Für den Fall, dass keine ausdrückliche Einwilligung eines Betroffenen in die Weitergabe seiner E-Mail-Adresse zu Werbezwecken vorliegt, ist über die Rechtmäßigkeit nach § 28 Abs. 1 Nr. 2 BDGSG durch Interessenabwägung zu entscheiden
dies geht aus dem Beschluss des VGH München vom 26.09.2018, Az.: – 5 C S 18.1157 hervor.
Sachverhalt
Die Antragstellerin betreibt einen Online-Shop und führt ein Facebook-Konto. Um eine möglichst zielgerichtete Werbung auf Facebook schalten zu können, nutzt die Antragstellerin den Dienst „Facebook Custom Audience“. Hierbei wird durch ein Unternehmen, bzw. hier der Antragstellerin, eine Liste mit eigenen Kundendaten innerhalb des eigenen Facebook-Kontos hochgeladen. Der angebotene Dienst durch Facebook berechnet dann mittels der kryptographischen Hashfunktion SHA-256 für jede einzelne E-Mail-Adresse der Kunden einen sogenannten Hashwert und übermittelt diesen dann an einen Facebook-Server. Facebook gleicht dann die erhaltenen Hashwerte mit den ebenfalls mit derselben Hashfunktion SHA-256 verarbeiteten E-Mail-Adressen aller Facebook-Mitglieder ab. Sind daraufhin zwei Hashwerte identisch, ist anhand der übereinstimmenden E-Mail-Adressen das dazugehörige Facebook-Mitglied bestimmt. Daraufhin erhält das Facebook-Mitglied innerhalb seines Profils zielgerichtete Werbung.
Das Landesamt verpflichtete die Antragstellerin die veröffentlichte Kundenliste zu löschen
Bei den E-Mail-Adressen handelt es sich um personenbezogene Daten nach §3 Abs.1 BDSG. Diese werden durch den Vorgang des Hashens nicht i.S.v. §3 Abs.6 BDSG anonymisiert. Es ist wohl ohne größeren Aufwand möglich, die Daten einer bestimmten Person zuzuordnen, da durch das Hashen der Personenbezug nicht völlig aufgehoben wird. Des Weiteren folgt die Übermittlung der gehashten Daten an Facebook als Dritten, i.S.v. §3 Abs.8 S.2 BDSG und stellt eine Verarbeitung nach §3 Abs.4 S.1 BDSG dar. Eine konkrete Einwilligung in die Übermittlung seiner Daten an Facebook liegt durch den Betroffenen aber gerade nicht vor.
Verwaltungsgericht entscheidet nach Interessenabwägung
Das Verwaltungsgericht ist der Ansicht, dass die Antragstellerin ein berechtigtes Interesse i.S.v. §28 Abs.1 S.2 Nr.2 BDSG nachweisen muss und zusätzlich auch nachweisen muss, dass die Nutzung der personenbezogenen Daten zur Wahrung dieser Interessen auch erforderlich ist. §28 Abs.1 S.2 Nr.2 BDSG kommt als Rechtsgrundlage aber dann nicht in Betracht, wenn die Antragstellerin ihr Informationsziel auch auf anderem Weg erreichen kann. Beispielsweise wäre es der Antragstellerin durchaus möglich gewesen, im Zusammenhang mit Bestellvorgängen eine Einwilligung zur Übermittlung der E-Mail-Adresse an Facebook zu Werbezwecken bei den Betroffenen einzuholen.
Autorin: Anna Lena Müller