Kundendaten im Treueprogramm: Datenschutz in der Schweiz

Ein Bonusprogramm sammelt Daten: Name, Kundennummer, Einkäufe, oft auch eine E-Mail-Adresse. Sobald sich damit eine Person bestimmen lässt, greift in der Schweiz das Datenschutzgesetz. Dieser Artikel ordnet die Pflichten für ein Programm eines privaten Betriebs ein. Die deutsche Rechtslage steht in Kundenkarte und Treueprogramm: Datenschutz nach DSGVO.

Was das Datenschutzgesetz regelt

Das Datenschutzgesetz (DSG, SR 235.1) schützt Personendaten natürlicher Personen. Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen (Art. 5 Bst. a DSG). Bearbeiten heisst jeder Umgang mit solchen Daten, vom Beschaffen und Speichern bis zum Löschen (Art. 5 Bst. d). Beim Bonusprogramm sind das Konto, die Punkte und der Kaufverlauf, soweit sie einer Person zuzuordnen sind.

Das Gesetz gilt für private Personen und Bundesorgane (Art. 2 Abs. 1) und für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden (Art. 3 Abs. 1). Es ist seit 1. September 2023 in Kraft (Art. 74 Abs. 2). Eine Papier-Stempelkarte, die weder einen Namen noch eine Kennung trägt, die Ihr Betrieb einer Person zuordnen kann, erfasst keine Personendaten.

Wer ist verantwortlich?

Verantwortlicher ist, wer allein oder mit anderen über Zweck und Mittel der Bearbeitung entscheidet (Art. 5 Bst. j). Das ist bei einem eigenen Programm Ihr Betrieb. Setzen Sie eine App oder ein Kassensystem eines Anbieters ein, der die Daten in Ihrem Auftrag bearbeitet, ist dieser Auftragsbearbeiter (Art. 5 Bst. k). Sie bleiben verantwortlich und müssen sich vergewissern, dass er die Datensicherheit gewährleisten kann (Art. 9 Abs. 2).

Checkliste: Pflichten für Kundendaten im Bonusprogramm

Die Tabelle nennt je Pflicht die Norm und die wichtigste Bedingung. Sie gilt für private Verantwortliche in der Schweiz.

Pflicht	Norm	Was das für das Programm heisst	Bedingung oder Ausnahme
Rechtmässig, nach Treu und Glauben, verhältnismässig bearbeiten	Art. 6 Abs. 1 und 2 DSG	Nur Daten erheben, die Punkte und Prämie wirklich brauchen	gilt für jede Bearbeitung von Personendaten
Zweck festlegen	Art. 6 Abs. 3	Zweck vor der Erhebung bestimmen und erkennbar machen; Daten nur dazu verwenden	Neue Zwecke prüfen, bevor Sie sie nutzen
Daten löschen oder anonymisieren	Art. 6 Abs. 4	Daten ausgetretener Mitglieder vernichten oder anonymisieren, sobald sie nicht mehr erforderlich sind	andere Aufbewahrungspflichten je Datenart prüfen
Datenschutz durch Voreinstellung	Art. 7 Abs. 3	Voreinstellungen der App oder des Kontos auf das nötige Mindestmass begrenzen	Art. 7 gilt nicht für Bearbeitungen, die vor dem 1. September 2023 begannen, solange der Zweck gleich bleibt und keine neuen Daten beschafft werden (Art. 69)
Bei der Beschaffung informieren	Art. 19 Abs. 1 und 2	Mindestens Identität und Kontaktdaten des Verantwortlichen, Zweck und gegebenenfalls Empfänger mitteilen, zum Beispiel auf dem Anmeldeformular	entfällt, wenn die Person die Informationen schon hat (Art. 20 Abs. 1 Bst. a)
Auslandsbekanntgabe prüfen	Art. 16, 17, 19 Abs. 4	Liegt der Server der App im Ausland, brauchen Sie einen angemessenen Schutz oder eine Ausnahme und müssen den Staat mitteilen	Ausnahmen in Art. 17 Abs. 1
Datensicherheit	Art. 8 DSG; Art. 1 bis 3 DSV	Schutzbedarf bestimmen, Massnahmen nach Risiko festlegen, Zugriff auf Berechtigte beschränken	gilt für Verantwortliche und Auftragsbearbeiter
Auskunft erteilen	Art. 25	Auf Verlangen kostenlos die bearbeiteten Daten und weitere Angaben mitteilen, in der Regel innert 30 Tagen	Einschränkungen in Art. 26
Daten herausgeben	Art. 28	Auf Verlangen die von der Person bekanntgegebenen Daten in einem gängigen Format herausgeben	nur bei automatisierter Bearbeitung und bei Einwilligung oder Vertragszusammenhang
Verzeichnis führen	Art. 12 DSG; Art. 24 DSV	Zweck, Datenkategorien, Empfänger, Aufbewahrungsdauer festhalten	Betriebe mit weniger als 250 Mitarbeitenden am 1. Januar des Jahres sind befreit, ausser bei besonders schützenswerten Personendaten in grossem Umfang oder Profiling mit hohem Risiko
Datenschutzverletzung melden	Art. 24 Abs. 1	Eine Verletzung der Datensicherheit mit voraussichtlich hohem Risiko dem EDÖB so rasch als möglich melden	nur bei hohem Risiko

Ist eine Einwilligung nötig?

Nicht für jede Bearbeitung. Eine Persönlichkeitsverletzung liegt unter anderem vor, wenn Personendaten entgegen den Grundsätzen von Art. 6 bearbeitet werden oder entgegen der ausdrücklichen Willenserklärung der betroffenen Person (Art. 30 Abs. 2 Bst. a und b). Sie ist widerrechtlich, wenn sie nicht durch Einwilligung, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist (Art. 31 Abs. 1). Ein überwiegendes Interesse des Verantwortlichen kommt unter anderem in Betracht, wenn er Personendaten der Vertragspartnerin oder des Vertragspartners in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags bearbeitet (Art. 31 Abs. 2 Bst. a). Ob die Teilnahme am Programm dafür ein Vertrag ist, hängt von Ihren Teilnahmebedingungen ab.

Wo Sie sich auf eine Einwilligung stützen, ist sie nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird (Art. 6 Abs. 6). Ausdrücklich sein muss sie, soweit eine Einwilligung erforderlich ist, für besonders schützenswerte Personendaten, etwa Daten über die Gesundheit (Art. 5 Bst. c Ziff. 2), und für ein Profiling mit hohem Risiko durch eine private Person (Art. 6 Abs. 7). Profiling ist die automatisierte Auswertung von Personendaten, um persönliche Aspekte wie Interessen oder Verhalten zu bewerten oder vorherzusagen (Art. 5 Bst. f). Wann ein Kaufverlaufsprofil hohes Risiko bedeutet, nennt das Gesetz nur allgemein (Art. 5 Bst. g); prüfen Sie es für Ihre Auswertung im Einzelfall.

Werbung an Mitglieder

Fernmeldetechnisch versandte Massenwerbung ohne direkten Zusammenhang mit einem angeforderten Inhalt, zum Beispiel ein Newsletter per E-Mail, ist nach Art. 3 Abs. 1 Bst. o UWG unlauter, wenn Sie vorher keine Einwilligung der Kunden einholen, den korrekten Absender nicht angeben oder nicht auf eine problemlose und kostenlose Ablehnungsmöglichkeit hinweisen. Wer beim Verkauf Kontaktinformationen von Kunden erhält und auf die Ablehnungsmöglichkeit hinweist, handelt nicht unlauter, wenn er diesen Kunden Massenwerbung für eigene ähnliche Waren, Werke oder Leistungen sendet. Bei einer Adresse, die jemand nur für das Konto angibt, prüfen Sie, ob sie «beim Verkauf» erhalten wurde.

Was droht bei einem Verstoss?

Die Bussen des DSG sind Strafen. Wer vorsätzlich die betroffene Person nicht nach Art. 19 Abs. 1 informiert oder ihr die Angaben nach Art. 19 Abs. 2 nicht liefert, wird auf Antrag mit Busse bis CHF 250’000 bestraft (Art. 60 Abs. 1). Dieselbe Obergrenze gilt unter anderem, wenn jemand vorsätzlich Daten ohne die Voraussetzungen von Art. 16 und 17 ins Ausland bekanntgibt, einem Auftragsbearbeiter ohne die Voraussetzungen von Art. 9 Abs. 1 und 2 Daten übergibt oder die Mindestanforderungen an die Datensicherheit nicht einhält (Art. 61).

Bei Widerhandlungen in Geschäftsbetrieben gelten Art. 6 und 7 des Verwaltungsstrafrechtsgesetzes; bei einer Busse von höchstens CHF 50’000 kann statt der strafbaren Personen der Geschäftsbetrieb zur Zahlung verurteilt werden, wenn die Ermittlung der strafbaren Personen Untersuchungsmassnahmen bedingen würde, die im Hinblick auf die verwirkte Strafe unverhältnismässig wären (Art. 64 Abs. 2). Die Kantone verfolgen und beurteilen; der EDÖB kann Anzeige erstatten (Art. 65); die Strafverfolgung verjährt nach fünf Jahren (Art. 66). Zivilrechtlich kann die betroffene Person nach Art. 32 Abs. 2 DSG unter anderem verlangen, dass eine Bearbeitung verboten oder Daten gelöscht werden.

Schweiz und Deutschland im Vergleich

Der Vergleich zeigt, wo ein Programm für beide Länder unterschiedlich aufzusetzen ist. Er betrifft private Betriebe; die deutschen Zeilen beziehen sich auf die DSGVO.

Frage	Schweiz (DSG, UWG)	Deutschland (DSGVO, UWG)
Braucht jede Bearbeitung eine Rechtsgrundlage?	Nein: Grundsätze nach Art. 6; erst eine Persönlichkeitsverletzung braucht einen Rechtfertigungsgrund (Art. 30, 31)	Ja: Verarbeitung ist nur rechtmäßig, wenn mindestens eine Bedingung des Art. 6 Abs. 1 DSGVO erfüllt ist
Mindestinhalt der Information	Identität und Kontaktdaten, Zweck, gegebenenfalls Empfänger (Art. 19 Abs. 2)	Art. 13 Abs. 1 und 2 DSGVO, darunter die Dauer der Speicherung (Abs. 2 Bst. a)
Werbe-E-Mail	Einwilligung oder Ausnahme für Kunden mit Hinweis auf Ablehnung (Art. 3 Abs. 1 Bst. o UWG)	Einwilligung oder vier Voraussetzungen der Ausnahme (§ 7 Abs. 2 Nr. 2, Abs. 3 UWG)
Sanktion	Busse bis CHF 250’000 gegen verantwortliche Personen bei Vorsatz, auf Antrag (Art. 60, 61)	Bei Verstössen gegen Art. 5, 6, 7, 9 und 12 bis 22 DSGVO Geldbussen bis 20 Mio. Euro oder bei Unternehmen bis 4 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO)

Beide Rechtsordnungen verlangen die Information bei der Erhebung. Die DSGVO verlangt zusätzlich für jede Verarbeitung eine Rechtsgrundlage nach Art. 6 Abs. 1. Unsere redaktionelle Empfehlung für ein Programm mit Kundschaft in beiden Ländern: Holen Sie die Information und die Werbeeinwilligung schon bei der Anmeldung getrennt ein.

Checkliste für Ihr Programm

1. Legen Sie fest, welche Daten Konto und Prämie brauchen, und streichen Sie den Rest.
2. Schreiben Sie den Zweck vor der Erhebung auf und halten Sie ihn auf dem Anmeldeformular fest.
3. Nennen Sie auf dem Formular Identität und Kontaktdaten Ihres Betriebs, den Zweck und gegebenenfalls Empfänger und Staat (Art. 19).
4. Klären Sie mit dem Anbieter der App oder Kasse die Rolle als Auftragsbearbeiter und den Speicherort der Daten.
5. Legen Sie fest, wann Daten ausgetretener Mitglieder vernichtet oder anonymisiert werden.
6. Holen Sie die Einwilligung für Werbe-E-Mails getrennt ein und binden Sie einen Abmeldeweg in jede Sendung ein.
7. Prüfen Sie, ob Ihr Betrieb ein Verzeichnis führen muss (Art. 24 DSV), und bereiten Sie eine Antwort auf Auskunftsbegehren vor.