Aktuelle Kurz-Information 10: Einladungen zu Veranstaltungen durch bayerische Kommunen

Stichwörter: Auftragsverarbeitung - Rückantwort, Bitte um - Einladungen - Einwilligung - Informationspflichten - Repräsentation - Veranstaltungen

Gerade bayerische Gemeinden verschicken aus unterschiedlichen Anlässen gezielt Einladungen an interessierte Personen, beispielsweise zu kulturellen Veranstaltungen wie etwa Konzerten, Vorträgen oder Vernissagen, jedoch auch zu repräsentativen Anlässen wie der Festveranstaltung eines Stadtjubiläums, einem Neujahrsempfang, einer Ehrung engagierter Bürgerinnen und Bürger oder erfolgreicher Sportler. Dabei werden personenbezogene Daten der Adressaten verwendet. Oftmals haben die Gemeinden für Zwecke dieser Art über Jahre hinweg Listen mit Adressdaten gepflegt. Der Versand von Veranstaltungseinladungen wirft allerdings datenschutzrechtliche Fragen auf. Die vorliegende Aktuelle Kurz-Information geht insbesondere auf kommunale Veranstaltungen ein, will jedoch auch den staatlichen Behörden eine erste Orientierung geben.

1. Rechtsgrundlagen bei Einladungen

Das Zusammenstellen einer Adressliste wie auch der Versand von Einladungen - gleichgültig ob per E-Mail oder Brief - ist jeweils eine Verarbeitung personenbezogener Daten - der Adressdaten -, für welche die Gemeinde eine Rechtsgrundlage benötigt (siehe Art. 6 Abs. 1 Datenschutz-Grundverordnung - DSGVO). Diese Rechtsgrundlage kann in einer mitgliedstaatlichen Regelung (Art. 6 Abs. 1 UAbs. 1 Buchst. e, Abs. 3 UAbs. 1 Buchst. b DSGVO) gründen, aber auch in einer Einwilligung (Art. 6 Abs. 1 UAbs. 1 Buchst. a DSGVO). Maßgeblich für die Abgrenzung ist insofern der von der Gemeinde verfolgte Verwaltungszweck. Im Einzelnen:

Mit Einladungen zu kulturellen Veranstaltungen verfolgt die Gemeinde das Interesse, Öffentlichkeit zu erzeugen, gegebenenfalls auch das Interesse, einen Kostendeckungsbeitrag zu erwirtschaften, wenn es sich um entgeltliche Veranstaltungen handelt. Derartige Einladungen können eine Nähe zu werblichen Zusendungen haben und - aus der Perspektive des allgemeinen Persönlichkeitsrechts betrachtet - als potenziell "lästige" Beeinträchtigungen zu werten sein. Hier ist für die entsprechenden Datenverarbeitungen regelmäßig eine Einwilligung erforderlich (dazu unten b.).
Mit Veranstaltungen repräsentativer Art zielt die Gemeinde dagegen oftmals auf eine Stärkung der örtlichen Identität oder auf eine Würdigung herausragenden bürgerschaftlichen Engagements. So wird sie zum Neujahrsempfang außer herausgehobenen Funktionsträgern Bürgerinnen und Bürger einladen, die sich im vergangenen Jahr um Gemeinwohlbelange verdient gemacht haben, oder zu einer Sportlerehrung Leistungsträger, die mit besonderen Erfolgen in ihrer jeweiligen Disziplin hervorgetreten sind. Aus dem Blickwinkel des allgemeinen Persönlichkeitsrechts betrachtet, lassen sich Einladungen dieser Art kaum als Beeinträchtigung darstellen (dazu sogleich a.).

a. Verarbeitungsbefugnis als Rechtsgrundlage

Vor diesem Hintergrund kann der Versand von Einladungen zu Veranstaltungen repräsentativer Art - Festveranstaltung eines Stadtjubiläums, Neujahrs- oder Neubürgerempfang, Sportlerehrung - auf die Befugnis des Art. 4 Abs. 1 Bayerisches Datenschutzgesetz (BayDSG) gestützt werden. Um der Gefahr vorzubeugen, dass der Kreis dieser Veranstaltungen in der Verwaltungspraxis mit der Zeit ausufert, sollte der Gemeinderat in einem Beschluss diese Veranstaltungen näher konkretisieren. Hierdurch wird auch den Grundsätzen der Zweckbindung (Art. 5 Abs. 1 Buchst. b DSGVO) und der Datenminimierung (Art. 5 Abs. 1 Buchst. c DSGVO) Rechnung getragen. Der Gemeinderat konkretisiert dabei die gemeindliche Aufgabe der örtlichen Repräsentation; kommerzielle Veranstaltungen bleiben von vornherein außer Betracht.

Damit die Gemeinde Bürgerinnen und Bürger zu solchen Veranstaltungen repräsentativer Art einladen kann, benötigt sie deren Adressdaten. Hierfür kann sie auf die Meldedaten ihrer Meldebehörde zurückgreifen (§ 37 Abs. 1, § 34 Abs. 1 Bundesmeldegesetz). Auch hierfür sollte die Repräsentationsaufgabe durch einen Gemeinderatsbeschluss konkretisiert sein.

b. Einwilligung als Rechtsgrundlage

Da bei kulturellen Veranstaltungen regelmäßig keine gesetzliche Verarbeitungsbefugnis zur Verfügung steht, kommt als Rechtsgrundlage für die Zusammenstellung einer Adressliste sowie für den Einladungsversand nur eine Einwilligung in Betracht. Eine Einwilligung ist wirksam, wenn sie die Anforderungen nach Art. 4 Nr. 11, Art. 6 Abs. 1 UAbs. 1 Buchst. a sowie Art. 7 Abs. 2 und 3 DSGVO erfüllt. Diese Anforderungen erläutert das Arbeitspapier "Die Einwilligung nach der Datenschutz-Grundverordnung (DSGVO)". Die Einwilligung muss insbesondere freiwillig, informiert, auf einen bestimmten Zweck und auf eine bestimmte Verarbeitung bezogen sowie unmissverständlich sein (siehe Art. 4 Nr. 11, Art. 6 Abs. 1 UAbs. 1 Buchst. a DSGVO). Sie wirkt grundsätzlich bis zu ihrem Widerruf (Art. 7 Abs. 3 Satz 1, 2 DSGVO).

Grundsätzlich können auch konkludente Handlungen eine Einwilligung darstellen, etwa die (freiwillige) mündliche Mitteilung der Kontaktdaten zwecks Erhalt von Einladungen. Allerdings trifft den Verantwortlichen im Rahmen seiner Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) nach Art. 7 Abs. 1 DSGVO die Pflicht, nachweisen zu können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. Daher ist die Schriftform durch die Datenschutz-Grundverordnung zwar nicht gefordert, ihre Wahrung im Hinblick auf die Nachweispflicht aber sehr zu empfehlen. Über den Umgang mit Bestandsdaten (bereits vorhandene Einladungslisten) informiert die Aktuelle Kurz-Information 1 "Versand von Newslettern durch bayerische öffentliche Stellen" (dort 4.).

c. Zusätzliche Anforderungen bei Bitte um Rückantwort

Ein zusätzliches Problem tritt auf, wenn in der Einladung um eine Rückantwort gebeten wird. In diesem Rahmen wird typischerweise abgefragt, ob die eingeladene Person der Einladung folgt (Zu-/Absage) und wie viele Personen sie begleiten werden (Teilnehmerzahl). Eine solche Bitte um Rückantwort stellt eine Verarbeitung von personenbezogenen Daten durch Erhebung seitens der Gemeinde dar und benötigt daher (ebenfalls) eine Rechtsgrundlage. Bei Veranstaltungen repräsentativer Art kann die Verarbeitung durch die Befugnis aus Art. 4 Abs. 1 BayDSG mitabgedeckt sein. Im Übrigen steht auch hier nur die Einwilligung als Rechtsgrundlage zur Verfügung.

2. Informationspflichten

Im Hinblick auf die Informationspflichten sind mehrere Konstellationen zu unterscheiden.

(1) Werden aufgrund der bereits vorhandenen und entsprechend zweckbestimmten Kontaktdaten nur einfache Einladungen (ohne Bitte um Rückantwort) versandt, so besteht insofern keine Informationspflicht; die personenbezogenen Daten liegen bereits vor und können deshalb nicht mehr erhoben werden.

(2) Wird dagegen im Rahmen der Einladung um eine Rückantwort gebeten und kommt es somit zu einer Erhebung personenbezogener Daten, sind die Informationspflichten nach Art. 13 DSGVO zu erfüllen, die den Verantwortlichen treffen. Informationen und Muster hierzu sind in den "Arbeitshilfen zur praktischen Umsetzung der Datenschutz-Grundverordnung, der Richtlinie (EU) 2016/680 (Richtlinie zum Datenschutz bei Polizei und Justiz) und des neuen Bayerischen Datenschutzgesetzes für bayerische öffentliche Stellen" des Bayerischen Staatsministeriums des Innern und für Integration, dort unter 6., zu finden (Internet: https://www.stmi.bayern.de/sus/datensicherheit/datenschutz/reform_arbeitshilfen/ (externer Link)). Es bieten sich danach folgende zwei Vorgehensweisen an, um die Informationspflichten zu erfüllen:

(2.1) Erstens kann die öffentliche Stelle eine Aufteilung der Informationen in Grundinformationen (Art. 13 Abs. 1 DSGVO) und weitere Informationen (Art. 13 Abs. 2 DSGVO) vornehmen. Auf der versendeten Einladungskarte werden danach stets die Grundinformationen aufgeführt. Die vollständigen Informationen, also sowohl die Grundinformationen als auch die weiteren Informationen, werden zusätzlich im Internet bereitgestellt. Auf der Einladungskarte ist eine entsprechende Information aufzunehmen mit der Internetadresse und dem Hinweis, dass man die weiteren Informationen auch bei einer näher bezeichneten Stelle des Verantwortlichen in anderer Form (mündlich oder papiergebunden) erhalten kann.

(2.2) Zweitens kann es sich anbieten, die vollständigen Informationen des Art. 13 Abs. 1 und Abs. 2 DSGVO zur Datenerhebung den betroffenen Personen in einem separaten Schreiben alsbald, jedenfalls mit der zeitlich nächsten Einladung, mitzuteilen. Dies sollte (intern) dokumentiert werden, um gegebenenfalls später die Erfüllung der Informationspflichten nachweisen zu können (vgl. Art. 5 Abs. 2 DSGVO). Bei den danach erfolgenden Einladungen ist eine weitere Information nicht mehr notwendig, da die betroffenen Personen bereits über die Informationen verfügen (Art. 13 Abs. 4 DSGVO). Der Vorteil dieser Lösung liegt darin, dass grundsätzlich nur einmal die Information mitgeteilt werden muss und die Einladungen selbst frei bleiben von in diesem Kontext als unschön empfundenen Datenschutzhinweisen.

(3) Bei Neuaufnahme einer Person in eine Einladungsliste muss ebenfalls stets eine ordnungsgemäße Information nach Art. 13 Abs. 1, Abs. 2 DSGVO sichergestellt werden. Hier bietet es sich an, im Zusammenhang mit der Einholung der Kontaktdaten und der Einwilligung alle notwendigen Informationen mitzuteilen. Wenn die öffentliche Stelle beabsichtigt, nicht nur einfache Einladungen, sondern (auch) Einladungen verbunden mit der Bitte um Rückantwort zu versenden, sollte die Informationen bereits diese (zukünftige) Datenerhebung miteinschließen. Bei den danach erfolgenden Einladungen (auch mit Bitte um Rückantwort) ist dann eine weitere Information nicht mehr notwendig, da die betroffenen Personen bereits über die Informationen verfügen (Art. 13 Abs. 4 DSGVO).

3. Verzeichnis der Verarbeitungstätigkeiten

Eine Verarbeitungstätigkeit mit dem Zweck "Versand von Einladungen zu (kulturellen) Veranstaltungen (repräsentativer Art)" ist auch in das behördeninterne Verzeichnis der Verarbeitungstätigkeiten aufzunehmen. Rechtsgrundlage für diese Verarbeitungstätigkeit ist Art. 6 Abs. 1 UAbs. 1 Buchst. a DSGVO bzw. Art. 4 Abs. 1 BayDSG. Betroffene Personen sind die Adressaten (zukünftiger) Einladungen. Zu den Kategorien personenbezogener Daten zählen regelmäßig der Name und der Vorname sowie die Postanschrift und/oder die E-Mail-Adresse, gegebenenfalls noch weitere Angaben (z. B. das Geburtsdatum). Kategorien (dritter) Empfänger können beispielsweise dann anzugeben sein, wenn die öffentliche Stelle für den Versand der Einladungen mit einem Auftragsverarbeiter kooperiert (dazu unten unter 4.). Was die Löschfristen betrifft, ist im Verzeichnis der Verarbeitungstätigkeiten darauf hinzuweisen, dass eine Einladungsliste in festzulegenden Abständen überprüft wird und nicht mehr aktuelle Datensätze (z. B. von "Rückläufern") - wie auch im Fall des Widerrufs einer Einwilligung - gelöscht werden.

4. Auftragsverarbeiter

Wenn die öffentliche Stelle einen Dritten zur Erstellung und zum Versand der Einladungen einschaltet und diesem insofern die Adressdaten zur Verfügung stellt, handelt es sich um eine Verarbeitung von Daten im Auftrag des Verantwortlichen (Auftragsverarbeitung, Art. 4 Nr. 8, Art. 28 f. DSGVO). Weitere Informationen hierzu, insbesondere zu den Anforderungen, sind in der Orientierungshilfe "Auftragsverarbeitung" zu finden.