber solche Daten Teil typischer Datensätze sind, dürfte das Fehlen von Kontaktinformationen die Ausnahme bleiben! Dabei ist das Kaufen und Verkaufen von Adressen natürlich grundsätzlich erlaubt - und der Adresshandel (Listbroking) ein bewährtes Instrument des Direktmarketings, das nicht gegen den Datenschutz verstößt. Wer Adressen kauft, will seinen Kundenstamm ausbauen. Sind Daten ohnehin öffentlich zugänglich, entfällt die Einwilligung Betroffener. Mit Einschränkungen - etwa nach §7 UWG - denn nicht jeder legale Adresskauf berechtigt automatisch zur Kontaktaufnahme. Und Privatpersonen gehen ohnehin leer aus, denn hier entfällt der für den Adressenkauf zwingende Geschäftszweck.

Polnische Entscheidung unter Juristen umstritten

Listbroker verfügen über umfangreiche Datensätze, um Firmen eine vereinbarte Zahl passgenauer Privat- und Unternehmensadressen zukommen zu lassen. Ebenso wie in Polen sind die größten deutschen Adresshändler Töchter großer Gesellschaften, auf einem boomenden Markt - wie ABIS, Tochter der Deutschen Post Adress GmbH & Co., EOS als Otto-Tochter oder AZ Direct, eine Tochter der Arvato/Bertelsmann AG. Ist das UODO Bußgeld eventuell übertrieben? Etwas, das derzeit unter Juristen kontrovers diskutiert wird. Manche meinen: Ein unverhältnismäßiger Aufwand durch die Benachrichtigung ist durchaus gegeben, wenn so viele Personen betroffen sind. Vor allem dort, wo es um Unternehmer geht, deren Daten sowieso jeder sehen kann, sei die Schutzbedürftigkeit als gering einzustufen. Ist die aktuelle Entscheidung eine Entscheidung mit Vorreiterfunktion? Oder muss man in Polen zurückrudern? Bisnode Polska will gegen den Bescheid gerichtlich vorgehen. Muss sich irgendwann der EuGH damit beschäftigen, wird dessen Entscheidung von europaübergreifender Tragweite sein.