Kapitel 11: Rechtliche Analyse anhand des 3-stufigen Modells

Die Erteilung einer wirksamen Einwilligung in die Datenverarbeitung i. S. d. Art. 6 I S. 1 lit. a DSGVO begegnet a priori keinen grundsätzlichen Bedenken. Ihre Wirksamkeit bemisst sich (neben den Vorgaben des Art. 6 I S. 1 lit. a DSGVO, welcher die eigentliche Rechtsgrundlage für den Anbieter darstellt) vor allem nach den Vorgaben der Legaldefinition des Art. 4 Nr. 11 DSGVO und den in Art. 7 DSVO formulierten Bedingungen. Eine Einwilligung ist „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“ (Art. 4 Nr. 11 DSGVO). Nur wenn alle diese Voraussetzungen erfüllt sind, liegt eine wirksame Einwilligung und damit eine Rechtsgrundlage für die Datenverarbeitung vor.

Es bietet sich an, in diesem Kontext gedanklich zwei Ebenen zu unterscheiden: Die Erteilung der Einwilligung einerseits und ihre konkrete Ausgestaltung (und damit Reichweite ihrer Legitimationswirkung) andererseits. Zunächst stellt sich also die Frage, in welchen Fällen vom Kunden überhaupt eine rechtlich relevante Erklärung abgegeben wurde, die datenschutzrechtlich als Einwilligung qualifiziert werden kann. Zudem ist zu klären, wie die Einwilligungserklärung qualitativ ausgestaltet sein muss, um eine taugliche Rechtsgrundlage für Preispersonalisierung darzustellen. Beide Ebenen hängen miteinander zusammen: So ist eine Einwilligung beispielsweise nur wirksam, wenn sie „für den bestimmten Fall“ (Art. 4 Nr. 11 DSGVO) erteilt wurde und damit dem Bestimmtheitsgrundsatz⁵² genügt. Die Ausgestaltung der Einwilligungserklärung muss also zwangsläufig gewisse Anforderungen erfüllen, damit sie überhaupt rechtliche Wirkungen entfaltet und die Legitimationswirkung des Art. 6 I S. 1 lit. a DSGVO auszulösen vermag.

Grundvoraussetzung der Einwilligung ist eine Erklärung oder eine sonstige eindeutige bestätigende Handlung, dass der Kunde mit der Datenverarbeitung einverstanden ist, Art. 4 Nr. 11 DSGVO. Im Online-Kontext werden daran hohe Anforderungen gestellt: „Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit“ des Kunden sind gem. Erwägungsgrund 32 DSGVO nicht ausreichend. Der Kunde muss zur Einwilligung in die Nutzung seiner Daten zum Zwecke von Preispersonalisierung aufgefordert werden und diese „unmissverständlich“ erklären. Sie kann vom Kunden jederzeit nach Belieben widerrufen werden. Dies ist ihm vor ihrer Abgabe mitzuteilen, Art. 7 III S. 1 und 3 DSGVO. Die bis zum Zeitpunkt des Widerrufs durchgeführte Datenverarbeitung bleibt aber rechtmäßig (Art. 7 III S. 2 DSGVO). Möchte der Anbieter sensible Daten i. S. d. Art. 9 I DSGVO verarbeiten (oder führt die Verarbeitung „normaler“ personenbezogener Daten zur Schaffung sensibler Daten), ist gem. Art. 9 II lit. a DSGVO eine ausdrückliche Einwilligung des Kunden notwendig.⁵³

Aus diesen Rahmenbedingungen lassen sich im Kontext von Preispersonalisierung einige relevante Erkenntnisse ableiten. Eine Opt-out-Lösung, bei der eine Einwilligung fingiert und Preise grundsätzlich immer personalisiert werden, solange der Kunde nicht widerspricht, genügt nicht den rechtlichen Anforderungen, die Art. 4 Nr. 11 DSGVO an eine eindeutige bestätigende Handlung stellt. Gleiches gilt für alle anderen Kommunikationsformen, in denen dem Kunden die Erteilung einer Einwilligung unterstellt wird, welche er de facto nicht erteilt hat – etwa, wenn ein Anbieter die bloße tatsächliche Nutzung seiner Webseite (nach entsprechendem Hinweis) einer Einwilligung gleichsetzen möchte.⁵⁴ In solchen Fällen liegt auf Kundenseite kein Bewusstsein vor, eine rechtlich relevante Erklärung abzugeben. Das bereits öfter in Bezug genommene Vorgehen von Staples (unmittelbare Preispersonalisierung bei jedem Kunden anhand des aus der IP-Adresse ablesbaren Aufenthaltsorts) wäre deshalb unzulässig, sofern der Anbieter die Datenverarbeitung auf eine Einwilligung stützen möchte.⁵⁵ Eine Anpassung der Preise wäre erst nach ihrer Erteilung möglich – nicht aber als „Standardeinstellung“ bei jedem Kunden, der die Seite des Anbieters besucht und von der Personalisierung gar keine Kenntnis hat.⁵⁶ Möchte Staples – die Anwendbarkeit europäischen Rechts unterstellt – die Personalisierung auf Art. 6 I S. 1 lit. a DSGVO stützen, dürfte die diesbezügliche Auswertung der IP-Adresse erst nach Erteilung der Einwilligung stattfinden und könnte sich erst dann in personalisierten Preisen (in unmittelbarer Form oder in Form von Gutscheinen, personalisierten Coupons etc.) niederschlagen.

Die auf die Einwilligung bezogene Kommunikation mit dem Kunden kann auf verschiedene Weisen erfolgen. Es wäre möglich, die Einwilligung mithilfe eines Pop-up-Fensters, eines beim Aufrufen der Seite erscheinenden Banners bzw. einer anderweitigen Einblendung zu ersuchen, solange sichergestellt ist, dass nur eine aktive, bestätigende Handlung des Kunden als Einwilligung gewertet wird. Um ein unüberlegtes „Wegklicken“ zu verhindern, mit dem der Kunde eine Einwilligung nur deshalb erteilt, um die Anbieter-Seite möglichst schnell weiter benutzen zu können, weist Erwägungsgrund 32 DSGVO darauf hin, dass unnötige Unterbrechungen zu vermeiden sind. Das (aktive) Ankreuzen eines Kästchens auf der Seite des Anbieters (entweder unmittelbar in die Seite integriert oder in einem Pop-up-Fenster) kann eine Einwilligungserklärung darstellen.⁵⁷ Denkbar wäre etwa die Nutzung eines Zwei-Ebenen-Systems, welches so ausgestaltet ist, dass in der Einblendung eine pointierte Zusammenfassung des Verarbeitungszwecks (verbunden mit einer Einwilligungsmöglichkeit) zu erkennen ist und zugleich über einen Link weiterführende, ausführlichere Informationen abgerufen werden können.⁵⁸ Auf diese Weise kann der Anbieter von allen Kunden, die seine Seite besuchen, eine Einwilligung einholen. Dies gilt unabhängig davon, ob er im Moment des Seitenaufrufs ihre Identität (er)kennt, wie etwa bei Bestandskunden, die über ein Cookie wiedererkannt werden, oder ob es sich um einen gänzlich unbekannten Kunden handelt. Grundsätzlich ist es auch möglich, Einwilligungen für bestimmte Sachverhalte im Vorhinein pauschal mithilfe der eigenen Browser-Einstellungen zu erklären (vgl. den Wortlaut von Erwägungsgrund 32 DSGVO: „Auswahl technischer Einstellungen für Dienste der Informationsgesellschaft“). Auch eine solche Erklärung darf nicht als Standardeinstellung voreingestellt sein, sondern muss vom Kunden aktiv vorgenommen, z. B. angekreuzt werden. Aufgrund der in diesen Fällen hohen Pauschalität der Einwilligungserklärungen und der nicht unerheblichen Auswirkungen auf die Kunden sind in diesem Kontext erhöhte Anforderungen an Transparenz und Kundenaufklärung zu stellen.

Unter bestimmten Voraussetzungen ist es möglich, dass ein Kunde ein Einwilligungsersuchen wirksam annimmt, welches in allgemeinen Geschäftsbedingungen oder in anderen vorformulierten Texten enthalten ist. In diesen Fällen kommt Art. 7 II S. 1 DSGVO zur Anwendung. Dieser postuliert gewisse Anforderungen hinsichtlich Form, Sprache und Darstellung bei bestimmten schriftlichen⁵⁹ Erklärungen, die neben der datenschutzrechtlichen Einwilligungserklärung noch andere Sachverhalte betreffen.⁶⁰ Das Einwilligungsersuchen muss demnach „in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist.“ Die Norm postuliert also ein Gebot der gestalterischen und inhaltlichen Transparenz und bezweckt, dass das Einwilligungsersuchen deutlich hervorgehoben präsentiert wird.⁶¹ Sie ist damit lex specialis zu den in Art. 4 Nr. 11 DSGVO enthaltenen Anforderungen, dass die Einwilligung „in informierter Weise“ und „unmissverständlich“ abgegeben werden muss.⁶² Die Ausgestaltung des Einwilligungsersuchens muss mithin so vorgenommen werden, dass der Kunde weiß, dass er eine datenschutzrechtlich relevante Einwilligung erteilt hat und welchen Umfang diese (auch in zeitlicher Hinsicht) aufweist.⁶³ Sie darf nicht in den AGBs untergehen. Der beabsichtigte Zweck „Preispersonalisierung“ muss klar aus der Erklärung hervorgehen.

Der in Erwägungsgrund 42 DSGVO enthaltene Verweis auf die AGB-Richtlinie⁶⁴ macht deutlich, dass die Datenschutz-Grundverordnung einer AGB-rechtlichen Angemessenheitskontrolle grundsätzlich nicht entgegensteht, auch wenn sie selber eine solche in ihrem verfügenden Teil nicht vorsieht. Diese Angemessenheitskontrolle bezieht sich ausschließlich auf Art und Ausmaß der von der Einwilligung behandelten Datenverarbeitung. Es geht also nicht um die Überprüfung, ob die (ohnehin nicht dispositiven) Wirksamkeitsvoraussetzungen eingehalten werden, die die Datenschutz-Grundverordnung aufstellt.⁶⁵

Ein Einwilligungsersuchen, welches die Verarbeitung von Daten zum Zwecke des Personalised Pricings zum Gegenstand hat, unterfällt wegen § 307 III S. 1 BGB von vornherein nicht der Angemessenheitskontrolle des § 307 I S. 1 BGB: Die Preishöhe ist grundsätzlich nicht von der AGB-Kontrolle erfasst.⁶⁶ Allenfalls eine Transparenzkontrolle gem. § 307 III S. 2 i. V. m. I S. 2 BGB bleibt denkbar.⁶⁷ Auf die datenschutzrechtliche Wirksamkeit der Einwilligungserklärung hat die AGB-rechtliche Transparenzkontrolle allerdings keine Auswirkungen.

Mit Blick auf die Transparenz besteht angesichts der datenschutzrechtlichen Wirksamkeitsvoraussetzungen (Art. 4 Nr. 11, 6 und 7 DSGVO) ohnehin ein hohes Schutzniveau. Diese Regelungen sind nicht dispositiv⁶⁸ und kommen zudem (im Gegensatz zu § 307 III S. 2 i. V. m. I S. 2 BGB) unabhängig davon zur Anwendung, ob der Kunde unangemessen benachteiligt wird i. S. d. § 307 I S. 1 BGB.

Der Kunde muss seine Einwilligung „für einen oder mehrere bestimmte Zwecke“ erteilen, Art. 6 I S. 1 lit. a DSGVO.⁶⁹ Dieser Bestimmtheitsgrundsatz ergibt sich auch aus Art. 4 Nr. 11 DSGVO („für den bestimmten Fall“) und aus dem allgemeinen Zweckbindungsgrundsatz des Art. 5 I lit. b DSGVO („für festgelegte (…) Zwecke“).⁷⁰ Er sichert Kontrolle und Transparenz zugunsten des Betroffenen, hier also des Kunden.⁷¹ Im Kontext von Preispersonalisierung bedeutet dies, dass diese als Zweck konkret bezeichnet und auf (für den Durchschnittskunden) verständliche Weise⁷² vom Anbieter beschrieben werden muss. Nur dann kann der Kunde „in informierter Weise“ (Art. 4 Nr. 11 DSGVO) in die Datenverarbeitung zu diesem Zweck einwilligen.⁷³ Der Kunde muss deshalb u. a. auch absehen können, welche Konsequenzen die von ihm erteilte Einwilligung möglicherweise für ihn haben wird.⁷⁴ Übertragen auf die Situation personalisierter Preise muss es für den Kunden also ohne Weiteres möglich sein, zu verstehen, dass die Verarbeitung der sich auf ihn beziehenden personenbezogenen Daten dazu dient, den Preis an seine Preissensitivität bzw. seinen Reservationspreis anzupassen. Es muss für ihn auch erkennbar sein, dass der von ihm verlangte Preis in Folge der Erteilung der Einwilligung und basierend auf den Ergebnissen von Profiling möglicherweise sinken oder steigen wird. Das Personalisieren von Preisen kann nicht unter einen allgemeinen, weiter gefassten Begriff wie „Personalisierung des Nutzererlebnisses“, „Personalisierung der angebotenen Dienste/Dienstleistungen“, „Zusendung persönlicher Angebote“ o. Ä. gefasst werden.⁷⁵ Dies liegt daran, dass es sich qualitativ und mit Blick auf die möglicherweise beim Kunden eintretenden (möglicherweise auch negativen) wirtschaftlichen Effekte bei Preispersonalisierung um einen speziellen Verarbeitungszweck handelt, den der Kunde oftmals weder erwarten noch als Konzept grundsätzlich gutheißen würde.⁷⁶

Die konkreten Anforderungen, die an das notwendige Maß an Bestimmtheit einer Einwilligungserklärung zu stellen sind, sind relativ und je nach Verarbeitungszweck, zum Einsatz kommendem Datenmaterial und zu erwartenden Auswirkungen auf die Rechte und Interessen des Betroffenen einer Abwägung zu unterwerfen.⁷⁷ Kunden stehen personalisierten Preisen oftmals skeptisch gegenüber und fürchten (oftmals unabhängig davon, ob diese Sorge in ihrem Fall tatsächlich begründet ist), dass sie selber durch höhere Preise benachteiligt werden.⁷⁸ Eine hohe Relevanz ist aus ihrer Sicht also gegeben. Dafür spricht auch die Auswertung von Verbraucherbeschwerden, von der das britische Office of Fair Trading berichtet.⁷⁹ Nach Ansicht der Behörde kann das Vertrauen in Online-Märkte absinken, wenn Kunden die Preissetzungsmethoden von Anbietern nicht verstehen oder wenn sie befürchten, dass diese für sie als Individuen zu höheren Preisen führen.⁸⁰ Sie macht deshalb deutlich, dass Transparenz, Mitwirkungsmöglichkeiten (bei der Datenerhebung) und Verständnis (der preisbezogenen Abläufe) für das Aufrechterhalten von Vertrauen in Online-Märkte von großer Bedeutung sind.⁸¹ Auf datenschutzrechtlicher Ebene muss dies in den Anforderungen zum Ausdruck kommen, die an die Wirksamkeit einer Einwilligung gestellt werden. Gerade weil Kunden heimlich stattfindender Preispersonalisierung skeptisch gegenüberstehen, ist es notwendig, das Ausmaß der dafür notwendigen Datenverarbeitung transparent offenzulegen, um dem Bestimmtheitsgrundsatz des Art. 6 I S. 1 lit. a DSGVO und den Anforderungen, die Art. 4 Nr. 11 DSGVO an die Informiertheit Betroffener stellt, gerecht zu werden.⁸² Das datenschutzrechtliche Konzept der Einwilligung als Rechtsgrundlage ist ein unmittelbarer Ausfluss des Rechts auf informationelle Selbstbestimmung.⁸³ Es kann deshalb nur dann sinnvoll ausgeübt werden, wenn die aus Kundensicht relevanten Aspekte diesem vollumfänglich bekannt sind.

Aufgrund dieser bestehenden Skepsis und aufgrund der kundenseitig beigemessenen Relevanz ist fraglich, ob es den Kunden möglich sein muss, die Einwilligung in die Datenverarbeitung zwecks Preispersonalisierung ggf. immer auch gesondert – also unabhängig von anderen vom Anbieter beabsichtigten Verarbeitungszwecken – erteilen bzw. durch Nichterteilung bewusst ablehnen zu können. Diese Frage hat dann Relevanz, wenn der Anbieter möchte, dass der Kunde in mehrere verschiedene Datenverarbeitungsvorgänge einwilligt, etwa in Preispersonalisierung einerseits und in Zusendung personalisierter Werbung andererseits. Dogmatischer Angelpunkt ist dabei die Freiwilligkeit der Einwilligungserklärung. Gemäß Erwägungsgrund 43 DSGVO liegt diese nicht vor, wenn für verschiedene Verarbeitungsvorgänge keine gesonderten Einwilligungserklärungen erteilt werden können, „obwohl dies im Einzelfall angebracht ist“. Weitere Auslegungshinweise über diesen rein normativen Ausdruck hinaus gibt die Datenschutz-Grundverordnung nicht.⁸⁴ Eine pauschale Aussage kann damit nicht getroffen werden, da letztlich immer der Gesamtzusammenhang mit den anderen vom Anbieter ersuchten Einwilligungserklärungen und ihren Auswirkungen auf den Kunden herzustellen ist.⁸⁵ Grundsätzlich wird eine separate Einwilligungsmöglichkeit aber tendenziell nicht zu verlangen sein, solange der Kunde nicht auf einen Vertragsabschluss mit dem konkreten Anbieter angewiesen ist. Solange er die Möglichkeit hat, zu einem Konkurrenten zu wechseln, bleibt seine Erklärung freiwillig.⁸⁶

Aus demselben Grund liegt im Regelfall auch kein Verstoß gegen das sog. Koppelungsverbot des Art. 7 IV DSGVO vor. Laut dieser Norm muss bei der Beurteilung der Freiwilligkeit „dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.“ Die Bestimmung der Freiwilligkeit wird damit maßgeblich, aber nicht absolut⁸⁷ von der Erforderlichkeit der Datenverarbeitung abhängig gemacht. Das Koppelungsverbot „soll die freie und eigenständige Willensbetätigung des Nutzers bei der Einwilligung schützen und dadurch verhindern, dass ein faktischer Zwang zur Einwilligung in die Datenverwendung entsteht.“⁸⁸ Unter Zugrundelegung eines objektiven Verständnisses ist die Freiwilligkeit mit Blick auf die Interessen des Anbieters durchaus zu bejahen, sofern Preispersonalisierung Teil seines Geschäftsmodells ist und er die dafür notwendige Datenverarbeitung als Entscheidungs- und Kalkulationsgrundlage für das Vertragsangebot dem Kunden gegenüber betrachtet.⁸⁹ Dem Anbieter geht es also nicht darum, zu Lasten der Privatsphäre des Kunden Ziele zu verwirklichen, die über den Gegenstand des konkret in Rede stehenden Vertrages hinausgehen (wie etwa die Weitergabe der Daten an Dritte zu Werbezwecken), und dies über eine Einwilligung legitimieren zu lassen, die der Kunde nur aufgrund eines bestehenden faktischen Zwangs abgibt. Stattdessen besteht eine inhaltliche Sachnähe zur (im Falle des Vertragsabschlusses zustande kommenden) Hauptleistungspflicht des Kunden, nämlich zu dem von ihm zu zahlenden Preis.

Der Anbieter kann den Vertragsabschluss also grundsätzlich gänzlich davon abhängig machen, dass der Kunde in die Datenverarbeitung zwecks Preispersonalisierung einwilligt. Ob er sich mit dieser Vorgehensweise am Markt behaupten kann, dürfte in tatsächlicher Hinsicht vor allem von seiner Marktstärke und den von ihm realisierbaren Preisen abhängen. Das Freiwilligkeitskriterium der Art. 4 Nr. 11, 7 IV DSGVO kann dann als Korrektiv wirken – und eine datenschutzrechtliche Grenze ziehen –, wenn der Anbieter eine marktbeherrschende Stellung bzw. eine Monopolstellung innehat und die Freiwilligkeit deshalb abzulehnen ist.⁹⁰ In diesen Fällen ist eine datenschutzrechtliche Korrektur über das Koppelungsverbot durchaus denkbar und sinnvoll. Datenschutzrechtliche Konformität wäre dann leicht herzustellen, indem dem Kunden die Möglichkeit gegeben wird, in die Datenverarbeitung zwecks Preispersonalisierung gesondert einzuwilligen, dieses Einwilligungsersuchen also von anderen abzutrennen. Dogmatisch lässt sich dies an den bereits diskutierten Erwägungsgrund 43 DSGVO anknüpfen, der in den Fällen, in denen es „im Einzelfall angebracht ist“, für verschiedene Verarbeitungsvorgänge gesonderte Einwilligungsmöglichkeiten verlangt, um die Freiwilligkeit abzusichern.

Eine Einwilligung in eine Art von Preispersonalisierung, die bezweckt oder bewusst in Kauf nimmt, dass durch die Datenverarbeitung letztlich geschützte Gruppen durch höhere Preise diskriminiert werden, ist unwirksam. Dies ergibt sich aus dem datenschutzrechtlichen Zweckbindungsgrundsatz, Art. 5 I lit. b DSGVO. Demnach müssen Daten für „legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden“. Der Ausdruck „legitim“ ist begrifflich weiter gefasst als die frühere Formulierung „rechtmäßig“ (Art. 6 I lit. b DSRL). Der Anspruch an die Legitimität des Zweckes geht damit über eine rein formelle Rechtmäßigkeit (etwa das Vorliegen einer Rechtsgrundlage oder das Einhalten von Informationspflichten) hinaus. Er stellt darauf ab, ob die Verarbeitung zu einem von der Rechtsordnung missbilligten Zweck erfolgt.⁹¹ Die zu berücksichtigenden Rechtsquellen sind sehr weitreichend und umfassen neben allgemeinen verfassungsrechtlichen auch spezifisch antidiskriminierungsrechtliche Grundsätze.⁹² Eine Datenverarbeitung mit dem eingangs beschriebenen Zweck wäre demnach nicht legitim. Da die Datenverarbeitung auf Seiten des Anbieters datenschutzrechtlich unzulässig ist, kann der Kunde auch keine wirksame Einwilligung in diese Verarbeitung geben i. S. d. Art. 6 I S. 1 lit. a DSGVO. Bei der Bewertung der Legitimität des Zwecks kommt es also nicht darauf an, ob der Kunde ihn billigt oder nicht. Solange der Anbieter gegen. Art. 5 I lit. b DSGVO verstößt, kann der Kunde von vornherein nicht wirksam in die Datenverarbeitung einwilligen.

Anbieter, die Personalised Pricing betreiben wollen, können sich für die dafür notwendige Datenverarbeitung grundsätzlich auf eine Einwilligung des Kunden als datenschutzrechtliche Rechtsgrundlage berufen. Voraussetzung dafür ist, dass die Vorgaben der Art. 6 I S. 1 lit. a, 4 Nr. 11, 7 DSGVO erfüllt sind. Eine wirksame Einwilligungserklärung muss zwingend in Form einer „eindeutigen bestätigenden Handlung“ des Kunden i. S. d. Art. 4 Nr. 11 DSGVO erfolgen. Widerspruchslösungen, wonach der Kunde aus der Datenverarbeitung zwecks Preispersonalisierung aktiv herausoptieren muss, sind nach dem klaren Wortlaut der Datenschutz-Grundverordnung⁹³ unzulässig und können keine Grundlage für eine rechtmäßige Datenverarbeitung sein. Der Anbieter verfügt allerdings über eine nicht unerhebliche Gestaltungsfreiheit, auf welche Weise er sein Einwilligungsersuchen präsentieren möchte: Als Teil von Allgemeinen Geschäftsbedingungen, als Pop-up, über ein Zwei-Ebenen-System etc. Es gelten hohe Anforderungen, die der Anbieter erfüllen muss, um (vor allem) die Freiwilligkeit und Informiertheit des Kunden sicherzustellen und dem Bestimmtheitsgrundsatz, der sich aus einer Zusammenschau von Art. 6 I S. 1 lit. a, 4 Nr. 11, 5 I lit. b DSGVO ergibt, gerecht zu werden. Transparenz und eine darauf basierende, bewusste und autonome Entscheidung des Kunden charakterisieren die Einwilligung im Kontext des Personalised Pricings. Die Bedeutung der Freiwilligkeit der vom Kunden erteilten Einwilligung kann im Kontext des in Art. 7 IV DSGVO enthaltenen Koppelungsverbots eine wettbewerblich relevante Reflexwirkung entfalten. Im Regelfall steht es dem Anbieter frei, das Kontrahieren mit dem Kunden gänzlich von einer Einwilligung (in die Datenverarbeitung zwecks Preispersonalisierung) abhängig zu machen. Es besteht eine hohe Sachnähe zwischen der vom Anbieter erstrebten Datenverarbeitung einerseits und der Bestimmung der Hauptleistungspflicht des Kunden, also des von ihm zu zahlenden Preises andererseits. Es liegt mithin kein „Erzwingen“ einer Einwilligung vor, die der Kunde eigentlich gar nicht erteilen möchte und nur abgibt, weil er keine andere Wahl hat. Anders ist hingegen die Rechtslage zu beurteilen, wenn der Anbieter eine marktbeherrschende bzw. Monopolstellung innehat. Diese kann dazu führen, dass bei objektiver Betrachtungsweise keine Freiwilligkeit mehr vorliegt.⁹⁴ Das Datenschutzrecht, dessen wesentlicher Schutzgegenstand die informationelle Selbstbestimmung ist, bewirkt in diesen Fällen indirekt eine Regulierung von Wettbewerbsprozessen, indem es den Anbieter zum Anbieten nuancierterer Einwilligungsmöglichkeiten verpflichtet und damit seine unternehmerische Freiheit (vgl. Art. 16 GRCh) einschränkt. Eine Einwilligung in eine geschützte Gruppen diskriminierende Datenverarbeitung hat stets keine legitimierende Wirkung, unabhängig vom Wissen und Wollen der beteiligten Parteien.

Der Anbieter kann sich in den hier diskutierten Fallkonstellationen auf die ökonomischen Vorteile berufen, die von Preispersonalisierung für ihn ausgehen können. Sie ermöglicht ihm unter Umständen eine stärkere Position im Wettbewerb. Die wirtschaftlichen Interessen des datenschutzrechtlich Verantwortlichen sind als schützenswertes Interesse i. S. d. Art. 6 I S. 1 lit. f DSGVO anerkannt.¹⁰⁵ Dies kann grundlegend aus Art. 16 GRCh abgeleitet werden.¹⁰⁶ Für die Anerkennung dieses Interesses im Verhältnis zwischen dem Anbieter und dem Kunden auch im datenschutzrechtlichen Kontext sprechen zudem die Ausführungen in Erwägungsgrund 47 DSGVO: Dass ein Online-Anbieter von Waren und Dienstleistungen gewinnorientiert arbeitet, deckt sich mit den zu berücksichtigenden „vernünftigen Erwartungen“ des Kunden. Zudem macht der genannte Erwägungsgrund deutlich, dass zwischen dem Anbieter und dem Kunden generell durchaus eine rechtlich relevante Beziehung besteht, die auf Seiten des Anbieters berechtigte Interessen im Sinne der Abwägungsklausel erwachsen lassen kann. Preispersonalisierung kann grundsätzlich zu einer Ausweitung des Umsatzes des Anbieters führen und stellt bei Zugrundelegung wirtschaftlicher Zielvorstellungen den beabsichtigten Zweck dieses Vorgehens dar. Dieses Ziel kann durch die unmittelbare oder mittelbare Anpassung des im Einzelfall verlangten Preises an den jeweiligen Reservationspreis des Kunden realisiert werden. Wenn es beispielsweise gelingt, ein Produkt durch Absenkung des Preises an einen Kunden zu verkaufen, der zum regulären Referenzpreis des Anbieters nicht zum Kauf bereit wäre, liegt der Gewinn im Verhältnis zu diesem Kunden niedriger als bei anderen Kunden. Der Verkauf ergibt ökonomisch betrachtet für den Anbieter aber Sinn, da er immer noch Gewinn erzielt, den Umsatz ausweitet und den Käufer möglicherweise an das Unternehmen bindet. Die preisliche Individualisierung kann in ihrer umsatzsteigernden Wirkung auch durch psychologische Effekte verstärkt werden. So generieren (vermeintlich) besonders gute, zeitgebundene Sonderpreise oder andere besonders vorteilhafte, an den Kunden situationsabhängig angepasste Konditionen für diesen einen besonderen Reiz.¹⁰⁷ Weiter verstärkt werden kann dieser Effekt durch individualisierte Werbung und anderweitige Personalisierungen des Angebots, wie es etwa bei Search Discrimination der Fall ist. Preispersonalisierung stellt mithin einen Teilaspekt der Absatz- und Marketing-Bemühungen des Anbieters dar. Gleichzeitig nimmt dieser Verarbeitungszweck aber auch eine Sonderrolle ein: Es geht nicht (nur) darum, den Kaufentschluss des Kunden zu fördern oder auszulösen. Über das Werben hinaus kommt es zu einer wirtschaftlichen Ungleichbehandlung, wodurch der einzelne Kunde im Vergleich zu anderen bevorzugt oder benachteiligt wird. Auf weitergehende Interessen als die genannten wirtschaftlichen kann der Anbieter sich nicht berufen.

Die Datenverarbeitung zwecks Preispersonalisierung müsste zudem erforderlich i. S. d. Art. 6 I S. 1 lit. f DSGVO sein, um die Interessen des Anbieters zu wahren. Dabei gilt grundsätzlich, dass sich „die Ausnahmen und Einschränkungen in Bezug auf den Schutz der personenbezogenen Daten auf das absolut Notwendige beschränken müssen“.¹⁰⁸ Es geht also darum, ob die vom Anbieter verfolgten Interessen – in den vorliegend untersuchten Konstellationen also die soeben beschriebenen wirtschaftlichen Ziele – auf andere Weise mit gleicher Effektivität verwirklicht werden können und auf diesem Wege die Interessen etc. des Kunden weniger stark beeinträchtigt werden.¹⁰⁹ Grundsätzlich stehen dem Anbieter verschiedene Möglichkeiten zur Verfügung, um seinen Umsatz auf datenschutzrechtlich neutralem oder zumindest weniger eingriffsintensivem Wege zu steigern. Preisdiskriminierung 2. Grades beispielsweise ist konzeptionell nicht auf die Verarbeitung personenbezogener Daten angewiesen und löst mit Blick auf die Preisbildung deshalb keine datenschutzrechtlichen Pflichten auf Seiten des Anbieters aus. Entscheidet er sich für sie als Preissetzungsmethode, ist es für ihn im Zeitpunkt seines Angebots gar nicht notwendig, die Identität des Kunden oder seine konkreten Eigenschaften zu kennen. Eine Bewertung persönlicher Aspekte i. S. d. Art. 4 Nr. 4 DSGVO zwecks Bestimmung des Reservationspreises findet nicht statt. Auch sind Sachverhalte denkbar, die zwar datenschutzrechtliche Relevanz aufweisen, aber weniger eingriffsintensiv ausgestaltet sind. Beispielsweise ist das Versenden von Gutscheinen per E-Mail, um einen Kaufanreiz zu schaffen, grundsätzlich datenschutzrechtlich relevant, da die dafür verarbeitete E-Mail-Adresse ein personenbezogenes Datum ist.¹¹⁰ Diese Form der preisrelevanten Kundenansprache erfordert aber nicht zwingend – wie es bei Preispersonalisierung nach hiesiger Definition der Fall ist –, dass dabei persönliche Aspekte des Kunden ausgewertet und als Entscheidungsgrundlage für die Gutscheinversendung herangezogen werden. Die Gutscheine können stattdessen auch an alle Kunden oder nach dem Zufallsprinzip versendet werden. Auch die Versendung der Gutscheine an bestimmte Kundengruppen – etwa an solche Kunden, die in der Vergangenheit bereits Einkäufe mit einem bestimmten Mindestwarenwert getätigt haben – kann im Vergleich zu Profiling-basierter Preispersonalisierung datenschutzfreundlicher ausgestaltet werden. Dies ist dann der Fall, wenn die Auswahl der Empfänger nicht das Ergebnis der Bewertung persönlicher Aspekte i. S. d. Art. 4 Nr. 4 DSGVO ist, sondern eine Kategorisierung nach objektiven Kriterien. In diesem Fall ist der Eingriff in das Recht auf informationelle Selbstbestimmung des Kunden geringer, da der Anbieter keine (potenziell fehleranfällige) Extrapolation persönlicher Aspekte vornimmt.¹¹¹

Trotz dieser bestehenden Alternativen wird man dem Anbieter die Erforderlichkeit i. S. d. Art. 6 I S. 1 lit. f DSGVO nicht absprechen können. Es ist gerade der Sinn (und aus Sicht des Anbieters: Reiz) von datenbasierter Preispersonalisierung, dass diese zumindest in der Theorie eine besonders hohe Präzision und Effektivität verspricht. Die individualisierte Nutzeransprache mit einem personalisierten Preis verspricht, unabhängig von der Art der Preiskommunikation, vor allem eine effizientere Zuweisung des „richtigen“ Preises an den jeweiligen Kunden, als dies bei Preisdiskriminierung 2. Grades oder nicht-personalisierten Preissetzungsmethoden der Fall ist. Das vom Anbieter verfolgte Interesse kann also nicht auf andere Weise gleich effektiv verwirklicht werden. Die Datenverarbeitung zwecks Preispersonalisierung ist mithin erforderlich i. S. d. Art. 6 I S. 1 lit. f DSGVO.

Sobald personenbezogene Daten des Kunden ohne seine Einwilligung bzw. anderweitige, auf seinen Willen zurückzuführende Veranlassung verarbeitet werden, liegt für diesen per se eine Beeinträchtigung seiner in Art. 7 und 8 GRCh postulierten Grundrechte (Recht auf Privatleben sowie Recht auf den Schutz personenbezogener Daten) vor.¹¹² Darüber hinaus fließen auch andere grundrechtlich geschützte Positionen und legitime Interessen des betroffenen Kunden, wie etwa die wirtschaftlichen Auswirkungen der Datenverarbeitung auf ihn, in die notwendige Abwägung mit ein. Als Ausgangspunkt der Abwägung gilt generell, dass Art, Inhalt und Aussagekraft der betroffenen Daten an den Aufgaben und Zwecken zu messen sind, denen die Erhebung und Speicherung der Daten dient.¹¹³ Die Datenschutz-Grundverordnung formuliert keine ausdrücklichen Kriterien, anhand welcher Maßstäbe und mit welcher Gewichtung die Abwägung im Einzelfall auszuführen ist. Aus ihrer Systematik lassen sich allerdings gewisse Schlussfolgerungen ableiten.¹¹⁴

Im Kontext von Preispersonalisierung lassen sich zugunsten des Kunden grundsätzlich sein Recht auf Privatheit und informationelle Selbstbestimmung sowie seine wirtschaftlichen Interessen anführen. Die besonders hohe persönlichkeitsrechtliche Relevanz, die mit dem Bilden von Profilen – also dem Profiling i. S. d. Art. 4 Nr. 4 DSGVO – einhergeht, spricht für ein grundsätzliches Überwiegen der Kundeninteressen, sobald die Profile eine gewisse Komplexität annehmen.¹¹⁵ Auf Profiling basierende Preispersonalisierung präsentiert sich in der Praxis oftmals als nicht sonderlich komplexe Methode, so etwa wenn die Verwendung eines bestimmten Endgeräts mit einer eher höheren oder niedrigeren Zahlungsbereitschaft des Kunden assoziiert und der Preis (nur) deshalb angepasst wird. Die Bildung von Vergleichsgruppen, die methodisch Teil von Profiling ist, erlaubt allerdings oftmals anhand weniger Ausgangsdaten weitreichende, fundierte Vorhersagen über persönliche Aspekte des Einzelnen.¹¹⁶ Der Sache nach handelt es sich bei Personalised Pricing selbst bei bloßer Zugrundelegung einzelner bzw. isoliert betrachtet bedeutungsloser Informationen also um eine Profilbildung, der das Potenzial innewohnt, deutlich komplexere Ausmaße anzunehmen, als die bisher diskutierten praktischen Fälle nahelegen. In diesem Sinne hat auch der EuGH (mit Blick auf das Geschäftsmodell von Online-Suchmaschinen) in der Google Spain-Entscheidung geurteilt, dass die Erstellung eines „mehr oder weniger detaillierte[n] Profil[s]“ u. a. wegen „seiner potenziellen Schwere (…) nicht allein mit dem wirtschaftlichen Interesse (…) an der Verarbeitung der Daten gerechtfertigt werden“ kann.¹¹⁷

Die Systematik der Datenschutz-Grundverordnung gibt zu erkennen, dass Profiling grundsätzlich möglich sein muss. Zugleich macht sie aber auch deutlich, dass diese spezielle Form der Datenverarbeitung erhöhte Schutzvorkehrungen zugunsten der Betroffenen notwendig macht. Dies zeigt sich etwa am Schutzsystem, welches Art. 22 DSGVO im Kontext von Profiling und automatisierten Einzelentscheidungen etabliert. Zudem macht Art. 35 I S. 1, III lit. a DSGVO deutlich, dass systematischem und umfassendem Profiling in Verbindung mit automatisierten Einzelentscheidungen „voraussichtlich ein hohes Risiko für die Rechte und Freiheiten“¹¹⁸ der Betroffenen innewohnt und deshalb eine Datenschutz-Folgenabschätzung notwendig macht. Die aus diesen Normen ersichtlichen Wertungen verdeutlichen, dass Profiling-basierte Verfahren auf Seiten des Kunden zu bedeutenden persönlichkeitsrechtlichen Beeinträchtigungen führen können. Dies spricht für ein Überwiegen der kundenseitigen Interessen im Rahmen der Interessenabwägung.

Auch die der Regulierung des Widerspruchsrechts in Art. 21 DSGVO zugrunde liegenden Wertungen sprechen dafür, dass eine Datenverarbeitung zwecks Preispersonalisierung nicht auf Art. 6 I S. 1 lit. f DSGVO gestützt werden kann. Art. 21 I DSGVO gewährt den datenschutzrechtlich betroffenen Personen im Kontext von auf Art. 6 I S. 1 lit. f DSGVO gestütztem Profiling ein Widerspruchsrecht „aus Gründen, die sich aus ihrer besonderen Situation ergeben.“¹¹⁹ Eine weitere Verarbeitung trotz Widerspruch des Betroffenen ist dann nur noch möglich, wenn der Verantwortliche sich auf „zwingende schutzwürdige Gründe“ berufen kann, die „die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen“.¹²⁰ Diese Regelungstechnik gibt dem Betroffenen die Möglichkeit an die Hand, eine individuelle Würdigung und Bewertung seiner Situation durch den Verantwortlichen zu erzwingen und die Datenverarbeitung ggf. zu unterbinden. Art. 21 II DSGVO gewährt ein (von der gewählten Rechtsgrundlage unabhängiges) Widerspruchsrecht gegen die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung. Dieses Widerspruchsrecht ist im Gegensatz zum allgemeinen, im ersten Absatz formulierten bedingungslos. Diese Unterscheidung lässt sich mit einer wertenden Abstufung erklären: Direktwerbung basiert oftmals, wie auch der Normtext unterstreicht, auf Profiling und ist dementsprechend persönlichkeitsrechtlich besonders relevant. Zugleich dient sie nur den kommerziellen Interessen des Verantwortlichen. Auch wenn Direktwerbung von der Datenschutz-Grundverordnung grundsätzlich als berechtigtes Interesse anerkannt wird¹²¹ und die dafür notwendige Datenverarbeitung dementsprechend auf Art. 6 I S. 1 lit. f DSGVO gestützt werden kann, zeigt die in Art. 21 I, II DSGVO zum Ausdruck kommende Unterscheidung, dass dieser Verarbeitungszweck nur eingeschränkten Schutz erfahren soll. Aus dieser Wertung können Rückschlüsse darauf gezogen werden, wie schützenswert Personalised Pricing als Verarbeitungszweck ist: Direktwerbung und Preispersonalisierung arbeiten mit vergleichbaren Methoden und bezwecken jeweils eine individualisierte Kundenansprache. Daraus könnte man ableiten, dass auch eine auf Art. 6 I S. 1 lit. f DSGVO gestützte Datenverarbeitung zwecks Preispersonalisierung dem Grunde nach mit den Wertungen der Datenschutz-Grundverordnung im Einklang steht und dementsprechend zulässig ist. Diese Argumentation verkennt aber, dass die tatsächlichen Auswirkungen auf den Kunden bei personalisierten Preisen potenziell deutlich stärker als bei Direktwerbung sind: Letztere erschöpft sich im „Bewerben“ der Person als solches. Personalisierte Preise hingegen zeitigen zusätzlich dazu unmittelbare finanzielle Auswirkungen auf den Kunden, die durchaus nachteilig sein können. Ihre Eingriffsintensität geht qualitativ über die der Direktwerbung hinaus, da nicht nur persönlichkeitsrechtliche, sondern auch finanzielle Belange auf Kundenseite betroffen sind. Die Eingriffsintensität ist in der Summe also (zumindest potenziell) noch einmal stärker als in den von Art. 21 II DSGVO erfassten Fallkonstellationen. Dies spricht dafür, dass die Interessenabwägung beim Personalised Pricing zugunsten des Kunden ausfällt und Art. 6 I S. 1 lit. f DSGVO nicht als Rechtsgrundlage herangezogen werden kann.

Unabhängig von diesen dogmatischen Erwägungen führt die isolierte Betrachtung der wirtschaftlichen Interessen des Kunden zu weniger eindeutigen Ergebnissen. Preispersonalisierung kann sich bei rein wirtschaftlicher Betrachtungsweise auf Kundenseite positiv oder negativ auswirken. Als Prämisse gilt, dass der Anbieter ein grundsätzliches, übergeordnetes Interesse daran hat, langfristig einen möglichst hohen Gewinn zu generieren und personalisierte Preise zu diesem Zweck einzusetzen. Finanzielle Vorteile auf seiner Seite können sich zu Lasten eines Kunden auswirken, wenn dieser aufgrund der Personalisierung mehr zahlt als andere. In den Fällen, in denen der Kunde (etwa nach Weiterleitung von einem Preisvergleichsportal) mit einer Preisreduktion zum Kauf verleitet werden soll, profitiert er hingegen in der Einzelfallbetrachtung. Deshalb würde es zu kurz greifen, bei der Bewertung der wirtschaftlichen Kundeninteressen nur auf die Überlegung abzustellen, dass personalisierte Preise geeignet sind, ärmeren Kunden den Zugang zu einem Gut bzw. einer Dienstleistung überhaupt erst zu ermöglichen.¹²²

Gleichermaßen nicht verallgemeinerungsfähig sind die ökonomischen Auswirkungen bei Betrachtung nicht nur des einzelnen, sondern aller Kunden, sowie der Wettbewerber des Anbieters. Nicht überzeugend wäre das – aus Anbietersicht nahe liegende – Argument, dass der Kunde bei einem Geschäftsmodell, welches als Folge der Personalisierung nur eine Absenkung des Preises kennt, stets bevorteilt wird und dieser wirtschaftliche Vorteil somit zugunsten der Rechtmäßigkeit der Datenverarbeitung in der Abwägung zu berücksichtigen ist. Das planmäßige Nichtgewähren eines Rabatts bei den Kunden, die etwa bestimmte Kriterien nicht erfüllen, stellt ökonomisch betrachtet für sie nämlich wiederum einen Nachteil im Vergleich zu denjenigen Kunden dar, die den Rabatt erhalten. Eine reine Bevorteilung ist deshalb – unabhängig von der Frage, ob Kunden eine derartige Preisgestaltung als fair oder unfair empfinden – gerade nicht gegeben. Für die Interessenabwägung im Rahmen des Art. 6 I S. 1 lit. f DSGVO können die ökonomischen Auswirkungen personalisierter Preise auf Kundenseite also nur sehr bedingt fruchtbar gemacht werden. Sie sprechen weder für noch gegen die Zulässigkeit der Datenverarbeitung.

Die persönlichkeitsrechtlichen Interessen des einzelnen Kunden werden in ihrem Gewicht verstärkt durch die Auswirkungen, die die auf Art. 6 I S. 1 lit. f DSGVO gestützte Datenverarbeitung auf andere Kunden, also Dritte hätte. Der Wortlaut der Norm nennt Dritte auf Betroffenen- bzw. Kundenseite nicht als zu berücksichtigende Interessenträger. Im Gegensatz dazu werden die „berechtigten Interessen des Verantwortlichen oder eines Dritten“ auf Seiten des Anbieters geschützt. Dennoch wird man auch auf Kundenseite die Interessen Dritter richtigerweise nicht gänzlich unberücksichtigt lassen können.¹²³

Profiling basiert auf dem Prinzip der automatisierten Gruppenbildung (anhand abstrakter Vergleichsdaten) und der Einordnung des konkreten Kunden in die richtige Vergleichsgruppe (anhand personenbezogener Daten). Das jeweilige Ergebnis – im hiesigen Kontext vor allem Aussagen über die individuelle Preissensitivität bzw. über den vermuteten Reservationspreis – wird dem einzelnen Kunden automatisiert zugewiesen und stellt damit ein „neues“ personenbezogenes Datum dar. Die aus dem Profiling erwachsenden Erkenntnisse beeinflussen also nicht nur den einzelnen Kunden, dem gegenüber der Anbieter sich auf Art. 6 I S. 1 lit. f DSGVO berufen würde. Sie fließen auf einer abstrakteren Ebene auch in die Gruppenbildung und damit in die Bewertung anderer, zukünftiger Kunden mit ein.¹²⁴ So entsteht eine indirekte Rückkoppelung, die die sie betreffenden (zukünftigen, Profiling-basierten) personenbezogenen Daten beeinflusst¹²⁵ und damit zu tatsächlichen Auswirkungen auf diese führt.¹²⁶

Im Rahmen der Interessenabwägung ausschließlich die Auswirkungen auf den einzelnen Kunden zu berücksichtigen, würde damit den Datenschutz Dritter ignorieren. Dogmatisch lässt sich dies auch mit dem Wortlaut der Norm begründen. Art. 6 I S. 1 lit. f DSGVO spricht von den „Interessen (…) der betroffenen Person, die den Schutz personenbezogener Daten erfordern“. Diese Formulierung ist im Vergleich zum Wortlaut des Art. 6 I S. 1 lit. a DSGVO (Einwilligung) allgemein gehalten, spricht dieser doch von die Person „betreffenden personenbezogenen Daten“. Dieser Ausdruck hätte auch in Art. 6 I S. 1 lit. f DSGVO gewählt werden können, um deutlich zu machen, dass im Rahmen der Interessenabwägung nur die die Kunden „betreffenden“ personenbezogenen Daten, nicht aber die von Dritten zu berücksichtigen sind. Die persönlichkeitsrechtlichen Interessen Dritter verstärken damit die Position des Kunden im Rahmen der Abwägungsentscheidung.

Bei einer Gegenüberstellung und wertenden Abwägung der auf Kunden- und Anbieterseite betroffenen Interessen überwiegen diejenigen der Kunden. Dies ergibt sich vor allem angesichts der hohen persönlichkeitsrechtlichen Relevanz, die mit Preispersonalisierung aufgrund der ihr methodisch zugrunde liegenden Profilbildung einhergeht. Dieses Ergebnis lässt sich zudem mit systematischen Erwägungen untermauern. Die wirtschaftlichen Interessen des Anbieters alleine können nicht ausreichen, um derart weitreichende Verarbeitungsformen zu legitimieren. Die wirtschaftlichen Auswirkungen auf Kundenseite spielen dabei aufgrund ihrer Diversität und damit einhergehenden Unbestimmtheit keine eigenständige Rolle. Eine Datenverarbeitung zum Zwecke des Personalised Pricings kann demnach nicht auf die allgemeine Interessenabwägungsklausel des Art. 6 I S. 1 lit. f DSGVO gestützt werden.¹²⁷ Der Anbieter muss für diesen Verarbeitungszweck vom Kunden stets eine Einwilligung i. S. d. Art. 6 I S. 1 lit. a DSGVO einholen.