VG Berlin zur Verantwortlichkeit bei Werbung im Lettershop-Verfahren

Wer ist beim Lettershop-Verfahren datenschutzrechtlich verantwortlich?

Das Verwaltungsgericht Berlin hat mit Urteil vom 14. Oktober 2025 (Az. 1 K 74/24)  entschieden, dass ein werbendes Unternehmen und eine Adresshändlerin im sogenannten Lettershop-Verfahren nicht automatisch gemeinsam verantwortlich im Sinne der DSGVO sind. Das gilt jedenfalls dann, wenn das werbende Unternehmen lediglich Zielgruppenmerkmale vorgibt, selbst aber keinen Zugriff auf die verwendeten Adressdaten erhält und auch nicht über die konkrete Auswahl der Empfänger entscheidet.

Die Entscheidung betrifft eine in der Praxis weit verbreitete Werbeform und ist für Unternehmen, die für ihre postalische Neukundenwerbung auf Adresshändler zurückgreifen, ebenso relevant wie für die Adresshändler selbst. Im Kern geht es um die Frage, wer für die Datenverarbeitung verantwortlich ist und welche datenschutzrechtlichen Pflichten daraus entstehen. Sie steht im Spannungsverhältnis zu der bislang teilweise strengeren Auffassung einzelner Datenschutzaufsichtsbehörden.

Der Fall: Postalische Neukundenwerbung im Lettershop-Verfahren

Die Klägerin betreibt ein Revuetheater in Berlin. Für eine Weihnachtswerbung Ende 2021 wollte sie auch Personen ansprechen, die bisher nicht zu ihrem Kundenkreis gehörten. Hierzu beauftragte sie eine Adresshändlerin mit dem Versand postalischer Werbung im Lettershop-Verfahren. Das werbende Unternehmen bestimmte das Design des Werbeschreibens und legte gegenüber der Adresshändlerin fest, dass Personen aus Berlin und Brandenburg mit überdurchschnittlicher Kaufkraft angesprochen werden sollten.

Die konkrete Auswahl der Empfängeradressen erfolgte hingegen durch die Adresshändlerin anhand eines Mikrozellen-Modells. Hierbei wird das Bundesgebiet in kleine geografische Einheiten von durchschnittlich 6,6 Haushalten unterteilt, denen auf Basis statistischer Daten bestimmte Merkmale, etwa eine angenommene Kaufkraft, zugeordnet werden. Ein beauftragter Dienstleister identifizierte anschließend geeignete Mikrozellen und ermittelte daraus die zu bewerbenden Adressen. Das werbende Unternehmen erhielt dabei zu keinem Zeitpunkt Zugriff auf die konkreten Adressdaten.

Nach dem Versand wandte sich eine Empfängerin des Schreibens über ihren Betreuer mit einer Beschwerde an die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI). Die Behörde ging davon aus, dass das werbende Unternehmen und die Adresshändlerin gemeinsam für die Datenverarbeitung verantwortlich waren. Aus diesem Grund warf sie dem Unternehmen unter anderem vor, Daten ohne ausreichende Rechtsgrundlage verarbeitet und gegen Informations- und Transparenzpflichten verstoßen zu haben. Die Behörde verwarnte daraufhin das Unternehmen mit Bescheid vom 19. Januar 2024. Das Unternehmen erhob hiergegen Klage vor dem Verwaltungsgericht Berlin.

Die Entscheidung des VG Berlin

Das VG Berlin gab der Klage statt und hob die Verwarnung auf. Eine gemeinsame Verantwortlichkeit zwischen dem werbenden Unternehmen und der Adresshändlerin lag nach Auffassung des Gerichts im konkreten Fall nicht vor.

Das VG Berlin stützte seine Entscheidung auf die Rechtsprechung des Europäischen Gerichtshofs vom 05.12.2023 – C-683/21. Danach kann eine Einflussnahme aus Eigeninteresse zwar für eine Verantwortlichkeit sprechen. Für die Annahme einer gemeinsamen Verantwortlichkeit ist jedoch erforderlich, dass eine Stelle tatsächlich im Eigeninteresse Einfluss auf die Entscheidung über die Zwecke und die Mittel der Verarbeitung nimmt. Diese Voraussetzungen müssten kumulativ vorliegen.

Zwar habe die Klägerin nach Auffassung des Gerichts Einfluss auf den Zweck der Datenverarbeitung genommen, indem sie die Werbemaßnahme im eigenen wirtschaftlichen Interesse veranlasste und die gewünschte Zielgruppe festlegte. Einen Einfluss auf die Mittel der Verarbeitung konnte das Gericht jedoch nicht erkennen. Die Auswahl der Empfängeradressen, die Bildung und Selektion der Mikrozellen sowie die organisatorische und technische Ausgestaltung des Verfahrens lagen vollständig in den Händen der Adresshändlerin. Auch die bloße Vorgabe einer Zielgruppe genüge nicht, um eine Mitbestimmung der Mittel anzunehmen.

In seiner Entscheidung grenzte das VG Berlin den vorliegenden Sachverhalt zudem von anderen Fallkonstellationen ab, in denen der EuGH eine gemeinsame Verantwortlichkeit angenommen oder zumindest für möglich gehalten hatte. Anders als in den Entscheidungen „Fanpage“ (EuGH, Urt. v. 5.6.2018 – C-210/16) und „Fashion ID“ (EuGH, Urt. v. 29.7.2019 – C-40/17) habe die Klägerin die Datenverarbeitung nicht erst ermöglicht. Die Adresshändlerin verfügte unabhängig vom Auftrag bereits über den Adressbestand und konnte diesen eigenständig verarbeiten. Die bloße Veranlassung der konkreten Werbemaßnahme reiche daher nicht aus, um eine gemeinsame Verantwortlichkeit zu begründen.

Mangels Einflusses auf die Mittel der Verarbeitung verneinte das Gericht daher eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO. Die Klägerin sei damit nicht die richtige Adressatin der Verwarnung gewesen. Ob die Datenverarbeitung materiell rechtmäßig war, insbesondere ob eine ausreichende Rechtsgrundlage bestand, ließ das Gericht ausdrücklich offen.

Keine einheitliche Auffassung zur datenschutzrechtlichen Einordnung

Die Entscheidung steht im Gegensatz zur Auffassung mehrerer Datenschutzaufsichtsbehörden. Neben der Berliner Beauftragten für Datenschutz und Informationsfreiheit, deren Rechtsauffassung Gegenstand des Verfahrens war, hatten auch andere Landesdatenschutzbehörden bislang eine eher weite Auslegung der gemeinsamen Verantwortlichkeit vertreten.

So ging die Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz bereits in ihrem Tätigkeitsbericht 2020  (Seite 35 f.) davon aus, dass Adresslisteneigner und werbendes Unternehmen gemeinsam verantwortlich sein können und eine Vereinbarung nach Art. 26 DSGVO schließen müssen.

Auch der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg vertrat in seinem Tätigkeitsbericht 2020 (Seite 104 f.) die Auffassung, dass Werbender und Adresshändler regelmäßig gemeinsam Verantwortliche sind. Maßgeblich bleibe zwar stets der Einzelfall. In der Regel sei eine gemeinsame Verantwortlichkeit aber anzunehmen, wenn das werbende Unternehmen die Kriterien für die Adressauswahl selbst festlegt.

Demgegenüber ordnet die Datenschutzkonferenz (DSK) in ihrem Kurzpapier Nr. 13 die Adressverarbeitung durch einen Lettershop als Auftragsverarbeitung ein.

Auch das VG Berlin weist in seinem Urteil ausdrücklich darauf hin, dass die Frage zur Verantwortlichkeit in der Rechtsprechung bislang nicht abschließend geklärt ist und sich anhand der bisherigen EuGH-Rechtsprechung in beide Richtungen vertretbar beantworten lässt.

Bedeutung für die Praxis

Die Entscheidung liefert daher vorerst lediglich ein Argument gegen eine pauschale Annahme gemeinsamer Verantwortlichkeit im Lettershop-Verfahren. Eine endgültige Rechtssicherheit schafft sie jedoch nicht.

Unternehmen sollten genau prüfen, welche Rolle sie bei einer konkreten Werbemaßnahme einnehmen. Wer lediglich allgemeine Zielgruppenmerkmale vorgibt und keinen Zugriff auf die verwendeten Adressdaten erhält, kann sich auf die Argumentation des VG Berlin berufen. Anders kann die Bewertung ausfallen, wenn das Unternehmen in die Auswahl der Empfänger eingebunden ist, konkrete Selektionskriterien oder -logiken vorgibt, Zugriff auf Adressdaten erhält oder organisatorische Vorgaben für die Verarbeitung macht.

Praxis-Tipps

• Verantwortlichkeit eigenständig prüfen: Verlassen Sie sich nicht allein auf die datenschutzrechtliche Einordnung durch den Adresshändler. Maßgeblich ist die tatsächliche Ausgestaltung der Verarbeitung und die Frage, wer über Zwecke und Mittel der Datenverarbeitung entscheidet.
• Rollenverteilung dokumentieren: Halten Sie nachvollziehbar fest, welche Entscheidungen von Ihrem Unternehmen und welche vom Adresshändler getroffen werden. Eine dokumentierte Rollenbestimmung erleichtert die Argumentation gegenüber Aufsichtsbehörden.
• Einfluss auf die Verarbeitung begrenzen: Sie können das Risiko einer gemeinsamen Verantwortlichkeit reduzieren, indem Sie keinen Zugriff auf die verwendeten Adressdaten nehmen und sich auf allgemeine Zielgruppenvorgaben beschränken. Nach der Entscheidung des VG Berlin sprechen diese Umstände eher gegen eine gemeinsame Verantwortlichkeit.
• Datenschutzrechtliche Pflichten im Blick behalten: Stufen Sie den Adresshändler als Verantwortlicher für die Verarbeitung ein, sollten Sie klären, auf welche Rechtsgrundlage die Verarbeitung gestützt wird und wie Informationspflichten sowie Widerspruchsmöglichkeiten gegenüber den betroffenen Personen erfüllt werden. Unternehmen sollten sich entsprechende Nachweise vorlegen lassen.
• Weitere Entwicklung beobachten: Da die Rechtsfrage weiterhin umstritten ist, sollten Unternehmen die weitere Rechtsprechung und die Positionen der Aufsichtsbehörden im Blick behalten.