Werbung trotz Widerspruch: EDÖB zieht klare Grenze

EDÖB-Verfügung gegen Philipp Plein: Worum geht es?

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat mit Verfügung vom 17. April 2026 ein Verfahren gegen die Cream della Cream Switzerland GmbH und die Philipp Plein International AG abgeschlossen. Auslöser waren mehrere Anzeigen betroffener Personen, die geltend machten, trotz Widerspruchs weiterhin Werbenachrichten per E-Mail oder SMS erhalten zu haben. Der EDÖB veröffentlichte dazu eine Mitteilung; die Verfügung ist nach Ablauf der Beschwerdefrist rechtskräftig geworden.

Nach den Feststellungen des EDÖB hatten Kundinnen und Kunden nach Einkäufen in physischen oder Online-Boutiquen Werbenachrichten erhalten, unter anderem zu Rabatten und Events. Nach Angaben der betroffenen Personen war teilweise nie eine Einwilligung für diese Datenbearbeitung erteilt worden. Die Verfügung stellt allerdings nicht abschliessend fest, ob bereits die erstmalige Werbeansprache deshalb unzulässig war. Für den Entscheid war vielmehr ausschlaggebend, dass die Werbung trotz späterer ausdrücklicher Widersprüche weiterging. In einigen Fällen wurde die Löschung bestätigt, ohne dass die Werbeansprache tatsächlich endete.

Der Fall betrifft damit nicht nur klassische Newsletter-Compliance. Er zeigt vielmehr, dass Unternehmen ihre Marketingdatenbanken, CRM-Systeme, Newsletter-Tools und Löschprozesse organisatorisch und technisch so aufsetzen müssen, dass Widersprüche und Löschungsbegehren zuverlässig umgesetzt werden.

Zwei Rechtsfragen sind auseinanderzuhalten: Darf geworben werden – und darf weitergeworben werden?

Für die Praxis ist eine Unterscheidung wichtig, die in der Diskussion über Newsletter häufig verloren geht. Zum einen stellt sich die Frage, unter welchen Voraussetzungen eine Person überhaupt per E-Mail oder SMS beworben werden darf. Zum anderen ist zu prüfen, was geschieht, nachdem diese Person der Verwendung ihrer Daten ausdrücklich widersprochen hat. Die EDÖB-Verfügung konzentriert sich auf die zweite Frage.

Für elektronische Massenwerbung ist daneben das Bundesgesetz gegen den unlauteren Wettbewerb (UWG, SR 241) zu berücksichtigen. Nach der vom EDÖB dargestellten Rechtslage setzt E-Mail-Werbung grundsätzlich eine vorherige ausdrückliche Einwilligung voraus. Eine Ausnahme besteht insbesondere im Rahmen einer bestehenden Kundenbeziehung für Werbung für eigene ähnliche Produkte oder Dienstleistungen. Auch dort muss jedoch eine einfache und kostenlose Möglichkeit bestehen, weitere Werbung abzulehnen. Die Anforderungen des UWG und jene des Datenschutzgesetzes (DSG, SR 235.1) sind daher nebeneinander zu prüfen.

Dass im konkreten Fall SMS teilweise keine einfache Abmeldemöglichkeit enthielten und E-Mail-Abmeldelinks nach den Unterlagen der Betroffenen nicht funktionierten, ist daher nicht nur ein technisches Detail. Ein Opt-out, das auf dem Bildschirm vorhanden ist, aber im Backend keine Wirkung entfaltet, erfüllt seine Funktion nicht.

Werbung ist Datenbearbeitung

Der EDÖB stellt klar: Wer E-Mail-Adressen oder Telefonnummern nutzt, um identifizierbare Kundinnen und Kunden per E-Mail oder SMS zu bewerben, bearbeitet Personendaten. Nach Art. 5 lit. a DSG gelten als Personendaten alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen; als Bearbeiten gilt nach Art. 5 lit. d DSG insbesondere das Beschaffen, Speichern, Verwenden, Bekanntgeben, Löschen oder Vernichten solcher Daten.

Für Unternehmen ist das praktisch bedeutsam. Marketingdaten sind nicht „nur“ Kontaktdaten. Sobald sie für Direktwerbung genutzt werden, unterliegen sie den Grundsätzen des Datenschutzrechts. Dazu gehören insbesondere Zweckbindung, Verhältnismässigkeit, Transparenz, Datenminimierung und Treu und Glauben. Wer Daten ursprünglich im Rahmen eines Verkaufs erhebt, darf sie nicht beliebig und unbegrenzt für Marketingzwecke verwenden.

Das Widerspruchsrecht nach Schweizer DSG

Im Zentrum der Verfügung steht Art. 30 Abs. 2 lit. b DSG. Danach liegt eine Persönlichkeitsverletzung insbesondere vor, wenn Personendaten gegen die ausdrückliche Willensäusserung der betroffenen Person bearbeitet werden. Der EDÖB leitet daraus ab: Wer sich gegen Werbung ausspricht, muss nicht zusätzlich begründen, weshalb er oder sie keine Werbung mehr erhalten will. Eine ausdrückliche Erklärung genügt. Im konkreten Fall hatten betroffene Personen auf verschiedenen Kanälen widersprochen: per E-Mail, telefonisch oder über Kontaktformulare.

Juristisch erfolgt die Prüfung allerdings in zwei Schritten: Die Weiterbearbeitung entgegen einem ausdrücklichen Widerspruch stellt zunächst eine Persönlichkeitsverletzung nach Art. 30 Abs. 2 lit. b DSG dar. Widerrechtlich ist die Persönlichkeitsverletzung, wenn kein Rechtfertigungsgrund nach Art. 31 DSG besteht – etwa eine Einwilligung, ein überwiegendes privates oder öffentliches Interesse oder eine gesetzliche Grundlage. Nach der Verfügung oblag es den verantwortlichen Unternehmen, einen solchen Rechtfertigungsgrund darzutun. Sie brachten jedoch keinen vor; auch aus dem vom EDÖB festgestellten Sachverhalt ergab sich keiner. Damit war die weitere Werbebearbeitung widerrechtlich.

Für die Praxis ist wichtig: Das Widerspruchsrecht darf nicht nur rechtlich bestehen. Es muss auch tatsächlich funktionieren. Ein Newsletter-Link, der formal vorhanden ist, aber nicht wirksam abmeldet, genügt nicht. Dasselbe gilt für SMS-Werbung ohne einfache Abmeldemöglichkeit. Der EDÖB betonte im Verfahren ausdrücklich, dass ein effektives und rasches Abmeldeverfahren zur Verfügung stehen müsse.

Unternehmen sollten Widersprüche deshalb unabhängig vom Eingangskanal erkennen können. Wer beispielsweise dem Kundendienst per E-Mail mitteilt, keine Werbung mehr erhalten zu wollen, darf grundsätzlich nicht darauf verwiesen werden, zunächst noch einen bestimmten Newsletter-Link zu verwenden. Entscheidend ist die eindeutig erklärte Willensäusserung – nicht der vom Unternehmen bevorzugte technische Kanal.

Löschung heisst nicht: weiter werben

Neben dem Widerspruch gegen Werbung ging es um Löschungsbegehren. Nach Auffassung des EDÖB ergibt sich aus dem DSG ein Anspruch auf Löschung bzw. Vernichtung oder Anonymisierung von Daten, wenn diese für den ursprünglichen Zweck nicht mehr erforderlich sind und kein Rechtfertigungsgrund für die weitere Aufbewahrung besteht. Das Gesetz verpflichtet Verantwortliche zudem dazu, Daten nur so lange aufzubewahren, wie es für den Bearbeitungszweck erforderlich ist.

Das Löschungsrecht ist allerdings nicht absolut. Eine gesetzliche Aufbewahrungspflicht oder ein überwiegendes privates Interesse kann die weitere Speicherung bestimmter Daten rechtfertigen. Der EDÖB formuliert deshalb ausdrücklich, dass eine Löschung verlangt werden kann, soweit kein Rechtfertigungsgrund für die weitere Aufbewahrung besteht. Eine solche zulässige Aufbewahrung bedeutet aber nicht, dass die Daten weiterhin zu Werbezwecken verwendet werden dürfen. Aufbewahrungszweck und Marketingzweck sind getrennt zu beurteilen.

Besonders scharf fällt die Beurteilung dort aus, wo ein Unternehmen die Löschung bestätigt, die betroffene Person aber weiterhin Werbung erhält. Der EDÖB sah darin nicht nur eine Bearbeitung gegen den erklärten Willen der betroffenen Person, sondern auch eine Verletzung des Grundsatzes von Treu und Glauben. Wer Löschung zusagt, muss intern sicherstellen, dass diese Zusage in allen relevanten Systemen umgesetzt wird.

Damit kommen im konkreten Fall zwei selbständige datenschutzrechtliche Gesichtspunkte zusammen: Die Weiterbearbeitung nach dem Widerspruch verletzt Art. 30 Abs. 2 lit. b DSG. Wird zusätzlich eine Löschung bestätigt und gleichwohl weiterbearbeitet, ist dies nach Ansicht des EDÖB eine Verletzung von Treu und Glauben gemäss Art. 6 Abs. 2 DSG und damit zusätzlich eine Persönlichkeitsverletzung nach Art. 30 Abs. 2 lit. a DSG.

In der Praxis ist gerade dies häufig die Schwachstelle. Kundendaten liegen nicht nur in einem System. Sie befinden sich in Shop-Systemen, CRM-Lösungen, Newsletter-Tools, Eventdatenbanken, Kundendienstsystemen, Backups oder bei externen Marketingdienstleistern. Eine Löschung in einem System reicht nicht, wenn dieselbe Adresse aus einer anderen Liste weiterhin bespielt wird.

Unternehmen sollten deshalb technisch zwischen Löschung und Werbesperre unterscheiden. Daten, die beispielsweise aus gesetzlichen Gründen noch aufbewahrt werden müssen, sind jedenfalls für Marketingzwecke zu sperren. Wird vollständig gelöscht, ist zusätzlich zu prüfen, ob und in welcher Form ein auf das notwendige Minimum reduzierter Sperrvermerk erforderlich und datenschutzrechtlich gerechtfertigt ist, um zu verhindern, dass dieselbe Adresse später aus einem Altsystem oder einer externen Liste erneut in eine Marketingkampagne gelangt. Eine solche Lösung sollte zweckgebunden, zugriffsbeschränkt und dokumentiert sein. Der EDÖB weist allgemein darauf hin, dass bei bestehenden Rechtfertigungsgründen anstelle einer vollständigen Löschung auch eine Sperrung der Daten in Betracht kommen kann.

Internationale Unternehmen: Ein Widerspruch darf nicht an Gesellschafts- oder Systemgrenzen scheitern

Die Verfügung enthält noch einen weiteren, für internationale E-Commerce-Gruppen relevanten, Punkt. Der EDÖB betrachtete sowohl Cream della Cream Switzerland GmbH als auch Philipp Plein International AG als Verantwortliche; nach der untersuchten Datenschutzerklärung waren beide Gesellschaften für Personendaten verantwortlich, während Cream della Cream insbesondere für die Website verantwortlich war. Zudem betrafen die Anzeigen Personen in mehreren europäischen Staaten. Der EDÖB hielt fest, dass bei einer Datenbearbeitung in der Schweiz der Aufenthaltsort oder die Nationalität der betroffenen Person für die Anwendbarkeit des DSG nicht entscheidend ist.

Für Unternehmensgruppen folgt daraus eine praktische Governance-Frage: Es muss feststehen, welche Gesellschaft einen Widerspruch entgegennimmt, welche Systeme betroffen sind und wie das Signal konzernweit an CRM-, Shop-, Loyalty-, Event- und Versandlösungen weitergegeben wird. Ein organisatorisches Zuständigkeitsproblem darf nicht dazu führen, dass eine Person aus einem anderen System oder über eine andere Konzerngesellschaft erneut beworben wird.

EDÖB kann verbindlich anordnen und Sanktionen androhen

Der Entscheid ist auch deshalb bemerkenswert, weil der EDÖB nicht bei einer informellen Intervention stehen blieb. Nachdem auf Hinweise und ein späteres Schreiben keine Reaktion erfolgte, eröffnete der EDÖB eine formelle Untersuchung nach Art. 49 Abs. 1 DSG. Das DSG erlaubt dem EDÖB, Untersuchungen zu eröffnen, wenn genügend Anzeichen bestehen, dass eine Datenbearbeitung gegen Datenschutzvorschriften verstossen könnte.

Die Verfügung verpflichtet die betroffenen Unternehmen, die Bearbeitung von Personendaten zu Werbezwecken sofort einzustellen, wenn eine betroffene Person widersprochen hat, Löschungsbegehren umzusetzen und bereits erfolgte Widersprüche oder Löschungsbegehren zu berücksichtigen. Die Umsetzung muss spätestens 30 Tage nach Rechtskraft erfolgen. Zudem wurden Gebühren von CHF 5’500 auferlegt.

Diese 30-Tage-Frist darf allerdings nicht als allgemeine «Bearbeitungsfrist» für künftige Newsletter-Abmeldungen verstanden werden. Die Verfügung verlangt vielmehr, dass die Datenbearbeitung zu Werbezwecken bei einem Widerspruch sofort eingestellt wird; die 30 Tage bezogen sich auf die Umsetzung der angeordneten Massnahmen nach Rechtskraft der konkreten Verfügung.

Besonders praxisrelevant ist die Strafandrohung: Wer sich vorsätzlich nicht an eine Verfügung des EDÖB hält, kann nach Art. 63 DSG mit Busse, bis CHF 250’000 bestraft werden. Bei juristischen Personen weist die Verfügung gestützt auf Art. 29 StGB ausdrücklich auf die für die Einhaltung verantwortlichen natürlichen Personen im Unternehmen hin. Die CHF 5’500 sind davon zu unterscheiden: Es handelt sich um Gebühren für das aufsichtsrechtliche Verfahren bzw. die angeordneten Massnahmen, nicht um eine Busse wegen des ursprünglichen Datenschutzverstosses.

Checkliste: Was Unternehmen jetzt prüfen sollten

Für E-Commerce-Anbieter, Retailer, Veranstalter, Plattformbetreiber und Unternehmen mit zentralen CRM- oder Loyalty-Systemen lässt sich aus der Verfügung folgende Praxis-Checkliste ableiten:

• Werberechtsgrundlage prüfen: Ist für E-Mail- und SMS-Kampagnen eine wirksame Einwilligung vorhanden oder sind die Voraussetzungen einer zulässigen Bestandskundenwerbung erfüllt? Sind Absender und einfache, kostenlose Abmeldemöglichkeit erkennbar?
• Alle Widerspruchskanäle erfassen: Können Kundendienst, Datenschutzstelle, Marketing und Verkauf Widersprüche per E-Mail, Telefon, Webformular oder sonstigen Kanälen erkennen und unmittelbar weiterleiten?
• Zentrale Werbesperre implementieren: Wird ein Opt-out möglichst in Echtzeit an CRM, Newsletter-System, SMS-Dienstleister, Shop, Loyalty-System und Eventdatenbank übertragen?
• Abmeldelinks regelmässig testen: Funktioniert der Link technisch tatsächlich bis zur Sperre im Versandbackend? Werden auch fehlerhafte oder nicht synchronisierte Systeme erkannt?
• Löschprozess systemübergreifend definieren: Ist bekannt, in welchen produktiven Systemen, Archiven und bei welchen Dienstleistern Kundendaten gespeichert werden? Wird zwischen zu löschenden Daten und aufgrund eines Rechtfertigungsgrundes weiter aufzubewahrenden Daten unterschieden?
• Keine Wiederaufnahme durch Datenimporte: Wird verhindert, dass eine gesperrte Adresse durch einen CRM-Import, eine alte Eventliste, einen externen Dienstleister oder eine andere Konzerngesellschaft erneut aktiviert wird?
• Nachweis und Verantwortlichkeiten dokumentieren: Ist nachvollziehbar, wann ein Widerspruch einging, wann er umgesetzt wurde und welche Systeme betroffen waren? Ist intern klar festgelegt, wer dafür verantwortlich ist?
• Eskalationsprozess vorsehen: Beschwerden über Werbung trotz Abmeldung sollten nicht als gewöhnliche Kundendiensttickets behandelt werden. Wiederholte Beschwerden sind ein Compliance-Signal und sollten Datenschutz- bzw. Legal-Verantwortliche erreichen.

Fazit: Marketing-Compliance ist kein Formular, sondern ein Prozess

Die EDÖB-Verfügung zeigt: Datenschutzkonformes Marketing endet nicht beim Einwilligungstext oder beim Abmeldelink. Entscheidend ist, ob Widersprüche und Löschungsbegehren in der Praxis wirksam umgesetzt werden. Unternehmen, die weiterhin Werbung an Personen senden, die sich abgemeldet oder Löschung verlangt haben, riskieren verbindliche Anordnungen, Gebühren, Reputationsschäden und bei Nichtbefolgung einer Verfügung erhebliche Bussen.

Für Unternehmen liegt die zentrale Lehre deshalb weniger im Frontend als im Backend: Ein funktionierender Abmeldelink ist nur der Anfang. Entscheidend sind ein belastbarer Prozess, eine zentrale und systemübergreifende Sperrlogik, klare Verantwortlichkeiten sowie die Trennung zwischen erforderlicher Datenaufbewahrung und unzulässiger weiterer Nutzung für Marketing.

Unsere Spezialistinnen und Spezialisten für E-Commerce und Werbung unterstützen Unternehmen bei Bedarf gerne bei der rechtlichen und technischen Einordnung solcher Marketing- und Opt-out-Prozesse.

Quellen

• Mitteilung EDÖB: Verfügung des EDÖB gegen Cream della Cream Switzerland GmbH und Philipp Plein International AG
• EDÖB: Décision du 17 avril 2026, Enquête au sens de l’art. 49 LPD contre Cream della Cream Switzerland GmbH und Philipp Plein International AG
• Bundesgesetz über den Datenschutz, DSG
• Bundesgesetz gegen den unlauteren Wettbewerb (UWG)