Mitnehmen von Kontaktdaten beim Jobwechsel
Mit der Karriere einer Vertriebsspezialistin ging es beim jetzigen Arbeitgeber nicht richtig voran. Deshalb suchte sie sich einen neuen Arbeitgeber. Dabei blieb sie in derselben Branche wie bisher, denn hier kannte sie sich aus.
Dem neuen Arbeitgeber konnte sie etwas Besonderes bieten: zahlreiche Mailadressen von Kundinnen und Kunden ihres bisherigen Arbeitgebers. Diese Adressen verwendete sie, um eifrig Werbe-E-Mails ihres neuen Arbeitgebers zu versenden. Das ging nicht lange gut. Schnell häuften sich Beschwerden bei der zuständigen Aufsichtsbehörde für den Datenschutz.
Die Datenschutzaufsicht greift ein
Die Datenschutzaufsicht bewertete die geschilderte Vorgehensweise als erheblichen Datenschutzverstoß. Die Grenze zwischen „erlaubt“ und „verboten“ verläuft aus ihrer Sicht so:
- Wer Werbe-E-Mails verschickt, verarbeitet personenbezogene Daten. Das gilt jedenfalls dann, wenn diese Mails an natürliche Personen gerichtet sind, also an Menschen. Nur bei Werbemails an juristische Personen (etwa an eine AG oder in eine GmbH) kann es anders aussehen.
- Für eine solche Verarbeitung ist eine Rechtsgrundlage erforderlich. Klassische Rechtsgrundlage ist eine ausdrückliche Einwilligung (Art. 6 Abs.1 Unterabs.1 Buchst. a DSGVO). Vor allem bei „Kaltkontakten“ ist sie unentbehrlich. Darunter sind Personen zu verstehen, zu denen bisher noch keine Geschäftsverbindung bestand. Sie sollen durch die Werbe-E-Mails erst als Kunden gewonnen werden.
- Bei „Bestandskunden“ kann auch eine Interessenabwägung als Rechtsgrundlage ausreichen (Fälle des Art. 6 Abs.1 Unterabs.1 Buchstabe f DSGVO). Das ist der Fall, wenn der Inhalt der Werbe-E-Mail einen Bezug zu den früheren Geschäften mit einem Kunden hat. Beispiel hierfür: Einem Kunden, der schon einmal Vogelfutter gekauft hat, darf man anknüpfend daran künftig Werbung für Vogelfutter schicken.
Die Mails sind eine unzumutbare Belästigung
Wenn jemand keine ausdrückliche Einwilligung erteilt hat und auch kein Bestandskundenverhältnis vorliegt, stellen Werbe-E-Mails an ihn eine unzumutbare Belästigung dar. Das ergibt sich aus § 7 Abs.2 Nr.2 des Gesetzes gegen unlauteren Wettbewerb (UWG). Dies gilt für Werbe-E-Mails an natürliche Personen genauso wie für solche Mails an juristische Personen.
Das Argument, bei dieser Vorschrift handle es sich um eine Regelung des Wettbewerbsrechts, die deshalb für das Datenschutzrecht gleichgültig sei, hilft nicht weiter. Vielmehr führt der Verstoß gegen das Wettbewerbsrecht ganz im Gegenteil dazu, dass auch ein Verstoß gegen das Datenschutzrecht vorliegt. Was das Wettbewerbsrecht verbietet, kann im Datenschutzrecht nicht erlaubt sein.
Eine Einwilligung ist keine „Generalvollmacht“
Folgendes Argument beeindruckt auf den ersten Blick viele: Die Empfänger der Werbe-E- Mails hatten überhaupt nichts dagegen, vom früheren Arbeitgeber der Jobwechslerin solche Mails zu erhalten. Im Gegenteil hatten sie dazu sogar ausdrücklich ihre Einwilligung erteilt. Dann kann es jetzt wohl nicht stören, wenn sie jetzt von einem anderen Unternehmen derselben Branche auch Werbe-E-Mails bekommen. Denn irgendwie scheint das doch dasselbe.
Das ist jedoch ein Trugschluss. Die Einwilligungen richteten sich jeweils an ein konkretes Unternehmen. Andere Unternehmen können sich nicht auf sie berufen. Dazu die Datenschutzaufsicht: „Es handelt sich nicht um eine Generalvollmacht an jedwedes Unternehmen der gleichen Branche.“ Solche generellen Einwilligungen wären zwar denkbar, müssten dann aber auch entsprechend formuliert sein.
Ob Papier oder digital – das ist egal
Manche „Vertriebler“ halten sich für besonders clever. Sie nehmen die Kommunikationsdaten wichtiger Kundinnen und Kunden nicht in eine elektronische Datenbank des Unternehmens auf. Stattdessen halten sie diese Daten nur auf Papier fest, etwa auf Zetteln oder in einem Papier-Adressbuch, wie in alten Zeiten. Das macht jedoch keinen Unterschied. Die geschilderten Grundsätze gelten unabhängig davon, wie Kommunikationsdaten gespeichert sind. Darauf weist die Datenschutzaufsicht ausdrücklich hin.
Unternehmen müssen Vorkehrungen treffen
Mitarbeiterinnen und Mitarbeiter, die ein Unternehmen verlassen, dürfen danach keinen Zugriff mehr auf Datenbestände des Unternehmens haben. Dieser Hinweis der Datenschutzaufsicht erscheint trivial. Die praktische Erfahrung belegt allerdings, dass Zugriffsmöglichkeiten oft genug noch länger bestehen.
Für ratsam hält es die Datenschutzaufsicht, Vertraulichkeitsvereinbarungen mit Mitarbeiterinnen und Mitarbeitern zu treffen. In solchen Vereinbarungen lassen sich viele Details klarstellen. Das gilt etwa für die Verpflichtung, beim Ausscheiden aus dem Unternehmen alle Datenträger mit Kundendaten zurückzugeben. Wichtig dabei: Solche vertraglichen Pflichten gelten zeitlich unbegrenzt, als auch über das jeweilige Arbeitsverhältnis hinaus.
Hier ist noch mehr zum Thema zu finden
Die Datenschutzaufsicht Hessen behandelt das Thema in ihrem Tätigkeitsbericht für 2024 auf den Seiten 135-137 ausführlich. Dieser Tätigkeitsbericht ist abrufbar unter https://datenschutzarchiv.org/detailansicht/Dokumente/2024/TB_Hessen_LfD_53_2024_de.pdf .