Einwilligung „für Partner“: Warum gekaufte Adressen zum Risiko werden

3,9 Millionen E-Mails und ein Bußgeld von 600.000 Euro

Die Canal+-Gruppe ließ 2021 in ihrem Auftrag Werbe-E-Mails an rund 3,9 Millionen Menschen versenden. Die Adressen stammten von zwei Internetanbietern. Deren Kunden hatten bei der Anmeldung ein Kästchen angekreuzt und damit in Werbung durch die „Partner“ des Anbieters eingewilligt. Wer diese Partner sind, stand weder im Formular noch in einer verlinkten Liste. Die französische Datenschutzbehörde CNIL sah darin keine wirksame Einwilligung und verhängte gegen Canal+ eine Geldbuße von 600.000 Euro. Der französische Staatsrat, der Conseil d’État, legte die Sache dem EuGH vor (Rechtssache C-317/25).

Bemerkenswert ist, wen das Bußgeld in diesem Verfahren trifft: nicht den Anbieter, der die Einwilligungen eingesammelt hat, sondern das Unternehmen, das mit den Adressen geworben hat.

Was der Generalanwalt vorschlägt

Eine Einwilligung ist nach Art. 4 Nr. 11 DSGVO nur wirksam, wenn sie „in informierter Weise“ abgegeben wird. Dazu gehört nach den Schlussanträgen vom 17. September 2026, dass die Person erfahren kann, wer ihre Daten für Werbung nutzen wird. Wer „Partnern“ zustimmt, stimmt damit nicht der Werbung jedes beliebigen Unternehmens zu, das sich als Partner bezeichnet. War der Werbende bei der Einwilligung nicht bekannt, muss er vor der Werbung selbst eine neue Einwilligung einholen, spätestens mit der ersten Nachricht.

Zwei Argumente von Canal+ hat der Generalanwalt ausdrücklich zurückgewiesen. Der Abmeldelink in der ersten Werbe-E-Mail ändert nichts, denn er setzt erst ein, wenn die Werbung schon begonnen hat, und ersetzt die vorherige Einwilligung nicht. Und auch die „Einwilligungsmüdigkeit“ der Nutzer rechtfertigt keine pauschalen Erklärungen. Selbst für den Fall, dass der Gerichtshof die Angabe einer Kategorie von Empfängern genügen lassen sollte, hält er den Begriff „Partner“ für zu unbestimmt. Er stützt sich dabei auch auf die Leitlinien 05/2020 des Europäischen Datenschutzausschusses zur Einwilligung, nach denen alle Unternehmen zu nennen sind, die sich auf eine Einwilligung stützen wollen.

In Deutschland gilt schon heute ein strenger Maßstab

Für deutsche Unternehmen kommt die Aussage weniger überraschend. E-Mail-Werbung ist nach § 7 Abs. 2 Nr. 2 UWG nur mit vorheriger ausdrücklicher Einwilligung des Empfängers zulässig. Die Ausnahme in § 7 Abs. 3 UWG gilt nur für eigene Kunden und eigene ähnliche Produkte. Für gekaufte Adressen hilft sie nie.

Wie konkret die Einwilligung sein muss, hat der Bundesgerichtshof bereits 2017 entschieden (Urteil vom 14. März 2017, VI ZR 721/15). Eine wirksame Einwilligung setzt voraus, dass klar ist, welche Produkte oder Dienstleistungen welcher Unternehmen sie erfasst. In dem Fall hatte ein Nutzer beim Download einer Gratis-Software in Werbung durch „Sponsoren“ eingewilligt, die über einen Link aufgelistet waren, 26 Unternehmen. Das genügte dem BGH nicht: Selbst bei einer abschließenden Liste bleibe offen, wofür diese Unternehmen werben würden. Er sprach von einer verdeckten Generaleinwilligung und hielt die vorformulierte Klausel wegen Intransparenz für unwirksam (§ 307 Abs. 1 Satz 2 BGB). Verklagt war auch dort nicht der Betreiber der Download-Plattform, sondern der Verlag, der Werbedienstleister mit dem Versand beauftragt hatte.

Der BGH hat seinen Maßstab damals aus derselben europäischen Richtlinie abgeleitet, um die es jetzt in Luxemburg geht. Entscheidet der EuGH im Sinne des Generalanwalts, bestätigt er diese Linie für die ganze EU. Eine namentliche Partnerliste wäre dann zwar das Mindeste. Nach dem BGH reicht sie allein aber nicht, wenn nicht auch erkennbar ist, für welche Produkte geworben wird.

Wen das betrifft

Betroffen sind vor allem Unternehmen, die Adressen oder Leads zukaufen oder Werbung über Dienstleister an fremde Verteiler versenden lassen. Ebenso betroffen sind Anbieter, die selbst Einwilligungen für andere einsammeln, etwa über Gewinnspiele, Gratis-Downloads, Vergleichsportale oder Co-Registrierung, also die Anmeldung bei mehreren Unternehmen in einem Schritt. Die Folgen können von mehreren Seiten kommen: Bußgelder der Datenschutzaufsicht wegen Verarbeitung ohne Rechtsgrundlage, Abmahnungen von Wettbewerbern und Verbänden nach dem UWG und, wie im BGH-Fall, Unterlassungsklagen der Empfänger selbst.

Was jetzt zu tun ist

1. Herkunft prüfen. Für jeden zugekauften Adressbestand den genauen Wortlaut der Einwilligung beschaffen. Nennt er Ihr Unternehmen und Ihre Produkte? Wenn nicht, sollten Sie diese Adressen nicht für E-Mail-Werbung nutzen.
2. Nachweise sichern. Sie müssen die Einwilligung nachweisen können (Art. 7 Abs. 1 DSGVO), nicht Ihr Lieferant. Lassen Sie sich Wortlaut, Formular, Zeitpunkt und Bestätigung je Adresse vertraglich zusichern und prüfen Sie Stichproben.
3. Eigene Formulare umstellen. Wer Einwilligungen für Partner einholt, nennt die Partner namentlich und beschreibt, wofür sie werben werden, direkt im Formular oder über einen Link zu einer vollständigen, aktuellen Liste.
4. Informationspflichten erfüllen. Wer Daten nicht selbst erhoben hat, muss die Betroffenen spätestens bei der ersten Kontaktaufnahme darüber informieren, wer er ist und woher die Daten stammen (Art. 14 DSGVO).

Wer die Rechtsgrundlagen seiner Werbung ohnehin einmal ordnen will, kann mit dem Selbsttest zum Datenschutz-Check beginnen.