Die Datenschutzpflichten der Fashion-Branche: von der Loyalty-App bis zur Fitting-Room-Technologie

Ein Bodyscanner in einem Flagship-Store nach Levi's-Vorbild erfasst in vier Sekunden 200.000 Datenpunkte Ihres Oberkörpers, um eine Jeansgröße zu empfehlen. Dieser Scan ist nicht „nur eine MaMaEinsatz von Software, um wiederkehrende Marketingaufgaben und Kampagnen zu automatisieren und Personalisierung in großem Maßstab über Kanäle wie E-Mail, Web und Social zu ermöglichen.Vollständige Definition ansehen →ßangabe“. Nach mehreren Gesetzen handelt es sich um biometrische Daten, eine der am strengsten regulierten Datenkategorien überhaupt, und die Erhebung ohne die richtige Einwilligung kann einen Retailer pro Kunde tausende Dollar kosten.

Diese Lektion zeigt, wie drei Regulierungsrahmen auf die Touchpoints wirken, die Fashion-Marken tatsächlich einsetzen: Loyalty-Apps, Bodyscan-Sizing und RFID-Clienteling. Am Ende wissen Sie, welche Einwilligung jeder einzelne verlangt und was Sie vor dem Launch prüfen müssen.

Die drei Gesetze, die Sie wirklich kennen müssen

DSGVODSGVOEU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.Vollständige Definition ansehen → (Europa)

Die Datenschutz-Grundverordnung (DSGVO) ist das EU-Recht für personenbezogene Daten von Personen in der EU, in Kraft seit 2018. Personenbezogene Daten sind alles, was eine Person identifiziert: Name, E-Mail, Kaufhistorie, sogar eine Device-ID.

Zwei Punkte sind für Fashion relevant:

• Rechtsgrundlage. Sie brauchen einen rechtlichen Grund für die Verarbeitung. Die gängigen sind Einwilligung (der Kunde stimmt aktiv zu) und berechtigtes Interesse (Sie haben ein echtes geschäftliches Bedürfnis, das die Rechte des Kunden nicht überwiegt).
• Besondere Kategorien personenbezogener Daten. Eine strengere Stufe, zu der biometrische Daten zur Identifizierung einer Person gehören. Sie erfordern eine ausdrückliche Einwilligung, eine höhere Hürde als die gewöhnliche Einwilligung.

Bußgelder reichen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist.

CCPA / CPRA (Kalifornien)

Der California Consumer Privacy Act (CCPA), erweitert durch den seit 2023 geltenden California Privacy Rights Act (CPRA), gibt Einwohnern Kaliforniens Rechte auf Auskunft, Löschung und Opt-out beim „Verkauf“ oder „Teilen“ ihrer personenbezogenen Daten. Die Durchsetzung liegt bei der California Privacy Protection Agency (CPPA) und beim Attorney General des Staates.

Zentraler Unterschied zur DSGVO: CCPA ist überwiegend Opt-out. Sie dürfen Daten erheben, müssen Kunden aber die Möglichkeit geben zu sagen: „Verkaufen oder teilen Sie meine Daten nicht.“ Rund ein Dutzend weitere US-Bundesstaaten haben inzwischen ähnliche Gesetze (Virginia, Colorado, Texas und andere), ein US-Rollout betrifft also nie nur einen Staat.

Biometriegesetze (die scharfe Kante)

Die strengsten Regeln in den USA sind die Biometriegesetze einzelner Bundesstaaten. Das wichtigste ist der Biometric Information Privacy Act (BIPA) aus Illinois von 2008.

BIPA ist das Gesetz, das Rechtsabteilungen in der Fashion-Branche wachhält. Es verlangt eine schriftliche Einwilligung vor der Erhebung biometrischer Identifikatoren (Gesichtsgeometrie, Fingerabdrücke und, für Sizing-Technologie besonders relevant, Bodyscans, die eine Person identifizieren). Es gewährt außerdem ein privates Klagerecht: Betroffene kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen direkt klagen, wobei die gesetzlichen Schadensersatzbeträge üblicherweise mit 1.000 Dollar pro fahrlässigem und 5.000 Dollar pro vorsätzlichem Verstoß angegeben werden.

Auch Texas und Washington haben Biometriegesetze, ihnen fehlt aber das private Klagerecht, weshalb BIPA die meisten Verfahren treibt.

Als verständliche Referenz ist der IAPP US State Privacy Legislation Tracker eine kostenlose, gut gepflegte Übersicht, wer was hat.

Touchpoint 1: Die Loyalty-App

Eine Loyalty-App ist eine Datenmaschine. Sie erfasst E-Mail, Kaufhistorie, Standort und Verhaltensprofile (was Sie ansehen, wann, wie oft).

Was die DSGVO verlangt: Eine Rechtsgrundlage für jeden Verwendungszweck. Versand der Bestellbestätigung? Berechtigtes Interesse oder Vertrag. Versand von Marketing? Einwilligung über eine klare Opt-in-Checkbox, die nicht vorausgewählt ist. Aufbau eines Profils zur Vorhersage des nächsten Kaufs? Das ist Profiling, und Kunden können widersprechen.

Was der CCPA verlangt: Wenn Sie App-Daten mit Werbepartnern (Meta, Google) teilen, um Kunden per RetargetingRetargetingAnzeigen an Nutzer ausspielen, die Ihre Website bereits besucht oder mit Ihrer Marke interagiert haben, um sie zurückzuholen und die Conversion zu steigern.Vollständige Definition ansehen → anzusprechen, gilt das als „Teilen“. Sie müssen einen sichtbaren Link „Do Not Sell or Share My Personal Information“ anbieten.

Die konkrete Prüfung

Erstellen Sie ein Dateninventar (eine dokumentierte Übersicht, was Sie erheben, warum, wo es liegt und an wen Sie es senden). Die meisten Rechtsverstöße im Loyalty-Bereich entstehen nicht aus böser Absicht. Sie entstehen, weil ein Marketing-Team Daten still an einen fünften Werbedienstleister weiterleitet, den niemand erfasst hat.

Eine minimale Inventarzeile sieht so aus:

field: email_address
source: loyalty signup form
purpose: order confirmation + marketing
lawful_basis: consent (marketing), contract (transactional)
shared_with: [Klaviyo, Meta CAPI]
ccpa_category: "shared"
retention: 24 months after last purchase

Wenn ein Dienstleister aus shared_with in Ihrer Datenschutzerklärung fehlt, haben Sie eine Lücke.

Touchpoint 2: Bodyscan-Sizing

Hier kollidiert Fashion-Technologie am härtesten mit dem Recht. Virtual Try-on, 3D-Bodyscans und Fit-Empfehlungstools (Unternehmen wie Zeekit, von Walmart übernommen, oder 3DLOOK sind in diesem Feld aktiv) können Körpergeometrie erfassen.

Die entscheidende Frage: Identifiziert der Scan die Person?

• Wenn das System einen Scan speichert, der mit Ihrem Konto verknüpft ist und Sie wiedererkennen könnte, sind es sehr wahrscheinlich biometrische Daten. Die DSGVO verlangt eine ausdrückliche Einwilligung. BIPA verlangt eine schriftliche Einwilligung und einen veröffentlichten Aufbewahrungs- und Löschplan.
• Wenn das Tool Sie vermisst, eine Größe zurückgibt und den Rohscan sofort verwirft (Verarbeitung on-device, gespeichert wird nur „Größe 32 Taille“), sinkt das biometrische Risiko deutlich.

Diese Design-Entscheidung, behalten oder verwerfen, ist die größte einzelne Datenschutzentscheidung in der Fitting-Room-Technologie.

Die konkrete Prüfung

Stellen Sie dem Anbieter vor dem Launch von Bodyscan-Sizing drei Fragen schriftlich:

1. Wird der Rohscan gespeichert, und wenn ja, wo und wie lange?
2. Kann ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → einen wiederkehrenden Kunden anhand der Körpergeometrie erneut identifizieren?
3. Findet die Verarbeitung on-device oder in der Cloud statt?

Lautet die Antwort auf Frage 2 ja, behandeln Sie es als biometrisch und bauen Sie den Flow für die ausdrückliche Einwilligung. Verlassen Sie sich nicht auf eine versteckte Zeile in den AGB.

Touchpoint 3: RFID-Clienteling

RFID-Tags (Radio Frequency Identification) sind in Kleidungsstücke eingearbeitete Chips, die kabellos gelesen werden. Retailer wie Inditex, der Mutterkonzern von Zara, setzen RFID breit für die Bestandsführung ein.

RFID zur Bestandsführung ist risikoarm: verfolgt werden Kleidungsstücke, nicht Menschen. Die Datenschutzgrenze wird beim Clienteling überschritten, wenn das Tablet eines Store-Mitarbeiters die Identität eines VIP-Kunden damit verknüpft, was er in die Hand genommen, anprobiert und wo er verweilt hat.

Was das Recht sagt: Sobald Sie RFID-Lesevorgänge mit einem namentlich bekannten Kunden verbinden, werden es personenbezogene Daten. Die DSGVO verlangt eine Rechtsgrundlage und Transparenz (der Kunde sollte wissen, dass der Store ihn profiliert). Der CCPA gibt ihm das Recht, sie einzusehen und zu löschen.

Die konkrete Prüfung

Prüfen Sie, ob RFID und CRMCRMCustomer Relationship Management: Software und Strategie, um Kundeninteraktionen über den gesamten Lifecycle zu steuern und zu analysieren.Vollständige Definition ansehen → (Customer Relationship Management, Ihre Kundendatenbank) zusammengeführt sind. Wenn ein Clienteling-Dashboard anzeigt „Sofia hat 4 Kleider anprobiert, 1 gekauft“, existiert diese Verknüpfung und löst die vollen Pflichten für personenbezogene Daten aus. Stellen Sie sicher, dass Kunden informiert wurden, idealerweise bei der Loyalty-Anmeldung, dass Verhalten im Store erfasst werden kann.

Die Governance-Ebene aufbauen

Einzelne Prüfungen genügen nicht. Sie brauchen wiederholbare Governance.

DSFA: die Risiko-Vorprüfung

Eine Datenschutz-Folgenabschätzung (DSFA) ist eine strukturierte Prüfung, die Sie vor dem Launch risikoreicher Verarbeitungen durchführen. Die DSGVO verlangt sie bei großflächigem biometrischem oder verhaltensbezogenem Tracking. Bodyscan-Sizing und RFID-Clienteling erfüllen beide dieses Kriterium.

Eine DSFA beantwortet: welche Daten, welches Risiko, welche Schutzmaßnahmen, ist es verhältnismäßig? Dokumentieren Sie sie. Fragt eine Aufsichtsbehörde, warum Sie einen Bodyscanner eingeführt haben, ist die DSFA Ihre Verteidigung.

Verträge mit Dienstleistern

Das meiste Datenrisiko in der Fashion-Branche liegt bei Dienstleistern: dem Fit-Tech-Startup, der Loyalty-Plattform, dem Werbenetzwerk. Nach DSGVO sind das Auftragsverarbeiter, und Sie (die Marke) sind der Verantwortliche und bleiben rechtlich für ihr Verhalten haftbar. Sie brauchen mit jedem einen Auftragsverarbeitungsvertrag (AVV), der Sicherheit, Aufbewahrung und Löschung festlegt.

Der Audit-Rhythmus

Eine praktikable jährliche Checkliste:

• Dateninventar aktualisieren. Neue Dienstleister seit dem Vorjahr?
• Eine Löschanfrage komplett durchtesten. Wird der biometrische Scan tatsächlich vernichtet?
• Prüfen, ob jedes Ad-Tech-Pixel einem offengelegten „Sharing“-Partner entspricht.
• Verifizieren, dass für jede neue Fitting-Room- oder Clienteling-Technologie DSFAs vorliegen.

Ein Rechenbeispiel

Eine US-Marke führt Bodyscanner in 50 Stores in Illinois ein. Sie speichert identifizierende Scans ohne schriftliche Einwilligung. Angenommen, 20.000 Kunden scannen im ersten Jahr.

Nach BIPA werden fahrlässige Verstöße üblicherweise mit 1.000 Dollar je Fall angegeben (ein illustrativer Wert aus dem Gesetz, keine Prognose eines Vergleichs):

20.000 x 1.000 = 20.000.000 Dollar theoretisches Risiko.

Die Behebung kostet fast nichts: ein Screen für die schriftliche Einwilligung und eine automatische Löschung nach 30 Tagen. Governance ist günstig. Prozesse sind es nicht.

Key Takeaways

• Ordnen Sie den Touchpoint dem Gesetz zu. Loyalty-Apps lösen Einwilligungs- und Opt-out-Regeln aus; Bodyscans und Clienteling können Biometrierecht auslösen, die strengste Stufe.
• Die Design-Entscheidung behalten oder verwerfen bei Bodyscans ist der größte einzelne Datenschutzhebel in der Fashion-Technologie. Verwerfen Sie Rohscans, wo es möglich ist.
• BIPAs Schadensersatz pro Person (üblicherweise mit 1.000 bis 5.000 Dollar angegeben) macht Illinois zur Jurisdiktion mit dem höchsten Risiko für Fitting-Room-Technologie; holen Sie vor jedem identifizierenden Scan eine schriftliche Einwilligung ein.
• Sie bleiben für Dienstleister haftbar. Schließen Sie AVVs und pflegen Sie ein aktuelles Dateninventar; die meisten Verstöße sind stille Datenabflüsse an nicht erfasste Werbepartner.
• Führen Sie vor dem Launch eine DSFA durch für jedes biometrische oder verhaltensbezogene Tracking, und prüfen Sie Löschprozesse und Ad-Pixel jährlich.