Der von REWE Österreich mit Partnern ins Leben gerufene jö Bonus Club mit über vier Millionen Mitgliedern wird gegen eine Strafe in der Höhe von zwei Millionen Euro der Datenschutzbehörde (DSB) berufen. Eine Entscheidung des als überlastet geltenden Bundesverwaltungsgerichts (BVerwG) könnte aber dauern. Bis zur rechtlichen Klärung wird das Profiling – die Nutzung persönlicher Einkaufsdaten – für einen Teil der Kunden ausgesetzt, es könnte um fast die Hälfte gehen, wie es in einer Aussendung heißt.
DSB: Daten zu Werbezwecken geteilt und ausgewertet
Grund für das Straferkenntnis der Datenschutzbehörde (DSB) vom 26. Juli ist, dass „die zwischen Mai 2019 und Februar 2020 eingeholten Einwilligungserklärungen der Kundinnen und Kunden für das Kundenbindungsprogramm nicht den Vorgaben der Datenschutzgrundverordnung (DSGVO) entsprachen“, so die DSB gegenüber Pressevertretern. Das sei insbesondere deshalb der Fall gewesen, weil die Einwilligung neben der Teilnahme am Programm auch „Profiling“ umfasst habe, wobei bei Einkäufen hinterlassene Daten zusammengeführt und ausgewertet würden, um Kundenpräferenzen zu ermitteln und zielgerichtete Werbemaßnahmen setzen zu können.
„Einkaufsmuster einzelner Personen nachvollziehbar“
Damit sei es auch möglich, konkrete Einkaufsmuster einzelner Personen nachzuvollziehen, so die Behörde: „Aufgrund der Ausgestaltung der Einwilligungserklärungen war davon auszugehen, dass Kundinnen und Kunden eine Einwilligung zu Profiling erteilten, ohne sich dessen bewusst gewesen zu sein.“
Beanstandet wurden von der DSB jene Fälle, bei denen die Anmeldungen zum Club über Folder oder über die Website erfolgten. Dabei soll es in Summe um 2,2 bis 2,3 Millionen Menschen gehen, jedoch betrug die Zustimmungsquote zum Profiling generell lediglich 80 Prozent, wie die jö-Bonus-Club-Geschäftsführung vor Journalisten sagte.
Jö Bonus Club setzt persönliche Angebote aus
Bei den übrigen jö-Club-Mitgliedern, die etwa über die App und digitale Anmeldepunkte bei den Partnern von REWE gewonnen wurden, „läuft das Profiling weiter“, so Hanna Maier von der jö-Club-Geschäftsführung.
Wo das Profiling dagegen ausgesetzt sei, könnten zwar weiter Bonuspunkte gesammelt und eingelöst werden, es gebe vorerst jedoch keine auf persönlichen Einkaufsdaten basierende Angebote, also teils auch keine der regelmäßigen Prozentermäßigungen, für die die Einlösebons per Post versandt werden, so Mario Rauch von der jö-Club-Chefetage: Auch das hänge an der Profilierung, die man bei den Betroffenen gestoppt habe. „Wir setzen das bis zur Klärung auf Hold“, so Rauch.
Jö-Anwalt Keisler: Kundenbedürfnisse im Mittelpunkt
Man sei „optimistisch“ und sich „recht sicher“, dass man mit der Beschwerde gegen das Straferkenntnis erfolgreich sein werde, die Beschwerde sei noch nicht eingelegt, man sei noch innerhalb der Frist, sagte Rechtsanwalt Robert Keisler von der Kanzlei CMS Reich-Rohrwig Hainz, der den jö Bonus Club in dieser Angelegenheit vertritt.
Bei den Betroffenen Web- und Flyer-Registrierten wolle man noch einmal deren Einwilligung zum Profiling einholen, sagte Rauch, derzeit wisse man aber noch nicht genau, wie dies möglich sei. Zwar könnte ein Teil der Kunden über die App zustimmen, die stark betroffenen Flyer-Kunden seien aber vielfach schwer erreichbar. Auch ein „Massenmail an alle“ gehe nicht, wenn man die DSGVO auf Punkt und Beistrich einhalten wolle, so Rechtsanwalt Keisler.
„Strafe von zwei Millionen ist zu hoch“
Maier betonte, bei dem 2019 gegründeten Kundenprogramm seien stets die Bedürfnisse der Kunden im Mittelpunkt gestanden – da gehöre auch ein sicherer und sorgfältiger Umgang mit den Daten dazu. Man habe seinerzeit auch die DSB um Beratung geben, da die DSGVO erst ein Jahr alt gewesen sei, das sei aber leider verwehrt worden. Man erachte die DSGVO als wichtiges Gesetz, der Datenschutz sei ein hohes Gut, das geschützt werden müsse. Die jö-Club-Mitglieder hätten das Zuschneiden von Angeboten auf persönliche Vorlieben aktivieren, aber auch deaktivieren können. Ursprünglich habe die DSB alle vier Kanäle beanstandet, später sei es nur noch um die Website und die Folder gegangen.
An Dritte verkaufe man keine Daten weiter, dabei bleibe es auch, betonte Maier. Die Strafe von 2 Mio. Euro sieht sie und ihr Geschäftsführer-Kollege als zu hoch an; aus der im Verfahren der DSB vorgelegten jüngsten Bilanz, von 2018, sei ein Jahresumsatz von 2,5 Mio. Euro hervorgegangen. „Wenn man da 2 Mio. Strafe wegnimmt, ist es zu hoch.“ Die „Unser Ö-Bonus Club GmbH“ ist eine 100-Prozent-Tochter der Rewe International DienstleistungsgesmbH, Sitz Wiener Neudorf.