Datenschutz: Rewe soll wegen jö Bonus Club Millionen-Strafe zahlen

Der von Rewe Österreich mit Partnern ins Leben gerufene jö Bonus Club mit über vier Millionen Mitgliedern wird gegen die 2-Mio.-Euro-Strafe der Datenschutzbehörde berufen, eine Entscheidung des als überlastet geltenden Bundesverwaltungsgerichts (BVerwG) kann aber dauern. Bis zur rechtlichen Klärung wird das Profiling - die Nutzung persönlicher Einkaufsdaten - für einen Teil der Kunden ausgesetzt, es könnte um fast die Hälfte gehen.

jö Bonus Club war nicht DSGVO-konform

Grund für das Straferkenntnis der Datenschutzbehörde (DSB) vom 26. Juli ist, dass "die zwischen Mai 2019 und Februar 2020 eingeholten Einwilligungserklärungen der Kundinnen und Kunden für das Kundenbindungsprogramm nicht den Vorgaben der Datenschutzgrundverordnung (DSGVO) entsprachen", erklärte die Behörde am Dienstag gegenüber der APA. Dies sei insbesondere deshalb der Fall gewesen, weil die Einwilligung neben der Teilnahme am Programm auch sogenanntes "Profiling" umfasst habe, wobei bei Einkäufen hinterlassene Daten zusammengeführt und ausgewertet würden, um Kundenpräferenzen zu ermitteln und zielgerichtete Werbemaßnahmen setzen zu können.

Einkaufsmuster können nachverfolgt werden

"Damit ist es auch möglich, konkrete 'Einkaufsmuster' einzelner Personen nachzuvollziehen", so die Datenschutzbehörde. Und weiter: "Aufgrund der Ausgestaltung der Einwilligungserklärungen war davon auszugehen, dass Kundinnen und Kunden eine Einwilligung zu Profiling erteilten, ohne sich dessen bewusst gewesen zu sein."

Beanstandet wurden von der DSB jene Fälle, bei denen die Anmeldungen zum Club über Folder (Flyer) oder über die Website erfolgten. Dabei soll es in Summe um 2,2 bis 2,3 Mio. Menschen gehen, jedoch betrug die Zustimmungsquote zum Profiling generell lediglich 80 Prozent, wie die jö-Bonus-Club-Geschäftsführung am Dienstag vor Journalisten sagte.

Profiling läuft weiter

Bei den übrigen jö-Club-Mitgliedern, die über die anderen beiden Kanäle - App und digitale Anmeldepunkte bei den Partnern von Rewe - gewonnen wurden, "läuft das Profiling weiter", so Hanna Maier von der jö-Club-Geschäftsführung.

Wo das Profiling dagegen ausgesetzt sei, könnten zwar weiter Bonuspunkte gesammelt und eingelöst werden, es gebe vorerst jedoch keine auf persönlichen Einkaufsdaten basierende Angebote, also teils auch keine der regelmäßigen Prozentermäßigungen, für die die Einlösebons per Post versandt werden, so Mario Rauch von der jö-Club-Chefetage: "Auch das hängt an der Profilierung, die haben wir bei den Betroffenen gestoppt. Wir setzen das bis zur Klärung auf Hold."

Rewe legt Beschwerde gegen Strafe ein

Man sei "optimistisch" und sich "recht sicher", dass man mit der Beschwerde gegen das Straferkenntnis erfolgreich sein wird - die Beschwerde ist noch nicht eingelegt, man sei noch innerhalb der Frist, sagte Rechtsanwalt Robert Keisler von der Kanzlei CMS Reich-Rohrwig Hainz, der den jö Bonus Club in dieser Angelegenheit vertritt.

Bei den Betroffenen Web- und Flyer-Registrierten wolle man noch einmal deren Einwilligung zum Profiling einholen, sagte Rauch, derzeit wisse man aber noch nicht genau, wie dies möglich sei. Zwar könnte ein Teil der Kunden über die App zustimmen, die stark betroffenen Flyer-Kunden seien aber vielfach schwer erreichbar. Auch ein "Massenmail an alle" gehe nicht, wenn man die DSGVO auf Punkt und Beistrich einhalten wolle, so Rechtsanwalt Keisler.

Rewe: Bedürfnisse der Kunden standen im Mittelpunkt

Maier betonte, bei dem 2019 gegründeten Kundenprogramm seien stets die Bedürfnisse der Kunden im Mittelpunkt gestanden - da gehöre auch ein sicherer und sorgfältiger Umgang mit den Daten dazu. Man habe seinerzeit auch die DSB um Beratung geben, da die DSGVO erst ein Jahr alt gewesen sei, das sei aber leider verwehrt worden. Man erachte die DSGVO als wichtiges Gesetz, der Datenschutz sei ein hohes Gut, das geschützt werden müsse. Die jö-Club-Mitglieder hätten das Zuschneiden von Angeboten auf persönliche Vorlieben aktivieren, aber auch deaktivieren können. Ursprünglich habe die DSB alle vier Kanäle beanstandet, später sei es nur noch um die Website und die Folder (Flyer) gegangen.

Man erachte die DSGVO als wichtiges Gesetz, so Rauch, Datenschutz sei ein hohes Gut, das geschützt werden müsse. Die jö-Club-Mitglieder hätten das Zuschneiden von Angeboten auf persönliche Vorlieben aktivieren, aber auch deaktivieren können. An Dritte verkaufe man keine Daten weiter, dabei bleibe es auch, betonte Maier. Die Strafe von 2 Mio. Euro sieht sie und ihr Geschäftsführer-Kollege als zu hoch an; aus der im Verfahren der DSB vorgelegten jüngsten Bilanz, von 2018, sei ein Jahresumsatz von 2,5 Mio. Euro hervorgegangen. "Wenn man da 2 Mio. Strafe wegnimmt, ist es zu hoch." Die "Unser Ö-Bonus Club GmbH" ist eine 100-Prozent-Tochter der Rewe International DienstleistungsgesmbH, Sitz Wiener Neudorf.

(APA/red)