Wer wirbt, ist (nicht immer) verantwortlich: VG Berlin kippt Datenschutz-Verwarnung im Lettershop-Verfahren

Dürfen Unternehmen fremde Adressdaten nutzen, ohne dafür datenschutzrechtlich den Kopf hinhalten zu müssen? Eine spannende Frage, die das Verwaltungsgericht Berlin im Oktober 2025 auf den Tisch bekam. Der Fall: Ein Revuetheater wollte mit einer weihnachtlichen Werbeaktion neue Besucher gewinnen – per Post, zielgerichtet, aber anonym. Den Versand übernahm eine Adresshändlerin. Die Datenschutzbehörde sah darin eine gemeinsame Verantwortlichkeit – und sprach eine Verwarnung aus. Das VG Berlin sah das anders. Ein Urteil, das nicht nur für Marketingabteilungen, sondern auch für Datenschutzbeauftragte interessant sein dürfte.

 

Hintergrund: Lettershop trifft Datenschutz

Die Klägerin, Betreiberin eines Revuetheaters, plante Ende 2021 eine postalische Werbeaktion – adressiert an kaufkräftige Haushalte in Berlin und Brandenburg, die bisher keine Kunden waren. Den Versand organisierte sie nicht selbst, sondern beauftragte dafür eine Adresshändlerin. Diese arbeitete mit einem sogenannten „Lettershop-Verfahren“, bei dem Zielgruppen über Mikrozellen – also kleinräumige statistische Einheiten – bestimmt werden. Die eigentlichen Adressen blieben stets bei der Adresshändlerin. Die Klägerin erhielt zu keinem Zeitpunkt Einblick in die Daten.

Trotz dieser Trennung erhielt die Theaterbetreiberin im Januar 2024 eine Verwarnung durch die Datenschutzaufsichtsbehörde. Der Vorwurf: Sie sei gemeinsam mit der Adresshändlerin für die Verarbeitung personenbezogener Daten verantwortlich – und habe damit gegen die DSGVO verstoßen. Der zentrale Vorwurf: Ein unzulässiger Eingriff in die Rechte der betroffenen Person, in diesem Fall eine Empfängerin des Werbeschreibens.

 

Kernfrage: Gemeinsame Verantwortlichkeit oder nicht?

Die datenschutzrechtliche Verantwortung ist in Art. 4 Nr. 7 DSGVO geregelt. Danach ist verantwortlich, wer über Zweck und Mittel der Verarbeitung entscheidet. Bei mehreren Beteiligten kann eine sogenannte gemeinsame Verantwortlichkeitvorliegen – mit erheblichen Pflichten, z. B. zur transparenten Regelung der Zusammenarbeit (Art. 26 DSGVO).

Doch hier zog das Verwaltungsgericht eine klare Grenze: Allein der Wunsch, Werbung an eine bestimmte Zielgruppe zu senden, begründet noch keine gemeinsame Verantwortung für die Auswahl und Nutzung der Adressen. Die Theaterbetreiberin habe zwar das „Was“ bestimmt (Werbung an kaufkräftige Haushalte), aber nicht das „Wie“ – also nicht die technische und organisatorische Umsetzung der Adressauswahl.

Warum die Klägerin nicht verantwortlich war – die Argumentation des Gerichts

Das Gericht stellte klar: Auch wenn personenbezogene Daten verarbeitet wurden (nämlich Name und Anschrift der Empfänger), sei allein die Adresshändlerin dafür verantwortlich gewesen. Entscheidend war:

• Kein Zugriff auf Adressen: Die Klägerin bekam keine Adressen zu sehen.

• Keine Mitgestaltung des Verfahrens: Die technische Auswahl über Mikrozellen und das gesamte Handling lagen allein bei der Adresshändlerin.

• Keine Einflussnahme auf die Mittel der Verarbeitung: Zwar bestimmte die Klägerin das Ziel der Werbung – nicht aber das „Wie“. Die Mittel blieben komplett in der Hand der Adresshändlerin.

• Kein „Schlüssel“ zur Datenverarbeitung: Anders als in Fällen, in denen Unternehmen z. B. Social-Media-Plugins einbinden und dadurch selbst aktiv Daten übermitteln, war hier der Zugriff auf Daten nicht durch die Klägerin initiiert worden.

Die bloße wirtschaftliche Motivation reiche nicht aus, um eine gemeinsame Verantwortlichkeit zu begründen. Es brauche – so das VG Berlin – eine tatsächliche Mitgestaltung, nicht nur das Formulieren eines Marketingwunschs.

Fazit: Nicht jede Werbung macht verantwortlich

Das Urteil ist ein wichtiges Signal an Unternehmen, die externe Dienstleister für Direktwerbung beauftragen. Wer keine Kontrolle über die Daten hat und nur Zielgruppen vorgibt, muss nicht automatisch als datenschutzrechtlich Verantwortlicher gelten. Doch Vorsicht: Das Urteil schafft keine generelle Narrenfreiheit – es bleibt eine Einzelfallbewertung.

Was Unternehmen nun mitnehmen sollten:

• Vertragliche Klarheit: Trennung von Verantwortlichkeiten sauber dokumentieren.

• Keine Mitverantwortung ohne Zugriff: Wer keine Daten verarbeitet oder kontrolliert, ist (meist) kein Verantwortlicher.

• Transparenz beachten: Trotz fehlender Verantwortung im datenschutzrechtlichen Sinne bleibt die Pflicht, Betroffene über die Datenverarbeitung aufzuklären – zumindest durch den tatsächlichen Verantwortlichen.

 

Blick nach vorn: Berufung zugelassen

Das letzte Wort ist womöglich noch nicht gesprochen. Das VG Berlin hat die Berufung ausdrücklich zugelassen – wegen der grundsätzlichen Bedeutung. Denn wie weit der Begriff der „gemeinsamen Verantwortlichkeit“ tatsächlich reicht, ist in vielen Fällen noch offen. Gerade das Lettershop-Verfahren ist wirtschaftlich weit verbreitet – die Entscheidung könnte also wegweisend sein.