Untersuchung gegen Digitec Galaxus: Kundenkontozwang verstösst bei der untersuchten Datenbearbeitung gegen Verhältnismässigkeitsgebot

In einer umfangreichen Sachverhaltsabklärung untersuchte der EDÖB die Kundendatenbearbeitungen bei Digitec Galaxus, einem der grössten Schweizer Onlineshops. In seinem Schlussbericht hält er fest, dass die Grundsätze der Transparenz und der Verhältnismässigkeit verletzt werden, und spricht entsprechende Empfehlungen aus.

In seinen Empfehlungen verlangt der EDÖB, dass der Onlineshop die Datenschutzerklärung so anpasst, dass eindeutig über die Datenbearbeitungen informiert wird und klar ist, welche Daten für welche Zwecke bearbeitet und an welche Datenempfänger weitergegeben werden. In Bezug auf diese Empfehlungen hat Digitec Galaxus festgehalten, dass einige der Empfehlungen durch die Einführung einer neuen Datenschutzerklärung während des laufenden Verfahrens bereits vorweggenommen wurden.

Der Beauftragte empfiehlt insbesondere, dass die Datenschutzerklärung nur Datenbearbeitungen beschreibt, die auch tatsächlich erfolgen. Damit soll der Datenbearbeitung «auf Vorrat» entgegengewirkt und die Transparenz erhöht werden. In diesem Punkt wird seine Empfehlung von Digitec Galaxus zurückgewiesen.

Weiter kommt der Beauftragte zum Schluss, dass die Koppelung der untersuchten Datenbearbeitung mit der Pflicht zu einem Kundenkonto gegen das Verhältnismässigkeitsprinzip verstösst. Er schlägt Digitec Galaxus eine Anpassung der Datenbearbeitung vor, die nicht stärker in die informationelle Selbstbestimmung ihrer Kunden eingreift als nötig. Eine Möglichkeit zur verhältnismässigen Ausgestaltung der Datenbearbeitungen stellt nach Auffassung des Beauftragten das alternative Anbieten eines Gastkaufs dar, d.h. eines Kaufs, der auf der Online-Plattform ohne Registrierung getätigt werden kann. Digitec Galaxus nimmt diese Empfehlung an und wird dem EDÖB zu gegebener Zeit Vorschläge zur Herstellung des rechtmässigen Zustands unterbreiten.

Sobald diese Vorschläge von Digitec Galaxus vorliegen, wird der EDÖB prüfen, ob und in wie weit er gegen Bearbeitungen vorgehen wird, die Gegenstand von abgelehnten oder allenfalls nicht rechtskonform umgesetzten Empfehlungen.

Schlussbericht vom 15. April 2024 Digitec Galaxus AG (geschwärzt)

Quelle: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter EDÖB

17.4.2024