DSGVO und brachte dazu im Wesentlichen vor, er habe die Angewohnheit seine Einkäufe bei den Handelsmarken und Tochterfirmen der D*** International AG hauptsächlich bargeldlos mit Karte zu bezahlen. Der Beschwerdeführer verfüge über keine gültige Kundenkarte der Beschwerdegegnerin. Bei jedem bargeldlosen Zahlungsvorgang in den Filialen des Beschwerdegegners werde vor dem eigentlichen Zahlungsvorgang am Kartenterminal eine Stammkundenabfrage angezeigt, worin sich die automationsunterstütze Datenverarbeitung für den Beschwerdeführer zweifelsfrei manifestiere. Für den Beschwerdeführer sei völlig unklar, ob eine Verknüpfung zwischen der Abfrage „Stammkunde“ bei bargeldlosen Zahlungen und dem Kundenbindungsprogramm bestehe und ob konzernweite Verknüpfungen erfolgten. Insbesondere erscheine unklar, welche Daten von der Beschwerdegegnerin bei dieser Stammkundenabfrage erhoben bzw. gespeichert würden. Mit E-Mail vom
1 DSGVO sei eine Datenverarbeitung nur dann rechtmäßig, wenn eine der Bedingungen des Unterabsatzes lit. a bis f erfüllt sei. Im Ergebnis sei die Datenverarbeitung weder von der Datenschutzerklärung noch von einer Einwilligung gedeckt.
, DSGVO und brachte dazu im Wesentlichen vor, er habe die Angewohnheit seine Einkäufe bei den Handelsmarken und Tochterfirmen der D*** International AG hauptsächlich bargeldlos mit Karte zu bezahlen. Der Beschwerdeführer verfüge über keine gültige Kundenkarte der Beschwerdegegnerin. Bei jedem bargeldlosen Zahlungsvorgang in den Filialen des Beschwerdegegners werde vor dem eigentlichen Zahlungsvorgang am Kartenterminal eine Stammkundenabfrage angezeigt, worin sich die automationsunterstütze Datenverarbeitung für den Beschwerdeführer zweifelsfrei manifestiere. Für den Beschwerdeführer sei völlig unklar, ob eine Verknüpfung zwischen der Abfrage „Stammkunde“ bei bargeldlosen Zahlungen und dem Kundenbindungsprogramm bestehe und ob konzernweite Verknüpfungen erfolgten. Insbesondere erscheine unklar, welche Daten von der Beschwerdegegnerin bei dieser Stammkundenabfrage erhoben bzw. gespeichert würden. Mit E-Mail vom
, Absatz eins, DSGVO sei eine Datenverarbeitung nur dann rechtmäßig, wenn eine der Bedingungen des Unterabsatzes Litera a, bis f erfüllt sei. Im Ergebnis sei die Datenverarbeitung weder von der Datenschutzerklärung noch von einer Einwilligung gedeckt.
1 lit. a DSGVO noch besser zu entsprechen, habe die Beschwerdegegnerin ihre Datenschutzerklärung um einen entsprechenden Absatz zur Verwendung der Bankomatkarte als Kundenkarte für das Kundenbindungsprogramm ergänzt. Diese sei auch dem Beschwerdeführer nachträglich zur Kenntnis gebracht worden.
, Absatz eins, Litera a, DSGVO noch besser zu entsprechen, habe die Beschwerdegegnerin ihre Datenschutzerklärung um einen entsprechenden Absatz zur Verwendung der Bankomatkarte als Kundenkarte für das Kundenbindungsprogramm ergänzt. Diese sei auch dem Beschwerdeführer nachträglich zur Kenntnis gebracht worden. 4. Im Rahmen des Parteiengehörs führte der Beschwerdeführer mit Schreiben vom 26. März 2019 in Bezug auf die Informationspflicht
DSGVO zusammengefasst aus, es sei „unwiderlegbares Faktum“, dass die Beschwerdegegnerin vor Änderung der Datenschutzerklärung ihre Informationspflicht
Zur Wahrung seiner berechtigten Interessen begehre der Beschwerdeführer, die Feststellung der Verletzung der Informationspflicht. In Bezug auf die Verletzung
DSGVO führte der Beschwerdeführer im Wesentlichen aus, dass die Beschwerdegegnerin eine Verarbeitung personenbezogener Daten ohne eine entsprechende Formulierung in ihrer Datenschutzerklärung vorgenommen habe. Die zur Recht vom Beschwerdeführer kritisierte „Stammkundenabfrage“ sei seit Anfang Dezember 2018 nicht mehr als „Insert“ am Zahlungsterminal der Beschwerdegegnerin angezeigt worden. Sehr wohl würden jedoch noch zwei separate Datenabfragen erfolgen. Der Beschwerdeführer gehe davon aus, dass die Beschwerdegegnerin ihre gesetzwidrige Datenverarbeitung einfach ohne Anführen des Wortes „Stammkundenabfrage“ fortgesetzt habe. Im Weiteren würden personenbezogene Daten verarbeitet werden. Durch die Abfrage des sogenannten „Firmenbits“ könne die Zuordnung einer natürlichen Person zu einer Kennnummer bzw. deren Identifizierung erfolgen, wobei dies auch bei der „Pseudoanonymisierung“ der Fall sei. Sinn und Zweck der Stammkundenabfrage sei es, eine natürliche Person zu identifizieren und das Vorhandensein einer Mitgliedschaft im Kundenbindungsprogramm der Beschwerdegegnerin zu überprüfen. Es handle sich bei der Abfrage des „Firmenbits“ um keine sogenannte „Pseudoanonymisierung“, da gerade dadurch die Zuordenbarkeit einer natürlichen Person ermöglicht werden solle. Die Abfrage des sogenannten „Firmenbits“ sei daher in jedem Fall als Verarbeitung personenbezogener Daten zu qualifizieren. 4. Im Rahmen des Parteiengehörs führte der Beschwerdeführer mit Schreiben vom 26. März 2019 in Bezug auf die Informationspflicht
, DSGVO zusammengefasst aus, es sei „unwiderlegbares Faktum“, dass die Beschwerdegegnerin vor Änderung der Datenschutzerklärung ihre Informationspflicht
Zur Wahrung seiner berechtigten Interessen begehre der Beschwerdeführer, die Feststellung der Verletzung der Informationspflicht. In Bezug auf die Verletzung
, DSGVO führte der Beschwerdeführer im Wesentlichen aus, dass die Beschwerdegegnerin eine Verarbeitung personenbezogener Daten ohne eine entsprechende Formulierung in ihrer Datenschutzerklärung vorgenommen habe. Die zur Recht vom Beschwerdeführer kritisierte „Stammkundenabfrage“ sei seit Anfang Dezember 2018 nicht mehr als „Insert“ am Zahlungsterminal der Beschwerdegegnerin angezeigt worden. Sehr wohl würden jedoch noch zwei separate Datenabfragen erfolgen. Der Beschwerdeführer gehe davon aus, dass die Beschwerdegegnerin ihre gesetzwidrige Datenverarbeitung einfach ohne Anführen des Wortes „Stammkundenabfrage“ fortgesetzt habe. Im Weiteren würden personenbezogene Daten verarbeitet werden. Durch die Abfrage des sogenannten „Firmenbits“ könne die Zuordnung einer natürlichen Person zu einer Kennnummer bzw. deren Identifizierung erfolgen, wobei dies auch bei der „Pseudoanonymisierung“ der Fall sei. Sinn und Zweck der Stammkundenabfrage sei es, eine natürliche Person zu identifizieren und das Vorhandensein einer Mitgliedschaft im Kundenbindungsprogramm der Beschwerdegegnerin zu überprüfen. Es handle sich bei der Abfrage des „Firmenbits“ um keine sogenannte „Pseudoanonymisierung“, da gerade dadurch die Zuordenbarkeit einer natürlichen Person ermöglicht werden solle. Die Abfrage des sogenannten „Firmenbits“ sei daher in jedem Fall als Verarbeitung personenbezogener Daten zu qualifizieren. 5. Ergänzend führte der Beschwerdeführer mit Schreiben vom 28. März 2019 aus, dass nunmehr hervorgekommen sei, dass die Beschwerdegegnerin ihre Datenschutzerklärung nicht geändert habe. Die Beschwerdegegnerin habe diese einfache Verrichtung binnen drei Wochen nicht vorgenommen. Der Beschwerdeführer sei daher nach wie vor iSd Informationspflicht
B. Beschwerdegegenstand Beschwerdegegenständlich stellt sich die Frage, ob die Beschwerdegegnerin durch die Abfrage des „Firmenbits“ im Rahmen der Stammkundenabfrage bei bargeldloser Zahlung den Beschwerdeführer in seinem Recht auf Geheimhaltung verletzt hat. Darüber hinaus stellt sich die Frage, ob der Beschwerdeführer aufgrund einer unzureichenden Datenschutzerklärung in Bezug auf die „Stammkundenabfrage“ am Zahlungsterminal in seinem Recht auf Information
Beschwerdegegenständlich stellt sich die Frage, ob die Beschwerdegegnerin durch die Abfrage des „Firmenbits“ im Rahmen der Stammkundenabfrage bei bargeldloser Zahlung den Beschwerdeführer in seinem Recht auf Geheimhaltung verletzt hat. Darüber hinaus stellt sich die Frage, ob der Beschwerdeführer aufgrund einer unzureichenden Datenschutzerklärung in Bezug auf die „Stammkundenabfrage“ am Zahlungsterminal in seinem Recht auf Information
C. Sachverhaltsfeststellungen Bei der Beschwerdegegnerin handelt es sich um ein Einzelhandelsunternehmen mit Filialen in ganz Österreich. Die Beschwerdegegnerin betreibt im Zuge dieser Tätigkeit ein Kundenbindungsprogramm, das Kunden beim Vorzeigen einer von der Beschwerdegegnerin auszugebenden Kundenkarte, Rabatte und weitere Vorteile gewährt. Auf Wunsch des Kunden kann die Bankomatkarte als Kundenkarte verwendet werden. Wird die Bankomatkarte als Kundenkarte verwendet, wird das „Firmenbit“ auf der Bankomatkarte des Kunden aktiviert. Auf den in Österreich ausgegeben Bankomatkarten befindet sich das File „EF_RFU2“, bestehend aus 196 Bytes. Es beinhaltet die Stammkundennummer, die Händlerbitmap und die Händlerdaten. Davon werden 8 Bytes für die Stammkundennummer, 8 Byte für die Bitmap für Firmenbits, und 180 Byte für die Händlerdaten genutzt. Das File „EF_RFU2“ ist weder frei lesbar noch frei beschreibbar. Die Datei „EF_RFU2“ und die Bitmap stellen sich wie folgt dar: [Anmerkung: Die im Original an dieser Stelle wiedergegebenen grafischen Dateien (Screenshots) mit einer tabellarischen Darstellung der betreffenden Dateien können im RIS nicht dargestellt werden.] Ein Byte besteht aus 8 Bit (Anm.: Ein Bit entspricht einem Zeichen). Byte 0 bis 7 verfügen daher über insgesamt 64 Bit, wobei nur das Bit 1 für die Nutzung der Stammkundenabfrage bei der Beschwerdegegnerin vergeben ist. Alle weiteren Bits entsprechen dem Wert 0 und sind nicht vergeben. Im Zuge der Stammkundeabfrage beim Zahlungsterminal wird am Bit 1 ausgelesen, ob die Bankomatkarte für das Kundenbindungsprogramm der Beschwerdegegnerin initialisiert wurde. Ein Byte besteht aus 8 Bit Anmerkung, Ein Bit entspricht einem Zeichen). Byte 0 bis 7 verfügen daher über insgesamt 64 Bit, wobei nur das Bit 1 für die Nutzung der Stammkundenabfrage bei der Beschwerdegegnerin vergeben ist. Alle weiteren Bits entsprechen dem Wert 0 und sind nicht vergeben. Im Zuge der Stammkundeabfrage beim Zahlungsterminal wird am Bit 1 ausgelesen, ob die Bankomatkarte für das Kundenbindungsprogramm der Beschwerdegegnerin initialisiert wurde. Wird die Stammkundenfunktion auf der Bankomatkarte freigeschaltet, so wird bei der Initialisierung das Bit (Bit 1 der Bitmap) auf 1 gesetzt und die seitens der Handelskasse übermittelten Daten werden auf die Karte geschrieben. Diese Initialisierung erfolgt ausschließlich dann, wenn der Karteninhaber sich aktiv für die Nutzung des jeweiligen Stammkundenprogramms bereit erklärt hat und die Nutzung der Bankomatkarte anstelle der Kundenkarte wünscht. Im Zuge der Stammkundenabfrage kann die Handelskasse mit Hilfe des Terminals abfragen, ob die Stammkundenfunktion auf der Bankomatkarte des Karteninhabers genutzt wird. In weiterer Folge liest das Terminal die verschlüsselten Daten aus der Karte und überprüft, ob das richtige Firmenbit gesetzt ist. Nach erfolgter Prüfung sendet das Terminal entweder nur die Meldung „kein Stammkunde“, oder „Stammkunde“ an die Handelskasse retour. Dazu stellt sich der technische Ablaufprozess schematisch wie folgt dar: [Anmerkung: Die im Original an dieser Stelle wiedergegebene grafische Datei (Screenshot) mit einer tabellarischen Darstellung des betreffenden Prozesses kann im RIS nicht dargestellt werden.] Die Handelskasse sendet im Rahmen der Stammkundenabfrage den Auftragssatz „Stkf-Abfrage ohne Kartenrückgabe“ an das Terminal: [Anmerkung: Die im Original an dieser Stelle wiedergegebenen grafischen Dateien (Screenshots) mit einer tabellarischen Darstellung des betreffenden Prozesses können im RIS nicht dargestellt werden.] Der Antwortsatz des Terminals an die Handelskasse enthält keine Kundendaten, sondern lediglich die Terminal-ID, Datum und Uhrzeit. Nur in dem Fall, dass die Bankomatkarte als Kundenkarte initialisiert wurde, werden die bei der Initialisierung geschriebenen Daten an die Handelskassa zurückgeliefert. Der Beschwerdeführer nimmt am Kundenbindungsprogramm der Beschwerdegegnerin nicht teil. Auf seiner Bankomatkarte ist das „Firmenbit“ nicht aktiviert (d.h. auf 0 gesetzt). Beweiswürdigung: Die Feststellungen bezüglich der Nichtteilnahme am Kundenbindungsprogramm der Beschwerdegegnerin beruhen auf dem übereinstimmenden Vorbringen der Verfahrensparteien in ihren Schreiben an die Datenschutzbehörde. Die Feststellungen hinsichtlich des technischen Ablaufs der Stammkundenabfrage beruhen auf der Stellungnahme der Beschwerdegegnerin vom 5. März 2019, die nachvollziehbar und auch für Laien verständlich die technische Funktionsweise eines Firmenbits sowie den technischen Ablaufprozess bei Aktivierung und Nichtaktivierung des „Firmenbits“ im Rahmen der Stammkundenabfrage dargestellt hat. Diesen Ausführungen ist der Beschwerdeführer im Rahmen des Parteiengehörs auch nicht entgegengetreten. Das Vorbringen des Beschwerdeführers, wonach ein wesentlicher Zweck der Stammkundenabfrage beim bargeldlosen Zahlen darin bestehe, einen Personenbezug herzustellen, mag auch nicht zu überzeugen, da diese Abfrage nichts darüber aussagt, ob der Kunde generell am Kundenbindungsprogramm teilnimmt. Neben dem Verwenden der Bankomatkarte als Kundenkarte gibt die Beschwerdegegnerin gesondert Kundenkarten aus. D. In rechtlicher Hinsicht folgt daraus: Die Datenschutzbehörde geht davon aus, dass eine betroffene Person sich auf jede Bestimmung der DSGVO auch abseits der Betroffenenrechte nach Kapitel III stützen kann, sofern dies im Ergebnis zu einer denkmöglichen Verletzung des Rechts auf Geheimhaltung nach § 1 Abs. 1 DSG führen kann (vgl. dazu den Bescheid vom 30. November 2018, GZ DSB-D122.931/0003-DSB/2018). Im gegenständlichen Fall war das Vorbringen des Beschwerdeführers demnach im Hinblick auf eine Verletzung der Informationspflicht
DSGVO sowie betreffend das Vorbringen einer Verletzung
DSGVO in Bezug auf das Recht auf Geheimhaltung
Die Datenschutzbehörde geht davon aus, dass eine betroffene Person sich auf jede Bestimmung der DSGVO auch abseits der Betroffenenrechte nach Kapitel römisch drei stützen kann, sofern dies im Ergebnis zu einer denkmöglichen Verletzung des Rechts auf Geheimhaltung nach Paragraph eins, Absatz eins, DSG führen kann vergleiche dazu den Bescheid vom 30. November 2018, GZ DSB-D122.931/0003-DSB/2018). Im gegenständlichen Fall war das Vorbringen des Beschwerdeführers demnach im Hinblick auf eine Verletzung der Informationspflicht
, DSGVO sowie betreffend das Vorbringen einer Verletzung
, DSGVO in Bezug auf das Recht auf Geheimhaltung
Paragraph eins, DSG zu überprüfen. Verarbeitung personenbezogener Daten:
1 DSG hat jedermann, insbesondere im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Darunter ist der Schutz der betroffenen Person vor Ermittlung seiner Daten und der Schutz vor der Weitergabe der über ihn ermittelten Daten zu verstehen. Rein begrifflich setzt dieser Vorgang somit eine Verarbeitung personenbezogener Daten beim Verantwortlichen voraus. Auch Art. 1 Abs. 1 DSGVO legt fest, dass die Verordnung Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten enthält.
Paragraph eins, Absatz eins, DSG hat jedermann, insbesondere im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Darunter ist der Schutz der betroffenen Person vor Ermittlung seiner Daten und der Schutz vor der Weitergabe der über ihn ermittelten Daten zu verstehen. Rein begrifflich setzt dieser Vorgang somit eine Verarbeitung personenbezogener Daten beim Verantwortlichen voraus. Auch Artikel eins, Absatz eins, DSGVO legt fest, dass die Verordnung Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten enthält. Voraussetzung dafür, dass eine Verletzung im Recht auf Geheimhaltung
DSG sowie Information
DSGVO überhaupt denkmöglich vorliegen kann, ist damit die Verarbeitung personenbezogener Daten durch den Verantwortlichen.Voraussetzung dafür, dass eine Verletzung im Recht auf Geheimhaltung
Paragraph eins, DSG sowie Information
, DSGVO überhaupt denkmöglich vorliegen kann, ist damit die Verarbeitung personenbezogener Daten durch den Verantwortlichen. Personenbezogene Daten sind
der Begriffsbestimmung des Art. 4 Z 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dabei wird eine natürliche Person dann als identifizierbar angesehen, wenn sie direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung oder zu mehreren besonderen Merkmalen identifiziert werden kann. Personenbezogene Daten sind
der Begriffsbestimmung des Artikel 4, Ziffer eins, DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dabei wird eine natürliche Person dann als identifizierbar angesehen, wenn sie direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung oder zu mehreren besonderen Merkmalen identifiziert werden kann. Als Verarbeitung wird jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführter Vorgang oder jede solche Vorgansreihe verstanden, die im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung steht (vgl. Art. 4 Z 2 leg.cit).Als Verarbeitung wird jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführter Vorgang oder jede solche Vorgansreihe verstanden, die im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung steht vergleiche Artikel 4, Ziffer 2, leg.cit). In der Sache: Die verfahrensgegenständliche Datenverarbeitung betrifft die Abfrage betreffend die Stammkundeneigenschaft im Zuge der bargeldlosen Zahlung an einer Handelskassa der Beschwerdegegnerin. Dabei wird von der Handelskassa ein Auftrag an den Zahlungsterminal gesendet. Dieser liest sodann aus, ob das Bit 1 am File „EF_RFU2“ aktiviert ist, oder den Wert 0 aufweist. Im gegenständlichen Fall nimmt der Beschwerdeführer nicht am Kundenbindungsprogramm der Beschwerdegegnerin teil, weshalb auch keine Kundenkarte auf seiner Bankomatkarte aktiviert ist. Die Handelskasse bekommt daher bei bargeldloser Zahlung des Beschwerdeführers vom Terminal lediglich den Hinweis „kein Stammkunde“ übermittelt. Der Antwortsatz des Terminals an der Kasse der Beschwerdegegnerin enthält keine Kundendaten, sondern lediglich die Terminal-ID sowie das Datum und die Uhrzeit. Beim Hinweis „kein Stammkunde“ sowie der Terminal-ID dem Datum und der Uhrzeit handelt es sich ohne Hinzutreten weiterer Daten um keine Information, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen kann. Weitere Daten werden in dem verfahrensgegenständlichen Verarbeitungsprozess nicht verarbeitet. Im Ergebnis konnte der Beschwerdeführer – mangels Verarbeitung seiner personenbezogenen Daten – im Zuge der Stammkundenabfrage beim bargeldlosen Zahlen weder in seinem Recht auf Geheimhaltung
Vm Art. 6 DSGVO, noch in seinem Recht auf Informationspflicht
DSGVO verletzt werden.Im Ergebnis konnte der Beschwerdeführer – mangels Verarbeitung seiner personenbezogenen Daten – im Zuge der Stammkundenabfrage beim bargeldlosen Zahlen weder in seinem Recht auf Geheimhaltung
Paragraph eins, DSG in Verbindung mit Artikel 6, DSGVO, noch in seinem Recht auf Informationspflicht
Eine allfällige Verarbeitung personenbezogener Daten im Rahmen des bargeldlosen Zahlens ist nicht Gegenstand des Verfahrens. Da sich die Beschwerde als nicht berechtigt erweist, war sie
5 DSG abzuweisen. Da sich die Beschwerde als nicht berechtigt erweist, war sie
Paragraph 24, Absatz 5, DSG abzuweisen. European Case Law IdentifierECLI:AT:DSB:2019:DSB.D123.482.0005.DSB.2019
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.