Ein Schweizer Sportverband hat von seinen Mitgliedervereinen eine Liste sämtlicher Vereinsmitglieder angefordert. Die Daten sollten zu Marketingzwecken verkauft werden. Mehrere Vereine haben uns gefragt, ob das entsprechende Vorgehen korrekt sei und ob sie die Personendaten weiterleiten dürften. Wir erklärten ihnen, dass sie für eine Weitergabe die Einwilligung der betroffenen Personen benötigen, und forderten den Verband auf, die Vereine auf diese Rechtslage hinzuweisen und allfällige bereits gelieferte Daten keinesfalls zu verwenden. Die Aufgabe, die Einwilligung der einzelnen Mitglieder einzuholen, könnte der Verein im Rahmen eines Outsourcings aber an den Verband übertragen.
Nicht zum ersten Mal haben wir uns mit der Weitergabe von Adressen und weiteren Personendaten von Vereinsmitgliedern an Dritte zu Marketingzwecken (z.B. an Sponsoren) befasst (vgl. unseren 16. Tätigkeitsbericht 2008/2009, Ziff. 1.8.5). Vereine dürfen personenbezogene Daten nur an Dritte weitergeben, wenn diese Bekanntgabe für die Betroffenen erkennbar ist und sie eingewilligt oder sich nicht dagegen ausgesprochen haben. Die Vereine können eine solche Bekanntgabe in ihren Statuten festhalten oder im Einzelfall die Einwilligung einholen. Zudem müssen die Betroffenen darüber informiert werden, dass sie sich jederzeit einer derartigen Verwendung ihrer Personendaten zu Marketingzwecken widersetzen können.
Im Frühjahr 2009 hat ein Schweizer Sportverband seine Mitgliedervereine angeschrieben und, gestützt auf seine Statuten, eine Liste sämtlicher Vereinsmitglieder (inklusive Post- und Email-Adressen) angefordert. Diese Daten sollten zu Marketingzwecken genutzt werden. Zudem hat der Verband ausgeführt, dass die Weitergabe der Daten an Dritte (durch den Verband) in jedem Fall im Einklang mit dem DSG sei.
In der Folge haben mehrere regionale Vereine angefragt, ob das entsprechende Vorgehen korrekt sei. Insbesondere wollten sie wissen, ob sie die vom Verband gewünschten Personendaten weiterleiten durften oder sogar mussten. Wir haben die Vereine darauf aufmerksam gemacht, dass sie ihre Mitgliederdaten nur dann weitergeben dürfen, wenn dafür die Einwilligung der einzelnen Mitglieder vorliegt. Für nicht besonders schützenswerte Daten genügt eine implizite Einwilligung, welche mit einer Opt-out-Möglichkeit umgesetzt werden kann. Auf jeden Fall ist den Betroffenen der Empfänger und der Zweck der Datenbekanntgabe mitzuteilen sowie ein Widerspruchsrecht einzuräumen. Zudem haben wir betont, dass die Verwendung der Email-Adressen bei Massenwerbung dem Bundesgesetz gegen den unlauteren Wettbewerb (UWG) untersteht und unter anderem eine explizite Einwilligung (Opt-in) voraussetzt.
Wir haben zudem bei dem Verband interveniert und ihn aufgefordert, seine Vereine auf die korrekte Rechtslage hinzuweisen und allfällige bereits von den regionalen Clubs gelieferte Daten keinesfalls zu verwenden. Insbesondere darf er diese Daten nicht an weitere Dritte bekannt geben, solange nicht sichergestellt ist, dass die Weitergabe durch die Vereine an den Verband rechtmässig (also insbesondere mit Vorliegen der Einwilligung der einzelnen Mitglieder) erfolgt ist. Nur dann ist der Verband nämlich zur Bearbeitung und Weitergabe der Daten an Dritte berechtigt.
Anlässlich einer Sitzung hat uns der Verband mitgeteilt, dass bei der praktischen Umsetzung oftmals Probleme bestehen, da die Vereine meist weder über Kapazitäten noch den Willen verfügten, bei den Vereinsmitgliedern entsprechend um Einwilligung anzufragen. Wir haben ein mit dem DSG in Einklang stehendes Vorgehen vorgeschlagen: Die Vereine könnten die Aufgabe, die Einwilligung der einzelnen Mitglieder einzuholen, im Rahmen eines Outsourcings an den Verband übertragen. Der Verband kann aber die Adressdaten nur einmalig dazu verwenden, um im Namen des Vereins die Einwilligung zur Datenverwendung durch den Verband zu erfragen. Nach der Anfrage darf der Verband nur noch diejenigen Personendaten bearbeiten, für welche er die Einwilligung der betroffenen Personen erhalten hat.