„Partner“ reicht nicht: Neue Hürden für Werbeeinwilligungen | HÄRTING Rechtsanwälte

Wer seine Daten für Werbung durch «Partner» freigibt, muss offenbar auch wissen, wer diese Partner tatsächlich sind. In der Rechtssache C-317/25 – Groupe Canal + schlägt Generalanwalt Dean Spielmann dem EuGH eine entsprechend strenge Linie vor: Eine pauschale Einwilligung zugunsten nicht näher benannter «Partner» soll elektronische Direktwerbung grundsätzlich nicht legitimieren. Für Unternehmen, die Leads, Kundendaten oder Werbekontakte von Dritten beziehen, könnte die Entscheidung erhebliche praktische Folgen haben.

25. September 2026

Millionen Werbekontakte und eine vermeintlich einfache Einwilligung

Ausgangspunkt des Verfahrens sind elektronische Direktwerbekampagnen der Groupe Canal + aus dem Jahr 2021. Rund 3,9 Millionen Personen wurden angesprochen. Die verwendeten personenbezogenen Daten stammten von zwei Internetzugangsanbietern. Deren Kundinnen und Kunden hatten zuvor der Verwendung ihrer Daten für Direktwerbung durch die «Partner» der Anbieter zugestimmt. Welche Unternehmen sich hinter diesen «Partnern» verbargen, wurde allerdings weder im Erhebungsformular noch über eine zugängliche Partnerliste oder auf andere Weise offengelegt.

Nach Beschwerden untersuchte die französische Datenschutzbehörde CNIL die Verarbeitung und verhängte 2023 gegen Groupe Canal + eine Geldbusse von insgesamt 600’000 Euro. Die Sanktion betraf allerdings mehrere von der CNIL festgestellte Verstösse gegen die DSGVO und das französische Telekommunikationsrecht; die vor dem EuGH behandelte Frage zur Werbeeinwilligung bildet nur einen Teil dieses Komplexes.

Groupe Canal + focht die Entscheidung beim französischen Conseil d’État an. Dieser legte dem EuGH schliesslich die Frage vor, ob eine gegenüber dem ursprünglichen Datenerheber abgegebene Einwilligung zugunsten einer abstrakten Empfängerkategorie wie «Partner» ausreichen kann, damit ein späterer Datenempfänger eigene elektronische Direktwerbung versendet.

Wann ist eine Werbeeinwilligung wirklich «informiert»?

Art. 13 Abs. 1 der ePrivacy-Richtlinie verlangt für elektronische Direktwerbung grundsätzlich eine vorherige Einwilligung. Wie diese Einwilligung ausgestaltet sein muss, richtet sich nach den Anforderungen der DSGVO. Art. 4 Nr. 11 DSGVO verlangt eine freiwillige, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung.

Genau am Merkmal der informierten Einwilligung setzt Generalanwalt Spielmann an.

Nach seiner Auffassung muss die betroffene Person die Identität desjenigen Verantwortlichen kennen können, der die Daten für die konkrete Direktwerbung verwenden möchte. Der Generalanwalt stützt sich dabei insbesondere auf die Informationspflichten nach Art. 13 und 14 DSGVO sowie auf Erwägungsgrund 42 der DSGVO. Wird ein Datensatz nicht direkt bei der betroffenen Person erhoben, muss der neue Verantwortliche nach Art. 14 DSGVO unter anderem über seine Identität, die Verarbeitungszwecke und die Rechtsgrundlage informieren.

Der EuGH hat bereits in früheren Entscheidungen betont, dass eine Einwilligung nur dann informiert ist, wenn die betroffene Person die Umstände der Datenverarbeitung in verständlicher und leicht zugänglicher Form nachvollziehen und die Konsequenzen ihrer Erklärung erkennen kann.

«Partner» bezeichnet keinen ausreichenden Personenkreis

Aus Sicht des Generalanwalts kann eine Person zwar darin einwilligen, dass ihre Daten an «Partner» des ursprünglichen Anbieters übermittelt werden. Daraus folgt aber nicht automatisch, dass sie gleichzeitig elektronische Werbung von jedem beliebigen Unternehmen akzeptiert, das irgendwann unter diesen Partnerbegriff fällt.

Für die eigene Direktwerbung des späteren Unternehmens fehlt es nach dieser Argumentation an einer ausreichend informierten Einwilligung, solange dessen Identität beim ursprünglichen Opt-in nicht bekannt war. Groupe Canal + hätte sich deshalb nicht ohne Weiteres auf die gegenüber den Internetzugangsanbietern abgegebene Einwilligung berufen können.

Der Generalanwalt schlägt dem Gerichtshof daher vor, eine Einwilligung zugunsten nicht identifizierter «Partner» nicht als ausreichende Grundlage für deren spätere elektronische Direktwerbung anzusehen. Ist die Identität des werbenden Verantwortlichen nicht bekannt, soll eine neue, ausreichend informierte Einwilligung erforderlich sein.

Besonders relevant für die Marketingpraxis: Ein Abmeldelink in der ersten Werbenachricht kann das Fehlen der vorher notwendigen Einwilligung nach Ansicht Spielmanns nicht nachträglich heilen. Ein Opt-out setzt erst nach Beginn der Werbung an; die ePrivacy-Richtlinie verlangt jedoch grundsätzlich eine vorherige Einwilligung.

Auch eine genauer beschriebene «Partnerkategorie» dürfte nicht ohne Weiteres genügen

Der Conseil d’État stellte zusätzlich die Frage, wie präzise eine Empfängerkategorie beschrieben werden müsste, falls die Benennung einer Kategorie überhaupt ausreichen sollte. Nach der primären Rechtsauffassung des Generalanwalts muss der EuGH diese zweite Frage eigentlich nicht mehr beantworten: Ist die Identität des später werbenden Verantwortlichen erforderlich, genügt eine blosse Kategorie ohnehin nicht.

Spielmann äussert sich vorsorglich aber auch zu diesem Szenario. Sollte der Gerichtshof Kategorien grundsätzlich ausreichen lassen, müssten sie so präzise bestimmt sein, dass die betroffene Person vernünftigerweise damit rechnen kann, gerade von dem betreffenden Unternehmen kontaktiert zu werden. Der Begriff «Partner» sei dafür zu unbestimmt. Ein blosses kommerzielles oder vertragliches Verhältnis zum ursprünglichen Datenerheber beschreibt den Kreis möglicher Werbetreibender nicht ausreichend.

Was Unternehmen jetzt prüfen sollten

Das Verfahren ist insbesondere für Unternehmen relevant, die nicht ausschliesslich mit selbst erhobenen Kontaktdaten arbeiten, sondern Leads, Interessentendaten oder Marketinglisten von Drittunternehmen beziehen. Bestehende Prozesse sollten daraufhin überprüft werden, ob die Einwilligung tatsächlich das später werbende Unternehmen erfasst. Pauschale Klauseln wie «Werbung durch unsere Partner», «ausgewählte Unternehmen» oder ähnlich offene Formulierungen bergen nach den Schlussanträgen erhebliche Risiken.

In der Praxis empfiehlt sich insbesondere, die Datenherkunft und Einwilligungskette vollständig zu dokumentieren, die Identität der vorgesehenen werbenden Verantwortlichen bereits beim Opt-in transparent zu machen und nachweisen zu können, welche Informationen der betroffenen Person zum Zeitpunkt der Einwilligung tatsächlich zur Verfügung standen. Werden nachträglich weitere Werbepartner in ein bestehendes System aufgenommen, sollte nicht ohne zusätzliche Prüfung davon ausgegangen werden, dass eine ältere Einwilligung auch diese Unternehmen umfasst.

Unternehmen, die Leads von Dritten erwerben, sollten zudem nicht allein auf vertragliche Zusicherungen des Datenlieferanten vertrauen. Sie müssen nachvollziehen können, welche konkrete Einwilligung vorliegt, wie sie erhoben wurde und ob das eigene Unternehmen davon erfasst ist. Art. 7 Abs. 1 DSGVO weist dem Verantwortlichen die Nachweispflicht für eine auf Einwilligung gestützte Verarbeitung zu.

Auch für Schweizer Unternehmen relevant?

Unmittelbar betrifft das Verfahren die Auslegung des europäischen Datenschutz- und Kommunikationsrechts. Für Schweizer Unternehmen kann die Entscheidung dennoch relevant werden, wenn ihre Datenverarbeitung in den räumlichen Anwendungsbereich der DSGVO fällt – beispielsweise weil sie Waren oder Dienstleistungen gezielt Personen in der EU anbieten. Art. 3 Abs. 2 DSGVO kann die Verordnung auch auf Verantwortliche ohne Niederlassung in der EU erstrecken.

Eine automatische Übertragung der Schlussanträge auf rein schweizerische Werbesachverhalte wäre dagegen nicht sachgerecht. Für diese gelten die schweizerischen datenschutz- und lauterkeitsrechtlichen Vorgaben. Für grenzüberschreitende Marketingmodelle sollte die europäische Entwicklung jedoch berücksichtigt werden.

Fazit: Wer werben will, sollte beim Namen genannt werden

Die Schlussanträge in C-317/25 stellen vor allem Geschäftsmodelle infrage, bei denen personenbezogene Daten über weit gefasste «Partnernetzwerke» für Direktmarketing weitergegeben werden. Sollte der EuGH dem Generalanwalt folgen, wäre die Kernbotschaft eindeutig: Die Einwilligung in Werbung durch anonyme oder nur abstrakt bezeichnete «Partner» reicht nicht aus, wenn das später werbende Unternehmen bei Abgabe der Einwilligung nicht identifizierbar war. Für Lead-Generation, Co-Registrierung und andere mehrstufige Marketingmodelle würde dies die Anforderungen an Transparenz, Consent Management und Dokumentation erheblich erhöhen.

Noch handelt es sich allerdings nicht um ein Urteil des EuGH. Schlussanträge sind für den Gerichtshof nicht bindend. Die Rechtssache C-317/25 ist weiterhin anhängig; das Urteil wird zu einem späteren Zeitpunkt verkündet.