Einwilligung „für Partner“: Warum gekaufte Adressen zum Risiko werden

Ausgangsverfahren in der Rechtssache C-317/25

Im Jahr 2021 beauftragte die Canal+-Gruppe den Versand von Werbe-E-Mails an rund 3,9 Millionen Personen. Die Adressen stammten von zwei Internetzugangsanbietern. Bei der Anmeldung hatten deren Kunden ein Kästchen angekreuzt und damit in Werbung durch die „Partner“ des Anbieters eingewilligt. Die Partner wurden dabei nicht offengelegt. Die französische Datenschutzbehörde CNIL sah darin keine wirksame Einwilligung und verhängte gegen Canal+ eine Geldbuße von 600.000 Euro. Canal+ focht diese Entscheidung beim französischen Staatsrat (Conseil d’État) an. Dieser legte dem Europäischen Gerichtshof (EuGH) Fragen zur Vorabentscheidung vor (Rechtssache C-317/25).

Das Bußgeld richtet sich gegen Canal+, da dieses Unternehmen für die Werbung mit den Adressen verantwortlich ist. Die Einwilligungen wurden hingegen von den Internetzugangsanbietern eingeholt.

Schlussanträge des Generalanwalts

Gemäß Art. 4 Nr. 11 DSGVO ist eine Einwilligung nur wirksam, wenn sie „in informierter Weise“ abgegeben wird. Gemäß den Schlussanträgen vom 17. September 2026 ist es erforderlich, dass die betroffene Person die Identität des Verantwortlichen erfahren kann, der ihre Daten für Werbezwecke nutzt. Der Generalanwalt stützt sich dabei auch auf die Leitlinien 05/2020 des Europäischen Datenschutzausschusses zur Einwilligung, nach denen alle Verantwortlichen zu benennen sind, die sich auf die Einwilligung stützen wollen. Die Einwilligung in Werbung durch „Partner“ umfasst daher nicht die Werbung jedes beliebigen Unternehmens dieser Kategorie. War das werbende Unternehmen bei der Einwilligung nicht bekannt, ist vor der Werbung, spätestens mit der ersten Werbenachricht, eine neue Einwilligung einzuholen.

Der Generalanwalt hat zwei Argumente von Canal+ ausdrücklich zurückgewiesen. Die Möglichkeit, sich in der ersten Werbe-E-Mail abzumelden, kann die fehlende vorherige Einwilligung nicht ersetzen, da sie erst nach Beginn der Werbung besteht. Auch das Vorbringen von Canal+ zu einer „Einwilligungsmüdigkeit“ der Nutzer überzeugt ihn nicht. Es befreit die Verantwortlichen nicht von der Pflicht, vor der Werbung eine informierte Einwilligung einzuholen. Für den Fall, dass der Gerichtshof die Angabe einer Kategorie von Empfängern für ausreichend erachtet, müsste diese Kategorie nach Auffassung des Generalanwalts so präzise bestimmt sein, dass die betroffene Person mit einer Kontaktaufnahme durch das betreffende Unternehmen rechnen kann. Er hält den Begriff „Partner“ in diesem Zusammenhang für zu unbestimmt.

Maßstab des deutschen Rechts

Für deutsche Unternehmen ist diese Auffassung nicht neu. Gemäß § 7 Abs. 2 Nr. 2 UWG ist die Zusendung von E-Mail-Werbung nur mit vorheriger ausdrücklicher Einwilligung des Adressaten zulässig. Die Ausnahme in § 7 Abs. 3 UWG gilt ausschließlich für Werbung gegenüber eigenen Kunden für eigene ähnliche Waren oder Dienstleistungen. Diese Ausnahme findet auf zugekaufte Adressen keine Anwendung.

Der Bundesgerichtshof hat bereits im Jahr 2017 entschieden, wie konkret die Einwilligung sein muss (Urteil vom 14. März 2017, VI ZR 721/15). Eine wirksame Einwilligung setzt voraus, dass klar ist, welche Produkte oder Dienstleistungen welcher Unternehmen sie erfasst. In dem Verfahren berief sich die Beklagte darauf, der Kläger habe beim Herunterladen einer kostenlosen Software in Werbung durch „Sponsoren“ eingewilligt. Die Sponsoren waren über einen Link aufgeführt, insgesamt 26 Unternehmen. Dies genügte dem BGH jedoch nicht, da aus den Firmen der Unternehmen nicht auf die beworbenen Produkte geschlossen werden könne. Er bezeichnete die Klausel als (verdeckte) Generaleinwilligung und hielt sie wegen Verstoßes gegen das Transparenzgebot für unwirksam (§ 307 Abs. 1 Satz 2, Abs. 3 Satz 2 BGB). Die Klage richtete sich in diesem Fall nicht gegen den Betreiber der Download-Plattform, sondern gegen einen Verlag, der einen Werbedienstleister mit dem Versand beauftragt hatte.

Der BGH hat seinen Maßstab aus Art. 13 der Datenschutzrichtlinie für elektronische Kommunikation (2002/58/EG) abgeleitet, um dessen Auslegung es auch im Verfahren vor dem EuGH geht. Entscheidet der EuGH im Sinne des Generalanwalts, wird diese Linie für die gesamte Europäische Union bestätigt. Eine namentliche Liste der Partner wäre in diesem Fall das Mindeste. Gemäß der Rechtsprechung des BGH ist diese Angabe jedoch nicht ausreichend, wenn nicht gleichzeitig ersichtlich ist, für welche Produkte geworben wird.

Betroffene Unternehmen

In erster Linie sind Unternehmen betroffen, die Adressen oder Leads zukaufen oder Werbung über Dienstleister an fremde Verteiler versenden lassen. Dies gilt ebenfalls für Anbieter, die selbst Einwilligungen für andere Unternehmen einholen, etwa über Gewinnspiele, kostenlose Downloads, Vergleichsportale oder Co-Registrierung, also die Anmeldung bei mehreren Unternehmen in einem Schritt. Die möglichen Folgen sind vielfältig und können von verschiedenen Seiten drohen. Die Datenschutzaufsicht hat die Befugnis, wegen einer Verarbeitung ohne Rechtsgrundlage Bußgelder zu verhängen. Wettbewerber und Verbände können gemäß dem UWG abmahnen. Zudem können die Empfänger selbst auf Unterlassung klagen, wie das Verfahren vor dem BGH zeigt.

Empfehlungen für Unternehmen

Für Unternehmen ergeben sich daraus folgende Empfehlungen:

1. Für jeden zugekauften Adressbestand sollte der genaue Wortlaut der Einwilligung beschafft werden. Wenn er weder das eigene Unternehmen noch dessen Produkte nennt, sollten die Adressen nicht für E-Mail-Werbung genutzt werden.
2. Das werbende Unternehmen muss die Einwilligung nachweisen können, nicht der Lieferant (Art. 7 Abs. 1 DSGVO). Der Wortlaut, das Formular, der Zeitpunkt und die Bestätigung je Adresse sollten vertraglich zugesichert und stichprobenartig geprüft werden.
3. Unternehmen, die selbst Einwilligungen für Partner einholen, sollten die Partner namentlich nennen und beschreiben, wofür diese werben werden, entweder unmittelbar im Formular oder über einen Link zu einer vollständigen und aktuellen Liste.
4. Für Unternehmen, die Daten nicht selbst erhoben haben, gilt die Pflicht, die betroffenen Personen spätestens bei der ersten Kontaktaufnahme über die eigene Identität und die Herkunft der Daten zu informieren (Art. 14 DSGVO).

Um die Rechtsgrundlagen der eigenen Werbung zu prüfen, empfiehlt sich der Selbsttest zum Datenschutz-Check als Einstieg.