Kundenkarte und Treueprogramm: Datenschutz nach DSGVO

Eine Kundenkarte, ein Punktekonto oder eine App-Anmeldung ordnet Einkäufe einer Person zu. Damit gelten Datenschutzregeln, die für eine anonyme Papier-Stempelkarte nicht greifen. Dieser Artikel behandelt Deutschland; für die Schweiz gilt eine eigene Rechtslage, siehe Kundendaten im Treueprogramm: Datenschutz in der Schweiz. Er prüft Pflichten aus der DSGVO und dem UWG, ist keine Rechtsberatung und ersetzt keine Prüfung Ihres Programms durch eine Datenschutzberatung.

Was gilt?

Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018 unmittelbar in jedem Mitgliedstaat (Art. 99 Abs. 2 DSGVO). Sie regelt die Verarbeitung personenbezogener Daten, also von Angaben zu einer identifizierten oder identifizierbaren Person (Art. 4 Nr. 1). Verarbeitung ist jeder Vorgang wie Erheben, Speichern, Verwenden oder Löschen (Art. 4 Nr. 2). Wer über Zwecke und Mittel dieser Verarbeitung entscheidet, ist Verantwortlicher (Art. 4 Nr. 7); beim eigenen Programm ist das Ihr Betrieb.

Zwei Grundsätze bestimmen die Gestaltung: Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden und müssen auf das notwendige Maß beschränkt sein (Art. 5 Abs. 1 Buchst. b und c). Sie dürfen nur so lange in einer Form gespeichert werden, die die Person identifiziert, wie es für den Zweck erforderlich ist (Art. 5 Abs. 1 Buchst. e).

Für wen gilt das, für wen nicht?

Die Regeln gelten, sobald Ihr Programm Daten einer identifizierbaren Person verarbeitet. Das sind zum Beispiel Name, E-Mail-Adresse, Telefonnummer, eine Kundennummer, die einer Person zugeordnet ist, oder der Kaufverlauf eines Kontos.

• Papier-Stempelkarte ohne Namen: Wenn die Karte weder einen Namen noch eine Kennung trägt, mit der Ihr Betrieb sie einer Person zuordnen kann, und Sie auch sonst nichts erfassen, was die Karte einer Person zuordnet, verarbeiten Sie keine personenbezogenen Daten. Tragen Sie Name oder Telefonnummer auf der Karte ein oder führen Sie eine Liste, gilt das nicht mehr.
• Karte mit Kundennummer ohne Namen: Ob die Nummer in Ihrem Betrieb einer Person zugeordnet werden kann, prüfen Sie im Einzelfall. Kann Ihr Kassensystem Käufe über die Nummer verknüpfen und lässt sich die Nummer einer Person zuordnen, handelt es sich um personenbezogene Daten.
• App mit Konto: Anmeldung, Kontakt und Kaufverlauf sind Verarbeitungen.

Welche Rechtsgrundlage tragen die einzelnen Zwecke?

Die Verarbeitung für Konto, Punkte, Kaufverlauf und Auswertung braucht mindestens eine Bedingung aus Art. 6 Abs. 1 DSGVO. Für den Versand von Werbe-E-Mails regelt § 7 UWG die Voraussetzungen, siehe unten. Für Programme kommen vor allem diese in Betracht:

• Einwilligung (Buchst. a): für einen oder mehrere bestimmte Zwecke.
• Vertrag (Buchst. b): Verarbeitung, die für die Erfüllung eines Vertrags mit der Person erforderlich ist.
• Berechtigte Interessen (Buchst. f): erforderlich zur Wahrung berechtigter Interessen des Verantwortlichen, sofern nicht die Interessen oder Grundrechte der Person überwiegen.

Welche Grundlage trägt, hängt vom Zweck ab. Unsere Auslegung des Wortlauts: Ob ein Bonusprogramm als Vertrag einzuordnen ist und welche Daten dafür erforderlich sind, hängt davon ab, was Sie zusagen; Daten, die für Punkte und Prämie nicht nötig sind, tragen Sie am besten unter einer eigenen Grundlage, etwa einer eigenen Einwilligung. Prüfen Sie das für Ihr Programm vor dem Start.

Checkliste: Pflichten und Fundstellen

Die Tabelle ordnet die Pflichten den Artikeln zu. Jede Zeile gilt nur, wenn die genannte Bedingung zutrifft.

Pflicht	Norm	Was das für das Programm bedeutet	Bedingung / Ausnahme
Zweck und Umfang festlegen	Art. 5 Abs. 1 Buchst. b, c DSGVO	Nur Daten erheben, die für den festgelegten Zweck nötig sind; Zweck vorher festhalten	Gilt für jede personenbezogene Erhebung
Rechtsgrundlage je Zweck bestimmen	Art. 6 Abs. 1 DSGVO	Punkte sammeln, Kontoführung, Werbung per Post und Profil bilden getrennt betrachten; für den Versand von Werbe-E-Mails gilt § 7 UWG	Mindestens eine Bedingung muss vorliegen
Einwilligung nachweisen	Art. 7 Abs. 1 DSGVO	Zeitpunkt, Text und Zustimmung festhalten	Nur wenn Sie sich auf Einwilligung stützen
Einwilligung klar abgrenzen	Art. 7 Abs. 2 DSGVO	Bei schriftlicher Erklärung mit anderen Inhalten den Einwilligungstext vom Rest unterscheidbar halten	Nur bei Erklärung, die auch andere Sachverhalte betrifft
Widerruf jederzeit	Art. 7 Abs. 3 DSGVO	Vor der Einwilligung auf das Widerrufsrecht hinweisen; Widerruf so einfach wie Erteilung	Nur bei Einwilligung
Freiwilligkeit prüfen	Art. 7 Abs. 4 DSGVO	Teilnahme nicht ohne Not an nicht erforderliche Einwilligungen koppeln	Beurteilung im Einzelfall
Information bei Erhebung	Art. 13 Abs. 1, 2 DSGVO	Unter anderem: Name und Kontakt, Zweck und Rechtsgrundlage, berechtigte Interessen bei Art. 6 Abs. 1 Buchst. f, Empfänger, Speicherdauer oder Kriterien, Betroffenenrechte einschließlich Widerrufsrecht bei Einwilligung, Beschwerderecht, ob die Angabe vorgeschrieben oder für den Vertrag erforderlich ist und welche Folgen die Nichtangabe hat; die Aufzählung ist eine Auswahl, die vollständige Liste steht in Art. 13 Abs. 1 und 2	Bei Erhebung bei der Person selbst; entfällt, soweit sie die Informationen schon hat (Abs. 4)
Widerspruchsrecht gegen Werbung	Art. 21 Abs. 2 bis 4 DSGVO	Hinweis spätestens bei der ersten Kommunikation, getrennt von anderen Informationen; nach Widerspruch keine Verarbeitung dafür	Nur bei Verarbeitung für Direktwerbung
Löschung	Art. 17 Abs. 1 DSGVO	Löschen, wenn nicht mehr notwendig, bei Widerruf ohne andere Grundlage, bei Widerspruch nach Art. 21 Abs. 1 ohne vorrangige berechtigte Gründe oder bei Widerspruch gegen Direktwerbung nach Art. 21 Abs. 2	Je Datenart prüfen, weitere Grundlagen bleiben zu berücksichtigen
E-Mail-Werbung	§ 7 Abs. 2 Nr. 2, Abs. 3 UWG	Einwilligung vorab, oder alle vier Voraussetzungen der Ausnahme	Gilt für Werbung per elektronischer Post

Seit wann, bis wann?

Die DSGVO gilt seit 25. Mai 2018. Einen Stichtag für Ihr Programm gibt es nicht: Die Pflichten gelten ab dem Zeitpunkt, an dem Sie Daten erheben. Die Speicherdauer richtet sich nach dem Zweck; Art. 13 Abs. 2 Buchst. a DSGVO verlangt, dass Sie die Dauer oder die Kriterien dafür mitteilen.

Werbung per E-Mail und Newsletter

Dieser Abschnitt behandelt Werbung per elektronischer Post nach dem Gesetz gegen den unlauteren Wettbewerb (UWG); die Datenschutzfragen stehen in den Abschnitten davor. Nach § 7 Abs. 2 Nr. 2 UWG ist Werbung per elektronischer Post ohne vorherige ausdrückliche Einwilligung eine unzumutbare Belästigung. § 7 Abs. 3 UWG nimmt davon Werbung aus, wenn alle vier Voraussetzungen erfüllt sind:

1. Sie haben die E-Mail-Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden erhalten.
2. Sie verwenden die Adresse für Direktwerbung für eigene ähnliche Waren oder Dienstleistungen.
3. Der Kunde hat der Verwendung nicht widersprochen.
4. Der Kunde wird bei Erhebung der Adresse und bei jeder Verwendung klar und deutlich darauf hingewiesen, dass er der Verwendung jederzeit widersprechen kann, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen.

Voraussetzung 1 verlangt einen Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung. Bei einer Adresse, die jemand nur zur Anmeldung im Programm angibt, prüfen Sie diesen Zusammenhang im Einzelfall; im Zweifel holen Sie vor dem ersten Newsletter eine Einwilligung ein. Den Ablauf für Newsletter beschreibt E-Mail-Newsletter für Kunden.

Gibt es Ausnahmen?

• Art. 13 Abs. 4 DSGVO: Die Informationspflicht entfällt, wenn und soweit die Person die Informationen bereits hat.
• Art. 21 Abs. 1 DSGVO: Das Widerspruchsrecht aus besonderer Situation gilt für Verarbeitungen auf Grundlage von Art. 6 Abs. 1 Buchst. e oder f; gegen Direktwerbung besteht nach Abs. 2 ein Widerspruchsrecht jederzeit.
• Art. 17 Abs. 3 DSGVO: Der Löschanspruch gilt nicht, soweit die Verarbeitung erforderlich ist, unter anderem zur Erfüllung einer rechtlichen Verpflichtung nach Unionsrecht oder dem Recht eines Mitgliedstaats (Buchst. b) oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Buchst. e).

Was droht bei einem Verstoß?

Die Aufsichtsbehörde kann Geldbußen verhängen. Für Verstöße gegen die Grundsätze der Verarbeitung einschließlich der Bedingungen für die Einwilligung (Art. 5, 6, 7, 9) und gegen die Rechte der betroffenen Person (Art. 12 bis 22, dazu zählen die Informationspflicht nach Art. 13 und das Löschrecht nach Art. 17) beträgt der Rahmen bis zu 20.000.000 Euro oder bei einem Unternehmen bis zu 4 Prozent des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Die Höhe im Einzelfall richtet sich nach den Umständen, etwa Art, Schwere und Dauer des Verstoßes und der Zahl der Betroffenen (Art. 83 Abs. 2). Der Rahmen ist die Obergrenze, kein Regelbetrag.

Checkliste für Ihr Programm

1. Legen Sie fest, welche Daten das Programm erhebt, und streichen Sie, was Punkte und Prämie nicht brauchen.
2. Bestimmen Sie je Zweck die Rechtsgrundlage und halten Sie sie schriftlich fest.
3. Wenn Sie Einwilligung nutzen: Text, Zeitpunkt und Zustimmung speichern, Widerrufsweg einrichten und vorher auf das Widerrufsrecht hinweisen.
4. Stellen Sie, wenn Sie Daten bei der Person selbst erheben, die Informationen nach Art. 13 Abs. 1 und 2 zum Zeitpunkt der Erhebung bereit, zum Beispiel auf dem Anmeldeformular oder im App-Anmeldeschritt; Abs. 4 nimmt Informationen aus, die die Person schon hat.
5. Weisen Sie bei Werbung spätestens bei der ersten Kommunikation auf das Widerspruchsrecht hin.
6. Legen Sie fest, wann Daten gelöscht werden, und teilen Sie Dauer oder Kriterien mit.
7. Prüfen Sie vor E-Mail-Werbung, ob eine Einwilligung vorliegt oder alle vier Voraussetzungen des § 7 Abs. 3 UWG erfüllt sind.