VG Berlin: Keine gemeinsame Verantwortlichkeit beim Lettershop-Verfahren

1. Worum geht es beim Lettershop-Verfahren eigentlich?

Viele Unternehmen nutzen für ihre Direktwerbung das sogenannte Lettershop-Verfahren. Die Idee ist verlockend: Ein Adresshändler verfügt über umfangreiche Adressdatenbestände, segmentiert diese anhand bestimmter Kriterien – etwa Region, Kaufkraft oder Interessen – und übernimmt zugleich den gesamten Versand der Werbung. Das werbende Unternehmen liefert nur Inhalt und grobe Zielgruppenkriterien, sieht die konkreten Adressen aber nie. Aus Marketingsicht ist das effizient und kostensparend, aus Datenschutzsicht schien es lange Zeit ein pragmatischer Mittelweg zu sein.

In den vergangenen Jahren geriet dieses Modell jedoch zunehmend in den Fokus der Aufsichtsbehörden. Insbesondere die Berliner Datenschutzaufsicht vertrat die Auffassung, dass werbende Unternehmen und Adresshändler im Lettershop-Verfahren häufig „gemeinsam Verantwortliche“ nach Art. 26 DSGVO seien, mit der Folge umfangreicher zusätzlicher Pflichten, etwa einer Vereinbarung nach Art. 26 DSGVO und einer möglichen gesamtschuldnerischen Haftung bei Datenschutzverstößen.

Mit einem aktuellen Urteil hat das Verwaltungsgericht Berlin dieser weiten Auffassung nun in einer für die Werbe- und Adressbranche sehr wichtigen Konstellation eine klare Absage erteilt. Zwischen einem werbenden Unternehmen und einer Adresshändlerin, die im Lettershop-Verfahren postalische Direktwerbung versendet, besteht danach keine gemeinsame Verantwortlichkeit, wenn der Werbetreibende zwar Zielgruppenmerkmale vorgibt, aber keinen Zugriff auf die verwendeten Adressen erhält und auch nicht in die Ausgestaltung der Datenverarbeitung eingreift.

Für Unternehmen, die Adressen anmieten oder im Lettershop-Verfahren Werbung versenden lassen, ist das Urteil ein wichtiges Signal, aber keineswegs ein Freifahrtschein. Es lohnt sich, genauer hinzusehen, was das Gericht entschieden hat und wo weiterhin Risiken bestehen.

2. Der Fall vor dem VG Berlin: Revuetheater vs. Aufsichtsbehörde

Dem Urteil lag ein praxisnaher Fall zugrunde: Ein Revuetheater in Berlin wollte Ende 2021 für eine Show mit einer Weihnachtspostaktion auch Personen ansprechen, die noch keine Kunden des Theaters waren. Dazu beauftragte es eine Adresshändlerin mit dem Versand von Werbebriefen im Lettershop-Verfahren. Das Theater definierte die Zielgruppe nur grob: Personen mit überdurchschnittlicher oder stark überdurchschnittlicher Kaufkraft in Berlin und Brandenburg. Gestaltung und Inhalt des Werbebriefs kamen vom Theater, Auswahl und Nutzung der Adressen übernahm ausschließlich die Adresshändlerin.

Die Adresshändlerin arbeitete dabei mit sogenannten „Mikrozellen“: Sie teilt das Bundesgebiet in kleine Zellen auf, denen statistische Merkmale – unter anderem zur Kaufkraft – zugeordnet werden. Ausgehend von den Zielgruppenvorgaben des Theaters werden zunächst geeignete Mikrozellen ausgewählt. In einem zweiten Schritt werden daraus einzelne Adressen ermittelt, die dann für den Versand genutzt werden. Die konkreten Adressen legt die Adresshändlerin ihren Kunden nicht offen; das Theater hatte also keinen Einblick, wen genau die Werbung erreicht.

Eine Empfängerin eines solchen Werbebriefs beschwerte sich bei der Berliner Datenschutzaufsicht. Die Behörde verwarnte daraufhin das Theater mit der Begründung, es sei zusammen mit der Adresshändlerin „gemeinsam Verantwortliche“ im Sinne von Art. 26 DSGVO. Es entscheide über die Zwecke der Datenverarbeitung (Neukundengewinnung), profitiere wirtschaftlich von der Aktion und habe durch seinen Auftrag die konkrete Verarbeitung überhaupt erst veranlasst. Dass das Theater die Adressdaten nicht sehe, sei unerheblich.

Das Theater wehrte sich gegen diese Verwarnung. Es argumentierte im Kern, es habe weder Zugriff auf die Adressen noch Einfluss auf die technische oder organisatorische Ausgestaltung der Datenverarbeitung; die gesamten „Mittel“ der Verarbeitung, also das Wie, lägen bei der Adresshändlerin. Man habe eine fertige Dienstleistung eingekauft, nicht eine gemeinsame Datenverarbeitung geplant.

Das Verwaltungsgericht Berlin hob die Verwarnung auf.

3. Kernaussagen des VG Berlin: Keine gemeinsame Verantwortlichkeit im Lettershop-Fall

Das Gericht arbeitet zunächst sauber heraus, dass im Lettershop-Verfahren selbstverständlich eine Verarbeitung personenbezogener Daten vorliegt: Das Auslesen und Verwenden von Namen und Anschriften für den Versand der Werbebriefe ist eine Verarbeitung im Sinne von Art. 4 Nr. 1, 2 DSGVO. Dass die Adressdaten schon vorher beim Adresshändler vorhanden waren, ändert daran nichts; der konkrete Vorgang der Auswahl und Nutzung der Adressen für eine bestimmte Werbeaktion ist eigenständig zu beurteilen.

Entscheidend ist aber die Frage: Wer ist für diese Verarbeitung „Verantwortlicher“, und sind Adresshändlerin und Theater insoweit gemeinsam verantwortlich?

Art. 4 Nr. 7 DSGVO definiert den Verantwortlichen als die Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet. Art. 26 DSGVO setzt für eine gemeinsame Verantwortlichkeit voraus, dass zwei oder mehr Stellen gemeinsam Zwecke und Mittel festlegen.

Das Gericht prüft daher getrennt:

Erstens stellt es fest, dass das Theater sehr wohl Einfluss auf den Zweck der Datenverarbeitung genommen hat. Es wollte mit der Aktion neue Besucher für seine Show gewinnen – dieser Zweck prägte den Auftrag an die Adresshändlerin. Aus Sicht der Empfänger sieht das Werbeschreiben eindeutig wie eine Maßnahme des Theaters aus, mit dessen Corporate Design und alleiniger werblicher Botschaft.

Zweitens verneint das Gericht jedoch jeglichen Einfluss des Theaters auf die Mittel der Verarbeitung. Die Adresshändlerin habe den gesamten Verarbeitungsprozess – Mikrozellen-Konzept, statistische Zuschreibungen, technische Adressselektion, Versand – vollständig eigenständig konzipiert und umgesetzt. Das Theater konnte weder inhaltlich noch organisatorisch in diese Prozesse eingreifen.

Die bloße Vorgabe von Zielgruppenmerkmalen sei keine Entscheidung über die „Mittel“, sondern gehöre inhaltlich noch zur Zweckbestimmung. Ob man Haushalte mit hoher Kaufkraft anspricht oder alle Haushalte in einer Region, ändere am dahinterstehenden wirtschaftlichen Zweck – Neukundengewinnung – wenig; die technische und organisatorische Ausgestaltung bleibe Sache des Adresshändlers.

Nach Auffassung des Gerichts hätte es für eine gemeinsame Verantwortlichkeit einer darüber hinausgehenden organisatorischen oder konzeptionellen Mitwirkung an der Datenverarbeitung bedurft. Eine solche Mitwirkung sei aber nicht ersichtlich: Das Theater habe eine Leistung – Versand von Werbebriefen an eine bestimmte Zielgruppe – eingekauft, ohne Einfluss darauf, wie die Adresshändlerin ihre Datenbank strukturiert, Mikrozellen bildet oder den Auswahlprozess technisch umsetzt.

Kurz gesagt: Das Theater bestimmt den Zweck, die Adresshändlerin bestimmt die Mittel. Diese Rollenverteilung genügt nach Ansicht des VG Berlin nicht, um eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO zu begründen.

Bemerkenswert ist dabei: Das Gericht musste nicht entscheiden, ob die Verarbeitung als solche rechtmäßig war, insbesondere ob die Werbung auf die Rechtsgrundlage des berechtigten Interesses (Art. 6 Abs. 1 f) DSGVO) gestützt werden konnte. Es kam allein darauf an, dass die Verwarnung schon deshalb rechtswidrig war, weil sie sich gegen die falsche Adresse richtete, nämlich gegen das Theater statt gegen den Adresshändler.

4. Einordnung in die EuGH-Rechtsprechung zur gemeinsamen Verantwortlichkeit

Das Verwaltungsgericht setzt sich ausführlich mit der Rechtsprechung des Europäischen Gerichtshofs zur gemeinsamen Verantwortlichkeit auseinander. Der EuGH hat in den letzten Jahren den Begriff der gemeinsamen Verantwortlichkeit deutlich erweitert: Fanpage-Entscheidung (Facebook-Fanpages), Fashion-ID (Social-Media-Plugins), Jehovas Zeugen, die litauische Corona-App oder der Werbebranchenverband IAB Europe – in all diesen Fällen wurden Konstellationen als gemeinsame Verantwortlichkeit bewertet, in denen verschiedene Akteure an einem einheitlichen Verarbeitungsprozess beteiligt sind.

Wichtig ist jedoch: Der EuGH betont immer wieder, dass alle gemeinsam Verantwortlichen tatsächlich Einfluss auf die Entscheidung über Zwecke und Mittel der konkreten Verarbeitung nehmen müssen. Es reicht nicht, dass jemand nur wirtschaftlich profitiert oder die Verarbeitung irgendwie „auslöst“.

Das VG Berlin grenzt den Lettershop-Fall daher bewusst von den Fanpage- und Fashion-ID-Konstellationen ab. Dort war es gerade die Einbindung des Social-Media-Dienstes in die Website, die erst die Erhebung und Weiterleitung der Nutzerdaten ermöglichte – das Verhalten des Websitebetreibers war in gewisser Weise der „Schlüssel“ zu den Daten. Ohne Fanpage oder Plugin keine Datenerhebung in dieser Form.

Im Lettershop-Fall ist die Situation anders: Die Adresshändlerin verfügt bereits über einen eigenen Adressdatenbestand und kann diesen unabhängig von der Beteiligung des Theaters nutzen. Der Auftrag des Theaters schafft keinen neuen Zugangsweg zu Daten, die es ansonsten nicht gäbe; er löst lediglich eine – ohnehin mögliche – Verwendung vorhandener Daten zu einem weiteren Werbezweck aus.

Auch gegenüber anderen EuGH-Fällen zieht das VG Berlin klare Linien. So waren etwa bei der Corona-Warn-App oder beim IAB-TCF-Verfahren die Auftraggeber bzw. Verbände intensiv in die Parameter, Inhalte und technischen Spezifikationen der Verarbeitung eingebunden. Genau diese Art von struktureller Mitgestaltung der „Mittel“ fehlt im Lettershop-Beispiel.

Die Botschaft lautet damit: Nicht jede Einbindung in eine Datenverarbeitung macht automatisch „gemeinsam verantwortlich“. Unternehmen, die lediglich eine standardisierte Werbedienstleistung nutzen, ohne Einfluss auf die technischen und organisatorischen Mittel der Datenverarbeitung zu nehmen, sind nach dieser Entscheidung nicht zwangsläufig gemeinsam Verantwortliche.

5. Was bedeutet das für Unternehmen in der Praxis?

Für Werbetreibende, die Adresshändler oder Lettershops einsetzen, ist das Urteil des VG Berlin zunächst eine gute Nachricht. Es schwächt eine besonders weitgehende Auffassung einiger Aufsichtsbehörden, nach der schon die bloße Beauftragung eines Lettershops zur Annahme gemeinsamer Verantwortlichkeit führen sollte.

Gleichzeitig sollten Unternehmen sich nicht in falscher Sicherheit wiegen. Das Urteil ist „nur“ eine erstinstanzliche Entscheidung; die Berufung ist zugelassen und eine obergerichtliche Klärung steht noch aus. Zudem gilt: Die rechtliche Bewertung kann je nach Ausgestaltung des konkreten Modells anders ausfallen. Je mehr Einfluss ein Unternehmen auf Datenhaltung, technische Prozesse oder Auswahlkriterien nimmt, desto eher rückt eine gemeinsame Verantwortlichkeit in den Bereich des Möglichen.

Für die Praxis lassen sich einige Leitlinien ableiten:

Unternehmen sollten ihr eigenes Modell der Adressnutzung nüchtern betrachten. Wer lediglich Inhalt und grobe Zielgruppenmerkmale vorgibt, keinen Zugriff auf die adressierten Personen hat und die technische und organisatorische Ausgestaltung vollständig einer Adresshändlerin überlässt, bewegt sich näher an der Konstellation, die das VG Berlin beurteilt hat. In solchen Fällen spricht viel dafür, dass der Adresshändler alleiniger Verantwortlicher im Sinne der DSGVO für die Auswahl und Nutzung der Adressdaten ist.

Anders kann es aussehen, wenn das werbende Unternehmen etwa eigene Adressbestände einbringt, zusammen mit dem Dienstleister detaillierte Selektionslogiken oder technische Prozesse entwickelt, Parameter vorgibt, die über reine Marketing-Zielgruppenmerkmale hinausgehen, oder sogar Zugriff auf die Adressdaten erhält. In solchen Konstellationen kann sehr wohl eine gemeinsame Verantwortlichkeit entstehen – mit der Pflicht, eine Vereinbarung nach Art. 26 DSGVO abzuschließen und die Pflichten gegenüber Betroffenen untereinander klar zu regeln.

Unabhängig von der Verantwortlichkeitsfrage bleibt ein weiterer Punkt zentral: Die konkrete Werbemaßnahme muss sich auf eine tragfähige Rechtsgrundlage stützen lassen, typischerweise Art. 6 Abs. 1 f) DSGVO (berechtigtes Interesse) in Verbindung mit den Werberegeln des UWG. Die Tatsache, dass das VG Berlin die Verwarnung wegen fehlender Verantwortlichkeit aufgehoben hat, bedeutet ausdrücklich nicht, dass jede Lettershop-Werbung automatisch datenschutzkonform wäre. Adresshändler stehen ohnehin im besonderen Fokus der Rechtsprechung; etwa das OLG Stuttgart hat in einer früheren Entscheidung detailliert geprüft, ob Adresshandel und Lettershop-Werbung auf berechtigte Interessen gestützt werden können.

Unternehmen sollten daher – neben der Verantwortlichkeitsfrage – insbesondere prüfen, ob die Interessenabwägung bei der Direktwerbung trägt, ob Informationspflichten nach Art. 14 DSGVO erfüllt werden und ob interne Prozesse bestehen, um Auskunfts- oder Widerspruchsrechte von Betroffenen zügig zu bearbeiten.

Die jahrzehntelange Erfahrung unserer Kanzlei zeigt: Streit mit Aufsichtsbehörden entsteht selten nur wegen eines einzigen rechtlichen Aspekts. Meist ist es eine Kombination aus unklarer Rollenverteilung, nicht sauber dokumentierten Rechtsgrundlagen und fehlenden Prozessen, die ein Verfahren ins Rollen bringt. Wer Lettershop-Verfahren nutzt, sollte deshalb nicht nur „Wer macht was?“ sauber klären, sondern das gesamte Werbekonzept datenschutzrechtlich durchdenken.

6. Fazit: Entlastung – aber kein Persilschein

Das Urteil des VG Berlin ist ein wichtiger Baustein in der noch jungen Rechtsprechung zur gemeinsamen Verantwortlichkeit bei Adresshandel und Lettershop-Verfahren. Es setzt sinnvolle Grenzen: Nicht jedes werbende Unternehmen, das externe Adressbestände nutzt, wird automatisch in die volle Mitverantwortung für Auswahl und Verwendung dieser Daten hineingezogen.

Gleichzeitig bleibt die Rechtslage im Fluss. Die zugelassene Berufung, die intensive Beschäftigung der Aufsichtsbehörden mit Adresshandel sowie die dynamische EuGH-Rechtsprechung machen deutlich: Unternehmen, die auf Direktwerbung und Adressmiete setzen, sollten ihre Modelle regelmäßig überprüfen und dokumentieren.

Wer als Unternehmen heute mit Adresshändlern zusammenarbeitet, sollte insbesondere klären, welche Rolle er tatsächlich einnimmt: Bestimme ich nur den Zweck der Werbung, oder greife ich auch in die Mittel der Datenverarbeitung ein? Welche Daten sehe ich selbst – und ab welchem Zeitpunkt? Welche vertraglichen Regelungen bestehen zu Verantwortlichkeit, Informationspflichten, Betroffenenrechten und Haftung?

Wenn Sie Lettershop-Verfahren, Adressmiete oder andere Formen des Adresshandels nutzen oder planen, empfiehlt sich eine individuelle rechtliche Prüfung. So lassen sich sowohl überzogene Anforderungen vermeiden als auch echte Risiken frühzeitig erkennen und reduzieren.

Gerne unterstützen wir Sie dabei, Ihr Direktmarketing rechtskonform zu gestalten und tragfähige Lösungen mit Ihren Dienstleistern zu entwickeln.