Kundendaten sind für Unternehmen wichtig und von hoher wirtschaftlicher Bedeutung. Jedes Unternehmen wird sie hegen und pflegen und ist gesetzlich verpflichtet, sie gegen unberechtigte Zugriffe zu schützen. Auf der anderen Seite möchten Kunden selbstverständlich vermeiden, dass persönliche oder gar sensible Daten über die eigenen Finanzen oder die Gesundheit in falsche Hände geraten. Datenschutzbestimmungen regeln daher die Speicherung und Weitergabe von Daten und sorgen dafür, dass Daten nur im Rahmen des rechtlich Erlaubten erfasst, gespeichert und übermittelt werden. Die wichtigste Grundlage hierfür ist die Europäische Datenschutz-Grundverordnung (DS-GVO).

Die Datenschutz-Grundverordnung schützt die Grundrechte und Grundfreiheiten natürlicher Personen und soll den Einzelnen insbesondere davor schützen, dass er durch die Nutzung seiner personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird.

Die Verarbeitung personenbezogener Daten ist zulässig, wenn die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat. Ohne Einwilligung ist die Verarbeitung unter anderem dann zulässig, wenn diese der Erfüllung eines Vertrags dient oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist und auf Anfrage der betroffenen Person erfolgt.

Werbungtreibende Unternehmen benötigen keine Einwilligung vom Betroffenen, wenn die Verarbeitung personenbezogener Daten zur Wahrung ihrer berechtigten Interessen erforderlich ist und gleichzeitig die Interessen der Betroffenen auf Schutz der sie betreffenden personenbezogenen Daten nicht überwiegen (allgemeine Interessenabwägung). Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung gegenüber Verbrauchern kann daher als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden. Unter personenbezogenen Daten versteht das Gesetz alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Als identifizierbar wird eine Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung (z. B. Name, Kontonummer, Kfz-Kennzeichen, Online-Kennung, Standortdaten) identifiziert werden kann.

Darüber hinaus gibt es so genannte „besondere Kategorien personenbezogener Daten". Dazu gehören Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, biometrischen Daten, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person.

Der Umgang mit solchen Daten ist an strengere Vorausetzungen gebunden, deshalb ist die Verarbeitung solcher Daten grundsätzlich untersagt, es sei denn, der Betroffene hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt.

Geht es um die Erhebung und Verwendung personenbezogener Daten im Rahmen der Nutzung von elektronischen Informationsund Kommunikationsdiensten (Telemedien) - dazu gehören etwa die vielfältigen Angebote des Internet, z. B. Websites, Webshops, Suchmaschinen usw. - müssen zusätzlich die Regelungen des Telemediengesetzes als Spezialgesetz beachtet werden.

Das Telemediengesetz (TMG) wird auch als eine der zentralen Vorschriften des Internetrechts bezeichnet. Seine Regelungen gehen denen der Datenschutz-Grundverordnung für den Bereich des Internets vor. Dazu enthält das Telemediengesetz einen eigenen Abschnitt zum Thema Datenschutz (§§ 11 - 15a TMG). Für das Telemediengesetz gilt ein so genanntes Verbot mit Erlaubnisvorbehalt: Der „Diensteanbieter" darf personenbezogene Daten zur Bereitstellung von Telemedien nur erheben und verwenden, soweit dieses Gesetz oder eine andere Rechtsvorschrift, die sich ausdrücklich auf Telemedien bezieht, es erlaubt oder der Nutzer eingewilligt hat. Daneben gibt es besondere Informationspflichten über Art, Umfang und Zweck der Erhebung und Verwendung personenbezogener Daten. Auf europäischer Ebene wird zurzeit über den Enwurf einer E-Privacy-Verordnung diskutiert. Die E-Privacy-Verordnung soll im digitalen Binnenmarkt Vertrauen in digitale Dienste und deren Sicherheit schaffen. Zudem möchte man die technischen Entwicklungen der letzten Jahre, mit neuen Internetdiensten, in einen rechtlichen Rahmen bringen. Ein wichtiges Ziel der Verordnung ist zudem die Stärkung der Privatsphäre. Sie soll als Spezialgesetz der Datenschutz-Grundverordnung vorgehen und diese bei elektronischen Kommunikationsdaten, die personenbezogen sind, präzisieren und ergänzen. Mit einem Wirksamwerden ist nach aktueller Lage aber nicht vor 2020 zu rechnen.

Verbraucher können jederzeit Widerspruch gegen die Verarbeitung sie betreffender personenbezogener Daten zu Werbezwecken einlegen. Auf dieses Widerspruchsrecht müssen sie audrücklich und spätestens zum Zeitpunkt der ersten Kommunikation mit dem werbungtreibenden Unternehmen oder der datenverarbeitenden Stelle hingewiesen werden. Der Hinweis hat dabei in einer verständlichen und von etwaigen anderen Informationen getrennten Form zu erfolgen. Soweit eine Information noch nicht erfolgt ist, finden sich daher z. B. in Werbeschreiben an geeigneter Stelle Informationen zum Widerrufsrecht und gegebenenfalls darüber, an wen (i. d. R. an das werbungtreibende Unternehmen selbst) Sie sich dazu wenden müssen.

Um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können, haben Sie das Recht, problemlos und in angemessenen Abständen von Ihrem Auskunftsrecht Gebrauch zu machen. Dazu können Sie sich direkt an die Unternehmen wenden und Ihren Auskunftsanspruch äußern. Der Auskunftsanspruch erfasst insbesondere die Informationen darüber, zu welchen Zwecken Ihre personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, wer die Empfänger der personenbezogenen Daten sind und nach welcher Logik die automatische Verarbeitung personenbezogener Daten erfolgt.

Speichert ein Unternehmen unrichtige Daten über Sie, muss es diese Daten berichtigen. Werden personenbezogene Daten von Ihnen unzulässigerweise gespeichert, muss das Unternehmen diese Daten löschen. Machen Sie von Ihrem Widerspruchsrecht Gebrauch, muss das Unternehmen Ihre Daten löschen bzw. sperren, damit Sie zukünftig nicht mehr angeschrieben werden. Damit Sie im Falle der personalisierten Briefwerbung nicht bei jedem Unternehmen einzeln widersprechen müssen, bietet der DDV den Eintrag in die DDV-Robinsonliste an.

Sie haben das Recht, die Sie betreffenden personenbezogenen Daten, die Sie einem Unternehmen freiwillig bereitgestellt haben oder die zur Erfüllung eines Vertrages erforderlich sind, in einem strukturierten, gängigen, maschinenlesbaren und interoperablen Format zu erhalten, um sie gegebenenfalls anderen Unternehmen zu übermitteln. Betroffene sollen hier im Fall der Verarbeitung personenbezogener Daten mit automatischen Mitteln eine bessere Kontrolle über die eigenen Daten erhalten.

Die Datenschutzaufsichtsbehörden der Länder und der Bundesdatenschutzbeauftragte überwachen die Datenverarbeitung sowohl von Unternehmen wie auch von Behörden. Verbraucher können sich bei vermuteten Datenschutzverstößen an die betrieblichen Datenschutzbeauftragten eines Unternehmens oder an die regional zuständige Datenschutzaufsichtsbehörde wenden.

Werden Datenschutzbestimmungen nicht eingehalten, kommen Straf- und Bußgeldvorschriften zur Anwendung. Verlangt etwa ein Verbraucher von einem werbungtreibenden Unternehmen Auskunft und erhält er keine Auskunft oder diese nur unvollständig, droht ein Bußgeld. Über die Höhe des Bußgelds wird nach den Umständen des Einzelfalls entschieden, wobei z. B. Art, Schwere und Dauer des Verstoßes eine Rolle spielt, die Frage ob vorsätzlich oder fahrlässig gehandelt wurde oder der Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern. Im Extremfall kann seit dem 25.05.2018 bei Verstößen gegen die Rechte der betroffenen Person ein Bußgeld von bis zu 20 Mio. Euro oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorausgegangenen Geschäftsjahres nach sich ziehen. Wer wissentlich und unberechtigter Weise nicht allgemein zugängliche personenbezogene Daten einem Dritten übermittelt oder zugänglich macht und dabei gewerbsmäßig handelt, kann sogar mit einer Freiheitsstrafe von bis zu drei Jahren bestraft werden. Ebenfalls mit Freiheitsstrafe bedroht ist das absichtliche Erschleichen nicht allgemein zugänglicher personenbezogener Daten, ohne hierzu berechtigt zu sein, um sich oder einen anderen zu bereichern oder einen anderen zu schädigen.

Am häufigsten werden Ihnen Unternehmen schreiben, mit denen Sie schon einmal Kontakt hatten. Zum Beispiel ein Unternehmen, bei dem Sie etwas gekauft, bestellt oder an dessen Gewinnspiel Sie teilgenommen haben. Das Unternehmen hat Sie deshalb in seine eigene Adressdatei aufgenommen. 

Eine eigene Adressdatei mit aktuellen Angaben ist für Unternehmen, die Dialogmarketing einsetzen, von größter Bedeutung. Deshalb geben sich die Dialogmarketing-Anwender und -Dienstleister alle erdenkliche Mühe, ihre Daten auf dem neuesten Stand zu halten.

Doch auch von Unternehmen, mit denen Sie bisher keinen Kontakt hatten, können Sie Werbung erhalten. Diese haben Ihre Adresse beispielsweise aus öffentlich zugänglichen Quellen entnommen. Die Adressen können auch von einem anderen Unternehmen zur Nutzung bereitgestellt oder übermittelt worden sein. 

Öffentlich zugängliche Quellen sind beispielsweise Adress-, Rufnummern-, Branchen- oder vergleichbare Verzeichnisse. Jedes Unternehmen kann die Adressdaten aus diesen Quellen erheben und für Werbemaßnahmen nutzen. Dabei muss es nur die Urheberrechte der Herausgeber der Verzeichnisse beachten. Daher nutzen Unternehmen in der Regel die Hilfe spezieller Dienstleister, die Adressen aus allgemein zugänglichen Verzeichnissen übermitteln.