Zum 1. Oktober 2021 ist der neue § 7a UWG in Kraft getreten, welcher Unternehmen unter empfindlichen Bußgeldandrohungen zur Dokumentation und Aufbewahrung der Einwilligungen von Verbrauchern in Telefon-Werbung verpflichtet. Wie diese Pflichten nach Auffassung der Bundesnetzagentur auszulegen sind und was dies für Ihr Löschkonzept bedeutet, erfahren Sie hier.
Worum geht es?
Wer geschäftsmäßig personenbezogenen Daten verarbeitet, ist nach der Datenschutzgrundverordnung (DSGVO) dazu verpflichtet, diese Daten nur insoweit und solange zu speichern, wie es der Zweck der Verarbeitung verlangt und sie andernfalls zu löschen. Die entsprechenden Aufbewahrungs- und Löschfristen sind in einem Löschkonzept zu dokumentieren. Die Dauer der Fristen ergeben sich für gewöhnlich aus dem Gesetz, so etwa aus handels- und steuerrechtlichen Aufbewahrungspflichten oder aus der regelmäßigen Verjährungsfrist der §§ 195, 199 BGB, für deren Dauer der Verantwortliche ein berechtigtes Interesse an der Speicherung bestimmter Kundendaten haben kann.
Was hat § 7a UWG damit zu tun?
Telefonische Werbung gegenüber Verbrauchern ist sowohl datenschutzrechtlich als auch wettbewerbsrechtlich (§ 7 UWG) nur mit vorheriger Einwilligung des Betroffenen zulässig. Mit dem Gesetz über faire Verbraucherverträge hat der Gesetzgeber den zum 1. Oktober 2021 in Kraft getretenen § 7a UWG geschaffen. Hiernach sind Unternehmen verpflichtet, die Einholung, aber auch jede Verwendung der Einwilligung eines Verbrauchers in Telefonwerbung zu dokumentieren und diese Dokumentation für fünf Jahre ab der letzten Verwendung aufzubewahren. Verstöße gegen diese Dokumentations- und Aufbewahrungspflichten können von der Bundesnetzagentur – je Einzelfall – mit einem Bußgeld von bis zu EUR 50.000,00 sanktioniert werden, § 20 Abs. 1 Ziffer 2 i.V.m. Abs. 2 UWG. Ein Unternehmen, das Telefonmarketing betreibt (oder auch nur diesen Anschein erweckt), ist daher gut beraten, das ihm durch die DSGVO vorgeschriebene Löschkonzept entsprechend zu überarbeiten. Denn typischerweise sehen solche Löschkonzepte bislang vor, dass nur die zur Dokumentation einer telefonischen Einwilligung unerlässlichen Daten aufbewahrt und diese nach Ablauf der gesetzlichen Verjährungsfrist (d.h. regelmäßig drei Jahre zum Jahresende nach dem letztmaligen Anruf beim Betroffenen) gelöscht werden.
Wo liegt das Problem?
Nun könnte man meinen, es sei damit getan, die Aufbewahrungsfrist schlicht auf fünf Jahre zu verlängern. Doch weit gefehlt: Legt man die Rechtsauffassung zugrunde, die die Bundesnetzagentur („BNA“) als zuständige Behörde in ihrem aktuellen Konsultationspapier vertritt, werden sich Unternehmen tatsächlich auf einige Herausforderungen einstellen müssen.
Hiernach muss die Dokumentation „vollständige, aussagekräftige, transparente und für außenstehende Dritte nachvollziehbare, wahrheitsgemäße, manipulationssichere sowie aktuelle Informationen“ enthalten in Bezug auf (i) die erstmalige Erteilung der Einwilligung, (ii) jede weitere Verwendung der Einwilligung und (iii) sogar den Widerruf der Einwilligung (wofür es aber keinen nachvollziehbaren Grund gibt, wenn der Widerruf vom Verantwortlichen beachtet wird). Vollständig sei die Dokumentation dabei nur, wenn sie (i) alle am Vorgang irgendwie Beteiligten (insbesondere auch alle Dienstleister und namentlich genannte Mitarbeiter); (ii) den Inhalt und die Reichweite der Einwilligung, des Widerrufs und der Verwendung (also wofür im Einzelnen geworben wurde); (iii) die Art und Weise der Erteilung/Ausübung/des Widerrufs und (iv) den jeweiligen Zeitpunkt des Vorgangs dokumentiere. Dies alles gelte auch für vor dem 1. Oktober 2021 eingeholte Einwilligungen (sog. Alteinwilligungen), sofern von Ihnen noch Gebrauch gemacht werde.
Die BNA begründet diese umfangreichen Anforderungen unter schlichten Hinweis darauf, dass der Verantwortliche ohnehin bereits nach Art. 7 Abs. 1 DSGVO zur Dokumentation des Nachweises der Einwilligung verpflichtet ist. Das ist nicht ganz falsch, aber auch eine solche Dokumentation muss sich an den Grundsätzen der Datensparsamkeit und der Speicherbegrenzung messen lassen.
Für die Praxis würde der Anforderungskatalog der BNA häufig bedeuten, dass zu dem „§7a-Dokumentationsdatensatz“ erheblich mehr Daten zu speichern sind als zum eigentlichen Kundendatensatz selbst. Denn ein datenschutzkonform agierendes Unternehmen wird z.B. Informationen zum Kunden und Informationen zu den externen Beteiligten (also Vertriebspartnern) typischerweise in getrennten Systemen verarbeiten, um zu gewährleisten, dass auf solche Daten nur einzelne Mitarbeiter mit einem need-to-know zugreifen können.
Es ist aber auch keine Lösung, das Endkundenverwaltungssystem (CRM) des Unternehmens beliebig durch (irgendwie) Telefonmarketing-relevante Daten anzureichern: Erstens, weil das CRM Daten (etwa zu Bestellungen) enthalten wird, die das BNA auch im „Fall der Fälle“ nichts angehen und zweitens, weil nach Auffassung des BNA für die Aufbewahrung des Datensatzes die erhöhten Anforderungen des Art. 72 der DVO 2017/565/EU für Wertpapierfirmen (sic!) entsprechend gelten sollen (Konsultationspapier Rn.74) – es bedarf damit eines (gesonderten) revisionssicheren Systems, zu dem der BNA jederzeit ohne Zwischenschritte wie Schwärzungen oder Pseudonymisierungen Zugang gewährt werden kann.
Andererseits muss dieses System wiederum durchlässig in dem Sinne sein, dass es auf stets aktuelle Informationen darüber reagiert, wann der Kunde zuletzt angerufen wurde. Denn die Frist des §7a Abs. 2 UWG läuft gerade nicht einheitlich (also z.B. jeweils zu einem Jahresende), sondern in Abhängigkeit davon ab, wann der letzte Anruf getätigt wurde. Wie all diese Anforderungen gleichzeitig erfüllt werden sollen, ohne eine umfangreiche doppelte Datenhaltung zu betreiben, erklärt das BNA nicht.
Und was sagen die Datenschutzbehörden dazu?
Ob diese extensive Auslegung des §7a UWG – und damit spiegelbildlich die erhebliche Einschränkung des Rechts des Betroffenen auf Löschung seiner Daten (Art. 17 Abs. 3 lit. b DSGVO) – wirklich im Sinne der betroffenen Verbraucher ist, wie die BNA meint (Konsultationspapier, Rn. 80), darf bezweifelt werden. Die fünfjährige Aufbewahrungsfrist erklärt sich weniger aus den tatsächlichen Erfordernissen der Sachverhaltsaufklärung im Falle von (ja regelmäßig zeitnahen) Verbraucherbeschwerden über einen Anruf, als vielmehr aus dem chronischen Personalmangel der BNA, der es ihr unmöglich macht, solchen Einzelbeschwerden zeitnah nachzugehen.
Bemerkenswert ist aber auch, dass das BNA trotz seiner extensiven Auslegung kein Wort über die besonders praxisrelevanten Grenzfälle verliert, in denen ein Anruf aus Sicht des Betroffenen Werbung darstellen mag, das Unternehmen mit dem Anruf aber z.B. seinen vorvertraglichen oder vertraglichen Informationspflichten nachzukommen beabsichtigt. Für solche Fälle wird man künftig ein berechtigtes Interesse des Unternehmens annehmen müssen, die gegebenenfalls zur Rechtsverteidigung gegenüber der BNA notwendigen Informationen ebenfalls für fünf Jahre nach dem letzten Anruf aufzubewahren.
Es wird interessant zu sehen sein, ob und wie sich die Datenschutzbehörden zum Konsultationspapier der BNA positionieren werden.
In jedem Fall ist Unternehmen zu raten, den zur Erfüllung der Dokumentations- und Aufbewahrungspflichten des § 7a UWG erforderlichen technischen Aufwand nicht zu unterschätzen. Auch sollten bestehende Verträge mit Marketing- und Callcenter-Dienstleistern sowie Adresshändlern daraufhin überprüft werden, dass diese dem Auftraggeber alle zur Dokumentation und Aufbewahrung erforderlichen Informationen zur Verfügung zu stellen verpflichtet sind.