Um den Artikel als PDF herunterzuladen, klicken Sie bitte hier.

 

In den vergangenen Monaten hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) mehrere Untersuchungen abgeschlossen und seine Schlussberichte mit Empfehlungen veröffentlicht. In diesem Artikel konzentrieren wir uns auf zwei dieser Fälle und die Erkenntnisse, die daraus gezogen werden können.

 

Obwohl die Untersuchungen vor dem Inkrafttreten des revidierten Bundesgesetzes über den Datenschutz (DSG) im September 2023 eingeleitet wurden und somit noch unter dem vorherigen Recht erfolgten, verdienen einige der Schlussfolgerungen des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) besondere Aufmerksamkeit und können als Indikator für die zu erwartenden Anforderungen unter dem revidierten DSG dienen.

 

Dieser Artikel geht nicht auf die einzelnen Empfehlungen des EDÖB ein und bewertet diese nicht. Ebenso wenig geht er auf die Argumente der untersuchten Unternehmen ein, die in den meisten Punkten der Beurteilung und den Empfehlungen des EDÖB widersprechen. Vielmehr fasst er die Kernaussagen und Erkenntnisse aus dem Datenschutz-Audit des EDÖB zusammen, die auch nach geltendem Recht relevant sind.

 

Untersuchung gegen Digitec Galaxus

 

In einer umfassenden Untersuchung hat der EDÖB die Bearbeitung von Kundendaten bei Digitec Galaxus, dem grössten Online-Shop der Schweiz, geprüft. Die Untersuchung betraf einerseits die Datenschutzerklärung von Digitec Galaxus und andererseits das Erfordernis, ein Kundenkonto zu eröffnen, um eine Online-Bestellung zu tätigen. 

 

Auslöser für die 2021 eingeleitete Untersuchung waren Berichte betroffener Personen, wonach sie eine Vielzahl von Datenbearbeitungen akzeptieren mussten und gezwungen waren, ein Konto einzurichten, bevor sie eine Bestellung aufgeben konnten, und Digitec Galaxus sich weigerte, Anträgen betroffener Personen auf Löschung von Personendaten oder Nichtverwendung dieser Daten für Profiling-, Marketing- und Marktforschungszwecke nachzukommen. 

 

In seinem Schlussbericht¹ stellt der EDÖB fest, dass die Grundsätze der Transparenz und der Verhältnismässigkeit verletzt wurden, und gibt Empfehlungen ab. Im Folgenden werden die wichtigsten Aussagen und Erkenntnisse aus dem vom EDÖB durchgeführten Datenschutz-Audit aufgeführt:

 

Definition von Personendaten

 

Der EDÖB bekräftigt, dass die Bestimmbarkeit der betroffenen Person von der konkreten Situation abhängt, wobei das Interesse, die Mittel und insbesondere die technischen Möglichkeiten der an der Identifizierung der betroffenen Person interessierten Partei zu berücksichtigen sind. Wenn nach der allgemeinen Lebenserfahrung nicht zu erwarten ist, dass eine interessierte Partei sich die Mühe macht, die betroffene Person zu identifizieren, ist in der Regel keine Bestimmbarkeit der betroffenen Person gegeben. 

 

Weiter hält der EDÖB fest, dass Daten, die einen eindeutigen Bezug zum entsprechenden Endnutzer haben, Personendaten im Sinne des DSG sind. Nutzungsdaten und andere gerätespezifische Daten, die einem bestimmten Benutzer zugeordnet werden können, sind somit Personendaten im Sinne des DSG. Ebenso sind Hashwerte als Personendaten zu betrachten, wenn sie Rückschlüsse auf bestimmte Nutzer zulassen. 

 

Transparenz und Datenschutzerklärung

 

a) Verknüpfung der Personendaten und der Bearbeitungszwecke:

 

Der EDÖB stellt klar, dass eine Auflistung der erhobenen Personendaten (unabhängig vom Zweck) und eine separate Auflistung der Zwecke nicht ausreichen, um das Transparenzgebot zu erfüllen, da die betroffenen Personen nicht in der Lage sind, festzustellen, welche Daten zu welchem Zweck erhoben werden und somit der Bearbeitung wirksam zu widersprechen. Gemäss dem EDÖB muss für die betroffene Person ersichtlich sein, welche Personendaten konkret zu welchen Zwecken bearbeitet und an welche Unternehmen weitergegeben werden. 

 

Die Auffassung des EDÖB, dass Personendaten mit ihrem Bearbeitungszweck verknüpft werden müssen, entspricht dem Ansatz in der EU, wonach Zweck und Datenkategorie miteinander verknüpft werden müssen.

 

b) Umfang der Datenbearbeitung:

 

Der EDÖB ist der Ansicht, dass die Informationen in der Datenschutzerklärung korrekt sein müssen und dass die betroffenen Personen erwarten dürfen, dass die beschriebenen Datenbearbeitungen tatsächlich stattfinden. Informationen über Datenbearbeitungen, die weder stattfinden noch geplant sind, sind irreführend und verstossen nach Ansicht des EDÖB gegen die Grundsätze von Treu und Glauben und Transparenz, so dass ein Rechtfertigungsgrund erforderlich wäre. Der EDÖB vertritt die Auffassung, dass die betroffenen Personen vom Verantwortlichen darüber informiert werden müssen, welche Datenbearbeitungen tatsächlich stattfinden, damit sie ihre Rechte als betroffene Personen wahrnehmen können.

 

c) Recht auf Widerspruch: 

 

Der EDÖB hält fest, dass die betroffenen Personen ein Widerspruchsrecht gegen die Bearbeitung ihrer Personendaten haben und dass der Verantwortliche die Datenbearbeitung einstellen muss, wenn es keinen Rechtfertigungsgrund für die Datenbearbeitung gibt (z.B. ein überwiegendes berechtigtes Interesse des Verantwortlichen).

 

Grundsatz der Verhältnismässigkeit

 

Um eine Bestellung bei Digitec Galaxus zu tätigen, mussten die betroffenen Personen ein Kundenkonto anlegen und allen in der Datenschutzerklärung aufgeführten Bearbeitungstätigkeiten und -zwecken zustimmen, einschliesslich derjenigen, die nicht in direktem Zusammenhang mit der Bearbeitung ihrer Bestellung stehen und für diese notwendig sind, wie die Analyse des Kundenverhaltens, die Erstellung von Kundenprofilen, personalisierte Werbung usw. 

 

Der EDÖB erachtet das Erfordernis, für eine Online-Bestellung ein Kundenkonto anzulegen, als unzulässig, weil es gegen den Grundsatz der Verhältnismässigkeit verstösst. Der EDÖB empfiehlt, zur Vermeidung der festgestellten Verletzung der Datenschutzgrundsätze die Alternative eines Gastkaufs ohne Kundenkonto anzubieten. 

 

Untersuchung gegen Ricardo / TX Group

 

2017 leitete der EDÖB eine Untersuchung gegen die Auktionsplattform Ricardo und ihre Muttergesellschaft TX Group ein, nachdem Berichte und Beschwerden von Nutzern eingegangen waren, die in einer neuen Datenschutzerklärung darüber informiert wurden, dass ihre Daten innerhalb der TX Group zu Sicherheits- und Marketingzwecken weitergegeben würden und dass ihr Konto deaktiviert und ihre Mitgliedschaft aufgelöst würde, wenn sie einer solchen Weitergabe und/oder Verwendung ihrer Daten widersprächen. 

 

Gegenstand der Untersuchung war die Übermittlung von Personendaten durch Ricardo an die TX Group, die Verwendung dieser Daten für personalisierte Werbung und die entsprechende Datenschutzerklärung. 

 

In seinem Schlussbericht² hält der EDÖB fest, dass die Grundsätze von Treu und Glauben, Transparenz und Verhältnismässigkeit verletzt wurden, und unterstreicht die Definition von Personendaten.

 

Definition von Personendaten

 

Wie im oben beschriebenen Fall zu Digitec Galaxus hat der EDÖB den Begriff der Personendaten so definiert, dass eine Person auch dann bestimmbar ist, wenn sie nicht allein aufgrund der vorhandenen Daten eindeutig identifiziert werden kann, sondern aus den Umständen, d.h. dem Kontext einer Information, abgeleitet werden kann. Dabei ist es grundsätzlich unerheblich, wie der Bezug zur betroffenen Person hergestellt und somit die Person identifiziert wird, z.B. durch einen Schlüssel, eine Nummer oder ein Aktenzeichen. Allerdings muss der Aufwand für die Identifizierung für eine interessierte Partei zumutbar sein. Die theoretische Möglichkeit der Identifizierung ist daher nicht ausreichend. Der Aufwand für die Identifizierung hängt weitgehend vom Interesse und den Mitteln ab, die der an der Identifizierung interessierten Partei zur Verfügung stehen, einschliesslich Spezialwissen oder zusätzlicher Informationsquellen oder aufgrund anderer Umstände. Wenn Personendaten ohne unverhältnismässigen Aufwand identifiziert werden können oder, im Falle einer Verschleierung der Identität, re-identifiziert werden können, handelt es sich um Personendaten.

 

Einhaltung der Bearbeitungsgrundsätze

 

Der EDÖB betont, dass die Bearbeitung von Personendaten im Einklang mit den Bearbeitungsgrundsätzen des DSG, insbesondere dem Grundsatz von Treu und Glauben sowie den Grundsätzen der Transparenz und der Verhältnismässigkeit (in Bezug auf Datenminimierung und Speicherbegrenzung) erfolgen muss. Ein Verstoss gegen die Bearbeitungsgrundsätze stellt eine Persönlichkeitsverletzung dar, was bedeutet, dass es einen Rechtfertigungsgrund für die Datenbearbeitung braucht, d.h. die Einwilligung der betroffenen Person, ein überwiegendes privates oder öffentliches Interesse oder ein Gesetz. Dabei muss beachtet werden, dass ein überwiegendes Interesse nicht ohne weiteres als Rechtfertigung für eine Persönlichkeitsverletzung aufgrund eines Verstosses gegen die Bearbeitungsgrundsätze angenommen werden kann, da dies die Einhaltung der Bearbeitungsgrundsätze untergraben würde. Ob ein überwiegendes Interesse vorliegt, muss von Fall zu Fall geprüft werden. Der EDÖB bekräftigt, dass bei der Interessenabwägung grundsätzlich alle schützenswerten Einzelinteressen berücksichtigt werden können, also auch wirtschaftliche Interessen. Andererseits muss die Einwilligung auf einer klaren Datenschutzerklärung beruhen und durch eine aktive Handlung erteilt werden. Ebenso bedarf es eines Rechtfertigungsgrundes für die Bearbeitung von Personendaten gegen den ausdrücklichen Willen der betroffenen Person, zum Beispiel wenn diese ausdrücklich gegen die Datenbearbeitung Einspruch erhoben hat. 

 

Schlussfolgerung

 

Diese beiden Untersuchungen und die Schlussfolgerungen des EDÖB unterstreichen die grosse Bedeutung von Transparenz und Verhältnismässigkeit bei der Bearbeitung von Personendaten. Es kann darüber diskutiert werden, ob der EDÖB zu weit geht, indem er Anforderungen stellt, die nicht im Gesetz begründet sind, wie etwa ein Bündelungsverbot. Die Sichtweise des EDÖB bleibt jedoch relevant, wenn es darum geht, Datenschutz-Compliance in Unternehmen sicherzustellen.

 

FABIAN PRIVACY LEGAL steht Ihnen bei Fragen oder Unterstützungsbedarf gerne zur Verfügung.

 

1 https://www.newsd.admin.ch/newsd/message/attachments/87062.pdf

2 https://www.newsd.admin.ch/newsd/message/attachments/90127.pdf