Datenschutzpflichten im Fashion-Bereich: von der Loyalty-App bis zur Umkleidekabinen-Technologie

# Datenschutzpflichten im Fashion-Bereich: von der Loyalty-App bis zur Umkleidekabinen-Technologie

Ein Bodyscanner in einem Flagship-Store im Stil von Levi's erfasst in vier Sekunden 200.000 Datenpunkte Ihres Oberkörpers, um eine Jeansgröße zu empfehlen. Dieser Scan ist nicht „nur eine Vermessung“. Nach mehreren Gesetzen handelt es sich um biometrische Daten, eine der am strengsten regulierten Datenkategorien überhaupt, und die Erhebung ohne die richtige Einwilligung kann einen Händler tausende Dollar pro Kunde kosten.

Diese Lektion zeigt, wie drei Regulierungsrahmen auf die Touchpoints treffen, die Fashion-Marken tatsächlich einsetzen: Loyalty-Apps, Größenbestimmung per Bodyscan und RFID-Clienteling. Am Ende wissen Sie, welche Einwilligung jeweils verlangt wird und was Sie vor dem Launch prüfen müssen.

Die drei Gesetze, die Sie wirklich kennen müssen

DSGVO (Europa)

Die Datenschutz-Grundverordnung (DSGVO) ist das EU-Gesetz für personenbezogene Daten von Personen in der EU, in Kraft seit 2018. Personenbezogene Daten sind alles, was eine Person identifiziert: Name, E-Mail, Kaufhistorie, sogar eine Geräte-ID.

Zwei Punkte sind für Fashion relevant:

• Rechtsgrundlage. Sie brauchen einen rechtlichen Grund für die Verarbeitung. Die häufigsten sind Einwilligung (der Kunde stimmt aktiv zu) und berechtigtes Interesse (Sie haben ein echtes geschäftliches Bedürfnis, das die Rechte des Kunden nicht überwiegt).
• Besondere Kategorien personenbezogener Daten. Eine strengere Stufe, zu der biometrische Daten zur Identifizierung einer Person gehören. Erforderlich ist eine ausdrückliche Einwilligung, eine höhere Hürde als die normale Einwilligung.

Bußgelder reichen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

CCPA / CPRA (Kalifornien)

Der California Consumer Privacy Act (CCPA), erweitert durch den seit 2023 geltenden California Privacy Rights Act (CPRA), gibt Einwohnern Kaliforniens Rechte auf Auskunft, Löschung und Widerspruch gegen den „Verkauf“ oder das „Teilen“ ihrer personenbezogenen Informationen. Die Durchsetzung liegt bei der California Privacy Protection Agency (CPPA) und beim Attorney General des Staates.

Wesentlicher Unterschied zur DSGVO: CCPA ist überwiegend Opt-out. Sie dürfen Daten erheben, müssen Kunden aber die Möglichkeit geben zu sagen: „Meine Daten nicht verkaufen oder teilen.“ Rund ein Dutzend weitere US-Bundesstaaten haben inzwischen ähnliche Gesetze (Virginia, Colorado, Texas und andere), ein US-Rollout ist also nie auf einen Staat begrenzt.

Biometriegesetze (die scharfe Kante)

Die strengsten Regeln in den USA sind die Biometriegesetze einzelner Bundesstaaten. Das wichtigste ist der Biometric Information Privacy Act (BIPA) aus Illinois von 2008.

BIPA ist das Gesetz, das Rechtsabteilungen im Fashion-Bereich nicht schlafen lässt. Es verlangt eine schriftliche Einwilligung vor der Erhebung biometrischer Identifikatoren (Gesichtsgeometrie, Fingerabdrücke und, wichtig für Sizing-Technologie, Bodyscans, die eine Person identifizieren). Es gewährt außerdem ein eigenes Klagerecht: Betroffene kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen direkt klagen, mit gesetzlichen Schadensersatzbeträgen, die üblicherweise mit 1.000 Dollar pro fahrlässigem und 5.000 Dollar pro vorsätzlichem Verstoß angegeben werden.

Texas und Washington haben ebenfalls Biometriegesetze, aber ohne eigenes Klagerecht, weshalb BIPA die meisten Verfahren antreibt.

Als verständliche Referenz ist der IAPP US State Privacy Legislation Tracker eine kostenlose, gut gepflegte Übersicht darüber, wer was hat.

Touchpoint 1: Die Loyalty-App

Eine Loyalty-App ist eine Datenmaschine. Sie erfasst E-Mail, Kaufhistorie, Standort und Verhaltensprofile (was Sie ansehen, wann, wie oft).

Was die DSGVO verlangt: Eine Rechtsgrundlage für jeden Verwendungszweck. Versand der Bestellbestätigung? Berechtigtes Interesse oder Vertrag. Versand von Marketing? Einwilligung über eine klare Opt-in-Checkbox, die nicht vorangekreuzt ist. Aufbau eines Profils, um den nächsten Kauf vorherzusagen? Das ist Profiling, und Kunden kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen widersprechen.

Was der CCPA verlangt: Wenn Sie App-Daten mit Werbepartnern (Meta, Google) teilen, um Kunden per RetargetingRetargetingAnzeigen an Nutzer ausspielen, die Ihre Website bereits besucht oder mit Ihrer Marke interagiert haben, um sie zurückzuholen und die Conversion zu steigern.Vollständige Definition ansehen → anzusprechen, gilt das als „Sharing“. Sie müssen einen sichtbaren Link „Do Not Sell or Share My Personal Information“ anbieten.

Die konkrete Prüfung

Erstellen Sie ein Datenverzeichnis (eine dokumentierte Übersicht darüber, was Sie erheben, warum, wo es liegt und an wen Sie es senden). Die meisten Rechtsverstöße im Loyalty-Bereich beruhen nicht auf böser Absicht. Es ist ein Marketing-Team, das stillschweigend Daten an einen fünften Werbeanbieter weiterleitet, den niemand dokumentiert hat.

Eine minimale Zeile im Verzeichnis sieht so aus:

field: email_address
source: loyalty signup form
purpose: order confirmation + marketing
lawful_basis: consent (marketing), contract (transactional)
shared_with: [Klaviyo, Meta CAPI]
ccpa_category: "shared"
retention: 24 months after last purchase

Wenn ein Anbieter aus shared_with in Ihrer Datenschutzerklärung fehlt, haben Sie eine Lücke.

Touchpoint 2: Größenbestimmung per Bodyscan

Hier kollidiert Fashion-Technologie am härtesten mit dem Recht. Virtuelles Anprobieren, 3D-Bodyscans und Fit-Empfehlungstools (Unternehmen wie Zeekit, übernommen von Walmart, oder 3DLOOK sind in diesem Feld aktiv) kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen KKDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →örpergeometrie erfassen.

Die entscheidende Frage: Identifiziert der Scan die einzelne Person?

• Wenn das System einen Scan speichert, der mit Ihrem Konto verknüpft ist und Sie wiedererkennen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnte, sind es sehr wahrscheinlich biometrische Daten. Die DSGVO verlangt ausdrückliche Einwilligung. BIPA verlangt schriftliche Einwilligung und einen veröffentlichten Aufbewahrungs- und Löschplan.
• Wenn das Tool Sie vermisst, eine Größe zurückgibt und den Rohscan unmittelbar verwirft (Verarbeitung auf dem Gerät, gespeichert wird nur „Bundweite 32“), sinkt das biometrische Risiko deutlich.

Diese Designentscheidung, speichern oder verwerfen, ist die größte Datenschutzentscheidung in der Umkleidekabinen-Technologie.

Die konkrete Prüfung

Stellen Sie dem Anbieter vor dem Launch der Bodyscan-Größenbestimmung drei Fragen schriftlich:

1. Wird der Rohscan gespeichert, und wenn ja, wo und wie lange?

2. Kann ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → einen wiederkehrenden Kunden anhand der KKDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →örpergeometrie erneut identifizieren?

3. Erfolgt die Verarbeitung auf dem Gerät oder in der Cloud?

Lautet die Antwort auf Frage 2 ja, behandeln Sie es als biometrisch und bauen Sie den Flow für die ausdrückliche Einwilligung. Verlassen Sie sich nicht auf eine versteckte Zeile in den AGB.

Touchpoint 3: RFID-Clienteling

RFID-Tags (Radio Frequency Identification) sind Chips, die in Kleidungsstücke eingearbeitet und drahtlos gelesen werden. Händler wie Inditex, der Mutterkonzern von Zara, setzen RFID breit für die Bestandsführung ein.

RFID für den Bestand ist risikoarm: getrackt werden Kleidungsstücke, nicht Menschen. Die Datenschutzgrenze wird beim Clienteling überschritten, wenn das Tablet einer Verkäuferin die Identität eines VIP-Kunden damit verknüpft, was ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → in die Hand genommen, anprobiert und wo ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → länger verweilt hat.

Was das Recht sagt: Sobald Sie RFID-Lesevorgänge mit einem namentlich bekannten Kunden verbinden, werden sie zu personenbezogenen Daten. Die DSGVO verlangt eine Rechtsgrundlage und Transparenz (der Kunde sollte wissen, dass der Store ihn profiliert). Der CCPA gibt ihm das Recht, diese Daten zu sehen und zu löschen.

Die konkrete Prüfung

Prüfen Sie, ob RFID und CRMCRMCustomer Relationship Management: Software und Strategie, um Kundeninteraktionen über den gesamten Lifecycle zu steuern und zu analysieren.Vollständige Definition ansehen → (Customer Relationship ManagementCustomer Relationship ManagementCustomer Relationship Management: Software und Strategie, um Kundeninteraktionen über den gesamten Lifecycle zu steuern und zu analysieren.Vollständige Definition ansehen →, Ihre Kundendatenbank) verknüpft sind. Wenn ein Clienteling-Dashboard anzeigt „Sofia hat 4 Kleider anprobiert, 1 gekauft“, existiert diese Verknüpfung und löst die vollen Pflichten für personenbezogene Daten aus. Stellen Sie sicher, dass Kunden informiert wurden, idealerweise bei der Loyalty-Anmeldung, dass Verhalten im Store aufgezeichnet werden kann.

Die Governance-Ebene aufbauen

Einzelne Prüfungen reichen nicht. Sie brauchen wiederholbare Governance.

DSFA: die Risikovorprüfung

Eine Datenschutz-Folgenabschätzung (DSFA) ist eine strukturierte Prüfung, die Sie vor dem Start einer risikoreichen Verarbeitung durchführen. Die DSGVO verlangt sie für großflächiges biometrisches oder verhaltensbezogenes Tracking. Bodyscan-Größenbestimmung und RFID-Clienteling fallen beide darunter.

Eine DSFA beantwortet: welche Daten, welches Risiko, welche Schutzmaßnahmen, ist es verhältnismäßig? Dokumentieren Sie sie. Wenn eine Aufsichtsbehörde fragt, warum Sie einen Bodyscanner eingeführt haben, ist die DSFA Ihre Verteidigung.

Verträge mit Anbietern

Der größte Teil des Datenrisikos im Fashion-Bereich liegt bei Anbietern: dem Fit-Tech-Startup, der Loyalty-Plattform, dem Werbenetzwerk. Nach DSGVO sind das Auftragsverarbeiter, und Sie (die Marke) sind der Verantwortliche und bleiben rechtlich für deren Verhalten haftbar. Sie brauchen mit jedem einen Auftragsverarbeitungsvertrag (AVV), der Sicherheit, Aufbewahrung und Löschung regelt.

Der Audit-Rhythmus

Eine praxistaugliche jährliche Checkliste:

• Datenverzeichnis aktualisieren. Neue Anbieter seit letztem Jahr?
• Eine Löschanfrage komplett durchtesten. Wird der biometrische Scan tatsächlich gelöscht?
• Prüfen, ob jedes Ad-Tech-Pixel einem offengelegten „Sharing“-Partner entspricht.
• Bestätigen, dass für jede neue Umkleidekabinen- oder Clienteling-Technologie eine DSFA vorliegt.

Ein durchgerechnetes Beispiel

Eine US-Marke führt Bodyscanner in 50 Stores in Illinois ein. Sie speichert identifizierende Scans ohne schriftliche Einwilligung. Angenommen, 20.000 Kunden lassen sich im ersten Jahr scannen.

Nach BIPA werden fahrlässige Verstöße üblicherweise mit 1.000 Dollar je Fall angesetzt (eine illustrative Zahl aus dem Gesetz, keine Prognose für einen Vergleich):

20.000 x 1.000 = 20.000.000 Dollar theoretisches Risiko.

Die Lösung kostet fast nichts: ein Bildschirm zur schriftlichen Einwilligung und eine automatische Löschung nach 30 Tagen. Governance ist günstig. Prozesse sind es nicht.

Wichtigste Erkenntnisse

• Ordnen Sie jeden Touchpoint dem passenden Gesetz zu. Loyalty-Apps lösen Einwilligungs- und Opt-out-Regeln aus; Bodyscans und Clienteling kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen Biometriegesetze auslösen, die strengste Stufe.
• Die Designentscheidung speichern oder verwerfen bei Bodyscans ist der größte einzelne Datenschutzhebel in der Fashion-Technologie. Verwerfen Sie Rohscans, wo es möglich ist.
• Der Schadensersatz pro Person nach BIPA (üblicherweise mit 1.000 bis 5.000 Dollar angegeben) macht Illinois zur Jurisdiktion mit dem höchsten Risiko für Umkleidekabinen-Technologie; holen Sie eine schriftliche Einwilligung ein, bevor Sie einen identifizierenden Scan machen.
• Sie bleiben für Anbieter haftbar. Schließen Sie AVV ab und halten Sie ein aktuelles Datenverzeichnis; die meisten Verstöße sind unauffällige Datenabflüsse an nicht dokumentierte Werbepartner.
• Führen Sie vor dem Launch eine DSFA durch für jedes biometrische oder verhaltensbezogene Tracking und prüfen Sie Löschungen und Werbepixel jährlich.