Der Eidgenössische Datenschutzbeauftragte (Edöb) kritisiert den Online-Händler Digitec Galaxus wegen dessen Umgang mit Kundendaten. Unter anderem verletzte das Unternehmen mit dem Zwang, ein Kundenkonto anzulegen, den Grundsatz der Verhältnismässigkeit.
Der Datenschutzbeauftragte Adrian Lobsiger teilte am Mittwoch mit, er sei nach einer umfangreichen Abklärung zum Schluss gekommen, dass die Pflicht zur Erstellung «eines Kundenkontos für die Abwicklung des Bestellvorgangs» bei Digitec Galaxus dem Gebot der Verhältnismässigkeit widerspreche. Damit liege eine Persönlichkeitsverletzung vor.
Der Edöb schlug dem Online-Händler deshalb vor, einen Kauf ohne Registrierung, also einen sogenannten Gastkauf, anzubieten. Digitec Galaxus habe diese Empfehlung angenommen und werde dem Datenschutzbeauftragten «zu gegebener Zeit» Vorschläge unterbreiten, hiess es.
Transparenz über Datenverarbeitung verlangt
Lobsiger verlangte demnach weiter, dass der Online-Shop seine Datenschutzbearbeitung so anpasst, dass dabei klar ist, welche Daten für welche Zwecke bearbeitet und weitergegeben werden. Diese Empfehlungen habe Digitec Galaxus nach eigenen Informationen in einer neuen Datenschutzerklärung zum Teil bereits umgesetzt.
Ausserdem empfehle der Edöb dem Unternehmen, seine Datenschutzerklärung so anzupassen, dass diese keine Datenbearbeitungen «auf Vorrat» beinhaltet, hiess es im Communiqué weiter. Es dürften nur diejenigen Datenbearbeitungen aufgeführt werden, die auch tatsächlich erfolgten. Damit würde die Transparenz erhöht. Digitec Galaxus habe diese Empfehlung jedoch zurückgewiesen.
Eingriff in die Wirtschaftsfreiheit
Der Anwalt des Online-Händlers wird auf der Webseite mit den Worten zitiert, der Edöb gehe mit seinen Empfehlungen «sehr weit und deutlich darüber hinaus, was im Gesetz verlangt wird». Er greife damit in die Wirtschaftsfreiheit ein, statt sich auf die korrekte Anwendung des Datenschutzrechts zu beschränken.
Digitec Galaxus selber schreibt: «Die ohnehin schon umfangreiche Datenschutzerklärung noch weiter auszubauen, halten wir weder für sinnvoll noch notwendig.» Das sei nicht im Interesse der Kundschaft. Ausserdem stünden sie in direktem Wettbewerb mit internationalen Onlineriesen wie Amazon oder Aliexpress, die auch zwingend die Errichtung eines Kundenkontos verlangten. Trotzdem werde Digitec Galaxus einigen Empfehlungen des Edöb folgen.
Jahrelanges Verfahren
Der Datenschutzbeauftragte war nach eigenen Angaben im März 2020 durch eine betroffene Person darauf aufmerksam gemacht worden, dass Kundinnen und Kunden der Digitec Galaxus AG in der Datenschutzerklärung allen Datenbearbeitungen zustimmen müssen, um eine Bestellung tätigen zu können.
Als eine Kundin nachträglich der Speicherung und Weitergabe ihrer Daten und deren Auswertung widersprechen wollte, sei ihr das vom Kundendienst verweigert worden. Aufgrund weiterer eingegangener Bürger-Anfragen und einer ersten Antwort von Digitec Galaxus eröffnete der Datenschutzbeauftragte im Jahr 2021 eine sogenannte Sachverhaltsabklärung.
Digitec Galaxus gehört zur Migros Group und ist gemäss Edöb das grösste Online-Warenhaus der Schweiz. Sobald die Verbesserungsvorschläge vorlägen, will der Datenschutzbeauftragte nach eigener Aussage prüfen, ob und inwieweit er gegen allenfalls nicht rechtskonforme Bearbeitungen vorgeht. (SDA/rul)