{"id":59289,"date":"2021-09-10T17:38:28","date_gmt":"2021-09-10T15:38:28","guid":{"rendered":"https:\/\/www.lhr-law.de\/?p=59289"},"modified":"2021-09-10T17:38:28","modified_gmt":"2021-09-10T15:38:28","slug":"dsgvo-bussgeld-profiling","status":"publish","type":"post","link":"https:\/\/www.lhr-law.de\/en\/magazin\/datenschutzrecht\/dsgvo-bussgeld-profiling\/","title":{"rendered":"DSGVO: 2 Millionen Euro Bu\u00dfgeld wegen fehlender Einwilligung"},"content":{"rendered":"
\"Bu\u00dfgeld
peterschreiber.media – stock.adobe.com<\/figcaption><\/figure>\n

Die zust\u00e4ndige Datenschutzbeh\u00f6rde verh\u00e4ngte ein Bu\u00dfgeld in H\u00f6he von zwei Millionen Euro gegen das \u00f6sterreichische Kundenbindungsprogramm \u201eJ\u00f6 Bonusclub\u201c, weil es Kunden nicht ausreichend \u00fcber die Verwendung personenbezogener Daten informierte.<\/em><\/p>\n

Strenge Voraussetzungen in der DSGVO f\u00fcr Datenverarbeitung<\/h2>\n

Nach Artikel 6 DSGVO<\/a> ist die Verarbeitung von Daten nur dann rechtm\u00e4\u00dfig, wenn die betroffene Person ihre Einwilligung zu der Verarbeitung ihrer personenbezogenen Daten \u201ef\u00fcr einen oder mehrere bestimmte Zwecke\u201c gegeben hat. Die DSGVO ist hier streng \u2013 eine Art \u201eVorrats\u201c-Zustimmung gibt es nicht, die Zustimmung muss stets ganz konkret f\u00fcr eine bestimmte Art der Verarbeitung erteilt werden. Es handelt sich um ein generelles Verbot der Verarbeitung von Daten mit Erlaubnisvorbehalt.<\/p>\n

Beruht die Verarbeitung auf einer Einwilligung, muss nach Artikel 7 DSGVO<\/a> der Verantwortliche nachweisen k\u00f6nnen, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erkl\u00e4rung, die noch andere Sachverhalte betrifft, \u201eso muss das Ersuchen um Einwilligung in verst\u00e4ndlicher und leicht zug\u00e4nglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist\u201c.<\/p>\n

Eindeutige best\u00e4tigende Handlung erforderlich<\/h2>\n

Gem\u00e4\u00df dem Erw\u00e4gungsgrund 32 der DSGVO soll die Einwilligung \u201edurch eine eindeutige best\u00e4tigende Handlung erfolgen, mit der freiwillig, f\u00fcr den konkreten Fall, in informierter Weise und unmissverst\u00e4ndlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist\u201c. Stillschweigen soll daher keine Einwilligung darstellen. Die Einwilligung soll sich au\u00dferdem \u201eauf alle zu demselben Zweck oder denselben Zwecken vorgenommenen Verarbeitungsvorg\u00e4nge beziehen\u201c.<\/p>\n

Profiling ohne hinreichende Zustimmung<\/h2>\n

\u00dcber den \u201eJ\u00f6 Bonusclub\u201c, ein Kundenbindungsprogramm von Rewe und weiteren Partnern, k\u00f6nnen angemeldete Kunden Rabatte und Gutscheine erhalten. Der Bonusclub nutzte die Daten der Clubmitglieder, um ein Profiling durchzuf\u00fchren. Dabei wurden bereits erhobene Kundendaten ausgewertet. Beim Profiling werden individuelle Kundenprofile erstellt, um damit gezielt Marketing zu betreiben. Damit wollte der Club Angebote auf die pers\u00f6nlichen Vorlieben und Bed\u00fcrfnisse seiner Mitglieder anpassen. Die Datenschutzbeh\u00f6rde in \u00d6sterreich sah hierin jedoch ein Problem. F\u00fcr Kunden des \u201eJ\u00f6 Bonusclubs\u201c sei nicht eindeutig erkennbar gewesen, dass sie dem Datenprofiling zustimmen. Die Informationen zu der Datenverarbeitung seien nicht transparent einsehbar gewesen.<\/p>\n

Scrollen und Klicken<\/h2>\n

Um \u00fcber das Profiling informiert zu werden, mussten Nutzer auf einer Internetseite nach bereits erfolgter Zustimmung nach unten scrollen und eine Box mit \u201eJa\u201c oder \u201eNein\u201c versehen, um die Informationen zur Kenntnis nehmen zu k\u00f6nnen. Auch auf einem Flyer sei der Eindruck erweckt worden, als diene eine dort zu leistende Unterschrift nur der Anmeldung zum Club. Dabei sollte auch auf diese Weise eine Einwilligung in das Profiling eingeholt werden. Die Datenschutzbeh\u00f6rde befand, dass die zwischen Mai 2019 bis M\u00e4rz 2020 eingeholten Einwilligungen von Kunden unwirksam seien. Da die Daten trotzdem weiter verarbeitet worden, wurde das Bu\u00dfgeld<\/a> verh\u00e4ngt.<\/p>\n

Der Fall soll laut der \u00f6sterreichischen Kronen-Zeitung die Daten von 2,3 Millionen \u00d6sterreicherinnen und \u00d6sterreichern betreffen. Nur 80 Prozent davon sollen einer Verarbeitung ihrer Daten, wie geschehen, zugestimmt haben.<\/p>\n

Entscheidung noch nicht rechtskr\u00e4ftig<\/h2>\n

Da die DSGVO europaweit gilt, ist der Fall grunds\u00e4tzlich auch auf Deutschland und andere EU-L\u00e4ndern, in denen ebenfalls Kundenbindungsprogramme existieren, \u00fcbertragbar. Die Entscheidung ist noch nicht rechtskr\u00e4ftig. Der Bonusclub hat eine Beschwerde gegen das Millionenbu\u00dfgeld angek\u00fcndigt.<\/p>\n","protected":false},"excerpt":{"rendered":"

Die zust\u00e4ndige Datenschutzbeh\u00f6rde verh\u00e4ngte ein Bu\u00dfgeld in H\u00f6he von zwei Millionen Euro gegen das \u00f6sterreichische Kundenbindungsprogramm \u201eJ\u00f6 Bonusclub\u201c, weil es Kunden nicht ausreichend \u00fcber die Verwendung personenbezogener Daten informierte. Strenge Voraussetzungen in der DSGVO f\u00fcr Datenverarbeitung Nach Artikel 6 DSGVO ist die Verarbeitung von Daten nur dann rechtm\u00e4\u00dfig, wenn die betroffene Person ihre Einwilligung zu […]<\/p>\n","protected":false},"author":86,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"content-type":"","footnotes":""},"categories":[8],"tags":[256,17191,19150],"class_list":["post-59289","post","type-post","status-publish","format-standard","hentry","category-datenschutzrecht","tag-einwilligung","tag-dsgvo","tag-profiling","topic_category-datenschutzrecht"],"amp_enabled":true,"_links":{"self":[{"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/posts\/59289","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/users\/86"}],"replies":[{"embeddable":true,"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/comments?post=59289"}],"version-history":[{"count":0,"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/posts\/59289\/revisions"}],"wp:attachment":[{"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/media?parent=59289"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/categories?post=59289"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.lhr-law.de\/en\/wp-json\/wp\/v2\/tags?post=59289"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}