Auslegungssache 68: Vom Umgang mit Kundenprofilen

Wenn Unternehmen Kundenprofile anlegen, brauchen sie dafür eine Rechtsgrundlage und konkrete Zwecke. Im c't-Datenschutz-Podcast erläutern wir die Hintergründe.

Lesezeit: 2 Min.
In Pocket speichern
vorlesen Druckansicht Kommentare lesen 8 Beiträge
Screenshot einer Videokonferenz dreier Männer
Von
  • Holger Bleich
  • Joerg Heidrich

Die niedersächsische Datenschutzbeauftragte Barbara Thiel hat Ende Juli ein praxisrelevantes Verfahren rund um die Auswertung, Anreicherung und Weitergabe von Kundendaten abgeschlossen. 900.000 Euro Bußgeld soll die Hannoversche Volksbank bezahlen, weil sie ohne Einwilligung das Nutzungsverhalten von Kunden analysiert haben und dazu einen Dienstleister herangezogen haben soll. Die Ergebnisse der Analyse hat die Bank laut Aufsichtsbehörde mit Daten einer Wirtschaftsauskunftei abgeglichen und mit Zusatzinformationen angereichert. Ziel sei gewesen, für bestimmte Werbeformen empfängliche Kunden herauszufiltern.

David Pfau in der Auslegungssache

Dieses Verfahren ist für den c't-Datenschutz-Podcast Anlass, einmal einen Blick auf den Umgang mit Kundendaten- und Profilen im Datenschutz zu werfen. Redakteur Holger Bleich und Verlagsjustiziar Joerg Heidrich haben für die Episode 68 deshalb David Pfau eingeladen. Pfau ist "Head of Data & Privacy" bei der conreri digital development GmbH. Der Wirtschaftspsychologe gilt als ausgewiesener Datenschutzexperte und berät Unternehmen der Medien- und Digitalbranche.

Zunächst besprechen die drei, wie und wo Profilbildung in der DSGVO definiert ist und welche Rechtsgründe es dafür geben kann. Unweigerlich landet man da beim recht unbestimmten "berechtigten Interesse" des Verantwortlichen, also dem Art. 6. Abs. 1 lit f DSGVO, der von Unternehmen regelmäßig herangezogen wird, um der individuellen Einwilligung jedes Kunden zu entgehen. Doch auch das "berechtigte Interesse" rechtfertigt nicht jede Verarbeitung von Kundendaten, wie Pfau betont.

Einem freizügigen Umgang mit Kundendaten steht auch die Zweckbindung entgegen, die in Art. 5 DSGVO festgeschrieben ist. Pfau empfiehlt Unternehmen, sich schon bei der Erhebung von Informationen genau mit dem beabsichtigten Zweck auseinanderzusetzen und ihn möglichst weit zu fassen. Insbesondere, wenn Kundendaten später angereichert oder zum Profiling genutzt werden sollen, wird schnell die Grenze des rechtlich Zulässigen erreicht, die Pfau ausführlich erläutert.

c't DSGVO - Was 2021 wirklich wichtig ist

180 Seiten Ratgeber von Fachjuristen: Was Unternehmen, Vereine und Selbstständige wissen müssen! Mit vielen FAQs, Anleitungen, Checklisten und Mustern. Auf DVD: 60 Minuten Webinar "Anatomie einer IT-Katastrophe" – vorbereitet sein und die Krise meistern.

Episode 68:

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmmung wird hier ein externer Podcast (Podigee GmbH) geladen.

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (Podigee GmbH) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.

Hier gehts zu allen bisherigen Folgen:

Mehr von c't Magazin Mehr von c't Magazin

(hob)