Empfehlung vom 24. Januar 2003 betreffend Unerwünschte Werbung per Mail ("Spam")PDF55.70 kB24. Januar 2003

Eidgenössischer Datenschutzbeauftragter Préposé fédéral à la protection des données Incaricato federale per la protezione dei dati Incumbensà federal per la protecziun da datas

24.01.2003

Empfehlung gemäss

Art. 29 Abs. 3 Bundesgesetz über den Datenschutz vom 19. Juni 1992

in Sachen unerwünschte Werbung per Mail

X und Y GmbH

Sachverhalt

Seit einiger Zeit erhält EDSB regelmässig Zuschriften von Privatpersonen und Unternehmen, worin sich diese über die Geschäftspraktiken von X - insbesondere seiner Firma "X E-Marketing" — beklagen. Dabei formulieren die Betroffenen folgende Vorwürfe:

e x stelle ihnen per e-Mail unerwünschte Werbung zu,

e ihre datenschutzrechtlichen Löschungsbegehren würden nicht befolgt,

e der Versand der unerwünschten Mails höre auch nach Abmahnung bzw. Löschungsbegehren gemäss Art. 15 Abs. 1 des Bundesgesetzes über den Datenschutz (DSG) nicht auf und

e auf ihre Begehren gemäss Art. 8 DSG erhielten sie keine bzw. unvollständige Auskunft.

X hat mindestens bis im Jahr 2000 per e-Mail potentiellen Kunden angeboten, einen Probeauszug aus seiner Sammlung von Mail-Adressen zuzustellen, damit sich diese von der Qualität der Adressen überzeugen können.

X versendet unverlangte und teils unerwünschte Werbemails nicht bloss unter seinem Namen "X E-Marketing", sondern auch unter den Namen Y GmbH.

Erwägungen

X ist eine Privatperson, seine Datenbearbeitungen fallen gemäss Art. 2 Abs. 1 lit. a DSG in den Anwendungsbereich des DSG. Aus demselben Grund ist die Zuständigkeit des EDSB zu Abklärungen und Empfehlungen gemäss Art. 29 DSG gegeben. Der Begriff der privaten Person in Art. 2 Abs. 1 lit. a DSG erfasst nebst den natürlichen auch die juristischen Personen (vgl. Marc Buntschu, in Kommentar zum schweizerischen Datenschutzgesetz, Urs Maurer, Nedim Peter Vogt - Basel; Frankfurt am Main: Helbing und Lichtenhahn, 1995 , N 21 zu Art. 2). Für die privatrechtliche Y GmbH gilt daher mit Bezug auf Anwendbarkeit des DSG und Zuständigkeit des EDSB dasselbe wie für die Person X.

X begründet die Nichtberücksichtigung der Willensäusserungen der betroffenen Personen damit, dass Mail-Adressen keine Personendaten seien, weil sie für ihn keinen Personenbezug hätten. Ein solcher sei allenfalls für Dritte wie Internet Service Providers oder die Polizei gegeben. Dementsprechend sei das Datenschutzgesetz nicht anwendbar und es gebe auch keine datenschutzrechtlichen Verpflichtungen. Diese Aussage kann in ihrer allgemeinen Form - und darauf kommt es für die Frage der Anwendbarkeit des Bundesgesetzes Uber den Datenschutz (DSG) an - keinesfalls aufrechterhalten werden. Vielmehr ist ein grosser Teil der Mail-Adressen so aufgebaut, dass die betroffene Person leicht bestimmbar ist. Dies zeigt z.B. ein Blick auf das weit verbreitete Muster für den Aufbau von Mail-Adressen <vorname>.<name>@<arbeitgeber>. Aus der Optik der betroffenen Personen ist betreffend den Personenbezug festzuhalten, dass sie die unerwünschte Werbung in ihre Mailboxen geliefert erhalten; aus deren Sicht scheint klar, dass mit der Zustellung der unerwünschten Werbung Personenbezug hergestellt wird.

Dementsprechend sind E-Mail-Adressen grundsätzlich als Personendaten zu betrachten und die Anwendbarkeit des Datenschutzgesetzes ist mit Bezug auf ihre Bearbeitung gegeben.

Die Tatsache, dass die Löschungsbegehren nicht befolgt werden und diejenigen, welche sie gestellt haben, weiterhin unerwünschte Werbung erhalten, widerspricht der Aussage von X im Schreiben vom 17.10.2001 an den EDSB worin er uns mitteilt, wie er auf Auskunfts- und Löschungsbegehren antworte ("... Auf Anfrage lösche ich selbstverständlich die E-Mail Adressen aller Personen, die keine Werbung mehr wünschen. ..."). Diese Aussage hat X in Beantwortung des Schreibens vom 16.10.2001 des EDSB in Sachen "Sachverhaltsabklärung gemäss Art. 29 DSG" gemacht. Gemäss den beim EDSB vorliegenden Beschwerden ist das Nichtbefolgen der Löschungsbegehren sowohl für den Zeitraum vor dem 17.10.2001 als auch für denjenigen danach belegt. Damit hat X dem EDSB eine falsche Auskunft in der Abklärung des Sachverhalts gegeben. Auch in subjektiver Hinsicht liegen keine Indizien dafür vor, dass die Aussage gegenüber dem EDSB nicht wissentlich im gleichen Zusammenhang gemacht wurde, in welchem der EDSB Beschwerden von Betroffenen erhalten hat.

Für all diejenigen Fälle, in welchen X den Löschungsbegehren nicht Folge leistet, tut er dies entgegen dem ausdrücklichen Willen der betroffenen Personen. Soweit — was unten zu prüfen sein wird - Mail-Adressen als Personendaten zu betrachten sind, ist darin gemäss Art. 12 Abs. 2 lit. b DSG dann eine Verletzung der Persönlichkeit dieser Personen zu erblicken, wenn X keinen Rechtfertigungsgrund geltend machen kann. Von den drei im Art. 13 Abs. 1 DSG aufgezählten möglichen Rechtfertigungsgründen fällt weder die Einwilligung des Verletzten noch die Rechtfertigung durch Gesetz in Betracht. Auch ein überwiegendes privates Interesse scheint angesichts der Aufzählung von Art. 13 Abs. 2 DSG ausgeschlossen.

Bei der Prüfung der Frage, ob Mail-Adressen als Personendaten zu betrachten sind, ist zu unterscheiden:

a) Das obenerwähnte sehr gebräuchliche Muster für den Aufbau von Mail-Adressen (<vorname>.<name>@<arbeitgeber>) stellt den einfachsten Fall dar. Hier ist nur in denjenigen Ausnahmefällen keine einfache Bestimmung einer betroffenen Person möglich, nämlich dort wo die Elemente vor und hinter dem "@" sehr wenig diskriminatorische Kraft haben, d.h. in den Fällen von Arbeitgebern mit vielen Angestellten und für sehr häufige Namen und Vornamen.

b) In all denjenigen Fällen, in welchen die Bestimmbarkeit der betroffenen Personen nicht derart offensichtlich ist, hilft ein Rückgriff auf den Begriff der Personendaten weiter. Für die Frage, ob eine Person bestimmbar ist, ist gemäss Kommentar zum DSG nicht entscheidend, "ob derjenige, der die Daten bearbeitet den für eine Identifizierung erforderlichen Aufwand treiben kann oder will, sondern ob damit gerechnet werden muss, dass ein Dritter, der ein Interesse an diesen Angaben hat, bereit ist, eine Identifizierung vorzunehmen" (vgl. Urs Belser, in Kommentar zum schweizerischen Datenschutzgesetz, Urs Maurer, Nedim Peter Vogt - Basel; Frankfurt am Main: Helbing und Lichtenhahn, 1995 , N 6 zu Art. 3, Hervorhebung im Original). Das bedeutet im vorliegenden Falle nichts anderes, als dass sämtliche von einem Internet Service Provider zur Verfügung gestellten Mail-Adressen als Personendaten zu betrachten sind, sofern der Provider sie im Auftrag von bestimmten Personen einrichtet.

c) Man kann sich sogar fragen, ob nicht sämtliche Mail-Adressen als Personendaten zu betrachten sind. Wenn man davon ausgeht, dass "Bestimmbarkeit" bzw. "Identifizier- barkeit" dadurch gegeben ist, dass die Zuordnung einer Information zur Person mit der Zustellung eines e-Mails geschieht.

Aus dem Gesagten ergibt sich, dass X dann die Persönlichkeit der betroffenen Personen verletzt, wenn er ihre Mail-Adressen entgegen ihrem Willen bearbeitet und insbesondere indem er sie für den Versand von Werbemails benutzt. Davon sind nicht bloss diejenigen Personen betroffen, von denen der EDSB Reklamationen erhalten hat. Es kommen dazu noch denjenigen, die sich nur an X, aber nicht an den EDSB gewendet haben, sowie diejenigen, die X vergeblich zu erreichen versuchten.

In den Fällen, in welchen potentielle Kunden von X Angebot zur Sichtung von Teilen der Adressliste Gebrauch machten, wurden Personendaten an Dritte bekanntgegeben. Die betroffenen Personen hatten davon jeweils keine Kenntnis - bzw. erst im Nachhinein bei Eingang von Werbung eine beschränkte Kenntnis erhalten. Daher wäre X gemäss Art. 11 Abs. 3 und 4 DSG verpflichtet gewesen, seine Datensammlung dem EDSB anzumelden. Dieser Verpflichtung ist X nicht nachgekommen, was gemäss Art. 34 Abs.

2 Buchstabe a DSG eine Strafe in Form von Haft oder Busse nach sich ziehen kann.

Dem EDSB wurden mehrere Fälle gemeldet, in welchen Inhaber von E-Mail-Adressen von X ihr Auskunftsrecht nicht korrekt gewährt wurde. Die von X verwendete Standardantwort ist derart verwirrend formuliert, dass sogar ein Fall von unvollständiger Auskunft gemäss Art. 34 Abs. 1 DSG nicht ausgeschlossen scheint. Das bedeutet, dass im Falle eines Strafantrages durch eine betroffene Person strafrechtliche Folgen in Form von Haft oder Busse zumindest nicht von Anfang an auszuschliessen sind.

Aufgrund dieser Erwägungen empfiehlt der Eidgenössische Datenschutzbeauftragte:

X erteilt denjenigen Personen, welche dies bisher verlangt haben, vollständige Auskunft über die Personendaten - seien es Mail-Adressen oder andere Informationen -, welche er über sie bearbeitet.

X löscht unverzüglich die Mail-Adressen all derjenigen Personen, welche dies bisher von ihm verlangt haben.

X ermöglicht künftig allen Empfängern seiner Mails, auf einfache Art ihr Recht auf ein Opting Out geltend zu machen. Er löscht in Zukunft diejenigen Adressen umgehend aus seiner Datensammlung, für welche das von den betroffenen Personen verlangt wird.

X gibt ab sofort keine Personendaten in Form von E-Mail-Adressen mehr an Dritte bekannt oder er meldet seine Datensammlung ordnungsgemäss beim EDSB an.

X teilt dem EDSB innerhalb von 30 Tagen nach Erhalt dieser Empfehlung mit, ob er die Empfehlung annimmt oder ablehnt. Wird diese Empfehlung abgelehnt oder

nicht befolgt, so kann der EDSB die Angelegenheit der Eidgenössischen Datenschutzkommission vorlegen.

Die vorliegende Empfehlung wird X eingeschrieben zugestellt und gestützt auf

Art. 30 Abs. 2 DSG publiziert. Daneben erhalten diejenigen Betroffenen die

Empfehlung, welche sich beim EDSB beschwert haben.

DER EIDGENÖSSISCHE DATENSCHUTZBEAUFTRAGTE

Hanspeter Thür