DSGVO-Check für Marketing-Kampagnen: 25 Prüffragen vor dem Versand

Warum?

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO – im Marketing meist die Einwilligung (lit. a) oder das berechtigte Interesse (lit. f). Für Werbung per E-Mail und SMS verlangt § 7 Abs. 2 Nr. 2 UWG zusätzlich grundsätzlich eine vorherige ausdrückliche Einwilligung; Briefwerbung lässt sich dagegen oft auf berechtigte Interessen stützen.

Warum?

Nur eine Einwilligung, die die Anforderungen von Art. 4 Nr. 11 und Art. 7 DSGVO erfüllt, trägt die Verarbeitung. Ein vorangekreuztes Kästchen ist keine wirksame Einwilligung (EuGH, Planet49). Wer die Einwilligung an einen Vertrag koppelt, obwohl sie dafür nicht erforderlich ist, riskiert ihre Freiwilligkeit (Art. 7 Abs. 4 DSGVO).

Warum?

Ohne Einwilligung ist E-Mail-Werbung an Kunden nur erlaubt, wenn (1) Sie die Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden erhalten haben, (2) Sie für eigene ähnliche Waren oder Dienstleistungen werben, (3) der Kunde nicht widersprochen hat und (4) er bei Erhebung und bei jeder Verwendung klar und deutlich darauf hingewiesen wird, dass er jederzeit widersprechen kann. Der EuGH hat den Begriff „Verkauf“ weit ausgelegt (Urt. v. 13.11.2025 – C-654/23); die übrigen Voraussetzungen bleiben streng.

Warum?

Personenbezogene Daten müssen dem Zweck angemessen, erheblich und auf das notwendige Maß beschränkt sein (Art. 5 Abs. 1 lit. c DSGVO). Weniger Merkmale bedeuten weniger Risiko – und oft auch Botschaften, die weniger aufdringlich wirken.

Warum?

Daten dürfen nur für festgelegte Zwecke verarbeitet werden; eine Weiterverarbeitung für andere Zwecke setzt eine Vereinbarkeitsprüfung voraus (Art. 5 Abs. 1 lit. b, Art. 6 Abs. 4 DSGVO). Die Aufsichtsbehörden erwarten, dass eine geplante Werbenutzung von Anfang an transparent dargelegt wird (Art. 13, 14 DSGVO).

Warum?

Daten dürfen nur so lange identifizierbar gespeichert werden, wie es für den Zweck erforderlich ist (Art. 5 Abs. 1 lit. e DSGVO). Fehlende Löschroutinen sind in Prüfungen ein häufiger Befund.

Warum?

Nach Auffassung der deutschen Aufsichtsbehörden sprechen eingriffsintensive Maßnahmen – automatisierte Selektionsverfahren zur Erstellung detaillierter Profile, Verhaltensprognosen oder Analysen mit zusätzlichen Erkenntnissen – dafür, dass die Interessen der Betroffenen überwiegen; dann ist in der Regel eine Einwilligung nötig. Gegen Direktwerbung und damit verbundenes Profiling besteht ein jederzeitiges Widerspruchsrecht (Art. 21 Abs. 2 DSGVO).

Warum?

Die Verarbeitung von Gesundheitsdaten und anderen besonderen Kategorien ist grundsätzlich untersagt; Ausnahmen wie die ausdrückliche Einwilligung sind eng (Art. 9 DSGVO). Relevant ist das für Krankenkassen, Kranken- und Berufsunfähigkeitsversicherungen. Zudem kostet die Nutzung intimer Daten in Werbung schnell Vertrauen.

Warum?

Betroffene haben das Recht, nicht einer ausschließlich automatisierten Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung unterworfen zu werden (Art. 22 Abs. 1 DSGVO). Für übliche Werbung trifft das selten zu – anders kann es aussehen, wenn Konditionen oder der Zugang zu Angeboten automatisiert vergeben werden.

Warum?

Werbung mit verschleiertem Absender oder ohne gültige Adresse zur Abbestellung ist nach § 7 Abs. 2 UWG unzulässig; bei der Bestandskunden-Ausnahme muss jede E-Mail auf das Widerspruchsrecht hinweisen (§ 7 Abs. 3 Nr. 4 UWG). Die Aufsichtsbehörden erwarten, dass die Abmeldung möglichst mit einem Klick möglich ist.

Warum?

Postalische Werbung an Bestandskunden ist nach Auffassung der Aufsichtsbehörden meist über das berechtigte Interesse möglich, solange keine eingriffsintensive Profilbildung dahintersteht. Nach einem Widerspruch dürfen die Daten jedoch nicht mehr für Direktwerbung verarbeitet werden – auch nicht für Briefe (Art. 21 Abs. 3 DSGVO).

Warum?

SMS gelten wettbewerbsrechtlich als elektronische Post; für Werbe-SMS gelten deshalb dieselben Regeln wie für Werbe-E-Mails (§ 7 Abs. 2 Nr. 2 UWG). Eine Einwilligung in E-Mail-Werbung deckt SMS nicht automatisch ab.

Warum?

Speichern und Auslesen von Informationen auf dem Endgerät ist nach § 25 TDDDG grundsätzlich nur mit Einwilligung zulässig, außer es ist unbedingt erforderlich; auch die Öffnungs- und Klickmessung in E-Mails sollte daraufhin geprüft werden. Persönliche Landingpages müssen so abgesichert sein, dass Dritte nicht über erratbare Links auf Kundendaten zugreifen (Art. 32 DSGVO).

Warum?

Geschäftliche Handlungen, die Marktteilnehmer unzumutbar belästigen, sind unzulässig (§ 7 Abs. 1 UWG). Die DSGVO stellt bei berechtigten Interessen auf die vernünftigen Erwartungen der Betroffenen ab (Erwägungsgrund 47). Praktisch gilt: Wer zu oft schreibt, erntet Widersprüche – und verliert den Kanal dauerhaft.

Warum?

Wer Daten im Auftrag verarbeiten lässt, braucht einen Vertrag nach Art. 28 Abs. 3 DSGVO und darf nur mit Dienstleistern arbeiten, die hinreichende Garantien bieten (Art. 28 Abs. 1 DSGVO). Unterauftragsverarbeiter dürfen nur mit Genehmigung eingesetzt werden (Art. 28 Abs. 2 DSGVO).

Warum?

Übermittlungen in Länder außerhalb der EU/des EWR sind nur unter den Voraussetzungen der Art. 44 ff. DSGVO zulässig. Der Speicherort ist zudem eine Standardfrage in Datenschutz- und Auslagerungsprüfungen.

Warum?

Verantwortliche und Auftragsverarbeiter müssen ein dem Risiko angemessenes Schutzniveau gewährleisten (Art. 32 DSGVO). Für Finanzunternehmen gilt seit dem 17. Januar 2025 zusätzlich DORA mit Anforderungen an Verträge mit IKT-Drittdienstleistern und an deren Erfassung im Informationsregister.

Warum?

Eine Einwilligung kann jederzeit widerrufen werden; der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO). Nach einem Widerspruch gegen Direktwerbung dürfen die Daten nicht mehr dafür verarbeitet werden (Art. 21 Abs. 3 DSGVO); die Aufsichtsbehörden erwarten eine unverzügliche Umsetzung.

Warum?

Auf das Widerspruchsrecht gegen Direktwerbung muss spätestens bei der ersten Kommunikation ausdrücklich, verständlich und getrennt von anderen Informationen hingewiesen werden (Art. 21 Abs. 4 DSGVO); dazu kommen die Informationspflichten nach Art. 13 und 14 DSGVO.

Warum?

Anträge betroffener Personen sind unverzüglich, spätestens innerhalb eines Monats zu beantworten (Art. 12 Abs. 3 DSGVO). Kampagnendaten liegen oft verteilt – ohne klaren Prozess wird die Frist knapp.

Warum?

Der Verantwortliche muss die Einwilligung nachweisen können (Art. 7 Abs. 1 DSGVO) und insgesamt die Einhaltung der Grundsätze belegen (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO). Freigaben sind dabei ein zentraler Nachweis.

Warum?

Verarbeitungstätigkeiten sind im Verzeichnis nach Art. 30 DSGVO zu dokumentieren. Eine Datenschutz-Folgenabschätzung ist nötig, wenn die Verarbeitung voraussichtlich ein hohes Risiko birgt – etwa bei systematischer und umfassender Bewertung persönlicher Aspekte (Art. 35 Abs. 3 lit. a DSGVO); die Aufsichtsbehörden haben dazu Listen veröffentlicht.