Seit dem 25. Mai 2018 gelten in Europa die Vorgaben der Datenschutz-Grundverordnung. Sie hat zum Ziel, einen einheitlichen Datenschutzstandard in den EU-Ländern zu schaffen. Sämtliche nationalen Datenschutzgesetze wurden am 25. Mai 2018 durch einheitliches EU-Recht abgelöst. In Form von sog. "Öffnungsklauseln" gibt es wenige Ausnahmen für nationale Abweichungen (Beispiel: Personaldatenschutz). Die DS-GVO gilt für alle Unternehmen, die in der EU personenbezogene Daten verarbeiten und auch für Nicht-EU-Unternehmen, soweit sich diese an den EU Markt richten (Beispiel: Facebook USA, Google USA). Deutlichster Unterschied zur bisherigen Gesetzgebung sind die  höheren Bußgeldsummen von bis zu 20 Mio. € oder 4 % des weltweiten Umsatzes, je nachdem, was höher ist.

„Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen. Der direkte Personenbezug ist gegeben, wenn sich die Identität des Betroffenen direkt aus den Daten ergibt (Beispiel: Name, E-Mail Adresse). Die Personenbeziehbarkeit, wenn die Identität über Zusatzinformationen ermittelt werden kann (Beispiele: PAYBACK Nummer, da diese dem Kunden zugeordnet ist, die Post-Adresse, denn da kann man hinfahren und nachsehen, die IP-Adressen, da diese über Strafverfahren ermittelbar, die TRX-Daten oder das Nutzungsverhalten, da diese zum PAYBACK Kunden hinzugespeichert werden). Dabei ist wichtig, dass das Wissen des Gesamtunternehmens allen zugerechnet wird, d.h. es reicht aus, wenn "irgend einer" bei PAYBACK den Kunden identifzieren kann.

• Rechtmäßige und transparente Verarbeitung nach „Treu und Glauben“: Man darf Daten nicht entgegen der Gesetze verarbeiten und die Verarbeitung muss allgemein „fair sein (also z.B. nicht heimtückisch)
• Zweckbindung: Daten dürfen nur für einen oder mehrere bestimmte Zwecke verarbeitet werden (z.B. für eine Bestellung) und dürfen nicht für andere Zwecke (z.B. Marketing) verwendet werden
• Pflicht zur Datenminimierung: Daten, die verarbeitet werden, müssen für den Zweck erforderlich sein (z.B. „Zusatzinfos“ bei Bestellungen, die irrelevant für die Abwicklung sind)
• Richtigkeit der Daten: Daten müssen richtig und (soweit erforderlich) auf dem neuesten Stand sein, da falsche Informationen zu Betroffenen deren Rechte schädigen können
• Speicherbegrenzung: Daten müssen gelöscht werden, sobald der Zweck erfüllt wurde und es keine Speichergründe mehr gibt (z.B. steuerrechtliche Aufbewahrungspflichten)
• Integrität und Vertraulichkeit: Die Datensicherheit (z.B. vor externen Hackern, unbefugten Mitarbeitern oder technischen Fehlern) muss gewähleistet werden

Die Gesamtverantwortung für das Thema „Datenschutz“ liegt bei der Geschäftsführung des jeweiligen Unternehmens der LP-Gruppe. Bestimmte Aufgaben können delegiert werden. Das Datenschutz-Management koordiniert die datenschutzrechtlichen Prozesse und stellt die Erfüllung der Nachweis- und Dokumentationspflichten sicher. Die Rechtsabteilung/GCO berät die Geschäftsführung und die Fachbereiche bei inhaltlichen Fragestellungen zu den datenschutzrechtlichen Vorgaben. Der Datenschutzbeauftragte überwacht die Einhaltung der Datenschutzvorschriften, berät bei Projekten mit Datenschutz-Relevanz und berichtet der Geschäftsführung zu Datenschutz-Themen. Alle Mitarbeiter müssen die sie selbst oder ihre Tätigkeit betreffenden Maßnahmen und Regelungen zum Datenschutz einhalten. Prozess-, Applikations- und Produktverantwortliche sind für die Einhaltung der datenschutzrechtlichen Vorgaben in ihrem Zuständigkeitsbereich selbst verantwortlich. Gleiches gilt für Projektverantwortliche. Fazit: Jeder von euch!

Im Zentrum des Datenschutzes steht der Schutz von personenbezogenen Daten vor Missbrauch und somit der Schutz der Privatsphäre von Personen. Die Datensicherheit hingegen beschäftigt sich allgemein mit dem Schutz von Daten vor unberechtigten Zugriffen oder Verlust. Der Fokus liegt dabei auf hierfür erforderlichen technischen Maßnahmen (z.B. z.B. durch Verschlüsselung, Backups, Rollen- und Berechtigungskonzepte, Videoüberwachung).
Zusammenfassend kann gesagt werden, dass beim Datenschutz der Mensch im Vordergrund steht und bei der Datensicherheit der Fokus auf den Daten selbst liegt. 

Jeder Kunde kann eine Kopie der bei PAYBACK gespeicherten Daten anfordern (Auskunftsrecht). Zudem muss PAYBACK die Kunden im Detail darüber informieren, welche persönlichen Daten wie von PAYBACK verarbeitet werden. Dies erfolgt über die Hinweisen zum Datenschutz. Alle aktuell gültigen Datenschutzhinweise findet ihr unter Y:/GCO/Public/08_Legal_text.

Grundsätzlich gilt, dass eine Datenverarbeitung nur rechtmäßig ist, wenn eine Rechtsgrundlage hierfür vorliegt. Diese kann die Erfüllung eines Vertrags (z.B. die Teilnahme am PAYBACK Programm) oder eine Einwilligung (z.B. die EWE09) sein. In Ausnahmefällen kann auch auf die sog. Interessanabwägung zurückgegriffen werden, d.h. die Interessen des Veranwortlichen an einer Datenverarbeitung wiegen schwerer als die Gegeninteressen des Betroffenen. Damit eine Datenverarbeitung rechtmäßig ist, müssen zudem noch eine ganze Reihe weiterer Begleitpflichten erfüllt werden. Hierunter fallen z.B. der Abschluss von Auftragsvereinbarungen, die Erfüllung der Informationspflichten, das Vorhandensein eines Löschkonzeptes.
Die aktuellen Teilnahmebedingungen und Einwilligungstexte findet ihr unter Y:/GCO/Public/08_Legal_text.

Mit Inkraftreten der DS-GVO gibt es deutlich umfangreichere Dokumentationspflichten, da Unternehmen nun selbst nachweisen müssen, dass sie die Daten rechtskonform verarbeiten (sog. "Beweislastumkehr"). Zentrales Element hierfür ist das Verzeichnis der Verarbeitungstätigkeiten, in dem alle Prozesse, in denen personenbezogene Daten verarbeitet werden, dokumentiert sein müssen. Weitere Informationen hierzu findet ihr in der entsprechenden Datenschutzvorgabe. Neben dem Verarbeitungsverzeichnis sind für Verfahren, die ein hohes Risiko für die Betroffenen beinhalten, zudem sog. Datenschutz-Folgenabschätzungen durchzuführen. Auch hierzu gibt es eine Datenschutzvorgabe. 

Neben dem Verarbeitungsverzeichnis ist für Verfahren, die ein hohes Risiko für die Betroffenen beinhalten, zudem eine sog. Datenschutz-Folgenabschätzung durchzuführen. Dies bedeutet, dass unter bestimmten Umständen vor Go-Live eines neuen Services oder einer Software eine umfangreiche Dokumentation der rechtlichen Prüfung, der Risiken und der Maßnahmen erstellt werden muss. Auch hierzu gibt es eine Datenschutzvorgabe. 

Wenn Verarbeitungen mit personenbezogenen Daten an einen Dienstleister ausgelagert werden (unabhängig davon, ob dieser eine Einzelperson, eine Personengesellschaft oder eine juristische Person wie eine GmbH ist), muss mit dem Dienstleister begleitend zum Hauptvertrag zusätzlich eine sog. Auftragsverarbeitungs-Vereinbarung abgeschlossen werden („AV-Vereinbarung“ oder „AVV“). Weitere Informationen hierzu findet ihr in der entsprechenden Datenschutzvorgabe.

Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche. Sie legen in einer Vereinbarung in transparenter Form fest, wer von ihnen welche Verpflichtung gemäß dieser Verordnung erfüllt. Dies trifft auf die PAYBACK GmbH, den RV und die (kartenausgebenden) Partner zu.

Nach Art. 83 DSGVO können Aufsichtsbehörden Bußgelder verhängen, die bis zu 20.000.000 € betragen können. Der Adressat eines solchen Bußgeldes ist aber immer der (für die Datenverarbeitung) Verantwortliche – und das ist der Arbeitgeber.

Ein Arbeitnehmer haftet daher in Bezug auf ein Bußgeld nach Art. 83 DSGVO nur im Innenverhältnis, d.h. gegenüber seinem Arbeitgeber. Das liegt daran, dass die Einhaltung der datenschutzrechtlichen Vorgaben zu den Pflichten des Arbeitsverhältnisses gehören, die bei der täglichen Arbeit zu beachten sind. Hierfür gelten die besonderen Haftungsgrundsätze innerhalb eines Arbeitsverhältnisses. Diese wurden von der Rechtsprechung entwickelt, um den Besonderheiten im Arbeitsverhältnis Rechnung zu tragen. In Fällen betrieblich veranlasster Tätigkeiten wird die Haftung zwischen Arbeitgeber und Arbeitnehmer im Rahmen des sog. innerbetrieblichen Schadensausgleichs aufgeteilt. Die jeweiligen Anteile werden dabei in Abhängigkeit vom Grad des Verschuldens des Arbeitnehmers, der den Schaden verursacht hat, gebildet. Als Grundregel gilt: je gröber die Fahrlässigkeit des Arbeitnehmers, desto höher sein Haftungsanteil – bei Vorsatz, also absichtlichem Tun, haftet der Arbeitnehmer voll.

Wenn eine Marketing-Maßnahme oder Datenanalyse geplant wird, dann müssen vorab insbesondere die folgenden Fragen beantwortet werden:

• Haben wir eine rechtliche Grundlage für die Verarbeitung?

Die Verarbeitung von personenbezogenen Daten ist nur dann zulässig, wenn sie auf einer rechtlichen Grundlage erfolgt. Diese kann die Erfüllung eines Vertrags oder eine Einwilligung sein.

Die Datenverarbeitung zur werblichen Ansprache der Kunden sowie die Analyse von Kundendaten erfolgt im PAYBACK Programm fast immer auf Grundlage einer Einwilligungserklärung. Die wichtigste Einwilligung ist die Einwilligung in Werbung und Marktforschung (in der aktuellen Version sind das die EWE09 und die REWE Group EWE), die PAYBACK die Verarbeitung der Rabattdaten des Kunden zur Personalisierung der PAYBACK Werbung erlaubt. Abhängig vom Kanal, der zur Ausspielung der Werbung genutzt wird, kann ggf. auch noch eine weitere Einwilligungserklärung (z.B. das Newsletter-Flag für die Coupon Mail) erforderlich sein.

Bevor Kundendaten also analysiert oder zu Werbezwecken verwendet werden, ist vorab immer zu prüfen ob eine Rechtsgrundlage für die Verarbeitung vorliegt. Im Zweifel sollte GCO oder das Data Privacy Team kontaktiert werden.

• Ist die Verarbeitungstätigkeit bereits im Verarbeitungsverzeichnis dokumentiert?

Jede Verarbeitungstätigkeit ist im Verarbeitungsverzeichnis zu dokumentieren. Bei einer neuen Verarbeitungstätigkeit ist ein neuer Eintrag anzulegen. Wird eine bestehende Verarbeitung ergänzt oder verändert, so ist auch der entsprechende Eintrag zu ergänzen oder zu verändern. Bitte wendet euch hierzu an das Data Privacy Team.

Der Datenschutz innerhalb der Loyalty Partner Gruppe dreht sich nicht nur um den Schutz von Kundendaten. Betroffene im Sinne der DSGVO können auch Beschäftigte sein, sodass die Vorschriften der DSGVO grundsätzlich für die Verarbeitung von personenbezogene Daten von Beschäftigten gelten. Dabei ermöglicht Art. 88 DSGVO den Mitgliedstaaten länderspezifische Sonderregelungen zu treffen, sodass lokale Abweichungen in den verschiedenen europäischen Ländern möglich sind. Der deutsche Gesetzgeber hat sich entschieden, von dieser Möglichkeit in § 26 BDSG Gebrauch zu machen

Im Rahmen eures Beschäftigungsverhältnisses bei der Loyalty Partner Gruppe werden die verschiedensten personenbezogenen Daten von Beschäftigten verarbeitet. Daher steht bei Loyalty Partner auch der Schutz der Beschäftigtendaten – und damit auch deiner Daten – im Vordergrund. Um dir einen Überblick darüber zu geben, welche deiner Daten verarbeitet werden, wie die Loyalty Partner Gruppe mit deinen Daten umgeht und welche Rechte Du hast, haben wir die Datenschutzhinweise für Mitarbeiter erstellt, welche du hier findest.

Bitte beachte: Auch Bewerber unterfallen den Regelungen des Beschäftigtendatenschutz. Mit ihren personenbezogenen Daten ist damit genauso sorgsam umzugehen, wie mit Beschäftigtendaten. Bevor Du also Lebensläufe ausdruckst, weiterleitest oder lokal abspeicherst, überlege bitte, ob dies wirklich notwendig ist und achte vor allem darauf, dass Ausdrucke in den Datenschutztonnen entsorgt werden und Lebensläufe und Bewerberdaten spätestens nach 6 Monaten auch elektronisch gelöscht werden müssen.

Die ePrivacy Verordnung ist ein von der Europäischen Union geplantes Update der Sonderregeln für den Schutz von Daten, die bei elektronischer Kommunikation anfallen. Die Verordnung regelt unter anderem das Lesen und Schreiben von Daten auf Geräten von Endnutzern (Computer, Smartphones, etc.) mittels Onlineschnittstelle. Dabei geht es vor allem um das Setzen und Auslesen von Cookies oder Local Storage Objekten. Dies soll bei Vorgängen, die für die Erbringung des Dienstes nicht unbedingt technisch erforderlich sind nur möglich sein, wenn der Nutzer ausdrücklich eingewilligt hat. Diese Einwilligung kennt Ihr vor allem in Form von Cookie-Bannern oder –Walls. Derzeit ist unklar, wann genau eine Einwilligung notwendig sein und wie diese eingeholt werden soll. Die Verordnung wird wahrscheinlich im Jahr 2020 verabschiedet werden.

Die Anforderungen, was im Falles eines Datenschutzverstoßes zu tun ist, definiert Art. 33 DSGVO:

„Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der gemäß Artikel 55 zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung (…) voraussichtlich nicht zu einem Risiko führt“.

Das Tatbestandsmerkmal „Verletzung des Schutzes personenbezogener Daten“ ist in Art. 4 DSGVO legal definiert: 

12. „Verletzung des Schutzes personenbezogener Daten“ eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden“.

Hierzu zählt etwa Folgendes:

• Datenzugriff durch eine Cyber- Attacke,
• Versenden eines Kontoauszuges an falschen Kunden,
• Hacken von Nutzernamen, Passwörter und Kaufhistorie eines Kunden  
• Versenden von Kundendaten an Mailingliste
• Werbe-E-Mail mit offenem Mailverteiler (cc statt bcc)