Werbung per Post: Was ist laut DSGVO erlaubt?

Für postalische Werbung gelten zwei Regelwerke nebeneinander. Das Gesetz gegen den unlauteren Wettbewerb (UWG) regelt, ob Werbung den Empfänger unzumutbar belästigt. Die DSGVO regelt, ob Sie Name und Anschrift dafür verarbeiten dürfen. Ein Werbebrief muss beide Prüfungen bestehen. Wie er in die gesamte Kampagne passt, zeigt der Überblick Print-Mailing.

Datenschutz bei postalischer Werbung

Name und Anschrift sind personenbezogene Daten. Für die DSGVO zählt jeder Schritt, den Sie mit ihnen unternehmen: erheben, speichern, für eine Kampagne auswählen, mit der Sperrliste abgleichen, an einen Druck- oder Versanddienstleister übermitteln und aufbewahren.

Verantwortlich sind Sie als werbendes Unternehmen. Ein Dienstleister, der in Ihrem Auftrag druckt und versendet, ist in der Regel Auftragsverarbeiter. Dafür schließen Sie einen Vertrag nach Art. 28 DSGVO.

Im B2B gilt das ebenso, sobald der Brief an eine bestimmte Person geht. Der Name eines Ansprechpartners ist ein personenbezogenes Datum. Ein Brief nur an eine Firma ohne Ansprechpartner betrifft meist keine personenbezogenen Daten, bei Einzelunternehmen kann das anders sein.

Mögliche Rechtsgrundlagen

Einwilligung

Nach Art. 6 Abs. 1 lit. a DSGVO ist die Verarbeitung rechtmäßig, wenn die Person in die Nutzung ihrer Daten für einen bestimmten Zweck eingewilligt hat. Für Werbebriefe ist eine Einwilligung in der Regel nicht zwingend. Sie bietet sich an, wenn Sie Daten umfangreicher auswerten möchten oder die Interessenabwägung knapp ausfallen würde. Sie müssen die Einwilligung nachweisen können, und die Person kann sie jederzeit widerrufen.

Berechtigtes Interesse

Art. 6 Abs. 1 lit. f DSGVO erlaubt eine Verarbeitung, die zur Wahrung Ihrer berechtigten Interessen erforderlich ist, sofern die Interessen oder Grundrechte der betroffenen Person nicht überwiegen. Erwägungsgrund 47 der DSGVO hält fest, dass Direktwerbung als Verarbeitung im berechtigten Interesse betrachtet werden kann. Das Wort „kann“ ist wichtig: Ein Freibrief ist das nicht, die Abwägung im Einzelfall bleibt nötig.

Quelle: Verordnung (EU) 2016/679 (DSGVO), Art. 6 und Erwägungsgrund 47.

Interessenabwägung

In der Abwägung stellen Sie Ihr Interesse an der Werbung den Interessen der Empfänger gegenüber. Diese Gesichtspunkte spielen dabei typischerweise eine Rolle:

• Kundenbeziehung: Erwägungsgrund 47 nennt als Beispiel für ein berechtigtes Interesse, dass die Person Kunde des Verantwortlichen ist. Eine bestehende Beziehung spricht eher für Sie.
• Vernünftige Erwartungen: Konnte die Person bei der Erhebung ihrer Daten absehen, dass Sie ihr Werbung schicken? Ein klarer Hinweis beim Kauf oder bei der Anfrage hilft.
• Art der Daten: Name und Anschrift sind weniger heikel als Angaben etwa zur Gesundheit. Solche sensiblen Daten gehören nicht in eine Werbeauswahl.
• Herkunft: Selbst erhobene Daten aus einer Kundenbeziehung sind anders zu bewerten als zugekaufte Adressen.
• Zeitabstand: Je länger der letzte Kontakt zurückliegt, desto weniger rechnet jemand noch mit Post von Ihnen.
• Umfang der Auswertung: Eine Auswahl nach Postleitzahl oder letztem Kauf ist etwas anderes als ein detailliertes Profil aus vielen Quellen. Je tiefer die Auswertung, desto eher können die Interessen der Empfänger überwiegen.

Halten Sie das Ergebnis schriftlich fest. Im Zweifel müssen Sie zeigen können, warum Sie sich auf das berechtigte Interesse stützen.

Informationspflichten

Daten selbst erhoben

Erheben Sie die Daten bei der Person selbst, etwa bei einer Bestellung, gilt Art. 13 DSGVO. Bereits bei der Erhebung informieren Sie unter anderem darüber, wer verantwortlich ist, zu welchen Zwecken und auf welcher Rechtsgrundlage Sie die Daten verarbeiten, welche berechtigten Interessen Sie verfolgen, wie lange Sie die Daten speichern und welche Rechte die Person hat. Nennen Sie Werbung dabei ausdrücklich als Zweck.

Adressen aus anderen Quellen

Stammen die Daten nicht von der Person selbst, gilt Art. 14 DSGVO. Dazu kommen die Kategorien der Daten und die Quelle, aus der sie stammen, einschließlich der Angabe, ob sie öffentlich zugänglich war. Werden die Daten zur Kommunikation mit der Person genutzt, muss die Information spätestens bei der ersten Mitteilung an sie erfolgen. Bei einer Werbeaktion ist das in der Regel der Brief selbst.

Hinweis auf das Widerspruchsrecht

Nach Art. 21 Abs. 4 DSGVO muss die Person spätestens bei der ersten Kommunikation ausdrücklich auf ihr Widerspruchsrecht hingewiesen werden, verständlich und getrennt von anderen Informationen. Für Werbebriefe heißt das: Der Hinweis gehört gut sichtbar und abgesetzt in den Brief, wenn die Person ihn nicht schon vorher erhalten hat.

Den Satz zur Herkunft brauchen Sie nur, wenn die Adresse nicht vom Empfänger selbst stammt. Ob ein Verweis auf die ausführliche Datenschutzerklärung für die übrigen Angaben genügt, hängt vom Einzelfall ab.

Quelle: Verordnung (EU) 2016/679 (DSGVO), Art. 13, 14 und 21.

Werbewiderspruch beachten

Art. 21 Abs. 2 DSGVO gibt jeder Person das Recht, der Verarbeitung ihrer Daten für Direktwerbung jederzeit zu widersprechen. Nach Art. 21 Abs. 3 dürfen Sie die Daten danach nicht mehr für diesen Zweck verarbeiten. Anders als beim allgemeinen Widerspruch nach Art. 21 Abs. 1 muss die Person keine Gründe nennen.

Auch das UWG zieht hier eine Grenze. Nach § 7 Abs. 1 UWG ist Werbung unzulässig, wenn erkennbar ist, dass der Empfänger sie nicht wünscht. Ein weiterer Werbebrief nach einem Widerspruch kann deshalb auch wettbewerbsrechtlich Folgen haben. Rechnen Sie damit, dass Widersprüche auf jedem Weg eingehen: per Brief, E-Mail, Telefon oder im Gespräch.

So gehen Sie mit einem Widerspruch um:

1. Erfassen: Datum und Eingangsweg notieren.
2. Sperren: Die Person in die Sperrliste aufnehmen. Name und Anschrift reichen meist.
3. Laufende Kampagnen prüfen: Steckt die Adresse in einer Auswahl, die noch nicht versendet ist, nehmen Sie sie heraus.
4. Bestätigen: Eine kurze Bestätigung schafft Klarheit, falls bereits gedruckte Post noch unterwegs ist.

Sperrliste statt Löschen

Wenn Sie nach einem Widerspruch alle Daten löschen, kann die Adresse über eine neue Quelle wieder in Ihren Verteiler gelangen. Deshalb führen viele Unternehmen eine Sperrliste mit den nötigsten Angaben, gegen die sie jede Auswahl abgleichen. Verlangt die Person zusätzlich die Löschung ihrer Daten, klären Sie im Einzelfall, welche Angaben Sie für die Sperre noch aufbewahren dürfen.

Quelle: § 7 UWG, Unzumutbare Belästigungen; DSGVO, Art. 21.

Umgang mit bestehenden Kunden

Bei Bestandskunden sind die Voraussetzungen meist am günstigsten: Es gibt eine Beziehung, und die Daten stammen von der Person selbst. Beachten Sie trotzdem:

• Nennen Sie Werbung per Post bereits beim Kauf und in der Datenschutzerklärung als Zweck, samt Hinweis auf das Widerspruchsrecht.
• Werben Sie mit Angeboten, die zu den bisherigen Käufen passen. Das entspricht eher dem, was Kunden erwarten.
• Prüfen Sie Daten von Kunden, mit denen Sie seit Langem keinen Kontakt hatten, besonders sorgfältig.
• Löschfristen gelten auch für Daten, die Sie für Werbung nutzen.

Wie Sie Bestandskunden sinnvoll in Gruppen einteilen, ohne mehr Daten als nötig auszuwerten, zeigt der Ratgeber Print-Mailing-Zielgruppen.

Umgang mit potenziellen Neukunden

Öffentlich verfügbare Geschäftsadressen

Im B2B nutzen viele Unternehmen Adressen aus öffentlichen Quellen, etwa aus dem Impressum einer Website. Gehen Sie damit vorsichtig um. Sobald Sie einen Ansprechpartner namentlich anschreiben, gelten die Regeln der DSGVO. Ob ein berechtigtes Interesse besteht, hängt stark davon ab, ob Ihr Angebot zur Tätigkeit des Empfängers passt. Im ersten Brief informieren Sie nach Art. 14 DSGVO, auch darüber, dass die Daten aus einer öffentlich zugänglichen Quelle stammen.

Gemietete oder gekaufte Adressen

• Herkunft klären: Wie hat der Anbieter die Daten erhoben, und darf er sie für Werbung anderer Unternehmen weitergeben?
• Vertrag prüfen: Nutzungsumfang, Zusicherungen zur Rechtsgrundlage und der Umgang mit Widersprüchen gehören hinein.
• Informieren: Im ersten Brief die Angaben nach Art. 14 DSGVO machen, einschließlich der Quelle.
• Abgleichen: Vor dem Versand jede Lieferung mit Ihrer Sperrliste abgleichen.
• Zuständigkeit klären: Versendet der Anbieter selbst, ohne dass Sie die Adressen sehen, regeln Sie, wer die Informationspflichten erfüllt.

Unadressierte Werbung und Briefkastenaufkleber

Unadressierte Werbung wie Handzettel oder Prospekte ohne Anschrift kommt ohne Adressdaten aus. Hier steht das Wettbewerbsrecht im Vordergrund. Ein Aufkleber wie „Keine Werbung“ zeigt, dass der Bewohner keine Werbung möchte. Wer trotzdem einwirft, riskiert in der Regel einen Verstoß gegen § 7 Abs. 1 UWG.

Bei persönlich adressierten Werbebriefen ist die Lage weniger eindeutig. Ob ein allgemeiner Aufkleber auch sie erfasst, wird unterschiedlich beurteilt und hängt vom Einzelfall ab, etwa vom genauen Wortlaut. Als Absender sehen Sie den Briefkasten ohnehin nicht. Eindeutig ist ein Widerspruch, der Sie direkt erreicht: Ihn müssen Sie immer beachten.

Praktische Datenschutzmaßnahmen

• Verzeichnis von Verarbeitungstätigkeiten: Werbung per Post als eigene Tätigkeit mit Zweck, Datenkategorien, Empfängern und Löschfristen aufnehmen (Art. 30 DSGVO).
• Sperrliste: zentral führen und vor jedem Versand abgleichen, auch bei gemieteten Adressen.
• Löschfristen: festlegen, wie lange Sie Daten von Interessenten und ehemaligen Kunden für Werbung nutzen, und regelmäßig aufräumen.
• Vertrag mit Dienstleistern: Druckereien, Lettershops und Online-Versanddienste verarbeiten Adressen in Ihrem Auftrag. Schließen Sie mit jedem einen Auftragsverarbeitungsvertrag. briefsenden.com stellt ihn auf der Seite Auftragsverarbeitungsvertrag bereit.
• Datensparsamkeit: Nur die Daten weitergeben, die für den Versand nötig sind. Umsatz oder Kaufhistorie bleiben bei Ihnen.
• Sparsames Tracking: Ein Code oder QR-Code für die ganze Kampagne sagt nichts über einzelne Empfänger. Individuelle Codes je Empfänger sind dagegen personenbezogen und gehören in die Abwägung. Führt der Code auf eine Website, brauchen Sie dort für nicht unbedingt erforderliche Cookies und ähnliche Zugriffe auf das Endgerät in der Regel eine Einwilligung (§ 25 TDDDG).

Quelle: § 25 TDDDG, Schutz der Privatsphäre bei Endeinrichtungen; DSGVO, Art. 28 und 30.

Wo diese Punkte im Ablauf hingehören, zeigt der Ratgeber Print-Mailing-Kampagne planen. Zum Abhaken vor dem Versand eignet sich die Print-Mailing-Checkliste.

Häufige Missverständnisse

Werbebriefe mit briefsenden datenschutzbewusst versenden

Für die Verarbeitung der Empfängerdaten in Ihrem Auftrag stellt briefsenden.com einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO bereit, abrufbar auf der Seite AVV.

• Nur Versanddaten: Für einen Serienbrief genügen Name und Anschrift in der CSV-Datei. Merkmale aus Ihrer Segmentierung geben Sie nicht weiter.
• Hinweis in der Vorlage: Den Datenschutzhinweis setzen Sie in Ihre Vorlage, damit er in jedem Brief steht. Im Testmodus prüfen Sie Vorschau und Ablauf ohne Druck und ohne Kosten.
• Sperrliste vorher abgleichen: Gleichen Sie die Empfängerliste vor dem Hochladen mit Ihrer Sperrliste ab.
• Adressbuch: Feste Empfänger speichern Sie im Adressbuch. Jede Anschrift wird vor dem Versand nach DIN 5008 geprüft.

Wie briefsenden.com selbst mit personenbezogenen Daten umgeht, steht in der Datenschutzerklärung.