ich hab eine Konstellation bei der wir intern nicht ganz auf einen datenschutzrechtlichen Nenner kommen und ich brauch bisschen externen Hirnschmalz:
Unternehmen A sammelt Kontaktdaten und bietet dann Unternehmen B-Z an, dass an diese Kontakte Werbung geschickt wird. Unternehmen A gibt die Kontaktdaten nie heraus sondern versendet die Werbung selber, verkauft also praktisch nur den Zugang zum Kundenkreis.
Wie ist hier das Thema Verantwortlichkeit einzuordnen?
Liegt ein typischer AVV-Fall vor, weil A nur im Auftrag der anderen Unternehmen Daten verarbeitet?
Oder ist es notwendig für einen AVV Vertrag, dass die personenbezogenen (Kontakt)daten vom Verantwortlichen kommen?
Wer ist hier für die Einwilligung verantwortlich? Meines Erachtens Unternehmen A im Moment der Erhebung, aber das spricht meines Erachtens auch gegen die normale AVV Konstellation?
Zu unterscheiden, ob die gesammelten Kontakte Firmen-Adressen oder Privatpersonen sind.
Wenn es Firmenadressen sind, greift der Datenschutz nicht.
Wenn es Daten von Privatpersonen sind:
Die Firma A ist Verantwortlicher der Verarbeitung, da B-Z als Auftraggeber kein Weisungsrecht zur Verarbeitung der Adressen zusteht. (Höchstens eine Zielgruppenauswahl, aber B-Z kennen die Adessen nicht.) Damit ist A aus Sicht des Auftraggebers Dritter, wobei hier ja auch keine pbD übertragen werden.
Anders sieht das aus, wenn A die Nutzung des Adressbestandes auschliesslich für Mailing-Aktionen des Auftraggebers durch den Auftragnehmer lizensiert. Bei einem solchen Rechtskonstrukt wäre B-Z Verantwortlicher der Verarbeitung und A nur Auftragnehmer. Dann liegen aber auch zwei TRechtsgeschäfte vor:
Zum Einen die Bereitstellung der Adressen und zum anderen die Dienstleistung im Auftrag.
Die Firma A müsste die Betroffenen gemäß Art. 14 über die Verarbeitungen informieren, innerhalb eines Monats aber spätestens bei erster Kontaktaufnahme.
Wenn der Lizenzfall vorliegt: Firma B müsste dann informieren.
Für eine werbliche Ansprache per Post gibt es ein berechtigtes Interesse mit Widerspruchsrecht nach Art. 21 Abs. 2. Eine Ansprache per Mail oder Anruf erfordert eine Einwilligung.
Es sind zwar Kontaktdaten im ‘geschäftlichen’ Kontext, aber sind auch oft Kaufleute, Personengesellschaften etc. direkt. Sodass ich zumindest von einem Mix ausgehen würde, insbesondere weil strenggenommen A es nicht explizit nur auf geschäftliche Kontaktdaten absieht, sodass Privatpersonen es durchaus möglich ist aufgenommen zu werden.
B-Z bekommen die Kontaktdaten nie selber zu Gesicht, so wie in den Links von @Beabel beschrieben.