12. Juni 2019
Der Lebensmitteldiscounter Lidl will das Verhalten seiner Kunden auswerten. Mittels einer App sollen den Lidl-Kunden Rabattcoupons für bestimmte Produkte bei ihrem Einkauf im Laden angezeigt werden. Die dafür entwickelte Lidl Plus App kann ab dem 13. Juni in etwa 250 Filialen in Berlin und Brandenburg getestet werden. Ziel ist es das Kaufverhalten des Nutzers zu analysieren und so Angebote zu personalisieren. Die Kassen in allen Lidl-Filialen sind bereits mit Scannern ausgestattet, die die „digitale Kundenkarte“ lesen sollen. Nach einer Testphase ist eine deutschlandweite Nutzung der App für 2020 geplant. Für die Verarbeitung der Verhaltensdaten holt sich Lidl in der App oder auf der Webseite eine Einwilligung der Nutzer.
Dieser Ansatz zur Auswertung von Kundenverhalten im
Supermarkt ist in der Branche durchaus umstritten. Da jeder Kunde individuelle
Preisnachlässe bekommt, variiert der Preis z.B. für eine Packung Milch oder
Kaffee. Es bleibt abzuwarten, wie es bei den Kunden ankommt, wenn sie
unterschiedlich viel für bestimmte Produkte zahlen müssen. Mit Hilfe eines
5-Euro-Rabattcoupons bei einem Einkaufwert von 25 Euro beim Herunterladen der
App, setzt Lidl bereits den ersten Anreiz. Grundsätzlich ist die Auswertung des
Kundenverhaltens in Online-Shops gängige Praxis, neu hingegen ist, dass dies in
einer „stationären“ Ladenfiliale eines Supermarkts durchgeführt wird.
16. Juli 2018
Immer mehr Hersteller bieten Haushaltsgeräte wie die elektrische Zahnbürste, Kühlschränke oder Staubsaugerroboter mit der Funktion, dass sich die Geräte mit dem WLAN verbinden, an. Vielen Nutzern ist nicht bewusst, dass diese Geräte ihr Verhalten „tracken“, dh. erheben, auswerten und an ihren Hersteller weiterleiten. So meldet die elektrische Zahnbürste wie lange und wie häufig sie in Gebrauch ist. In Kühlschränken werden Kameras installiert, die dokumentieren, welche Lebensmittel wie häufig gekauft werden und der Staubsaugerroboter kann Auskunft über die Dauer und Häufigkeit seiner Nutzung und teilweise über die Größe oder sogar Zuschnitt der Wohnung geben. Diese Daten benutzen die Hersteller vor allem für Marketingzwecke, um ihr Angebot an das Verhalten ihrer Kunden anzupassen.
Dieses Tracking ist datenschutzrechtlich mehr als bedenklich. Nach der DSGVO spricht einiges dafür, dass diese Datenverarbeitung nicht datenschutzkonform ist.
Zunächst könnte das heimliche und uferlose Tracking könnte gegen das Transparenzgebot aus Art. 5 Abs. 1 lit. a DSGVO verstoßen. Beim Kauf eines internetfähigen Haushaltsgeräts ist es für den Kunden nicht ersichtlich, ob und welche seiner Verhaltensdaten übermittelt werden. Als Teil der Informationspflichten, muss der Betroffene über die Datenverarbeitung in Kenntnis gesetzt werde.
Gegen die Rechtmäßigkeit dieser Datenverarbeitung und Übermittlung spricht außerdem, dass sie auf keine Rechtsgrundlage gestützt werden kann. Art. 6 Abs. 1 lit. a) DSGVO scheidet aus, weil keine vorherige Einwilligung beim Nutzer eingeholt wird.
Art. 6 Abs. 1 lit. b) DSGVO erlaubt eine Verarbeitung, wenn dies für die Erfüllung des Vertrages notwendig ist. Der Kaufvertrag braucht aber gerade keine solches Tracking um erfüllt zu werden. Insbesondere können alle Geräte für ihren bestimmungemäßen Gebrauch ohne diese Datenverarbeitung genutzt werde.
Nach Art. 6 Abs. 1 lit. f) DSGVO ist eine Verarbeitung erlaubt, wenn der Hersteller ein berechtigtes Interesse an der Erhebung und Auswertung der Kundendaten hat. Dieses Interesse ist als berechtig einzustufen, wenn die schutzwürdigen Interessen des Kunden an seiner Privatsphäre nicht überwiegen. Beim Gebrauch von Haushaltsgeräten zum Staubsaugen, Aufbewahren und Kühlen von Lebensmitteln und Zähneputzen ist die Privatsphäre des Nutzers aber gerade höher zu bewerten, als die wirtschaftlichen Interessen der Hersteller und damit schutzwürdig.
Abgesehen von der mangelnden Rechtsgrundlage, könnte das Tracking gegen das Kopplungsverbot aus Art. 7 Abs. 4 DSGVO verstoßen. Danach ist es verboten einen Vertragsabschluss von der Einwilligung in eine nicht für die Erfüllung notwendige Datenverarbeitung abhängig zu machen. In diesen Fällen ist die Einwilligung nicht mehr freiwillig erteilt worden und damit ungültig. Darüber hinaus trifft die Hersteller nach Art. 25 DSGVO die Pflicht datenschutzfreundliche Voreinstellungen bei Geräten zu treffen. Der Verstoß ist auch bußgeldbewehrt nach Art. 83 Abs. 4 lit. a) DSGVO.
Es lässt sich festhalten, dass das Tracking bei der Nutzung von internetfähigen Haushaltsgeräten nach der DSGVO problematisch ist. Es kann unter Umständen auf keine Rechtsgrundlage gestützt werden, verstößt gegen Datenschutzgrundsätze und ist bußgeldbewehrt.
7. Februar 2017
Smart-TVs sind aus unserem Alltag heutzutage kaum noch wegzudenken. Sie können schon längst nicht mehr nur das Fernsehprogramm senden, sondern haben sich mittlerweile zu einer Internet-Schaltzentrale entwickelt. Mit der Erweiterung der Funktionalität und vor allem der ständigen Verbindung zum Internet geht allerdings auch die gestiegene Gefahr einher, dass das Nutzerverhalten rund um die Uhr beobachtet werden kann und die gewonnenen Informationen anderweitig verwendet werden.
Der Smart-TV-Hersteller Vizio muss nun ein Bußgeld in Höhe von 2,2 Millionen US-Dollar zahlen, nachdem ihm die US-amerikanische Behörde FTC (Federal Trade Commission) vorwarf, das Verhalten seiner Nutzer ohne vorherige Einwilligung ausgeforscht zu haben.
Mit Hilfe von automatischer Inhaltserkennung (Automatic Content Recognition) wurden so die Vorlieben von rund elf Millionen Nutzern analysiert und gespeichert, um die gewonnenen Informationen dann in einem weiteren Schritt mit demografischen Inhalten wie Alter, Geschlecht, Familien- und Bildungsstand sowie Einkommen zu verknüpfen. Die verknüpften Daten soll Vizio dann zu Werbezwecken an Dritte weitergegeben haben.
Die FTC hatte bereits seit Februar 2014 ermittelt und klagte vor dem U.S. District Court for the District of New Jersey. Obwohl sich der Smart-TV-Hersteller in der Sache verteidigte und angab, dass das Nutzerverhalten nie mit persönlichen Daten verknüpft worden sei, muss Vizio die Praxis zukünftig unterlassen und alle Daten löschen, die das Unternehmen bis zum 1. März 2016 gesammelt hat. Darüber hinaus muss das US-amerikanische Unternehmen seine Datenschutzrichtlinien überarbeiten.
