Mit der Digitalisierung unserer Gesellschaft halten auch immer mehr Verfahren im stationären Handel Einzug, mit denen die Konsumenten noch bessere, schönere, günstigere und persönlichere Botschaften und Leistungen erhalten sollen.
Die Online-Shops haben jedoch einen gefühlt unschlagbaren Vorteil gegenüber der analogen Welt: Cookies. Diese erlauben den Online-Shops nicht nur zu erkennen, woher ein (potenieller) Kunde kam, sondern auch wie lang er blieb, was er sich wie lang angeschaut, wie er sich im Shop bewegt und wie er den Shop wieder verlassen hat.
Unternehmen, die überwiegend an einem Point-of-Sale (POS) mit ihren Kunden zusammen treffen versuchen, diese fehlenden Daten mittels verschiedener Technologien auch ohne Cookies zu erhalten. Mit meist funkbasierten Verfahren werden die Besucher eines POS getrackt und aufgezeichnet, wie lang sie vor dem Schaufenster standen, im Laden waren, wie sie sich bewegt haben, wo sie sich länger oder kürzer aufgehalten haben. Die geschieht heute meist über WLAN-Netze, bleibt von den Kunden unbemerkt und ist laut den Anbietern solcher Systeme in Sachen Datenschutz rechtskonform. Ein solches System ist zum Beispiel in den Läden von myToys im Einsatz.
Mit den Beacons (oder auch Bluetooth-Low-Energy BLE), die einen regelrechten Hype ausgelöst haben, betritt eine weitere Technologie die „Tracking-Bühne“.
Der Vorteil der Beacons gegenüber den bisher verbreiteten Verfahren auf Basis von WLANs ist zunächst der enorme Kostenvorteil. Eine Beacon-Infrastruktur ist für erheblich geringere Kosten einzurichten als ein WLAN-Netzwerk.
Ein weiterer Aspekt, der häufig als Vorteil angeführt wird, ist die geringere Belastung für den Akku des Smartphones durch Bluetooth im Vergleich zum eingeschalteten WLAN. Doch die meisten Smartphone-Nutzer werden ihr WLAN wohl ständig eingeschaltet haben, ganz im Gegensatz zur Bluetooth-Funktion. Und werden sie beim Betreten eines POS aufgefordert, Bluetooth zu aktivieren, wird die überwiegende Zahl der Nutzer in diesem Moment wohl kaum das WLAN abschalten.
Verschiedene Verfahren benötigen unterschiedliche Berechtigungen auf dem Smartphone, die man sich bestenfalls per Opt-In vom Nutzer einräumen lassen sollte. Dazu im Interview unten mehr.
Apple bietet bei seinen iBeacons ab iOS 7.1 eine „Aufweckfunktion“ für die App an: „But with iOS 7.1 your application will listen for beacons even if it was hard closed. The user can still opt out by turning off “location permission” under settings, can turn Bluetooth off, or can delete your app entirely.“ [Quelle] Wir hatten bereits darüber berichtet.
Nun ist es auch beim Tracken am POS so, dass nicht immer alles was technisch machbar ist, womöglich auch unbemerkt gemacht werden sollte. Gerade unter Datenschutzgesichtspunkten sollte man sich die Verfahren anschauen. Wir haben mit Jan L. Froehlich, Rechtsanwalt in Berlin, darüber gesprochen.
1. In welcher Form ist das Tracken von Smartphones und von Personen am POS rechtlich zulässig?
Wichtig für die Frage der Zulässigkeit ist also die Vorfrage, inwiefern es sich denn um die Sammlung, Speichern, Verarbeitung oder Weitergabe personenbezogener Daten handelt.
Wenn sich das Tracken nur auf solche Daten bezieht, welche dann tatsächlich nicht einen Rückschluss auf eine bestimmte Person zulassen, ist dies zulässig. Die Aufnahme der MAC ID wird man nicht ohne weiteres unter diese personenbezogenen Daten zu zählen haben.
Auch die reine Feststellung der Anzahl von Personen oder ihrer Laufwege ist in einem Laden daher unproblematisch, entsprechendes könnte sich auch ergeben, wenn man die reine Anzahl von Personen zählt, die außen an einem Laden vorübergehen.
Der Vollständigkeit halber sollte hier jedoch auch erwähnt werden, dass das Landgericht Frankfurt a.M. für den Fall der Nutzung des Webanalysetools Piwik, welches ebenfalls nur anonymisierte Daten aufzeichnet, auch entschieden hat, dass über diese Verwendung ebenfalls informiert werden muss. Aus diesem Grunde kann nicht ausgeschlossen werden, dass auch andere Gerichte in vergleichbaren Fällen entsprechend eine solche Informationspflicht sehen und die Aufnahme von Daten ohne eine solche Information als unzulässig ansehen.
Dann sollte aber auch die Frage nach einem entsprechenden Widerspruchsrecht gestellt werden, welches ebenfalls zum Gegenstand der Information gehören und auf das auch bei Betreten eines entsprechenden Ladens hingewiesen werden muss.
2. Wenn ich die durch das Tracken gewonnenen Daten mit den Personen bezogenen, die ich ggf. durch eine eigene App erhalten habe, vereinen möchte, wie genau muss das Opt-in vorgenommen werden?
Wenn man personenbezogene Daten mit anderen Daten verbinden möchte, dann bedarf es einer vorherigen ausdrücklichen Zustimmung der Personen, deren personenbezogene Daten man verwendet und daher verarbeitet. Grundsätzlich bedarf dies der Zustimmung, die „personenbezogenen Daten zu erheben, zu speichern, zu bearbeiten und an Dritte weiter zu geben bzw. mit anderen Daten zu verbinden“ – sinngemäß wäre dies eine Idee für eine Formulierung.
Es ist eine schwierige Frage, inwiefern man diese Einwilligung in die Abgabe der personenbezogenen Daten bei einem einmaligen Installationsprozess rechtswirksam abgeben kann oder ob man nicht in jedem Fall eines Tracking darauf hingewiesen werden und dann die Einwilligung erklären muss mit der Option, dies auch ablehnen zu können oder gegen dieses Tracking Widerspruch einzulegen.
Aus Sicht der Datenschützer ist es sicher die zweite Alternative, die den Verbraucher am meisten schützt. Die Gerichte haben – leider – unterschiedliche Ansätze, da einmal auch die Nutzung von anonymisierten Persönlichkeitsprofilen zustimmungsbedürftig sein soll, in anderen Fällen aber nicht. Aus diesem Grunde läßt sich leider nur ein sicherer Weg in der Weise skizzieren, dass vor einem entsprechenden Tracking jeweils separat die Zustimmung eingeholt werden und es auch ein – leicht erreichbares und bedienbares – Widerspruchsrecht geben muss.
Angesichts dieser Frage stellt sich aber natürlich auch die Frage, inwiefern denn die durch das Tracking erhobenen Daten tatsächlich anonym gewesen sind. Eine Verbindung dergestalt, dass vor dem Hintergrund der tatsächlich anonymen Daten personenbezogene Daten genutzt werden darf natürlich nicht dazu führen, dass die angeblich anonym erhobenen Daten wieder auf bestimmte Personen zurückgeführt werden können.
3. Als Unternehmen stelle ich fest, dass einer meiner Wettbewerber seine Kunden widerrechtlich trackt und sich damit einen Wettbewerbsvorteil verschafft. Wie kann ich dagegen vorgehen?
Das Landgericht Frankfurt hat in seiner oben genannten „Piwik“ – Entscheidung (Landgericht Frankfurt a.M., (Az.: 3-10 O 86/12), Urteil vom 18.02.2014) wie auch andere Gerichte in Deutschland festgehalten, dass die Einhaltung der Datenschutzregelungen grundsätzlich zu den rechtlichen Verpflichtungen eines Unternehmens gehören, die auch die Mitbewerber im Rahmen des Gesetzes gegen den Unlauteren Wettbewerb geltend machen können. Verletzt also ein Unternehmen rechtliche Verpflichtungen gemäß dem Bundesdatenschutzgesetz (BDSG), Telemediengesetz (TMG) und Telekommunikationsgesetz (TKG), so kann dieses Unternehmen von seinen Mitbewerbern abgemahnt werden.
Wichtig ist immer, dass man sich die Daten dieses Wettbewerbsverstoßes speichert, damit man den Verstoß beweissicher nachweisen kann und innerhalb von spätestens vier Wochen nach der „Kenntnisnahme“ von diesem Verstoß den Mitbewerber abmahnt und ihn zur Beseitigung des Verstoßes und aufgrund der durch den Verstoß indizierten Wiederholungsfahr zur Abgabe einer vertragsstrafenbewehrten Unterlassungserklärung auffordert. Wird diese geforderte Unterlassungserklärung nicht abgegeben, dann muss man unbedingt umgehend eine Einstweilige Verfügung beantragen, um auf diese Weise dem Mitbewerber die Unterlassung zu untersagen. Wird man nicht entsprechend umgehend tätig, kann man den schnell wirkenden Einstweiligen Rechtsschutz nicht in Anspruch nehmen.
Die Beweissicherung ist in Fällen des Tracking naturgemäß sehr schwierig, im Zweifel muss dies durch Testkäufer geschehen, die zudem entsprechende Anzeigen auf dem Gerät entweder speichern oder fotografieren.
Grundsätzlich hat in einem solchen Fall der Gegner die Kosten der rechtlichen Auseinandersetzung und damit auch der Anwälte und des Gerichtes zu tragen, so dass man dieses Gesichtspunkt entsprechend in die eigenen Überlegungen einbeziehen sollte.
4. Als Nutzer erfahre ich, dass ich getrackt wurde. Zunächst weiß ich nicht, ob das rechtlich einwandfrei erfolgte. Was kann ich jetzt tun? Welche Möglichkeiten habe ich, wenn ich weiß, dass Personen bezogene Daten ohne meine Zustimmung erhoben wurden?
Als Nutzer ist die Frage der Beweissicherung ist in diesem Fall besonders schwierig, denn man hat nicht immer einen Freund dabei, der mit einem zusammen eine Erklärung vor Gericht abgeben kann und man möchte natürlich auch nicht immer durch einen Mitbewerber oder eine Verbraucherzentrale einen Detektiv – wie ansonsten auch als „Testkäufer“ üblich – engagieren lassen. Möchte man etwas aber beweissicher machen, bleibt einem nichts anderes übrig.
Am leichtesten ist immer der Weg zu einem Mitbewerber, dem man diese Verstöße mitteilt und der dann eigene Ermittlungen anstellen kann, aber nicht muss. Der direkte Weg kann jedoch auch zu einer Verbraucherzentrale führen und dem jeweiligen Datenschutzbeauftragten, den man über diese Vorkommnisse informiert.
Danke für das Interview.
[Foto: Shutterstock]