Hier ein fiktives Beispiel: Die Firma F hat möglicherweise den Datenschutz an die Firma D ausgelagert.
Ungeöffnete Werbebriefe an den XYZ haben nur den Absender von der F und auf der Webseite keinerlei Hinweise auf die D oder den Datenschutz überhaupt.
Kann XYZ trotzdem die Firma F zur Auskunft Art. 15 DSVGO in Anspruch zu nehmen???
Zumindest sollte XYZ erwarten können, das F Anfragen zur Auskunft Art. 15 DSVGO an die D weiterleitet und/oder den XYZ informiert.
Was heißt denn, „den Datenschutz ausgelagert“? Haben die einen externen Datenschutzbeauftragten?
Im Allgemeinen kannst du jede Firma um eine Auskunft bitten. Das heißt, du kannst sowohl F wie auch D anfragen. Wenn D Auftragnehmerin von F wäre, dann wird die das Anlliegen vermutlich an die F weitergeben und du bekommst von dort Auskunft.
Hier müsstest Du noch mal etwas genauer beschreiben, was mit „Datenschutz ausgelagert“ gemeint ist und wie die Beziehung zwischen F und D gelagert ist.
In der geschilderten Konstellation weiß XYZ doch gar nicht, dass es D überhaupt gibt und kann sich somit zwangsläufig nur an den Absender F wenden.
F hat einen eigenen DSB. F hat die Adress-Daten des XYZ angeblich von der D erhalten (gekauft oder ?) und meint, die D wäre für die DSVGO-Auskunft zuständig und beantwortet keine diesbezüglichen Anfragen. XYZ vermutet das aus gleichen Massenbriefen an andere Empfänger, da seine Briefe ungeöffnet sind und regelmäßig in das Altpapier wandern.
XYZ hat nie eine Zustimmung an F erteilt hat, seine Daten für werbliche Zwecke zu nutzen.
Das ist ja nun nach bisheriger (fiktiver) Informationslage kein „ausgelagerter Datenschutz“. Die F hat ja offenbar die Daten von XYZ und verwendet diese auch. Insofern ist zunächst F gegenüber XYZ auskunftspflichtig und unterliegt auch den sonstigen Bestimmungen der DSGVO. Anders kann es sich verhalten, wenn F die Werbung ggfs. in Form von „Lettershop“ beauftragt hat (sowas macht beispielsweise die Postcode-Lotterie). Weitere Informationen dazu könnten in den ungeöffneten Briefen enthalten sein.
Die Quelle der Daten wurden von F gegenüber XYZ nun ja bereits als D offengelegt, wo nun XYZ im nächsten Schritt weitere Auskunft einfordern sollte.
Eine Zustimmung für Postwerbung ist nicht zwingend erforderlich, hier gilt die Widerspruchsregelung.
Also nicht unbdingt „den Datenschutz“(beauftragten) ausgelagert, sondern eher die „Verarbeitung“.
Bei „Brief“ ist nicht zwingend eine Einwilligung nötig wie bei z. B. E-Mail (§ 7 UWG). Stattdessen kann es „berechtigte Interessen“ mit unbedingt umzusetzender Widerspruchsmöglichkeit geben.
Wahrscheinlich hat D (nicht ich!) Daten für irgendwelche Zwecke auf Basis irgendeiner Rechtsgrundlage an F übermittelt, damit F sie für eigene Zwecke verarbeitet.
Wenn F nicht „Auftragsverarbeiter“ von D ist, sondern eigenständig „Verantwortlicher“, muss F kurz nach dem Erhalt der Daten über seine Zwecke, Rechtsgrundlage, Datenherkunft (und anderes) informieren. Und auf Antrag Auskunft zu seiner (F) Verarbeitung erteilen.
Auch D müsste bei der Datenerhebung über seine Zwecke, Rechtsgrundlagen etc. informiert haben. Und auf Antrag Auskunft über die aktuelle Verarbeitung der Daten (Datenempfänger usw.) erteilen.
Es gibt obstruse Konstellationen wie Lettershopping, wo einzelne Beteiligte außen vor gehalten werden sollen. Aber irgendwie muss klar werden, wer (alles) verantwortlich ist.
Wenn beide nicht zufriedenstellend reagieren, mal bei der jeweils zuständigen Aufsichtsbehörde (Hauptsitz von D bzw. F in der EU) beschweren. Stiehtl sich einer von beiden davon, bleibt es am anderen hängen. Wer Werbung macht muss damit rechnen, sich rechtfertigen zu müssen.
D., der nicht einsieht, dass sich das Ganze so im Kreis drehen muss.
Danke für die sehr hilfreichen Antworten, die erst verdaut werden müssen.
D (Daten) ist „Auftragsverarbeiter“ von F (Briefwerbung).
Art. 15 DSVGO: „… von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende …“
Als Fazit wären die „Verantwortlichen“ die GF’s von D UND F.
Wenn D Auftragsverarbeiter von F ist, muss er Betroffenenanträge an F als Verantwortlichen weiterleiten. Der muss sie dann beantworten.
D., der Auskunft + Werbewiderspruch dort abladen würde. (Aufgrund der bisherigen Erfahrungen ruhig bei D UND bei F.) Und im nächsten Schritt das Beschwerdeformular der Aufsichtsbehörde von F ausfüllen. https://www.bfdi.bund.de/DE/Service/Anschriften/Laender/Laender-node.html
Irgendwie pass das
aber nicht so ganz mit dem
zusammen.
Der Datenfluss ist da gegenläufig. Welche konkreten (fiktiven) Informationen wurden da herangezogen, um sowohl das Eine oder das Andere zu bestätigen?
Ist es gesichert, dass es sich nicht um eine Lettershop-Konstellation handelt?
Das klingt nach einem klassichen Fall für eine Art.-15-Anfrage. Nach dem, was du schreibst, ist F Verantwortlicher. Art. 15 DSGVO schreibt in Abs. 1 lit. g:
- wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
Das heißt, die müssen dir sagen, woher die Daten kommen.
Falls die sich weigern, wäre die Aufsichtsbehörde die nächste Anlaufstelle. Die können dann den Sachverhalt gern mit F „ausdiskutieren“.
Bezüglich dessen ist das je nach Art der Werbung egal. Die F kann sich auf eine Interessenabwägung stützen und würde in dem Fall keine Einwilligung benötigen. Spannend wird es eher, ob diese Werbung mit dem UWG vereinbar ist.
F braucht im Anwendungsbereich der DSGVO immer eine Rechtsgrundlage und muss die auch in einer Auskunft nach Art 15 oder Informationen nach Art 13/14 DSGVO benennen können. Dass ein Werbetreibender das heute noch außerhalb der DSGVO tut ist eher unglaubwürdig.
Das kann eine Rechtsgrundlage sein, aber nur für eigene ähnliche Produkte (§7 Abs. 3 Nr. 2 UWG), und nur wenn die anderen Voraussetzungen auch erfüllt werden. Dürfte z.B. bei gekauften Emailadressen regelmäßig ausscheiden.
Ich bin mir nicht sicher, ob ich deine Antwort richtig deute. Falls ich das missverstanden habe, beschreibe deine Antwort bitte nochmal genauer.
Sowohl die Interessenabwägung ist nach Art. 6 Abs. 1 lit. f DSGVO eine Rechtsgrundlage wie auch die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Es ist mindestens eine Rechtsgrundlage notwendig. Wenn also der Verantwortliche sich auf die Interessenabwägung stützen kann, benötigt er nicht unbedingt noch die Einwilligung.
Das UWG sehe ich nicht als (einzige) Rechtsgrundlage für eine Verarbeitung von personenbezogenen Daten im Sinne der DSGVO.
Art. 6 Abs. 1 lit f erwartet sowohl ein (1. Schritt) nachgewiesenes berechtigtes Interesse als auch (2. Schritt) die Interessensabwägung. Eine Interessensabwägung gibt es auch an anderen Stellen, das Wort allein würde ich nicht als äquivalent zu berechtigtem Interesse sehen.
natürlich nicht als einzige. Aber eine die gerne behauptet wird, wenn sie gar nicht gegeben ist.
In meiner Wahrnehmung berufen sich Verantwortliche viel zu oft auf berechtigtes Interesse, wo das nicht gegeben ist. Dass ich reich werden will rechtfertigt noch lange nicht, Dir in Deine Tasche zu greifen.
Das UWG sollte zurückgestellt werden hinter die Auskunft zu Art. 15 DSVGO. Letzters scheint mir klarer.
Da die Fa. F alle Mahnungen verfristet hat, sich tot stellt, ist es wahrscheinlich der einfachste Weg, die zuständige Landesbehörde für Datenschutz und Informationsfreiheit zu informieren, eine Beschwerde zu erheben und um Hilfe bei der Durchsetzung der DSVGO zu bitten.
Art. 6 Abs. 1 scheidet m. E. aus, da nur Altpapier, Entsorgungs- und Versandkosten produziert werden.
Ich bitte um Verständnis, dass ich mich hier erst wieder melde, wenn die Behörde geantwortet hat.
Danke vorab!
in welchem Bundesland lebst Du?
UWG (das Einwilligung verlangen würde) greift bei Brief nicht, weil § 7 nur die Werbeansprache per Telefon, Fax, Mail u. ä. reglementiert.
Für Brief und reitende Boten (nicht UWG-relevant) ginge „berechtigtes Interesse“; zumal Erwägungsgrund 47 Direktwerbung als mögliches(!) Interesse vorsieht.
Allerdings kann man diesen Erlaubnistatbestand knicken, wenn man nicht gewillt ist oder es nicht auf die Reihe bekommt, auf Betroffenenanträge zu reagieren (Auskunft). Weil das dann Grundrechte und Grundfreiheiten wären, bei denen Störungen im Kontrast zum Interesse des Verantwortlichen überwiegen und eine Verarbeitung auf dieser Basis ausschließen. D. h. die Werbenden hätten für die Verarbeitung der Daten zu diesem Zweck keine Erlaubnis gehabt.
D., der immer darauf achtet, dass alle Anforderungen einhaltbar sind. Selektiv wird’s meistens nix, weil sich fehlende Compliancehäkchen auch auf andere Punkte negativ auswirken.