Daten, Datenschutz und die Ökonomie der Kundenkarte

# Daten, Datenschutz und die Ökonomie der Kundenkarte

Eine Kundin scannt an der Kasse ihre Loyalty-App, bekommt 15 % Rabatt auf Windeln, und drei Tage später zeigt ihr Handy Werbung für Babynahrung einer Marke, die sie noch nie gekauft hat. Sie hat niemandem erzählt, dass sie schwanger ist. Die App hat es aus dem Warenkorb abgeleitet. Das ist kein Gedankenexperiment: Targets Scoring-Modell zur Schwangerschaftsvorhersage, vor über einem Jahrzehnt öffentlich bekannt geworden, ist bis heute der Lehrbuchfall, den Aufsichtsbehörden zitieren, wenn sie erklären, warum „nur Personalisierung“ in unrechtmäßiges Profiling kippen kann.

Loyalty-Programme sind die größte legale Datensammelmaschine des Handels. Sie stehen zugleich im Zentrum der folgenreichsten Datenschutzregeln, mit denen Händler zu tun haben. Diese Lektion kartiert diese Regeln und zeigt, wie konforme Personalisierung in der Praxis aussieht.

Warum Loyalty-Daten rechtlich sensibel sind

Eine Kundenkarte verknüpft einen Namen, eine Telefonnummer oder E-Mail-Adresse mit jedem Einkauf eines Kunden. Über die Zeit entsteht daraus ein detailliertes Verhaltensprofil: Gesundheitszustände, abgeleitet aus Apotheken- oder Lebensmittelkäufen, finanzieller Druck, abgeleitet aus rabattgetriebenen Kaufmustern, sogar sexuelle Orientierung oder Religion, abgeleitet aus Produktkategorien.

Aufsichtsbehörden behandeln das als personenbezogene Daten (alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen) und, wenn die Ableitungen Gesundheit, Religion, Sexualität oder ähnliche Kategorien berühren, als besondere Kategorien personenbezogener Daten, die nach EU-Recht strenger geschützt sind.

Der Kernkonflikt: Die Ökonomie von Loyalty-Programmen lebt von granularem Tracking und gezielten Angeboten. Das Datenschutzrecht verlangt Datenminimierung, Transparenz und häufig eine Opt-in-Einwilligung, bevor dieses Tracking überhaupt beginnt.

Die zentralen Gesetze, die jeder im Handel kennen muss

DSGVO (Datenschutz-Grundverordnung), EU, in Kraft seit 2018

Durchgesetzt von nationalen Datenschutzbehörden (DPAs), etwa der französischen CNIL oder der irischen DPC, koordiniert durch den Europäischen Datenschutzausschuss (EDPB). Die DSGVO gilt für jeden Händler, der Daten von EU-Bürgern verarbeitet, unabhängig vom Sitz des Händlers.

Kernanforderungen für Loyalty-Programme:

• Rechtsgrundlage für die Verarbeitung (Einwilligung, Vertrag oder „berechtigtes Interesse“) muss vor der Datenerhebung festgelegt sein.
• Zweckbindung: Daten, die für die Punkteverwaltung erhoben wurden, dürfen nicht stillschweigend für Ad-Targeting weiterverwendet werden, ohne gültige Grundlage.
• Betroffenenrechte: Kunden kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen Auskunft, Korrektur, Löschung („Recht auf Vergessenwerden“) und Datenübertragbarkeit verlangen.
• Artikel 22: Personen haben das Recht, keiner Entscheidung unterworfen zu werden, die „ausschließlich auf einer automatisierten Verarbeitung beruht“, einschließlich Profiling, sofern sie rechtliche oder ähnlich erhebliche Wirkung hat. Wer jemandem einen kreditähnlichen Vorteil (z. B. eine kreditgekoppelte Loyalty-Stufe) rein algorithmisch verweigert, kann das auslösen.

Bußgelder kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen 4 % des weltweiten Jahresumsatzes oder 20 Mio. € erreichen, je nachdem, was höher ist. Quelle: EDPB-Leitlinien.

ePrivacy-Richtlinie und die EU-Regeln zur Cookie-Einwilligung

Getrennt von der DSGVO regelt die ePrivacy-Richtlinie (manchmal „Cookie-Gesetz“ genannt) Tracking-Technologien: Cookies, Pixel, Device-Fingerprinting. Sie verlangt eine vorherige Opt-in-Einwilligung, bevor nicht notwendige Cookies gesetzt werden, einschließlich Tracking-Cookies, die Personalisierungs-Engines von Loyalty-Programmen füttern.

Deshalb zeigen EU-Handelsseiten Cookie-Banner mit granularen Schaltern statt eines einzigen „Akzeptieren“-Buttons. Ein Banner, das nur „Alle akzeptieren“ anbietet, ohne ein genauso einfaches „Alle ablehnen“, gilt bei den meisten Datenschutzbehörden als nicht konform.

CCPA/CPRA (California Consumer Privacy Act, geändert durch den California Privacy Rights Act), USA

Durchgesetzt von der California Privacy Protection Agency (CPPA). Der CCPA gibt Einwohnern Kaliforniens das Recht zu erfahren, welche Daten erhoben werden, sie löschen zu lassen und, entscheidend, dem Verkauf oder „Teilen“ personenbezogener Daten für kontextübergreifende verhaltensbasierte Werbung zu widersprechen.

„Verkauf“ ist weit definiert: Loyalty-Daten mit einem Ad-Tech-Partner gegen einen Gegenwert zu teilen (selbst nicht-monetären Wert wie bessere Werbeleistung) kann darunterfallen. Händler müssen einen klaren Link „Do Not Sell or Share My Personal Information“ bereitstellen. Der CPRA hat zusätzlich eine Kategorie sensitive personal information geschaffen (präzise Geolokalisierung, Gesundheitsdaten, rassische/ethnische Herkunft) mit zusätzlichen Beschränkungsrechten.

Andere US-Bundesstaaten (Virginia, Colorado, Connecticut, Utah und eine mit Stand 2026 wachsende Liste) haben ähnliche umfassende Datenschutzgesetze, was einen Flickenteppich erzeugt, den Händler Staat für Staat navigieren müssen, da die USA kein einheitliches Bundesdatenschutzgesetz nach dem Muster der DSGVO haben.

FTC Act Section 5, USA

Die Federal Trade Commission (FTC) verfolgt landesweit „unfaire oder täuschende Handlungen und Praktiken“. Sie ist wiederholt gegen Händler vorgegangen, deren Praxis nicht zur Datenschutzerklärung passte: zu sagen, Daten würden nicht geteilt, und sie dann zu teilen; oder Dark Patterns zu nutzen, um Opt-out-Optionen zu verschleiern. FTC-Vergleiche haben Unternehmen auch verpflichtet, Daten und Algorithmen zu löschen, die mit unrechtmäßig erhobenen Daten trainiert wurden („algorithmic disgorgement“).

Sektorspezifische Überlagerungen

• HIPAA (Health Insurance Portability and Accountability Act) gilt selten direkt für Händler, ist aber relevant für Apotheken-Loyalty-Daten oder gesundheitsnahe Ableitungen.
• CAN-SPAM und TCPA (Telephone Consumer Protection Act) regeln die Marketing-E-Mails und SMS, die Loyalty-Programme so gern verschicken; SMS-Massenversand ohne Einwilligung ist in den USA ein häufiges Durchsetzungsziel und eine Quelle von Sammelklagen.

Was Profiling-Beschränkungen in der Praxis bedeuten

Profiling selbst ist nicht verboten. Beschränkt ist:

1. Ausschließlich automatisierte Entscheidungen mit hoher Wirkung ohne menschliche Prüfung oder Möglichkeit zum Widerspruch (DSGVO Artikel 22).

2. Die Nutzung sensibler Ableitungen (Schwangerschaft, Gesundheit, finanzielle Notlage) für Targeting ohne gültige Rechtsgrundlage und, in der EU, oft ohne ausdrückliche Einwilligung.

3. Die Zusammenführung von Datensätzen (Loyalty-Kaufhistorie + Ad-Tech-Daten Dritter + Standortdaten), um Profile zu bauen, die detaillierter sind als das, was der Kunde bei der Anmeldung vernünftigerweise erwartet hat.

Ein konkretes Compliance-Beispiel: Eine Supermarktkette, die auf Basis von Zuckerkaufmustern personalisierte diabetesgeeignete Rezeptangebote verschicken will, brbrThe percentage of visitors who leave after viewing only one page, often a signal of poor relevance, mismatched intent, or weak user experience.Vollständige Definition ansehen →äuchte unter der DSGVO wahrscheinlich eine ausdrückliche Einwilligung, weil eine Gesundheitsableitung berührt wird, zusätzlich ein klares Opt-out und eine Dokumentation, warum das nicht „ausschließlich automatisiert“ ist, sofern eine automatisch ausgelöste Entscheidung Preis oder Anspruch beeinflusst.

Wie konforme Personalisierung aussieht

Händler, die das richtig machen, teilen einige gemeinsame Praktiken:

• Gestufte Einwilligung bei der Anmeldung: getrennte Schalter für „Punkte und Prämien“, „personalisierte Angebote“ und „Weitergabe an Werbepartner“ statt einer gebündelten Checkbox.
• Datenminimierung: Erhebung von Daten auf SKU-Kategorieebene („Babyprodukte“) statt auf Artikelebene, wenn die Kategorieebene für das Angebot ausreicht.
• Pseudonymisierung: Personalisierungsmodelle laufen auf gehashten Kunden-IDs statt auf Klarnamen, was das Risiko bei einem Datenleck senkt.
• Klare, geschichtete Datenschutzhinweise: eine kurze Zusammenfassung vorweg, der vollständige Rechtstext per Klick, im Einklang mit den Empfehlungen des britischen Information Commissioner's Office.
• Schwellenwerte mit menschlicher Prüfung: jede algorithmisch erzeugte Vorteilsverweigerung (Herabstufung der Loyalty-Stufe, Betrugsflag) geht vor der endgültigen MaMaUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Vollständige Definition ansehen →ßnahme an einen Menschen, was der Logik von Artikel 22 auch außerhalb der EU als Best Practice entspricht.
• Regelmäßige Datenschutz-Folgenabschätzungen (DSFA): eine formale, von der DSGVO vorgeschriebene Prüfung vor dem Start risikoreicher Verarbeitungen, etwa eines neuen KI-gestützten Features zur Warenkorbvorhersage.

Eine vereinfachte Einwilligungsprüfung, wie sie ein Engineering-Team im Handel vor dem Auslösen eines personalisierten Angebots implementieren kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnte:

if user.marketing_consent == True and user.region in EU_countries:
    if offer.uses_sensitive_inference:
        require(user.explicit_consent_sensitive == True)
    send_offer(user, offer)
elif user.region == "California" and user.opted_out_of_sale == True:
    exclude_from_third_party_sharing(user)
    send_offer(user, offer)  # First-Party-Personalisierung weiterhin erlaubt
else:
    send_offer(user, offer)

Das zeigt den praktischen Punkt: Ein Opt-out gegen *Verkauf/Teilen* ist kein Opt-out gegen *jede* Personalisierung. First-Party-Angebote auf der eigenen Plattform, gebaut aus den eigenen Daten des Händlers, bleiben in der Regel rechtmäßig, auch nachdem ein Kunde die Weitergabe an Dritte eingeschränkt hat.

Wichtigste Erkenntnisse

• Loyalty-Programme erzeugen reichhaltige personenbezogene Daten, die Aufsichtsbehörden ernst nehmen; Ableitungen zu Gesundheit, Finanzen oder Identität kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen unter der DSGVO den Schutz besonderer Kategorien auslösen, selbst wenn der Händler diese Informationen nie ausdrücklich erfragt hat.
• DSGVO (EU) und CCPA/CPRA (Kalifornien) sind die zwei zentralen Regime, die man kennen muss; die DSGVO verlangt Opt-in-Einwilligung und Zweckbindung, CCPA/CPRA stellt Opt-out-Rechte gegen den „Verkauf oder das Teilen“ von Daten in den Mittelpunkt.
• Die ePrivacy-Richtlinie regelt Cookies und Tracking-Pixel getrennt von der DSGVO: Cookie-Banner brauchen ein echtes, genauso einfaches Opt-out, nicht nur „Alle akzeptieren“.
• Artikel 22 DSGVO beschränkt ausschließlich automatisierte Entscheidungen mit erheblicher Wirkung; die praktische Lösung ist, bei algorithmischen MaMaUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Vollständige Definition ansehen →ßnahmen mit hoher Wirkung einen Menschen einzubeziehen.
• Konforme Personalisierung ist machbar: gestufte Einwilligung, Datenminimierung, Pseudonymisierung und DSFA erlauben Händlern gezielte Angebote, während Opt-outs und Grenzen für sensible Daten respektiert werden.