Trust Center: Datenschutz, Sicherheit und KI in der PBM Kampagnenplattform

Die DSGVO verlangt eine Rechtsgrundlage für jede Verarbeitung, Zweckbindung und Datenminimierung – und dass Sie deren Einhaltung nachweisen können (Art. 5, Art. 6 DSGVO). Direktwerbung kann nach Erwägungsgrund 47 auf einem berechtigten Interesse beruhen (Art. 6 Abs. 1 lit. f). Widerspricht eine Person der Direktwerbung, dürfen ihre Daten dafür nicht mehr verarbeitet werden (Art. 21 Abs. 2 und 3). Für Gesundheitsdaten und andere besondere Kategorien gelten die strengeren Regeln des Art. 9. Automatisierte Einzelentscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung regelt Art. 22. PBM verarbeitet Ihre Daten als Auftragsverarbeiter auf Grundlage eines AVV (Art. 28); die Sicherheitsmaßnahmen beschreiben die TOM (Art. 32).

Werbung per elektronischer Post ist nach § 7 Abs. 2 Nr. 2 UWG grundsätzlich nur mit vorheriger ausdrücklicher Einwilligung zulässig. Für Bestandskunden gilt eine Ausnahme nach § 7 Abs. 3 UWG, wenn alle vier Bedingungen erfüllt sind: Sie haben die E-Mail-Adresse im Zusammenhang mit einem Verkauf erhalten, Sie werben für eigene ähnliche Waren oder Dienstleistungen, der Kunde hat nicht widersprochen, und er wird bei Erhebung und bei jeder Verwendung klar auf sein jederzeitiges Widerspruchsrecht hingewiesen. Briefwerbung ist unzulässig, wenn erkennbar ist, dass der Empfänger sie nicht wünscht (§ 7 Abs. 1 UWG).

Der EU AI Act (Verordnung (EU) 2024/1689) gilt schrittweise. Seit 2. Februar 2025 gelten die Verbote bestimmter KI-Praktiken und die Pflicht, KI-Kompetenz zu fördern (Art. 4). Seit 2. August 2025 gelten Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck. Seit 2. August 2026 gelten unter anderem die Transparenzpflichten nach Art. 50. Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III gelten nach der Änderungsverordnung (EU) 2026/1744 („Digital Omnibus on AI“) ab 2. Dezember 2027, für Hochrisiko-Systeme in regulierten Produkten nach Anhang I ab 2. August 2028. Als Hochrisiko nennt Anhang III etwa die Kreditwürdigkeitsprüfung sowie Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung – das sind keine Funktionen der PBM Kampagnenplattform. Die Einordnung Ihres konkreten Einsatzes nehmen Sie als Betreiber vor.

Seit 17. Januar 2025 gilt der Digital Operational Resilience Act (Verordnung (EU) 2022/2554) für Finanzunternehmen. Wer eine Software-as-a-Service wie die PBM Kampagnenplattform nutzt, bezieht eine IKT-Dienstleistung von einem IKT-Drittdienstleister. Das Finanzunternehmen muss alle solchen Verträge in einem Informationsregister führen (Art. 28 Abs. 3 DORA); die BaFin fordert das Register jährlich an und verlangt dabei zur Identifikation des Dienstleisters LEI oder EUID (Durchführungsverordnung (EU) 2024/2956). Art. 30 DORA schreibt wesentliche Vertragsinhalte vor, etwa die Beschreibung der Leistung, die Orte der Leistungserbringung und Datenverarbeitung, Regeln zu Verfügbarkeit, Integrität und Sicherheit der Daten, Unterstützung bei IKT-Vorfällen und Kündigungsrechte. Unterstützt die Leistung eine kritische oder wichtige Funktion, kommen weitere Pflichten hinzu, darunter Zugangs-, Inspektions- und Prüfrechte sowie Ausstiegsstrategien (Art. 28 Abs. 8, Art. 30 Abs. 3). Ob das bei Ihrer Kampagnenplattform der Fall ist, bewerten Sie selbst.

Das Barrierefreiheitsstärkungsgesetz (BFSG) gilt seit 28. Juni 2025 für bestimmte Produkte und Dienstleistungen an Verbraucher, darunter Bankdienstleistungen und Dienstleistungen im elektronischen Geschäftsverkehr. Die PBM Kampagnenplattform selbst ist ein Angebot für Unternehmen. Ob Ihre Landingpages oder E-Mails Teil einer erfassten Verbraucherdienstleistung sind, prüfen Sie als deren Anbieter.