Daten­handel und Marketing müssen rechtskonform agieren

Die Datenschutzgrundverordnung gibt den Rahmen vor

Wer illegal Daten kauft oder den Zweck ihrer Verwendung ändert, handelt rechtswidrig. Denn ob Marketing oder Datenhandel: Die Erhebung wie die Verwendung personenbezogener Daten müssen zu einem Zweck erfolgen, über den die betroffenen Personen informiert sind. Zudem müssen sie entweder in die Verarbeitung ihrer Daten eingewilligt haben oder es muss eine Rechtsgrundlage bestehen, die die Verarbeitung rechtfertigt. Außerdem darf der Zweck der Datenverarbeitung nicht ohne eine erneute Einwilligung der Betroffenen verändert werden.

Prüfung der Kreditwürdigkeit statt Marketing ist unzulässig

Bereits im Oktober des Jahres 2021 hat die Datenschutzorganisation NOYB – Europäisches Zentrum für digitale Rechte eine Beschwerde darüber eingereicht, dass CRIF personenbezogene Daten in großen Mengen bei der Firma Acxiom erworben haben soll. Es soll sich um Adressen, Namen und Geburtsdaten von Millionen Menschen in Deutschland gehandelt haben. Obwohl die Daten eigentlich für das Marketing erhoben und gespeichert worden seien, sollen sie von CRIF dazu genutzt worden sein, die Kreditwürdigkeit der Betroffenen zu beurteilen. Allerdings wurden die Betroffenen darüber nicht informiert und hatten auch nicht in diese Nutzung eingewilligt.

Kritik der Datenschutzaufsicht

Das Bayerische Landesamt für Datenschutzaufsicht, kurz BayLDA, konstatierte dazu im Februar 2024, dass CRIF damit gegen den Grundsatz der Zweckbindung, wie ihn die Datenschutzgrundverordnung vorsieht, verstoßen habe, denn die Daten wurden für einen anderen als den ursprünglichen Zweck genutzt – für die Kreditprüfung statt für Marketingzwecke. Die Aufsichtsbehörde stellte fest, dass die betroffenen Personen nicht einmal darüber informiert worden seien. Außerdem wurde einer betroffenen Person die gewünschte Auskunft nicht oder zumindest nicht im vollen Umfang erteilt.

Neue Entwicklungen

Derzeit wird dieser Fall von der Aufsichtsbehörde dahingehend untersucht, ob es grundsätzlich verboten werden soll, dass Auskunfteien Daten von Adresshändlern kaufen. Des Weiteren läuft auch ein Verfahren der hessischen Datenschutzaufsicht gegen Acxiom, das sich verzögerte, weil Acxiom einem Beschwerdeführer keine Einsicht in die Akten gewähren wollte. Der entsprechende Antrag des Unternehmens wurde vom Gericht allerdings abgelehnt. Auch muss beachtet werden, dass seit September 2025 auch der Data Act teilweise greift. Wobei die DSGVO weiterhin für personenbezogene Daten gelte. Es sind daher zusätzliche Rahmenbedingungen entstanden, die den Fall beeinflussen könnten.

Sie möchten mehr über die Zweckbindung von personenbezogenen Daten wissen?

Dann kommen Sie doch einfach auf uns zu! Wir erklären Ihnen gern, wie Sie Ihr Unternehmen auch in dieser Frage rechtssicher aufstellen. Rufen Sie uns gern unter Telefon 09122 6937302 an oder senden Sie uns eine Nachricht!

Ihr Team von Datenschutz Prinz