© 2017 Deutscher Bundestag WD 3 - 3000 - 118/17 Datenschutzrechtliche Beurteilung einer Postkarten-Kampagne Sachstand Wissenschaftliche Dienste Die Wissenschaftlichen Dienste des Deutschen Bundestages unterstützen die Mitglieder des Deutschen Bundestages bei ihrer mandatsbezogenen Tätigkeit. Ihre Arbeiten geben nicht die Auffassung des Deutschen Bundestages, eines seiner Organe oder der Bundestagsverwaltung wieder. Vielmehr liegen sie in der fachlichen Verantwortung der Verfasserinnen und Verfasser sowie der Fachbereichsleitung. Arbeiten der Wissenschaftlichen Dienste geben nur den zum Zeitpunkt der Erstellung des Textes aktuellen Stand wieder und stellen eine individuelle Auftragsarbeit für einen Abgeordneten des Bundestages dar. Die Arbeiten können der Geheimschutzordnung des Bundestages unterliegende, geschützte oder andere nicht zur Veröffentlichung geeignete Informationen enthalten. Eine beabsichtigte Weitergabe oder Veröffentlichung ist vorab dem jeweiligen Fachbereich anzuzeigen und nur mit Angabe der Quelle zulässig. Der Fachbereich berät über die dabei zu berücksichtigenden Fragen. Wissenschaftliche Dienste Sachstand WD 3 - 3000 - 118/17 Seite 2 Datenschutzrechtliche Beurteilung einer Postkarten-Kampagne Aktenzeichen: WD 3 - 3000 - 118/17 Abschluss der Arbeit: 1. Juni 2017 Fachbereich: WD 3: Verfassung und Verwaltung Wissenschaftliche Dienste Sachstand WD 3 - 3000 - 118/17 Seite 3 1. Sachverhalt und Fragestellung Gegenstand des Sachstands ist eine Medienkampagne der Versandapotheke DocMorris. Gefragt wird, ob das Verhalten von DocMorris datenschutzrechtlich zu beanstanden ist. Wegen des Sachverhalts wird auf die Ausarbeitung des Fachbereichs Zivil-, Straf- und Verfahrensrecht, Umweltschutzrecht , Bau und Stadtentwicklung zum Az. WD 7 - 3000 - 078/17 verwiesen. Die Details des Sachverhalts sind unklar und werden teils widersprüchlich dargestellt. Ein Abgeordneter hat die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit gebeten, den Fall zu prüfen.1 Daher werden im Folgenden einige allgemeine Ausführungen zur datenschutzrechtlichen Beurteilung gemacht. 2. Anwendbarkeit des BDSG Das Bundesdatenschutzgesetz (BDSG) ist nach seinem § 1 Abs. 2 Nr. 3 auf nicht-öffentliche Stellen anwendbar, soweit sie personenbezogene Daten automatisiert oder dateigebunden verarbeiten, erheben oder nutzen. Zu beachten ist, dass das Gesetz keine Anwendung findet, wenn die verantwortliche Stelle in einem anderen Mitgliedstaat der Europäische Union oder des EWR belegen ist. 3. Zulässigkeit der Datenerhebung und Datenverarbeitung Nach § 4 Abs. 1 BDSG sind die Erhebung, die Verarbeitung und die Nutzung personenbezogener Daten „nur zulässig, soweit dieses Gesetz oder eine andere Rechtsvorschrift dies erlaubt oder anordnet oder der Betroffene eingewilligt hat.“ Personenbezogene Daten sind insbesondere Einzelangaben über persönliche Verhältnisse bestimmter natürlicher Personen, § 3 Abs. 1 BDSG. Hierzu zählen Name und Anschrift. Erheben meint das Beschaffen von Daten, also jede Form gezielter Datengewinnung sowohl von dem Betroffenen als auch von privaten Dritten.2 Verarbeiten bezeichnet das Speichern, Verändern, Übermitteln, Sperren und Löschen von Daten, § 3 Abs. 4 BDSG. Werden also Namen und Anschriften über ein Online-Formular gesammelt, auf Postkarten gedruckt und versandt, handelt es sich um die Erhebung und Verarbeitung personenbezogener Daten. Geschieht dies zur Kundgabe politischer Ansichten, so besteht dafür keine gesetzliche Grundlage. Die Datenerhebung und -verarbeitung ist nur zulässig, soweit der Betroffene (§ 3 Abs. 1 BDSG) eingewilligt hat. Gibt ein nicht berechtigter Dritter fremde Daten ein, fehlt die Einwilligung des Betroffenen. Die Erhebung und Verarbeitung der Daten ist dann unzulässig. Überdies sind personenbezogene Daten nach § 4 Abs. 2 S. 1 BDSG grundsätzlich beim Betroffenen selbst zu erheben (Grundsatz der Direkterhebung). Liegt keine der in § 4 Abs. 2 S. 2 BDSG genannten Ausnahmen vor, ist eine Datenerhebung bei Dritten ebenfalls unzulässig. 1 Vgl. die Pressemitteilung von MdB Alexander Hoffmann, abrufbar unter http://www.alexander-hoffmann.org/aktuelles/detailansicht /6f3794a4daa4c3138258b0d5feb6d273.html?tx_news_pi1%5Bnews%5D=1236&tx_news_pi1%5Bcontroller %5D=News&tx_news_pi1%5Baction%5D=detail, zuletzt abgerufen am 1. Juni 2017. 2 Vgl. nur Schild, in: Wolff/Brink (Hrsg.), Beck'scher Online-Kommentar Datenschutzrecht, 19. Aufl. 2017, § 3 BDSG Rn. 51. Wissenschaftliche Dienste Sachstand WD 3 - 3000 - 118/17 Seite 4 4. Rechtsfolgen bei Verstößen Werden Daten unter Verstoß gegen § 4 Abs. 1 oder Abs. 2 BDSG erhoben oder verarbeitet, können dem Betroffenen Unterlassungs-, Löschungs- oder Schadensersatzansprüche zustehen.3 Daneben kann nach § 43 Abs. 2 Nr. 1 BDSG eine Ordnungswidrigkeit vorliegen; der subjektive Tatbestand setzt jedoch Vorsatz oder Fahrlässigkeit voraus. Der Straftatbestand des § 44 BDSG setzt neben der vorsätzlichen Begehung Bereicherungs- oder Schädigungsabsicht voraus. *** 3 Bäcker, in: Wolff/Brink (Hrsg.), Datenschutzrecht, § 4 BDSG Rn. 21 ff., 50 ff.