Datenschutz zur Weihnachtszeit
Was soll’s geben: Geschenk oder Rute?

Brüssel / Berlin — Den Bra­ven bringt der Weih­nachts­mann an Hei­lig­abend Ge­schen­ke, den Un­ar­ti­gen hin­ge­gen ei­ne Ru­te. Heuer steht Weih­nach­ten un­ter ei­nem be­son­ders hel­len Stern, denn die Eu­ro­päi­sche Da­ten­schutz­grund­ver­ord­nung – kurz: EU-DSGVO – ist seit dem 25. Mai 2018 un­mit­tel­bar an­zu­wen­den­des Recht. Sie ent­hält Vor­schrif­ten zum Schutz na­tür­li­cher Per­so­nen bei der Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Da­ten und zum freien Ver­kehr von Da­ten so­wie zum Schutz der Grund­rech­te und Grund­frei­hei­ten na­tür­li­cher Per­so­nen und de­ren Recht auf Schutz per­so­nen­be­zo­ge­ner Da­ten. Wer da­rüber hin­weg sieht, kann sich dies­mal auf eine Ru­te ge­fasst ma­chen: Schon der Ver­sand von Weih­nachts­kar­ten ist kniff­lig.

Ker­zen­schein und Ap­fel­duft, Weih­nach­ten liegt in der Luft. Zu Leb­ku­chen, Plätz­chen, Brat­ap­fel, Glüh­wein, Tee und Weih­nachts­mu­sik ge­hört ei­nes wohl am we­nig­s­ten: ⭲ Ab­mahn­schrei­ben. Da­bei braucht’s nur we­nig, da­mit das Fest har­mo­nisch wird.

Der Ver­sand von Gruß- und Weih­nachts­kar­ten per Brief­post be­deu­tet die Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Da­ten und ist nach der EU-DSGVO zu­läs­sig, wenn die be­trof­fe­ne Per­son ih­re Ein­wil­li­gung für die­sen Zweck ge­ge­ben hat (Art. 6 Abs. 1 lit. a DSGVO). Ist die Ein­wil­li­gung nicht ein­ge­holt wor­den, kann die Ver­ar­bei­tung auch recht­mä­ßig sein, wenn sie zur Wah­rung der über­wie­gen­den be­rech­tig­ten In­ter­es­sen des Ver­ant­wort­li­chen er­for­der­lich ist (Art. 6 Abs. 1 lit. f DSGVO). Ein be­rech­tig­tes In­ter­es­se kann vor­lie­gen, „wenn ei­ne maß­geb­li­che und an­ge­mes­se­ne Be­zie­hung zwi­schen der be­trof­fe­nen Per­son und dem Ver­ant­wort­li­chen be­steht, zum Bei­spiel wenn die be­trof­fe­ne Per­son ein Kun­de des Ver­ant­wort­li­chen ist oder in sei­nen Diens­ten steht“ (Er­wä­gungs­grund 47).

Die Da­ten­schutz-Grund­ver­ord­nung ist ein Mei­len­stein des Da­ten­schut­zes in Europa,
denn sie ver­knüpft be­währ­te Prin­zi­pien des grund­rechts­orien­tier­ten Da­ten­schutz­rechts
mit ei­ner stär­ke­ren Har­mo­ni­sie­rung und ei­ner maß­vol­len Mo­der­ni­sie­rung.
Andrea Voßhoff, Bun­des­be­auf­trag­te für den Da­ten­schutz und die In­for­ma­tions­frei­heit (BfDI)

Be­son­ders sorg­fäl­tig ist zu prü­fen und ab­zu­wä­gen, „ob ei­ne be­trof­fe­ne Per­son zum Zeit­punkt der Er­he­bung der per­so­nen­be­zo­ge­nen Da­ten und an­ge­sichts der Um­stän­de, un­ter de­nen sie er­folgt, ver­nünf­ti­ger­wei­se ab­se­hen kann, dass mög­li­cher­wei­se ei­ne Ver­ar­bei­tung für die­sen Zweck er­fol­gen wird“. Da­nach darf und muss ein Kun­de da­mit rech­nen, ei­ne Weih­nachts­kar­te zu er­hal­ten. Dies gilt auch für Per­so­nen, die ih­re Ad­res­se ei­nem Un­ter­neh­men mit­ge­teilt ha­ben, et­wa mit­tels Vi­si­ten­kar­te auf ei­ner Ver­an­stal­tung. Soll die Ver­ar­bei­tung si­cher­heits­hal­ber mit Ein­wil­li­gung der be­trof­fe­nen Per­son, al­so des Emp­fän­gers der Weih­nachts­kar­te, er­fol­gen, soll­te der Ver­ant­wort­li­che ent­spre­chen­de Nach­wei­se da­für er­brin­gen kön­nen (Er­wä­gungs­grün­de 42). Bei Ab­ga­be ei­ner schrift­li­chen Er­klä­rung soll­ten Ga­ran­tien si­cher­stel­len, dass sich die be­trof­fe­ne Per­son der mög­li­chen Kon­se­quen­zen ih­res Tuns be­wusst ist. Ih­re Ein­wil­li­gung kann über­dies je­der­zeit wi­der­ru­fen wer­den (Art. 21 DSGVO). In­wie­weit die­ses Pro­ce­de­re die Vor­freu­de auf die Weih­nachts­zeit stei­gert, bleibt da­hin­ge­stellt.

Zimt, Äpfel und Orangen: Datenschutz as a Service

Wer­den Weih­nachts­kar­ten von Drit­ten un­ter Ver­wen­dung per­so­nen­be­zo­ge­ner Da­ten ge­druckt, muss si­cher­ge­stellt sein, dass der Da­ten­schutz ein­ge­hal­ten wird. Der Ver­sand von Weih­nachts­grü­ßen per E-Mail, In­stant Mes­sa­ging oder über So­cial Me­dia ist grund­sätz­lich nur mit Ein­wil­li­gung des Be­trof­fe­nen zu­läs­sig. Ein Mas­sen­mai­ling, des­sen Adres­sa­ten in C‍C für je­den sicht­bar sind, stellt eine Ver­let­zung des Schut­zes per­so­nen­be­zo­ge­ner Da­ten dar und ist nach Mög­lich­keit in­ner­halb von 72 Stun­den nach Be­kannt­wer­den des Vor­falls an die zu­stän­di­ge Auf­sichts­be­hör­de zu mel­den. Aus­nah­me: Die Ver­let­zung führt voraus­sicht­lich nicht zu ei­nem Ri­si­ko für die per­sön­li­chen Rech­te und Frei­hei­ten des Be­trof­fe­nen (Art. 33 Abs. 1 DSGVO).

Ho, ho, ho – Auf­at­men kön­nen hin­ge­gen ⭲ Pri­vat­per­so­nen: Kei­ne An­wen­dung fin­det die EU-DSGVO beim Ver­sand von Weih­nachts­kar­ten „durch na­tür­li­che Per­so­nen zur Aus­übung aus­schließ­lich per­sön­li­cher oder fa­mi­liä­rer Tä­tig­kei­ten“ (Art. 2 Abs. 2 lit. c DSGVO). Auf ei­ne be­sinn­li­che Weih­nachts­zeit. ✻

Erstveröffentlichung

Print: Inn-Salz­ach blick, 10. Jg., Nr. 51/2018, Sams­tag, 22. De­zem­ber 2018, S. 3, Ko­lum­ne „Lo­ka­les“ [152/3/1/1].
Online: ⭱ blick-punkt.com, Mon­tag, 17. De­zem­ber 2018; ⭱ E-Paper Inn-Salz­ach blick, Sams­tag, 22. De­zem­ber 2018. Stand: Neu­jahr, 1. Ja­nu­ar 2021.