Woher ein Unternehmen Ihre Daten hat, muss es Ihnen auf Nachfrage sagen. Nach Art. 15 Abs. 1 lit. g DSGVO gehören zur Auskunft „alle verfügbaren Informationen über die Herkunft der Daten“, wenn diese nicht bei Ihnen selbst erhoben wurden. Zusammen mit den Angaben zu Empfängern und Verarbeitungszwecken lässt sich so nachvollziehen, warum Sie Werbung von einem Absender bekommen, bei dem Sie nie Kunde waren, und wohin Ihre Daten weitergegeben wurden.

Typische Wege, auf denen Ihre Daten zu einem Unternehmen gelangen

  • Adresshandel und Adressvermietung: Unternehmen mieten oder kaufen Adresslisten für Werbebriefe. Häufig verschickt ein Dienstleister, ein sogenannter Lettershop, die Post, ohne dass der Werbende die Adressen selbst erhält.
  • Gewinnspiele und Gratisangebote: Bei der Teilnahme willigen Sie oft in Werbung durch Partnerunternehmen ein.
  • Konzern- und Partnerunternehmen: Daten werden innerhalb einer Unternehmensgruppe oder an Kooperationspartner weitergegeben, etwa bei Bonusprogrammen.
  • Frühere Vertragsbeziehungen: Ein Unternehmen wurde übernommen oder hat einen Geschäftsbereich verkauft, Ihre Kundendaten gingen mit.
  • Online-Werbung: Händler laden etwa gehashte E-Mail-Adressen hoch, um Kunden auf Werbeplattformen wiederzuerkennen.
  • Öffentliche Quellen: Einträge in Telefon- oder Branchenverzeichnissen, Handelsregister oder eigene Veröffentlichungen.

Nicht jede dieser Weitergaben ist unzulässig. Werbung per Post kann zum Beispiel auf ein berechtigtes Interesse gestützt werden. Für Werbung per E-Mail oder Telefon gelten dagegen strengere Regeln, in der Regel brauchen Unternehmen dafür Ihre vorherige Einwilligung (§ 7 UWG).

Was Ihnen das Unternehmen über die Herkunft sagen muss

Hat ein Unternehmen Daten nicht bei Ihnen erhoben, muss es Sie grundsätzlich von sich aus informieren, spätestens innerhalb eines Monats und bei Werbung spätestens bei der ersten Kontaktaufnahme (Art. 14 Abs. 3 DSGVO). Dazu gehört auch die Quelle der Daten (Art. 14 Abs. 2 lit. f DSGVO). Werbebriefe enthalten deshalb oft einen kurzen Hinweis wie „Ihre Anschrift haben wir von …“.

Mit der Auskunft nach Art. 15 DSGVO können Sie darüber hinaus verlangen, dass das Unternehmen die verfügbaren Herkunftsinformationen zu Ihren konkreten Daten offenlegt. Pauschale Formulierungen wie „aus öffentlich zugänglichen Quellen“ sind wenig aussagekräftig, wenn dem Unternehmen eine konkrete Quelle bekannt ist.

Empfänger: an wen Ihre Daten gegangen sind

Ebenso wichtig ist die andere Richtung. Art. 15 Abs. 1 lit. c DSGVO umfasst die Empfänger, denen Ihre Daten offengelegt wurden oder werden. Der Europäische Gerichtshof hat entschieden, dass Sie grundsätzlich die konkreten Empfänger erfahren können. Auf bloße Kategorien wie „Werbepartner“ darf sich das Unternehmen nur beschränken, wenn eine Nennung der konkreten Empfänger unmöglich ist oder Ihr Antrag offenkundig unbegründet oder exzessiv ist (EuGH, Urteil vom 12. Januar 2023, C-154/21).

Werbeprofile: was aus Ihren Daten abgeleitet wird

Viele Unternehmen speichern nicht nur Name und Anschrift, sondern auch Merkmale, die aus Ihrem Verhalten oder aus zugekauften Daten abgeleitet sind, etwa eine geschätzte Kaufkraft, eine Wohnumfeld-Einstufung oder Interessen wie „Garten“ oder „Reisen“. Auch solche abgeleiteten Angaben sind personenbezogene Daten, wenn sie Ihnen zugeordnet sind, und gehören zur Auskunft. Werden sie zur Werbeauswahl genutzt, handelt es sich um Profiling. Wie das bei Kundenkarten und Shopping-Apps aussieht, beschreibt unser Beitrag Was speichern Shopping-Apps und Kundenkarten?.

Herkunft und Empfänger Ihrer Daten erfragen einmalig 3,99 € inkl. MwSt. je Anfrage

Checkliste: Werbung von einem unbekannten Absender

  • Bewahren Sie den Werbebrief oder die E-Mail auf, mit Absender, Datum und eventuellen Codes auf Umschlag oder Anschreiben.
  • Achten Sie auf Hinweise wie „Ihre Adresse haben wir von …“ oder den Namen eines Lettershops.
  • Notieren Sie, in welcher Schreibweise Ihr Name und welche Anschrift verwendet wurden. Ein Tippfehler oder eine alte Adresse kann verraten, aus welcher Quelle die Daten stammen.
  • Fordern Sie Auskunft beim Absender an, insbesondere zu Herkunft, Empfängern und Speicherdauer.
  • Fragen Sie bei der genannten Quelle weiter nach, bis Sie den Ursprung kennen.
  • Widersprechen Sie der Verwendung für Werbung, wenn Sie keine Werbung mehr möchten.

Fiktives Beispiel: Herr B. bekommt Kataloge eines Weinversands, bei dem er nie bestellt hat. Auffällig: Sein Vorname ist mit einem Schreibfehler gedruckt, den er nur einmal bei einer Gewinnspielteilnahme gemacht hat. Die Auskunft des Weinversands nennt als Herkunft einen Adressdienstleister. Dessen Auskunft wiederum nennt den Veranstalter des Gewinnspiels als Quelle. Herr B. widerspricht bei allen drei Stellen der werblichen Nutzung.

Widerspruch gegen Werbung

Gegen die Verarbeitung Ihrer Daten für Direktwerbung können Sie jederzeit Widerspruch einlegen, ohne Gründe anzugeben (Art. 21 Abs. 2 und 3 DSGVO). Danach dürfen die Daten nicht mehr für diesen Zweck verarbeitet werden. Das Unternehmen darf allerdings einen Sperrvermerk behalten, damit Sie nicht über einen anderen Weg erneut angeschrieben werden. Ein Widerspruch ist etwas anderes als eine Auskunft: Die Auskunft zeigt Ihnen den Stand, der Widerspruch ändert ihn.

Wie wir Sie unterstützen

Datenschutzabfrage.de erstellt Ihre Auskunftsanfrage nach Art. 15 DSGVO, die ausdrücklich auch Herkunft und Empfänger umfasst, und sendet sie mit Ihrer Vollmacht an das Unternehmen. Die Antwort geht an uns. Sie erhalten eine E-Mail und können die Unterlagen 30 Tage lang über einen persönlichen Link abrufen. Den Widerspruch gegen Werbung erklären Sie selbst gegenüber dem Unternehmen. Unser Service kostet einmalig 3,99 € inkl. MwSt. je Anfrage. Eine Übersicht der Unternehmen, zu denen es bei uns eigene Seiten gibt, finden Sie unter Unternehmen. Grundsätzliches zum Auskunftsrecht steht im Beitrag DSGVO-Auskunftsrecht.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.