EDÖB gegen Add Conti: Wer sich auf eine Einwilligung beruft, muss sie beweisen

Quelle: Dieser Beitrag beruht auf der Mitteilung des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) vom 22. Oktober 2026, «EDÖB verbietet Add Conti GmbH die Datenbearbeitung zu Werbezwecken und ordnet umfassende Löschung an», und auf die dort veröffentlichte Verfügung des EDÖB vom 26. Juni 2026 (PDF). Zitate stammen wörtlich aus diesen Dokumenten, «Rz.» verweist auf die Randziffern der Verfügung. Die Einordnung ist unsere eigene und ersetzt keine Rechtsberatung. Alle Quellen stehen am Ende des Beitrags.

Der EDÖB hat der Add Conti GmbH verboten, Personendaten ohne gültige Einwilligung zu Werbezwecken zu bearbeiten und an Dritte weiterzugeben. Die Firma muss die Daten bei sich und bei allen Auftragnehmern löschen und die Löschung dokumentiert bestätigen. Die Verfügung ist rechtskräftig.

Bemerkenswert ist weniger das Verbot als seine Begründung. Die Add Conti GmbH hatte für jede Adresse einen Einwilligungsnachweis: ein ausgefülltes Gewinnspielformular mit zwei angekreuzten Kästchen, einen Auszug mit Zeitstempel und IP-Adresse, einen Sendebericht für den SMS-Bestätigungscode. Auf dem Papier sieht so ein sauberes Einwilligungsprotokoll aus. Der EDÖB hat es nicht geglaubt, und seine Gründe sind für jedes Unternehmen lehrreich, das Einwilligungen einholt.

Was ist passiert?

Die Add Conti GmbH ist laut Handelsregister unter anderem in der Leadgenerierung und im Listbroking tätig, also im Handel mit Adressen (Rz. 2). In Deutschland wohnhafte Personen erhielten Werbung per Telefon, Post oder E-Mail von Unternehmen, die sie nicht kannten. Fragten sie dort nach, woher ihre Daten stammten, lautete die Antwort: von der Add Conti GmbH, die sie bei einem Gewinnspiel erhoben habe. Teilweise führte die Spur über ein oder zwei dazwischengeschaltete Marketingfirmen (Rz. 6 bis 9).

Wer sich danach bei der Add Conti GmbH selbst meldete, um Auskunft, Löschung oder einen Werbestopp zu verlangen, erhielt keine Antwort. Insgesamt gingen beim EDÖB 27 Anzeigen ein (Rz. 5).

Datum	Schritt im Verfahren
9. Dezember 2023 bis 4. Juni 2025	15 Anzeigen von Betroffenen, später 12 weitere
4. Juni 2025	Der EDÖB eröffnet die Untersuchung
Juni und Juli 2025	Keine Antwort auf den Fragenkatalog, auch nicht innert Nachfrist
14. August 2025	Strafanzeige wegen Verletzung der Mitwirkungspflicht
19. August 2025	Zwischenverfügung: Der Geschäftsführer soll in Bern erscheinen
29. August 2025	Erste Stellungnahme im Namen der Firma
18. September 2025	Telefongespräch mit dem damaligen Geschäftsführer
Februar 2026	Sachverhalt zur Stellungnahme zugestellt, Annahme verweigert bzw. nicht abgeholt
20. Juni 2026	Konkurseröffnung über die Add Conti GmbH
26. Juni 2026	Verfügung des EDÖB
22. Oktober 2026	Mitteilung des EDÖB: Die Verfügung ist rechtskräftig

Wie sah der angebliche Einwilligungsnachweis aus?

Betroffene, die bei den werbenden Unternehmen eine ausführliche Auskunft verlangten, bekamen drei Dokumente (Rz. 10):

1. einen Ausdruck der Gewinnspielseite, ausgefüllt mit ihren Daten, beide Kästchen angekreuzt (Kenntnisnahme der Teilnahmebedingungen und Einwilligung in die Datenweitergabe), das Captcha gelöst;
2. einen Auszug mit dem Titel «Gespeicherte Teilnehmerdaten und Nachweis der Werbeeinwilligung», mit Adresse des Gewinnspiels, Personendaten, Zeitstempel der Eintragung, IP-Adresse und Zeitstempel der Verifizierung;
3. einen Sendebericht eines Auftragsbearbeiters in Zypern, wonach ein Aktivierungscode per SMS an die angegebene Nummer gegangen sei.

Formular, Protokoll, Bestätigung per SMS: Das ist im Grundsatz genau die Kette, die man für einen belastbaren Einwilligungsnachweis aufbaut. Gerade deshalb lohnt der Blick darauf, warum sie hier nicht trug.

Warum glaubte der EDÖB dem Nachweis nicht?

Das Datum. Der Auszug und der SMS-Bericht trugen jeweils das Datum des Tages, an dem das Auskunftsbegehren beim werbenden Unternehmen eingegangen war. Der EDÖB schreibt dazu: «Es bestehen somit Anzeichen, dass sie erst im Hinblick auf das eingegangene Auskunftsersuchen von der Add Conti GmbH erstellt worden sind.» (Rz. 10)

Die Ungereimtheiten. Ein Anzeiger wohnte zum angeblichen Zeitpunkt der Einwilligung nicht mehr an der angegebenen Adresse, und die angegebene IP-Adresse existierte seit einem Jahr nicht mehr (Rz. 23). Ein anderer soll an einem Sonntagmorgen um 7.26 Uhr eingewilligt haben, sein Mobiltelefon ist aber nur werktags eingeschaltet (Rz. 24). Bei einem Dritten stand als Geburtsjahr 1909 (Rz. 55).

Die Gewinnspiele selbst. Die Seiten waren nur über die direkte Eingabe der Adresse auffindbar. Laut EDÖB sahen sie «konstruiert aus und bestehen in erster Linie aus versuchten rechtlichen Absicherungen». Seit Monaten nannten sie dieselben drei Gewinner, und in der Datenschutzerklärung stand noch der Geschäftsführer, der die Firma Anfang 2026 verlassen hatte (Rz. 56).

Die Koppelung. Wer teilnehmen wollte, sollte zugleich einwilligen, von Sponsoren «telefonisch, per E-Mail und per Postwerbung zum Abschluss von Verträgen» kontaktiert zu werden. Ob jemand dem zustimmt, um einen Gutschein zu gewinnen, hält der EDÖB für «zumindest fragwürdig» (Rz. 57).

Die Menge. Bei 27 Anzeigen mit demselben Muster «kann ausgeschlossen werden, dass es sich um vereinzelte Missverständnisse handelt» (Rz. 59). Und weil jede Teilnahme angeblich per SMS-Code bestätigt worden war, schied auch die Erklärung aus, Unbekannte hätten fremde Daten eingetragen.

Das Schweigen. Zum ermittelten Sachverhalt nahm die Firma nicht Stellung und brachte keinen Nachweis bei (Rz. 58).

Das Ergebnis fasst der EDÖB so zusammen: «Die Add Conti GmbH konnte nicht nachweisen, dass sie über eine rechtsgültige Einwilligung für die von ihr erhobenen und weitergegebenen Daten verfügt.» (Rz. 60)

Wer trägt die Beweislast für eine Einwilligung?

Der Verantwortliche. Das Datenschutzgesetz (DSG) verlangt nicht für jede Bearbeitung eine Einwilligung. Wer sich aber auf eine beruft, muss sie belegen. Der EDÖB hält fest:

«Die Beweislast für das Vorliegen eines Rechtfertigungsgrundes trifft gemäss den allgemeinen Beweislastregeln des Art. 8 ZGB die Person, welche sich auf den Rechtfertigungsgrund beruft, also den Datenbearbeiter» (Rz. 53)

Er verweist dabei auf ein Urteil des Bundesverwaltungsgerichts vom 6. Oktober 2025 (A-2941/2024). Für Werbung ausserhalb einer bestehenden Geschäftsbeziehung braucht es laut EDÖB «immer eine vorgängig eingeholte und nach angemessener Information erteilte freiwillige Einwilligung» (Rz. 53).

Für Personen in der EU ist dieselbe Regel ausdrücklich im Gesetz verankert. Artikel 7 Absatz 1 der Datenschutz-Grundverordnung (DSGVO) lautet: «Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.»

Was macht einen Einwilligungsnachweis glaubwürdig?

Die Verfügung enthält keine Checkliste. Aus den Gründen, aus denen der EDÖB den Nachweis verworfen hat, lässt sich aber ablesen, was ein Nachweis aushalten muss. Unsere Einordnung:

1. Er entsteht im Moment der Entscheidung. Ein Protokoll, das erst auf Anfrage zusammengestellt wird, ist keines. Der Eintrag gehört automatisch und mit dem Zeitstempel des Servers in dem Augenblick angelegt, in dem die Person klickt.
2. Er bleibt unverändert. Exporte und Auszüge stammen aus dem laufenden Protokoll und tragen dessen Zeitpunkt, nicht das Datum des Exports.
3. Er hält fest, wozu eingewilligt wurde. Welche Kategorien, welcher Text, welche Empfänger. Eine Einwilligung «für Werbung» ohne Bezug zu einem bestimmten Zweck trägt wenig.
4. Er passt zum Weg, auf dem die Daten kamen. Wer Adressen über ein Formular erhebt, sollte zeigen können, wie Menschen überhaupt auf dieses Formular gelangt sind. Eine Seite, die niemand findet, erklärt keine Tausenden von Eintragungen.
5. Er zeichnet Ablehnung und Widerruf ebenso auf wie die Zustimmung. Sonst belegt er nur die halbe Geschichte.
6. Er wird nicht länger als nötig aufbewahrt. Wie lange das ist, erklären wir im Beitrag zur Aufbewahrung des Consent-Logs.

Für Cookie-Einwilligungen übernimmt das bei Aiara das Banner: Jede Zustimmung, Ablehnung und jeder Widerruf wird im Moment der Wahl mit Zeitpunkt, Aktion und gewählten Kategorien protokolliert. Die IP-Adresse speichern wir dabei nur als Hashwert, nie im Klartext. Für jeden abgeschlossenen Monat steht ein Archiv der Einwilligungen als CSV-Datei bereit. Für Newsletter-, Gewinnspiel- oder Lead-Einwilligungen gilt dasselbe Prinzip, dort muss es das Formular- oder Versandsystem leisten. Wie ein sauberes Double-Opt-in aussieht, steht im Beitrag zum Newsletter-Versand in der Schweiz.

Was gilt für Auskunfts-, Lösch- und Widerspruchsbegehren?

Hier war der Fall eindeutig. Zwölf Betroffene hatten die Add Conti GmbH an den publizierten E-Mail-Adressen angeschrieben, sieben per eingeschriebenem Brief. Keine einzige Antwort (Rz. 46). Mindestens 13 hatten der Bearbeitung widersprochen oder die Löschung verlangt, ebenfalls ohne Reaktion (Rz. 51).

Auskunft innert 30 Tagen. Wer nach Artikel 25 DSG Auskunft verlangt, muss sie grundsätzlich kostenlos und innert 30 Tagen erhalten. Der EDÖB betont, dass der Verantwortliche dafür «interne Prozesse etablieren» muss (Rz. 44).

Löschung ohne Frist, aber zeitnah. Das Gesetz nennt keine Frist für Löschbegehren. Der EDÖB hält trotzdem fest, dass der Verantwortliche sie «zeitnah» prüfen muss, weil er sonst Daten gegen den erklärten Willen der Person bearbeitet, was eine widerrechtliche Persönlichkeitsverletzung nach Artikel 30 Absatz 2 Buchstabe b DSG darstellt (Rz. 49).

Ausreden zählen nicht. Die Firma erklärte, ihr Geschäftsführer reise regelmässig zwischen Asien und Europa, eine Stellvertretung müsse erst gefunden werden, und deutsche E-Mail-Anbieter filterten viele Nachrichten als Spam aus (Rz. 14 und 15). Seit Oktober 2025 gingen beim EDÖB fünf weitere Anzeigen gleichen Inhalts ein.

Auslagern entbindet nicht. Die Begehren seien von einem Dienstleister in Hamburg und einem Datenschutzberater in Krefeld bearbeitet worden. Mit dem Dienstleister bestand laut Geschäftsführer nicht einmal ein schriftlicher Vertrag (Rz. 42). Der EDÖB dazu:

«Sie kann zwar konkrete Aufgaben vertraglich an Dritte übertragen, bleibt aber rechtlich in der Verantwortung, Auskunft gemäss Art. 25 DSG innert 30 Tage zu erteilen, sicherzustellen, dass Widersprüche umgesetzt werden und Daten nur rechtmässig bearbeitet werden.» (Rz. 43)

Praktisch heisst das: Jede Kontaktadresse, die in der Datenschutzerklärung steht, muss jemand lesen, auch in den Ferien. Briefe, E-Mails und Anrufe gehören an eine Stelle, mit Eingangsdatum und Fristende. Genau dafür gibt es in Aiara Pro die Verwaltung der Betroffenenanfragen: ein Formular in vier Sprachen, von Hand erfasste Briefe und E-Mails in derselben Liste, die Frist von 30 Tagen ab Eingang und Erinnerungen an Ihr Team sieben Tage und einen Tag vor Ablauf. Die Antwort an die Person schreiben Sie selbst.

Gilt das DSG auch, wenn nur Personen im Ausland betroffen sind?

Ja. Alle Anzeigenden wohnten in Deutschland, die werbenden Unternehmen sassen dort. Für die Anwendbarkeit des DSG ist das laut EDÖB nicht entscheidend: Massgebend ist, dass die verantwortliche Firma in der Schweiz sitzt und ein relevanter Teil der Bearbeitung hier stattfindet (Rz. 37). Der EDÖB schreibt dazu, die Schweiz solle «nicht zum sicheren Hafen werden für Datenbearbeitungen, die keine Binnenwirkung entfalten, weil beispielsweise von der Schweiz aus nur Angaben über Personen mit Wohnsitz im Ausland bearbeitet werden».

Für Schweizer Unternehmen mit Kundschaft im Ausland ist das die Kehrseite: Wer von hier aus bearbeitet, steht unter Schweizer Aufsicht, und je nach Angebot zusätzlich unter der DSGVO. Den Unterschied der beiden Regelwerke erklären wir im Beitrag DSG und DSGVO im Vergleich.

Was bedeutet der Fall für Unternehmen, die Adressen einkaufen?

Die Verfügung richtet sich nur an die Add Conti GmbH. Der Sachverhalt zeigt aber eine Kette: Die werbenden Unternehmen in Deutschland nannten die Add Conti GmbH als Quelle, teilweise über weitere Händler. Wer Adressen oder Leads einkauft, übernimmt damit die Frage, ob sie rechtmässig erhoben wurden. Fragt eine betroffene Person nach, muss er unter anderem die verfügbaren Angaben über die Herkunft der Daten nennen (Artikel 25 Absatz 2 Buchstabe e DSG).

Unsere Einordnung: Wer sich auf eine Einwilligung stützt, die ein anderer eingeholt hat, sollte sich vor dem Kauf zeigen lassen, wie sie entsteht, und für jeden Datensatz einen Nachweis abrufen können, der nicht erst am Tag der Nachfrage erzeugt wird. Ein Nachweis, der beim ersten genauen Hinsehen zerfällt, schützt den Käufer so wenig wie den Verkäufer.

Welche Folgen hatte das Verfahren?

• Verbot und Löschung. Die Bearbeitung und Bekanntgabe zu Werbezwecken ist einzustellen, die Daten sind innert 30 Tagen ab Rechtskraft bei der Firma und allen Auftragnehmern zu löschen und die Löschung dem EDÖB dokumentiert zu bestätigen. Auf eine nachträgliche Auskunftserteilung verzichtet der EDÖB, weil die Daten ohnehin zu löschen sind.
• Strafdrohung. Die Verfügung ergeht unter Hinweis auf Artikel 63 DSG. Wer ihr vorsätzlich nicht Folge leistet, wird mit Busse bis zu 250 000 Franken bestraft. Strafbar ist nach Artikel 29 des Strafgesetzbuchs die natürliche Person, die im Unternehmen für die Umsetzung hätte sorgen müssen (Rz. 65). Wie Bussen nach dem DSG funktionieren, steht im Beitrag zu Datenschutz-Bussen in der Schweiz.
• Gebühr. Der EDÖB stellt seinen Aufwand in Rechnung: 26,75 Stunden plus Auslagen, zusammen 6456 Franken (Rz. 68).
• Strafanzeige. Wegen Verletzung der Mitwirkungspflicht hatte der EDÖB bereits im August 2025 bei der Staatsanwaltschaft des Kantons St. Gallen Strafanzeige gegen die verantwortlichen Organe eingereicht. Über den Ausgang ist nichts bekannt. Für die Beschuldigten gilt die Unschuldsvermutung.
• Konkurs. Laut EDÖB wurde über die Add Conti GmbH mit Wirkung ab 20. Juni 2026 der Konkurs eröffnet.

Was Unternehmen jetzt prüfen sollten

1. Woher kommen unsere Werbeadressen? Für jede Quelle klären, auf welche Grundlage sich die Bearbeitung stützt, und bei eingekauften Adressen die Herkunft dokumentieren.
2. Können wir jede Einwilligung belegen? Ein Protokoll, das im Moment der Entscheidung entsteht und sich nicht nachträglich anpassen lässt.
3. Ist die Einwilligung freiwillig und bestimmt? Keine Pflicht-Kästchen, die Teilnahme und Werbung koppeln, und klar benannte Zwecke und Empfänger.
4. Werden die Kontaktadressen gelesen? Jede Adresse aus der Datenschutzerklärung landet bei einer Person, die sie bearbeitet, mit Stellvertretung.
5. Halten wir die 30 Tage ein? Eingangsdatum festhalten, Fristende sichtbar machen, Erinnerung vor Ablauf.
6. Setzen wir Widerspruch und Löschung zeitnah um? Auch bei Auftragnehmern, mit schriftlichem Vertrag und Nachweis der Löschung.

---

Aiara ist ein Schweizer Anbieter für Cookie-Banner, Einwilligungsnachweise und Rechtstexte. Dieser Beitrag gibt die Mitteilung und die Verfügung des EDÖB wieder und ordnet sie ein. Er ersetzt keine Rechtsberatung im Einzelfall.

Quellen

• EDÖB, Mitteilung vom 22. Oktober 2026: «EDÖB verbietet Add Conti GmbH die Datenbearbeitung zu Werbezwecken und ordnet umfassende Löschung an», abgerufen am 28. Oktober 2026
• EDÖB, Verfügung vom 26. Juni 2026, Add Conti GmbH, Adressdatenbank für Werbezwecke und Betroffenenrechte (PDF), rechtskräftig
• EDÖB, Mitteilung vom 21. August 2025: «EDÖB erstattet Strafanzeige gegen die Add Conti GmbH wegen Verletzung der Mitwirkung im Rahmen einer Untersuchung»
• Bundesgesetz über den Datenschutz (DSG), SR 235.1