Adressdateien und Werbebriefe: was die DSGVO sagt

Merkblatt zu Vorschriften, aktualisiert am 2. November 2026. Allgemeine Information, keine Rechtsberatung: Die Texte ändern sich, prüfen Sie sie an der Quelle.

Kurz gesagt

• Der Kunde, der die Werbebriefe versendet, ist der Verantwortliche: Er muss über eine Rechtsgrundlage verfügen, die Empfänger informieren und Widersprüche bearbeiten.
• Die Druckerei oder der Lettershop, die bzw. der die Datei zum Drucken und Versenden der Briefe erhält, handelt grundsätzlich als Auftragsverarbeiter: Sie verarbeiten die Adressen nur auf Weisung des Kunden.
• Ein schriftlicher Vertrag nach Artikel 28 der DSGVO (RGPD auf Französisch) muss diese Auftragsverarbeitung regeln.
• Für Werbung per Briefpost lässt die CNIL (Commission nationale de l'informatique et des libertés, französische Datenschutzbehörde) das berechtigte Interesse als Rechtsgrundlage zu, sofern die Personen informiert wurden und einfach und kostenlos widersprechen können.

1. Wer ist wofür verantwortlich?

• Verantwortlicher (DSGVO, Artikel 4 Nr. 7): die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet, hier der Kunde, der den Versand beschließt und die Datei liefert (oder mietet).
• Auftragsverarbeiter (DSGVO, Artikel 4 Nr. 8): die Stelle, die die Daten im Auftrag des Verantwortlichen verarbeitet, hier die Druckerei oder der Lettershop, die personalisieren, kuvertieren und die Briefe einliefern.
• Verwendet die Druckerei die Datei für eigene Zwecke weiter (Werbung, Weiterverkauf), verlässt sie ihre Rolle als Auftragsverarbeiter und wird für diese neue Verwendung Verantwortliche (DSGVO, Artikel 28 Absatz 10).

Quelle: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4

Die CNIL nennt ein sehr ähnliches Beispiel: Ein Unternehmen, das Werbebriefe auf Grundlage der Kundendateien anderer Unternehmen versendet, ist deren Auftragsverarbeiter, soweit es die für den Versand erforderlichen Daten in deren Auftrag und nach deren Weisungen verarbeitet; für die Verwaltung seines eigenen Personals und seiner eigenen Kunden bleibt es Verantwortlicher (CNIL, Guide du sous-traitant [Leitfaden für Auftragsverarbeiter], Ausgabe September 2017, Kasten „Exemple de qualification de sous-traitant et de responsable de traitement“ [Beispiel für die Einstufung als Auftragsverarbeiter und Verantwortlicher]). Quelle: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf

2. Rechtsgrundlage für Werbebriefe (Seite des Kunden)

• DSGVO, Artikel 6 Absatz 1 Buchstabe f: berechtigtes Interesse. Die CNIL gibt an, dass Werbung per Post möglich ist, wenn die Person bei der Erhebung der Adresse über die Nutzung zu Werbezwecken informiert wurde und einfach und kostenlos widersprechen konnte (zum Beispiel über ein Ankreuzfeld). Quelle: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
• Jeder Brief muss den Absender erkennen lassen und es ermöglichen, die Ablehnung weiterer Werbung einfach zu erklären (dieselbe Quelle).
• Widerspruchsrecht (DSGVO, Artikel 21 Absätze 2 und 3): Bei Direktwerbung ist es absolut, ohne Angabe von Gründen. Die CNIL empfiehlt, eine Sperrliste zu führen und Widersprüche mindestens 3 Jahre aufzubewahren. Quelle: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
• Gemietete oder gekaufte Dateien: Die Weitergabe von Daten an Partner für Werbung per Post kann auf dem berechtigten Interesse des Weitergebenden beruhen, wenn die Personen bei der Erhebung und jederzeit informiert wurden und die Weitergabe ablehnen konnten. Quelle: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
• Speicherdauer (Referenzrahmen der CNIL für die Verwaltung von Geschäftstätigkeiten): bei einem Interessenten 3 Jahre ab der Erhebung oder dem letzten von ihm ausgehenden Kontakt. Quelle: https://www.cnil.fr/fr/questions-reponses-sur-les-referentiels-relatifs-la-gestion-des-activites-commerciales-et-des

Achtung: Diese Regeln gelten für Briefe auf Papier. Für Werbung per E-Mail oder SMS gelten andere Regeln (vorherige Einwilligung bei Privatpersonen, Code des postes et des communications électroniques, französisches Post- und Telekommunikationsgesetzbuch, Artikel L. 34-5).

3. Information der Empfänger

• Direkt bei der Person erhobene Daten: DSGVO, Artikel 13.
• Auf andere Weise erlangte Daten (gemietete, gekaufte Datei, Partner): DSGVO, Artikel 14; die Information erfolgt spätestens bei der ersten Mitteilung an die Person, wenn die Daten zur Kontaktaufnahme dienen (Artikel 14 Absatz 3 Buchstabe b).
• Die CNIL veröffentlicht einen Mustertext: https://www.cnil.fr/fr/exemple-dinformation-de-prospects-prospection-commerciale-par-voie-postale

Wesentlicher Inhalt: Identität des Verantwortlichen, Zweck, Rechtsgrundlage (und das verfolgte berechtigte Interesse), Empfänger, Speicherdauer, Rechte (Auskunft, Berichtigung, Widerspruch), Beschwerderecht bei der CNIL und, im Fall von Artikel 14, die Herkunft der Daten.

4. Der Auftragsverarbeitungsvertrag (Artikel 28 der DSGVO)

DSGVO, Artikel 28 Absatz 3: Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf Grundlage eines Vertrags (schriftlich, auch in elektronischer Form — Absatz 9), der Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten des Verantwortlichen festlegt. Er sieht insbesondere vor, dass der Auftragsverarbeiter:

• a) die Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeitet;
• b) die Vertraulichkeit der zur Verarbeitung befugten Personen gewährleistet;
• c) die Sicherheitsmaßnahmen nach Artikel 32 ergreift;
• d) einen weiteren Auftragsverarbeiter (Weiterverarbeiter, Lettershop …) nur mit schriftlicher Genehmigung des Verantwortlichen hinzuzieht und ihm dieselben Pflichten auferlegt (Absätze 2 und 4);
• e) den Verantwortlichen bei der Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte unterstützt;
• f) den Verantwortlichen bei der Einhaltung seiner Pflichten zu Sicherheit, Meldung von Verletzungen und Datenschutz-Folgenabschätzung unterstützt;
• g) die Daten nach Abschluss der Leistung nach Wahl des Verantwortlichen löscht oder zurückgibt;
• h) die zum Nachweis der Einhaltung dieser Pflichten erforderlichen Informationen bereitstellt und Überprüfungen ermöglicht.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO verstößt (Artikel 28 Absatz 3, letzter Unterabsatz).

Muster: Die CNIL verweist auf die von der Europäischen Kommission am 4. Juni 2021 angenommenen Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/915); ihr Leitfaden für Auftragsverarbeiter (2017) enthält ebenfalls Beispielklauseln. Quellen: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf und https://www.cnil.fr/fr/securite-gerer-la-sous-traitance Die CNIL-Seite „Travailler avec un sous-traitant“ (Mit einem Auftragsverarbeiter arbeiten, https://www.cnil.fr/fr/sous-traitant), abgerufen am 1. November 2026, bietet den Leitfaden weiterhin in seiner Ausgabe vom September 2017 an; sie gibt an, dass der Vertrag ganz oder teilweise auf Standardvertragsklauseln beruhen kann, und verweist auf die CNIL-Seite „Clauses contractuelles types entre responsable de traitement et sous-traitant“ (Standardvertragsklauseln zwischen Verantwortlichem und Auftragsverarbeiter): https://www.cnil.fr/fr/clauses-contractuelles-types-entre-responsable-de-traitement-et-sous-traitant

5. Eigene Pflichten der Druckerei / des Lettershops

• Ein Verzeichnis der im Auftrag der Kunden durchgeführten Kategorien von Verarbeitungen führen (DSGVO, Artikel 30 Absatz 2).
• Die Sicherheit der Datei gewährleisten: verschlüsselte Übertragung, beschränkter Zugriff, Löschung nach Abschluss der Leistung (Artikel 32; CNIL-Leitfaden „Gérer la sous-traitance“, Auftragsverarbeitung steuern).
• Dem Kunden jede Datenschutzverletzung unverzüglich nach Bekanntwerden melden (Artikel 33 Absatz 2).
• Die Datei nach der Leistung weder aufbewahren noch weiterverwenden, sofern keine anderslautende Weisung oder gesetzliche Pflicht besteht.

6. Sanktionen

Geldbußen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nach Verstoß (DSGVO, Artikel 83); der Auftragsverarbeiter kann für eigene Verstöße sanktioniert werden.

Für die Druckerei: Checkliste

1. Vertrag oder Zusatzvereinbarung nach Artikel 28 vor Erhalt der Datei unterzeichnet.
2. Datei auf sicherem Weg erhalten, in einem Bereich mit beschränktem Zugriff gespeichert.
3. Nutzung auf den Auftrag beschränkt (keine Weiterverwendung, keine Kopie).
4. Unterauftragnehmer (Lettershop, Weiterverarbeiter) vom Kunden schriftlich genehmigt.
5. Löschung (oder Rückgabe) der Datei am Ende, dokumentiert.
6. Verzeichnis der Verarbeitungen als „Auftragsverarbeiter“ aktuell.

Hauptquellen

• DSGVO (Verordnung (EU) 2016/679), Kapitel IV, Artikel 24 bis 43: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
• CNIL, Werbung per Briefpost: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
• CNIL, Weitergabe von Daten an Partner: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
• CNIL, Sperrliste: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
• CNIL, Leitfaden für Auftragsverarbeiter: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf
• CNIL, Sicherheit: Auftragsverarbeitung steuern: https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
• CNIL, mit einem Auftragsverarbeiter arbeiten: https://www.cnil.fr/fr/sous-traitant

Allgemeine Information, keine Rechtsberatung. Verfasst am 1. November 2026.

Textversion : Markdown