DSGVO: 2 Millionen Euro Bußgeld wegen fehlender Einwilligung

Die zuständige Datenschutzbehörde verhängte ein Bußgeld in Höhe von zwei Millionen Euro gegen das österreichische Kundenbindungsprogramm „Jö Bonusclub“, weil es Kunden nicht ausreichend über die Verwendung personenbezogener Daten informierte.

Strenge Voraussetzungen in der DSGVO für Datenverarbeitung

Nach Artikel 6 DSGVO ist die Verarbeitung von Daten nur dann rechtmäßig, wenn die betroffene Person ihre Einwilligung zu der Verarbeitung ihrer personenbezogenen Daten „für einen oder mehrere bestimmte Zwecke“ gegeben hat. Die DSGVO ist hier streng – eine Art „Vorrats“-Zustimmung gibt es nicht, die Zustimmung muss stets ganz konkret für eine bestimmte Art der Verarbeitung erteilt werden. Es handelt sich um ein generelles Verbot der Verarbeitung von Daten mit Erlaubnisvorbehalt.

Beruht die Verarbeitung auf einer Einwilligung, muss nach Artikel 7 DSGVO der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, „so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist“.

Eindeutige bestätigende Handlung erforderlich

Gemäß dem Erwägungsgrund 32 der DSGVO soll die Einwilligung „durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“. Stillschweigen soll daher keine Einwilligung darstellen. Die Einwilligung soll sich außerdem „auf alle zu demselben Zweck oder denselben Zwecken vorgenommenen Verarbeitungsvorgänge beziehen“.

Profiling ohne hinreichende Zustimmung

Über den „Jö Bonusclub“, ein Kundenbindungsprogramm von Rewe und weiteren Partnern, können angemeldete Kunden Rabatte und Gutscheine erhalten. Der Bonusclub nutzte die Daten der Clubmitglieder, um ein Profiling durchzuführen. Dabei wurden bereits erhobene Kundendaten ausgewertet. Beim Profiling werden individuelle Kundenprofile erstellt, um damit gezielt Marketing zu betreiben. Damit wollte der Club Angebote auf die persönlichen Vorlieben und Bedürfnisse seiner Mitglieder anpassen. Die Datenschutzbehörde in Österreich sah hierin jedoch ein Problem. Für Kunden des „Jö Bonusclubs“ sei nicht eindeutig erkennbar gewesen, dass sie dem Datenprofiling zustimmen. Die Informationen zu der Datenverarbeitung seien nicht transparent einsehbar gewesen.

Scrollen und Klicken

Um über das Profiling informiert zu werden, mussten Nutzer auf einer Internetseite nach bereits erfolgter Zustimmung nach unten scrollen und eine Box mit „Ja“ oder „Nein“ versehen, um die Informationen zur Kenntnis nehmen zu können. Auch auf einem Flyer sei der Eindruck erweckt worden, als diene eine dort zu leistende Unterschrift nur der Anmeldung zum Club. Dabei sollte auch auf diese Weise eine Einwilligung in das Profiling eingeholt werden. Die Datenschutzbehörde befand, dass die zwischen Mai 2019 bis März 2020 eingeholten Einwilligungen von Kunden unwirksam seien. Da die Daten trotzdem weiter verarbeitet worden, wurde das Bußgeld verhängt.

Der Fall soll laut der österreichischen Kronen-Zeitung die Daten von 2,3 Millionen Österreicherinnen und Österreichern betreffen. Nur 80 Prozent davon sollen einer Verarbeitung ihrer Daten, wie geschehen, zugestimmt haben.

Entscheidung noch nicht rechtskräftig

Da die DSGVO europaweit gilt, ist der Fall grundsätzlich auch auf Deutschland und andere EU-Ländern, in denen ebenfalls Kundenbindungsprogramme existieren, übertragbar. Die Entscheidung ist noch nicht rechtskräftig. Der Bonusclub hat eine Beschwerde gegen das Millionenbußgeld angekündigt.