Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter EDÖB
Feldeggweg 1, 3003 Bern Tel. 058 463 74 84, Fax 058 465 99 96 www.edoeb.admin.ch
Schlussbericht
vom 11. April 2024
des
Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB)
betreffend die Bearbeitung von Personendaten von Ricardo-Nutzerinnen und -Nutzern durch Ricardo AG und TX Group AG (alt: Tamedia AG)
gemäss Artikel 29 des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz (DSG; SR 235.1)
basiert auf der Sachverhaltsfeststellung vom 28. Februar 2020 mit Ergänzungen und Korrekturen vom 12. Mai und 26. September 2023
2/52
Inhaltsverzeichnis
Einführung ........................................................................................................................................ 4 1.1 Ausgangslage ...................................................................................................................... 4 1.2 Entwicklungen im Sachverhalt seit Eröffnung der Sachverhaltsabklärung ......................... 4 1.3 Chronologie ......................................................................................................................... 6 1.4 Gesetzliche Grundlage ........................................................................................................ 7 1.5 Umfang der Sachverhaltsabklärung .................................................................................... 8 2. Feststellungen .................................................................................................................................. 9 2.1 Plattformen von Ricardo und Bedingungen zu deren Nutzung ........................................... 9 2.2 Änderung der Datenschutzerklärung von Ricardo .............................................................. 9 2.3 Umfang und Zweck der Bearbeitung personenbezogener Daten ..................................... 10 2.3.1 Daten, die beim Besuch der Portale erfasst werden ......................................................... 10 2.3.2 Daten, die bei der Registrierung eines Benutzerkontos erfasst werden ........................... 11 2.3.3 Daten, die bei der Nutzung als registrierter Nutzer erfasst werden .................................. 11 2.3.4 Informationen zu Einkäufen und Vertragsschlüssen ......................................................... 12 2.3.5 Daten aus der Teilnahme an Gewinnspielen und Wettbewerben ..................................... 12 2.3.6 Nutzerumfragen und Marktforschung ................................................................................ 13 2.3.7 Standortinformationen ....................................................................................................... 13 2.4 Datenbearbeitungen .......................................................................................................... 14 2.4.1 Mitteilung über die «Datenweitergabe» und deren Zwecke .............................................. 14 2.4.2 Datenbearbeitungen gemäss Datenschutzerklärung vom 9. Juli 2015 ............................. 14 2.4.3 Datenbearbeitungen gemäss Datenschutzerklärung vom 11. Februar 2020 ................... 15 2.4.4 Aktuelle Nutzung und Weitergabe gemäss Ausführungen von Ricardo ........................... 17 2.4.4.1 Zentrale IT-Dienstleistungen der Tamedia AG (neu: TX Group AG) ............................ 17 2.4.4.2 Verknüpfung der Ausgabedaten/Segmente innerhalb der Tamedia (TX) Gruppe ........ 17 2.4.4.3 Datenverarbeitung und -Aufbereitung Ricardo/Tamedia AG (neu: TX Group AG) / DAS AG 18
2.4.5 Anonymisierung/Pseudonymisierung ................................................................................ 20 2.5 Information und Widerspruchsmöglichkeiten .................................................................... 20 2.5.1 Information und Ablauf bei einer neuen Anmeldung/Registrierung bei Ricardo ............... 20 2.5.2 Information über die Änderung der Datenschutzerklärung an die Ricardo-Mitglieder .. 20 2.5.2.1 Datenschutzerklärung vom 27. Juli 2017 ..................................................................... 20 2.5.2.2 Datenschutzerklärung vom 25. Mai 2018 und folgende Versionen ............................. 21 2.5.3 Konkrete Widerspruchsmöglichkeiten und Umsetzung ..................................................... 23 2.6 Relevante Neuerungen zum Sachverhalt nach der Gründung der SMG AG .................... 23 2.6.1 Neu geltende Datenschutzerklärung ................................................................................. 24 2.6.2 CMP ................................................................................................................................... 27 3. Datenschutzrechtliche Beurteilung ................................................................................................ 28 3.1. Bearbeitung von Personendaten und Anwendbarkeit des DSG ....................................... 28 3.1.1. Datenbearbeitungen bei Ricardo und weitere Datenverwendung durch TX Group .......... 28 3.1.2. Begriff Personendaten ....................................................................................................... 28 3.1.3. Vorliegen eines eindeutigen Personenbezugs .................................................................. 29 3.2. Bearbeiten von Persönlichkeitsprofilen ............................................................................. 30 3.2.1. Begriff Persönlichkeitsprofil ............................................................................................... 31 3.2.2. Bearbeitung von Persönlichkeitsprofilen der Ricardo-Nutzenden ..................................... 31 3.3. Ricardo und TX Group als Datenverantwortliche .............................................................. 32 3.4. Bestehen einer Persönlichkeitsverletzung ........................................................................ 33
3/52
3.4.1. Einhaltung der Bearbeitungsgrundsätze (Art. 12 Abs. 2 lit. a DSG) ................................. 33 3.4.2. Bearbeitung der Daten einer Person gegen deren ausdrücklichen Willen (Art. 12 Abs. 2 lit. b DSG) 42
3.4.3. Persönlichkeitsverletzung aufgrund von Datenbearbeitungen, die die Persönlichkeit wesentlich beeinträchtigen ................................................................................................................ 43
3.4.4. Fazit zu den verorteten Persönlichkeitsverletzungen ........................................................ 43 3.5. Rechtfertigungsgründe ...................................................................................................... 44 3.6. Empfehlungen ................................................................................................................... 50 4. Verfahren........................................................................................................................................ 51 4.1. Rechtliches Gehör und weiteres Vorgehen ....................................................................... 51 4.2. Stellungnahmen der Ricardo AG und der TX Group AG .................................................. 51 4.3. Veröffentlichung des Schlussberichts mit Empfehlungen ................................................. 52
4/52
Einführung 1.1 Ausgangslage
Die Tamedia-Gruppe - seit dem 20. Dezember 2019 TX-Gruppe - führte seit Februar 2016 bei zugehörigen Unternehmen schrittweise eine neue, einheitliche Datenschutzerklärung ein. Diese sollte den internen Datenaustausch innerhalb der Gruppe ermöglichen, damit das Online-Erlebnis sowie die Sicherheit verbessert werden. Die Auktionsplattform Ricardo - betrieben von der zur TX-Gruppe gehörenden Gesellschaft Ricardo AG 1 (nachfolgend Ricardo) - hat diese Datenschut- zerklärung im Juli 2017 eingeführt.
Die bestehenden Kunden wurden am 12. Juli 2017 per E-Mail über die Änderung der Daten- schutz-Bestimmungen informiert. Der EDÖB hat Meldungen bzw. Beschwerden von betroffenen Personen erhalten, wonach das Vorgehen von Ricardo nicht transparent sei. Die Betroffenen würden zur Zustimmung, insbesondere zur Datenweitergabe zu Marketingzwecken, genötigt, in- dem ein allfälliger Widerspruch die Auflösung der Mitgliedschaft zur Folge hätte.
Mit Schreiben vom 19. Juli 2017 hat der EDÖB Ricardo gebeten darzulegen, wie sie mit dem ge- wählten Vorgehen die Freiwilligkeit der Einwilligung sicherstellt bzw. über welchen Rechtferti- gungsgrund Ricardo verfügt, um die über den ursprünglichen Zweck hinausgehenden Datenbear- beitungen zu rechtfertigen.
Am 27. Juli 2017 beantwortete der Datenschutzverantwortliche (DPO) von Ricardo das Schreiben des EDÖB, wobei er diese Funktion sowohl bei Ricardo als auch bei der Tamedia AG (neu: TX Group AG) und der gesamten Tamedia-Gruppe (neu: TX-Gruppe) wahrnimmt.
Nach der Stellungnahme von Ricardo sah sich der EDÖB dazu veranlasst, die Angelegenheit ge- nauer zu untersuchen. Er eröffnete mit Schreiben vom 4. September 2017 ein formelles Verfah- ren zur Abklärung des Sachverhalts.
1.2 Entwicklungen im Sachverhalt seit Eröffnung der Sachverhaltsabklärung 6. Im März 2018 stellte der EDÖB den Sachverhalt in einer ersten Fassung fest. Gegenstand waren die im Juli 2017 neu eingeführte Datenschutzerklärung, die diesbezügliche Mitteilung an die Ri- cardo-Mitglieder (d.h. Nutzerinnen und Nutzer, die über einen Account verfügen) sowie Ergeb- nisse aus diversen Abklärungen mit Ricardo. Die Abklärungen bezogen sich auf die von Ricardo beschriebenen Datenbearbeitungen, insbesondere auf den erwähnten Datenaustausch innerhalb der Tamedia-Gruppe zu Marketing- und Sicherheitszwecken. 7. Ricardo nahm zu dieser ersten Fassung am 29. März 2018 Stellung und kündigte eine neue Da- tenschutzerklärung mit diversen Änderungen zur Anpassung an die DSGVO 2 an. Am 25. Mai 2018 hat Ricardo die angepasste Datenschutzerklärung eingeführt. Insbesondere sollte damit dem Datenaustausch innerhalb der Tamedia-Gruppe ab diesem Datum widersprochen werden können. 8. Der EDÖB analysierte in der Folge die überarbeiteten Datenschutzbestimmungen und klärte den Sachverhalt neu ab, um die aktualisierte Sachlage zu berücksichtigen. Die Bearbeitungen von Ricardo-Daten bei der Tamedia AG (insbesondere bei den Abteilungen TDA und DAS 3 ) - d.h. die Datenaufbereitung bzw. die «Aggregierung- und Anonymisierungsprozesse» sowie die Datenver- knüpfung und Segmentierung - wurden näher abgeklärt. 9. Im März 2019 wurde die Datenschutzerklärung von Ricardo bzw. die standardisierte Datenschut- zerklärung der Tamedia AG erneut aktualisiert 4 . Zudem wurde im Rahmen einer Reorganisation
1 Ricardo.ch AG bis zum 25. November 2019. 2 Datenschutz-Grundverordnung der Europäischen Union (EU). 3 Tamedia Data Analytics (TDA) und Digital Advertising Services (DAS). 4 Datenschutzerklärung Ricardo/Tamedia AG vom 30. März 2019.
5/52
die Geschäftseinheit Digital Advertising (DAS) per 1. März 2019 in die selbständige Tochterge- sellschaft Digital Ad Services AG (DAS AG) ausgelagert. 10. Die Ergebnisse der Abklärung sowie die beschriebenen Entwicklungen und Feststellungen mach- ten eine Ausweitung des Verfahrens auf die Tamedia AG notwendig. Die Tamedia AG wurde per 20. Dezember 2019 in die TX Group AG (nachfolgend: TX Group) umfirmiert, und auch Ricardo hat eine Namensänderung erfahren. 5 Daher wurde auch die Datenschutzerklärung vom 11. Feb- ruar 2020 an diese neue Namensgebung angepasst. 11. Am 26. November 2021 informierte der DPO von Ricardo bzw. TX Group den EDÖB über die Gründung der Joint Venture SMG Swiss Marketplace Group AG (nachfolgend: SMG) per 11. No- vember 2021: eine gemeinsam von der TX Group AG, Ringier AG, Mobiliar AG und General At- lantic gehaltene Gesellschaft. Der EDÖB bat Ricardo und TX Group darum, ihm alle relevanten Informationen für die vorliegende Sachverhaltsabklärung mitzuteilen, bzw. offenzulegen, welche Neuerungen oder Änderungen bezüglich der Datenbearbeitungen bzw. Datenflüsse oder bei den Datenverantwortlichkeiten die Umstrukturierung mit sich bringen würde. 6
5 Seit 25. November 2019 neu Ricardo AG; vgl. Stellungnahme Ricardo/TX Group vom 16. Januar 2020 sowie Datenschutzer- klärung Ricardo/TX Group vom 11. Februar 2020. 6 Schreiben EDÖB 22.12.2021 / 21.01.2022. 7 Vgl. Schreiben TX Group vom 14. September 2023.
6/52
hielt diesbezüglich Folgendes fest: «Abgesehen von der gesellschaftsrechtlichen Umstrukturierung haben sich die Datenbearbeitung und die Datenflüsse im Rahmen der ’TX Group Daten-Angebote’ jedoch nicht geändert. 8 ». Betreffend den «Datenaustausch innerhalb der SMG», welcher in Ziff. 3.9. und 5.1 der Datenschutzerklärung von SMG vorgesehen wird, hat SMG klargestellt, dass dieser mit den Datenbearbeitungen, welche im Rahmen der «TX Group Daten-Angebote» durchgeführt wer- den, nichts zu tun habe. Auch wenn beide Datenbearbeitungen u.a. den Zweck der Profilbildung für die Steuerung gezielter Werbung haben, handele es sich dabei um «zwei technisch wie auch orga- nisatorisch voneinander getrennte Datenbearbeitungen bzw. -weitergaben» 9 . 17. Der EDÖB stellte also fest, dass eine weitere bisher nicht im Rahmen der vorliegenden Sachver- haltsabklärung untersuchte Datenbearbeitung stattfindet. Angesichts des fortgeschrittenen Stands des vorliegenden Verfahrens, hat der EDÖB aus verfahrensökonomischen Gründen darauf verzich- tet , den Sachverhalt in Bezug auf den «Datenaustausch innerhalb SMG» weiter abzuklären und das Verfahren formell auf die Swiss Marketplace Group AG (SMG) oder auf deren Gesellschaften aus- zudehnen. Sollte sich dies als notwendig erweisen, besteht immer noch die Möglichkeit, auf der Grundlage des inzwischen revidierten Gesetzes eine neue Untersuchung einzuleiten und diesen Datenaustausch auf seine Datenschutzkonformität hin zu überprüfen.
1.3 Chronologie 12.07.2017 Mitteilung Änderung Datenschutzerklärung an Ricardo-Mitglieder 19.07.2017 Schreiben EDÖB an Ricardo (Vorabklärung) 27.07.2017 Erste Stellungnahme Ricardo 04.09.2017 Eröffnung Sachverhaltsabklärung durch den EDÖB und Zustellung eines Fragen- kataloges an Ricardo 27.09.2017 Fristerstreckungsgesuch Ricardo 06.11.2017 Beantwortung Fragenkatalog durch Ricardo 06.12.2017 Sitzung mit Vertretern von Ricardo und EDÖB 09.03.2018 Versand Sachverhaltsfeststellung an Ricardo 29.03.2018 Stellungnahme Ricardo zur Sachverhaltsfeststellung 09.05.2018 Mitteilung neue Datenschutzerklärung per 25. Mai 2018 durch Ricardo 25.05.2018 Neue Datenschutzerklärung (Anpassung an DSGVO) 08.10.2018 Ergänzungsfragen betreffend die neue Datenschutzerklärung von 2018 08.11.2018 Fristerstreckungsgesuch Ricardo 08.01.2019 Antwort Ricardo zu den Ergänzungsfragen 18.02.2019 Schreiben EDÖB (Klärungsfragen) 20.03.2019 Antwort Ricardo 30.03.2019 Neue Datenschutzerklärung 08.11.2019 Versand der aktualisierten Sachverhaltsfeststellung an Ricardo/Tamedia AG und formelle Eröffnung der Sachverhaltsabklärung bei Tamedia AG 16.12.2019 Frist Stellungahme Ricardo/Tamedia AG – Fristerstreckung wird gewährt 20.12.2019 Umfirmierung der Tamedia AG in die TX Group AG (nachfolgend: TX Group) 16.01.2020 Stellungnahme Ricardo/ TX Group 11.02.2020 Neue Datenschutzerklärung 28.02.2020 Versand der Sachverhaltsfeststellung an Ricardo/TX Group 25.03.2020 Erneute Stellungnahme Ricardo/TX Group zur Sachverhaltsfeststellung vom 28. Februar 2020 (Diese wurde anschliessend entsprechend angepasst) 28.05.2021 Schreiben an DPO Ricardo/TX Group (mit Ergebnis unserer rechtlichen Auswer- tung) und Einladung zur Skype-Besprechung
8 Ibidem. Vgl. auch Schreiben vom 10. Februar 2022 sowie vom 25. Juli 2023. 9 Vgl. Schreiben TX Group vom 14. September 2023; vgl. auch Schreiben Ricardo AG/SMG vom 14. September 2023
7/52
29.06.2021 Zusendung der rechtlichen Auswertung (Zusammenfassung) bzw. Ausführungen zu unseren rechtlichen Erwägungen und zum verorteten Verbesserungsbedarf 15.07.2021 Skype-Besprechung: Austausch betreffend die rechtliche Auswertung des EDÖB und Darstellung von Neuerungen seitens Ricardo/TX Group (insb. Consent Ma- nagement Plattform, CMP) 03.08.2021 Schreiben Ricardo/TX Group betreffend die Anwendung und Einstellung der CMP 18.08.2021 Zustellung «Legitimate interest assessment» und Löschkonzept der TX Group 31.08.2021 Zustellung der internen Guideline der TX Group zur Konfiguration einer CMP 11.11.2021 Gründung der Joint Venture Swiss Marketplace Group AG (SMG) 26.11.2021 DPO der TX Group informiert den EDÖB über die Gründung der SMG 22.12.2021/ Schreiben des EDÖB: Bitte um relevante Informationen betr. die Umstrukturierung 21.01.2022 und ihre Auswirkungen auf die Sachverhaltsabklärung 10.02.2022 Schreiben der TX Group: Erläuterungen betreffend die neue Organisationsstruktur der SMG, keine Veränderungen der Datenverarbeitungen & Datenflüsse, Darstel- lung von eingeführten datenschutzrechtlichen Massnahmen (Datenschutzerklärung SMG, Datenschutzhinweise für TX-Daten-Angebote, Einführung von CMP) 23.03.2022 Skype-Besprechung betr. Auswirkungen der Umstrukturierung auf die laufende Sachverhaltsabklärung 12.05.2023 Zustellung ergänzter Sachverhaltsfeststellung an Ricardo/TX Group 07.06.2023 Die von TX Group beantragte Fristerstreckung wird bis zum 30.06.2023 gewährt 29.06.2023 Stellungnahme von Ricardo /SMG und TX Group zur ergänzten Sachverhaltsfeststellung vom 12. Mai 2023 18.07.2023 Versand der ergänzten Sachverhaltsfeststellung an Ricardo /TX Group mit Korrek- turen und Ergänzungen nach den Stellungnahmen vom 29. Juni 2023 25 .07.2023 Stellungnahmen Ricardo /SMG und TX Group zur neu ergänzten Sachverhaltsfest- stellung 27.07.2023 Telefonisches Gespräch mit
DPO Ricardo/SMG) 31.08.2023 Schreiben des EDÖB: Bitte um Stellungnahme zu scheinbaren Widersprüchen zwi- schen Bestimmungen der Datenschutzerklärung und Ausführungen von Ricardo und TX Group 14.09.2023 Antwort Ricardo/SMG und TX Group 26 .09.2023 Anpassung und Zustellung der Sachverhaltsfeststellung aufgrund der Stellungnah- men vom 25. Juli und 14. September 2023 11 .04.2024 Versand des Schlussberichts an Ricardo und TX Group 1.4 Gesetzliche Grundlage 18. Seit dem 1. September 2023 gilt das neue Bundesgesetz vom 25. September 2020 über den Da- tenschutz (nachfolgend «nDSG», SR 235.1). Gemäss Art. 70 nDSG gilt das neue Gesetz nicht für Untersuchungen des EDÖB, die im Zeitpunkt des Inkrafttretens hängig sind. Diese Fälle unterste- hen dem bisherigen Recht, weshalb der EDÖB seine rechtliche Beurteilung gestützt auf das Bun- desgesetz vom 19. Juni 1992 über den Datenschutz vorgenommen hat. Mit Blick auf die Fortführung von Datenbearbeitungen, die Gegenstand dieser Sachverhaltsabklärung sind, finden sich in einzel- nen Kapiteln jedoch punktuelle Hinweise darauf, in wie weit die Bestimmungen des nDSG gegen- über dem alten Recht Änderungen vorsehen. 19. Art. 1 bis 15 des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz (DSG, SR 235.1) und Art. 1 bis 12 der Verordnung vom 14. Juni 1993 zum Bundesgesetz über den Datenschutz (VDSG, SR 235.11) sind auf das Bearbeiten von Personendaten durch private Personen anwendbar. Ge- mäss Art. 29 Abs. 1 lit. a DSG kann der EDÖB von sich aus oder auf Meldung Dritter hin einen Sachverhalt näher abklären, wenn Bearbeitungsmethoden geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (sog. Systemfehler). Gemäss Art. 29 Abs. 2 DSG
8/52
kann er dabei Akten herausverlangen, Auskünfte einholen und sich Datenbearbeitungen vorführen lassen. Aufgrund seiner Abklärungen kann er empfehlen, das Bearbeiten zu ändern oder zu unter- lassen (Art. 29 Abs. 3 DSG). Wird eine solche Empfehlung nicht befolgt oder abgelehnt, kann er die Angelegenheit dem Bundesverwaltungsgericht (BVGer) auf dem Klageweg zum Entscheid vorlegen (Art. 29 Abs. 4 DSG i. V. m. Art. 35 lit. b des Verwaltungsgerichtsgesetzes vom 17. Juni 2005 [VGG, SR 173.32]).
1.5 Umfang der Sachverhaltsabklärung 20. Das vorliegende Verfahren konzentriert sich insbesondere auf die Weitergabe der Daten der Ri- cardo-Nutzenden an TX Group (alt: Tamedia) und deren Verwendung bzw. Verknüpfung mit Daten aus weiteren Quellen zum Zweck der zielgerichteten Werbung, sowie auf die bestehenden Wider- spruchsmöglichkeiten. Dabei wurde insbesondere die Information, welche an die Ricardo-Mitglieder bzw. Nutzenden in der Datenschutzerklärung sowie in den diversen Mitteilungen von Ricardo erteilt wurde, näher geprüft. Wie bereits unter den Ziffern 11 ff. ausgeführt, machte die veränderte Sach- lage eine Ausdehnung der ursprünglich nur bei Ricardo durchgeführten formellen Sachverhaltsab- klärung auf die Tamedia AG (neu: TX Group AG) notwendig. Aus verfahrensökonomischen Grün- den verzichtet der EDÖB darauf, den Sachverhalt in Bezug auf den „Datenaustausch innerhalb SMG“ weiter abzuklären bzw. das Verfahren formell auf die Swiss Marketplace Group AG (SMG) oder auf deren Gesellschaften auszudehnen.
Der EDÖB hat in seiner Sachverhaltsfeststellung vom 28. Februar 2020 (siehe unten, Ziff . 2.1 bis 2.5) Änderungen der Datenschutzerklärung und in der Sachlage bis zum 28. Februar 2020 be- rücksichtigt. Er stützte sich dabei auf die Datenschutzerklärungen von Ricardo (insb. Version vom
Februar 2020), auf die Stellungnahmen von Ricardo und TX Group (alt: Tamedia) und die dem EDÖB zugestellten Unterlagen sowie auf die Erkenntnisse aus der gemeinsamen Sitzung vom 6. Dezember 2017. 10
Weitere Unterlagen, welche nach dem 28. Februar 2020 dem EDÖB zugestellt wurden (insb. Legi- timate Interest Assessment) sowie durch die TX Group zwischenzeitlich eingeführte «datenschutz- rechtliche Massnahmen» (Aufschaltung Datenschutzerklärung, Einsatz einer Consent Manage- ment Plattform auf der Website von Ricardo) und Erkenntnisse aus den Sitzungen vom 15. Juli 2021 und 23. März 2022 wurden ebenfalls berücksichtigt (siehe dazu Ziff . 2.6). Weitere Entwick- lungen wurden ab der Zustellung der Sachverhaltsfeststellung mit Ergänzungen am 12. Mai 2023 nicht mehr berücksichtigt, abgesehen von den Korrekturen und Ergänzungen, die aufgrund der Stellungnahmen der Ricardo AG und der TX Group AG vom 29. Juni 2023, 31. August 2023 und
September 2023 vorgenommen wurden.
10 Die Thematik der Erhebung und Verwendung der IBAN-Nummer wurde dabei separat mit Ricardo besprochen und ist von der vorliegenden Sachverhaltsabklärung ausgenommen.
9/52
Feststellungen
Die unterstehenden Feststellungen beziehen sich auf den Sachverhalt vom 28. Februar 2020 bzw. auf die Datenschutzerklärung vom 11. Februar 2020 (Ziff. 2.1.-2.5) und berücksichtigen die Neuerungen, die sich zwischenzeitlich mit der Aufschaltung einer neuen Datenschutzerklärung und Einführung einer Consent-Management-Plattform 11 ergeben haben (s. Ziff. 2.6). 2.1 Plattformen von Ricardo und Bedingungen zu deren Nutzung
Ricardo betreibt unter den Domainnamen ricardo.ch und autoricardo.ch 12 Plattformen für den Handel mit Produkten aller Art. Mitglieder können über diese Plattformen Produkte erwerben oder verkaufen und hierbei aus drei verschiedenen Angebotsarten auswählen: Auktionen, Angebote zu Fixpreisen und Auktionen mit einem Sofort-Kaufen-Preis.
Wer auf den Plattformen von Ricardo Produkte anbieten oder erwerben möchte, muss sich grundsätzlich registrieren 13 . Die Registrierung ist kostenlos. Das Verkaufen auf ricardo.ch ist kos- tenpflichtig 14 . Die folgenden Gebühren entstehen beim Verkaufen auf ricardo.ch: Einstellgebüh- ren: gratis; optionale Promotionsgebühren: freiwillige Gebühren, um die Sichtbarkeit der Ange- bote zu erhöhen; Abschlussgebühren: Abschlusskommission (Erfolgsprovision) nach einem er- folgreichen Verkauf 15 . 2.2 Änderung der Datenschutzerklärung von Ricardo
Am 27. Juli 2017 wurde die bisherige Datenschutzerklärung von Ricardo durch eine neue abge- löst 16 . Damit sollte der Datenaustausch unter den Tamedia-Unternehmen ermöglicht werden. Die neue Datenschutzerklärung sollte als gemeinsame Basis für Unternehmen der Tamedia-Gruppe gelten. Seitdem wurde die Datenschutzerklärung mehrmals aktualisiert (siehe dazu Rz. 29-30).
Die neuen Datenschutzerklärungen von Ricardo beziehen sich sowohl auf Datenbearbeitungen von Ricardo, als auch auf Datenbearbeitungen von den Gesellschaften der TX-Gruppe (alt: Ta- media-Gruppe) sowie verbundenen Unternehmen. Sie ist Standard bei allen Gesellschaften der TX-Gruppe, die untereinander Daten austauschen. Damit können relevante Angebote und Dienstleistungen und auf die jeweiligen Bedürfnisse zugeschnittene Werbung angezeigt werden. Mit dem Datenaustausch soll auch die Sicherheit für die Mitglieder verbessert werden, um bei- spielsweise Online-Betrug besser vorzubeugen 17 . Zudem sieht sich die TX Group «als Schweizer Gruppenunternehmung der Medienbranche einer harten, internationalen Konkurrenz ausgesetzt. Es ist für die Gruppe und ihre einzelnen Firmen aus wirtschaftlicher Sicht von grosser Bedeutung,
11 Siehe Rz. 14 und 22. 12 Seit Mitte Dezember 2019 ist das Erfassen neuer Inserate auf autoricardo.ch nicht mehr möglich. Es wird stattdessen auf die Dienste der Partner-Plattformen tutti.ch, carforyou.ch sowie ricardo.ch verwiesen. Weiter ist geplant, die Plattform autori- cardo.ch im ersten Quartal 2020 aus dem Netz zu nehmen (Vgl. Stellungnahme Ricardo/TX-Group 16.01.2020). 13 Eine Ausnahme: Bei autoricardo.ch kann der Käufer ein in einer Kleinanzeige inseriertes Fahrzeug erwerben, ohne registriert zu sein. 14 Siehe https://help.ricardo.ch/hc/de/articles/115002854885-Gebühren-für-das-Verkaufen und Gebührenreglement vom 13.09.2018 (neues Gebührenmodell, siehe https://www.ricardo.ch/de/login?return_url=%2Fde%2Fpricing). 15 Bei erfolgreichem Verkauf wird 9% des Verkaufspreises (max. Fr. 190 CH) bezahlt (Erfolgsprovision). Siehe Gebührenregle- ment vom 13.09.2018. 16 Siehe Datenschutzerklärung vom 12. Juli 2017 (gültig ab 27. Juli 2017), auf der Webseite von Ricardo, unter der Rubrik „AGB & Reglemente“. 17 V gl. auch Ziffer 2.5.
10/52
ihre digitalen Produkte und Dienstleistungen relevant und bedarfsgerecht ausgestalten zu kön- nen, um ihren Nutzern auf diese Weise einen Mehrwert zu bieten und sich gegenüber der Markt- konkurrenz abzugrenzen. Dazu ist sie auf die gruppenweite Datennutzung angewiesen». 18
Folgendes steht in der Einleitung der Datenschutzerklärung von Ricardo: Diese Datenschutzerklärung von ricardo.ch, ein Angebot der ricardo.ch AG, informiert Sie darüber, wie wir und die Gesellschaften der TX-Gruppe sowie verbundene Unternehmen (hier finden Sie eine vollständige Liste aller betreffenden Unternehmen); nachfolgend insgesamt auch «Wir») mit Daten umgehen, welche über Sie bearbeitet werden, sei es bei der Nutzung unserer Webseiten und mobilen Applikationen (nach- folgend auch «digitalen Angebote» oder «Portale» genannt; hier finden Sie eine vollständige Liste) oder auf andere Weise. 19
Zweck der unterdessen neu geltenden Datenschutzerklärung vom 25. Mai 2018 war eine Anpas- sung an die DSGVO. Insbesondere sollten Widerspruchsmöglichkeiten bezüglich Datenaus- tausch bzw. – Weitergabe innerhalb der Tamedia-Gruppe geschaffen werden.
Mit der Aktualisierung per 30. März 2019 wurde eine neue Ziffer ( Ziff. 12) betreffend Standortin- formationen eingeführt. Per 11. Februar 2020 wurde die Datenschutzerklärung nochmals aktuali- siert. Die Aktualisierung wurde aufgrund der Umfirmierungen von Ricardo und der Tamedia- Gruppe (neu: TX-Gruppe) notwendig. Inhaltlich wurden jedoch in dieser letzten Fassung keine Änderungen vorgenommen. Die vorliegenden Feststellungen (Ziff. 2.1.-2.5) beziehen sich prinzi- piell auf diese Fassung vom 11. Februar 2020. 2.3 Umfang und Zweck der Bearbeitung personenbezogener Daten 20
Nachfolgend wird beschrieben, welche Daten gemäss der Datenschutzerklärung von Ricardo bzw. standardisierten Datenschutzerklärung der TX Group 21 sowie der Stellungnahme von Ri- cardo/TX Group (alt: Tamedia) bearbeitet werden können, und zu welchen Zwecken dies gesche- hen kann.
2.3.1 Daten, die beim Besuch der Portale erfasst werden 32. Beim Besuch der Portale (bei Ricardo: „ricardo.ch“ oder „autoricardo.ch“) werden Log-Daten/Traf- fic -Daten systembedingt erfasst: IP-Adresse, Browsertyp, Internet Service Provider, aufgerufene digitale Angebote, Referenz/Exit-Seiten, Zeitpunkt und Dauer des Besuchs. 33. In der Datenschutzerklärung von Ricardo/TX Group steht dazu folgendes: Wenn Sie ohne weitere Angaben von Ihnen unsere digitalen Angebote verwenden, protokolliert die von uns eingesetzte Webserver-technologie automatisch allgemeine technische Besuchsinformationen in so- genannten Log-Dateien. Dazu zählen unter anderem die IP-Adresse des verwendeten Geräts, von wel- chem aus der Besuch erfolgt, Angaben zum Browsertyp, zum Internet Service Provider und zum verwen- deten Betriebssystem, welche digitalen Angebote bei uns aufgerufen wurden, Referenz/Exit-Seiten, der Zeitpunkt und die Dauer des Besuchs. Die Erhebung und Verarbeitung dieser Informationen erfolgt zum Zweck, die Nutzung der Webseiten zu ermöglichen (Verbindungsaufbau), die Sicherheit und Stabilität unserer Systeme und Angebote zu ge- währleisten und zu erhöhen, die Nutzung unserer Angebote und Dienste zu analysieren, allgemeine geo- graphische Informationen zu erheben und die Optimierung unseres Internetangebotes zu ermöglichen (Marketingmassnahmen, zielgruppenspezifische Werbung etc.), sowie zu internen statistischen Zwecken.
18 V gl. Stellungnahme Ricardo/TX-Group vom 16.01.2020. 19 Datenschutzerklärung von Ricardo/TX Group vom 11. Februar 2020. 20 S iehe Ziff. 1 der Datenschutzerklärung von Ricardo/TX Group («Umfang und Zweck der Bearbeitung personenbezogener Daten»). 21 Datenschutzerklärung vom 11. Februar 2020.
11/52
Eine Identifikation des Benutzers findet dabei nicht statt. Ebenso wird grundsätzlich keine Verbindung zwi- schen diesen automatisch gesammelten Informationen und bei uns gespeicherten Personendaten herge- stellt. Ausnahme von dieser Grundregel kann jedoch dann bestehen, wenn Sie bei einem unserer Portale bereits ein registriertes Benutzerkonto haben. 22
Darüber hinaus setzen wir beim Besuch unserer Portale Cookies und Analyse-Tools (bspw. Google Analy- tics) ein. 23
2.3.2 Daten, die bei der Registrierung eines Benutzerkontos erfasst werden 35. Bei der Registrierung eines Benutzerkontos ist die Eingabe bestimmter Personendaten erforder- lich. Bei Ricardo werden folgende Daten erfasst: Geschlecht, Anrede, Vor- und Nachname, Ad- resse (vollständige Postadresse, PLZ, Ort), E-Mail-Adresse, Geburtsdatum, Telefonnummer, In- formation zu abonnierten Newslettern oder sonstiger Werbung, Sprache, Benutzername (durch das Mitglied freiwillig definiert). 24 Seit September 2019 werden bei der Registrierung für ein priva- tes Konto bloss noch E-Mail-Adresse und Passwort erhoben. Bevor eine Nutzerin oder ein Nutzer auf Ricardo kaufen bzw. verkaufen kann, muss sie/er sodann folgende Personendaten erfassen: Vor- und Nachnahme, Geburtsdatum, Adresse (Strasse, PLZ, Ort), Telefonnummer, Identitätsdo- kument (optional), Sprache, Benutzername (wird automatisch generiert). Im Benutzerkonto kön- nen Nutzer ausserdem optional eine Anrede angeben, den automatisch generierten Benutzerna- men anpassen oder ihre Benachrichtigungspräferenzen (inkl. Newsletter) verwalten. 25
2.3.3 Daten, die bei der Nutzung als registrierter Nutzer erfasst werden 37. Die standardisierte Datenschutzerklärung von Ricardo/TX Group hält folgendes fest: Während der Nutzung des Portals durch die registrierten Nutzer erheben wir Daten aus statistischen Gründen, um die reibungslose Funktionsfähigkeit des Portals zu ermöglichen sowie zur Analyse, Optimie- rung und Personalisierung der Nutzung unserer Angebote und Dienste. So sammeln wir Daten darüber, ob und wie Sie unsere digitalen Angebote nutzen, insbesondere welche Funktionen und welche Werbung Sie wie wahrnehmen. 27
22 Ziff. 1 Bst. a der Datenschutzerklärung vom 11. Februar 2020 («Beim Besuch unserer Portale»). 23 Ziff. 1 Bst. a der Datenschutzerklärung vom 11. Februar 2020. 24 Vgl. Schreiben Ricardo vom 6. November 2017. 25 Vgl. Stellungnahme Ricardo/TX-Group vom 16.01.2020. 26 Ziff. 1 Bst. b der Datenschutzerklärung vom 11. Februar 2020. 27 Ziff. 1 Bst. c der Datenschutzerklärung vom 11. Februar 2020. 28 Schreiben Ricardo vom 6. November 2017.
12/52
Dies habe mit der Erhebung von Nutzungsdaten und deren Austausch in der Gruppe jedoch nichts zu tun. 29
2.3.4 Informationen zu Einkäufen und Vertragsschlüssen 41. Die standardisierte Datenschutzerklärung von Ricardo/TX Group hält folgendes fest: Wenn Sie auf unserer Seite ein Produkt kaufen, respektive einen kostenpflichtigen Dienst beziehen, ist die Angabe von Daten wie beispielsweise Vor- und Nachnamen, Adresse (vollständige Postadresse, PLZ, Ort) und allenfalls weiteren Daten zwingend, da wir diese für die Abwicklung des Vertrages mit Ihnen benöti- gen. Wenn Sie zum Kauf eines Produkts respektive eines kostenpflichtigen Dienstes eine Online-Zah- lungsoption wie etwa Kreditkarte oder PayPal wählen, erfolgt die Bezahlung über das Online-Zahlungssys- tem des jeweiligen Anbieters. Die Bearbeitung von Personen- und Zahlungsdaten erfolgt in diesem Fall direkt über den Anbieter des jeweiligen Zahlungssystems. Wir kennen und speichern Ihre Zahlungsdaten nicht. Es gelten jeweils zusätzlich die Datenschutzbestimmungen des jeweiligen Anbieters des Online-Zah- lungssystems. Soweit Sie registriert sind und über ein Benutzerkonto verfügen, können wir Ihre Daten im Benutzerkonto für den nächsten Einkauf / Vertragsschluss speichern. Wir speichern auf jeden Fall alle Informationen zu ihren aktuellen und bisherigen Einkäufen und Vertrags- schlüssen, d.h. die Produkte, die Dienstleistungen, die Anzahl Produkte und Dienstleistungen pro Einkauf, den Zahlungsbetrag. Wir sind berechtigt, diese Information für Marketing- und Analysezwecke verwenden zu dürfen. Weitere Informationen zu Marketing- und Analysezwecken finden Sie weiter unten in Ziffer 4. 30
2.3.5 Daten aus der Teilnahme an Gewinnspielen und Wettbewerben 44. In der Datenschutzerklärung 34 wird erwähnt, dass personenbezogene Daten auch bei der Teil- nahme an Gewinnspielen und Wettbewerben bearbeitet werden können und gegebenenfalls für Direktmarketing und Marktforschung verwendet und weitergegeben werden:
29 Vgl. Stellungnahme Ricardo/TX-Group vom 16.01.2020. 30 Ziff. 1 Bst. d der Datenschutzerklärung vom 11. Februar 2020. 31 Vgl. Stellungnahme Ricardo/TX-Group vom 16.01.2020. 32 Ziff. 1 Bst. d der Datenschutzerklärung vom 12/27. Juli 2017. 33 Vgl. Schreiben Ricardo vom 29. März 2018. Siehe auch Schreiben Ricardo/Tamedia vom 6. November 2017: «Bei Ricardo werden einzig E-Mail-Adresse, Name, Anrede, Geburtsdatum und Postleitzahl analysiert (...) Bei dieser Analyse wird ein Daten- subjekt einzig in ein aggregiertes, nicht mehr personenbezogenes Profil mit folgenden Attributen eingeteilt: Alter [+/- 10], Ge- schlecht und Postleitzahl». 34 Datenschutzerklärung vom 11. Februar 2020.
13/52
Wir verwenden die von Ihnen angegebenen Daten zur Organisation und Durchführung der Veranstaltun- gen sowie zur Benachrichtigung und/oder Publikation der Gewinner auf unseren Portalen, mittels direkter Benachrichtigung oder auf sozialen Netzwerken. Wenn Sie uns dies ermöglicht haben, können wir Ihre Daten gemäss Ziffer 2 und 4 verwenden und auch gemäss Ziffer 3 weitergeben. 35
2.3.6 Nutzerumfragen und Marktforschung 45. Ergebnisse aus Nutzerumfragen (bestehend «aus aggregierten und anonymen Daten») können nach der Datenschutzerklärung 36 «zur Verbesserung der Nutzererfahrung» verwendet werden: Wir verwenden die von Ihnen angegebenen Daten ausschliesslich zur Verbesserung der Nutzererfahrung und zur Weiterentwicklung unserer Produkte. Die Ergebnisse bestehen ausschliesslich aus aggregierten und anonymen Daten. Wenn Sie zugestimmt haben, können Sie auch durch andere Gesellschaften der TX- Gruppe sowie verbundene Unternehmen (hier finden Sie eine vollständige Liste aller betreffenden Unter- nehmen) kontaktiert werden, um beispielsweise an anderen Nutzerumfragen teilzunehmen. 37
2.3.7 Standortinformationen 46. Gemäss der Datenschutzerklärung von Ricardo/TX Group 38 werden Standortdaten über be- stimmte Mobile-Applikationen verwendet (eine aktuelle Liste befindet sich auf der Website www.tamedia.ch ). Falls Sie mit einem Mobilgerät unsere Mobile-Applikationen benutzen (eine Liste aller betreffenden Mo- bile-Applikationen finden Sie hier), können wir unter Verwendung von GPS-Signaldaten Informationen über den Standort Ihres Mobilegeräts (Längen- und Breitengrad, Angaben zur horizontalen Genauigkeit) erfassen. Wir verwenden die Standortdaten dazu, Ihr Nutzererlebnis zu steigern, indem wir Ihnen über die Mobile- Applikation(en) (eine Liste aller betreffenden Mobile-Applikationen finden Sie hier) auf Ihrem Mobilegerät standortbezogene Onlinewerbung und andere standortbezogene digitale Inhalte anzeigen (ortsbasierte Wetterangaben & Nachrichten; Darstellung von ungefähren Nutzerstandorten). Sofern rechtlich erforder- lich, fragen wir Sie nach Ihrer Zustimmung, bevor wir Ihre Standortdaten für die genannten Anwendungen erheben. Wir können in diesem Zusammenhang die Dienstleistungen von anderen Unternehmen innerhalb und ausserhalb der TX-Gruppe in Anspruch nehmen (« Auftragsdatenverarbeiter »). Soweit zur Erbringung der betreffenden Dienstleistungen erforderlich, können wir Ihre Standortdaten an diese Unternehmen weiter- geben. Eine Liste der betreffenden Unternehmen finden Sie hier. Wir stellen durch die Auswahl der Auf- tragsdatenbearbeiter und durch geeignete vertragliche Vereinbarungen sicher, dass der Schutz Ihrer Da- ten während der gesamten Bearbeitung sichergestellt ist. Sie haben auch nach erteilter Zustimmung jederzeit die Möglichkeit, die Erhebung, Bearbeitung und Wei- tergabe Ihrer Standortdaten zu deaktivieren. Wenn Sie keine standortbasierte Onlinewerbung und Inhalte erhalten möchten, können Sie den Zugriff auf Ihren Standort entweder ablehnen oder die Ortungsdienste in den Einstellungen Ihres Mobilegeräts jederzeit deaktivieren. Um die Ortungsdienste zu deaktivieren, folgen Sie bitte den Anleitungen der Gerätehersteller:
Über die Mobile-Applikation von Ricardo werden aktuell keine Standortdaten erfasst. 40
35 Ziff. 1 Bst. e der Datenschutzerklärung vom 11. Februar 2020. 36 Datenschutzerklärung vom 11. Februar 2020. 37 Ziff. 1 Bst. f der Datenschutzerklärung vom 11. Februar 2020. 38 Datenschutzerklärung vom 11. Februar 2020. 39 Ziff. 12 der Datenschutzerklärung vom 11. Februar 2020. 40 vgl. Stellungnahme Ricardo/TX-Group vom 16.01.2020.
14/52
2.4 Datenbearbeitungen 47. Nachfolgend wird beschrieben, welche Datenbearbeitungen betreffend die Ricardo-Daten ge- mäss der Datenschutzerklärung stattfinden sollen bzw. gemäss der Beschreibung von Ricardo tatsächlich stattfinden – und zu welchen Zwecken.
2.4.1 Mitteilung über die «Datenweitergabe» und deren Zwecke 48. Mit einem Datenaustausch innerhalb der Tamedia-Gruppe (neu: TX Group) sollen die Daten der Ricardo- bzw. Tamedia-Benutzer zu Marketingzwecken sowie zu Sicherheitszwecken bearbeitet werden. Siehe dazu Ziff. 2.2, Rz. 26ff. Die Ricardo-Mitglieder wurden per E-Mail und auf der Website von ricardo.ch wie folgt informiert: «Mit der neuen Datenschutzerklärung können wir Ihnen für Sie relevante Angebote und Dienstleistungen anzeigen und Ihr Online-Erlebnis sowie die Sicherheit unserer Angebote verbessern. Damit erhöht sich der Schutz vor Online-Betrug und -Missbrauch.» 41
«Warum gibt es überhaupt eine interne Weitergabe bei Tamedia? Ein wichtiger Grund für die Weitergabe ist die Verbesserung der Sicherheit für die Mitglieder, um beispielsweise Online-Betrug besser vorzubeu- gen. Dies wird ermöglicht, indem Informationen bei Verdachtsfällen zwischen den Online-Plattformen von Tamedia ausgetauscht werden können. Zudem möchten wir in Zukunft für Sie relevantere und auf Ihre Bedürfnisse zugeschnittene Werbung anzeigen.» 42
41 Mitteilung an alle Ricardo-Mitglieder per E-Mail vom 12. Juli 2017. 42 FAQ «Zusammenfassung der Datenschutzerklärung per 25. Mai 2018», im Mai 2018 auf ricardo.ch aufgeschaltet. 43 Vgl. Schreiben von Ricardo/Tamedia vom 20. März 2019 sowie Stellungnahme Ricardo/TX-Group vom 16.01.2020. 44 Siehe dazu Frage 4 des EDÖB vom 18. Februar 2019 und entsprechende Antwort Ricardo/Tamedia vom 20. März 2019. 45 Datenschutzerklärung vom 9. Juli 2015, veröffentlicht auf der Webseite von Ricardo (Rubrik „AGB & Reglemente»). 46 Im Text: « für uns selber ».
15/52
die für die eigenen Werbezwecke von Ricardo Personendaten bearbeiten. Diese verpflichteten sich vertraglich zur Nichtweitergabe der Personendaten. 52. Weiter gab es in der Datenschutzerklärung einen expliziten Hinweis auf die Opt-out-Möglichkeit („Auf Ihren Wunsch verzichten wir auf die Verwendung Ihrer Daten zu Werbezwecken“) mit ent- sprechenden Kontaktdaten 47 . 53. Darüber hinaus wurde auch auf die Erhebung der Surfdaten beim Besuch der Webseite sowie die Nutzung von Cookies und die Web-Analyse u.a. anhand Google Analytics hingewiesen, auch hier mit der Anleitung, wie diese Funktionen deaktiviert werden können 48 . 2.4.3 Datenbearbeitungen gemäss Datenschutzerklärung vom 11. Februar 2020 54. In der Datenschutzerklärung vom 11. Februar 2020 wird festgehalten, dass die darin aufgeführten Daten zu Marketingzwecken genutzt werden können und an Unternehmen der TX-Gruppe oder an verbundene Unternehmen weitergegeben werden können 49 : 55. Direktmarketing und Online-Werbung Mit Ihrer Registrierung oder der Bestellung als Gast auf einem unserer Portale (hier finden Sie eine voll- ständige Liste) können wir Ihre Personendaten auch für personalisierte Werbemassnahmen nutzen. Dies betrifft sowohl die Personalisierung von Werbung per E-Mail, wie beispielsweise E-Mails mit allgemeinen Informationen oder werbendem Charakter (Newsletter), per Telefon, Post, Telefax, Textnachrichten, Bild- nachrichten sowie auf Instant Messaging Diensten als auch die Auslieferung von personalisierten Inhalten und Werbung auf unseren Portalen. Hierfür können wir automatisiert uns bekannte Informationen über Ihr Nutzungsverhalten auf unseren Portalen auswerten, damit wir vermeiden können, dass Sie unpas- sende Werbung erhalten. Diese Bearbeitungen entnehmen Sie Ziffer 4.
(...) Wir sind berechtigt, Dritte mit der technischen Abwicklung von Werbemassnahmen und der Werbung für uns selbst zu beauftragen und sind berechtigt, Ihre Daten zu diesem Zweck weiterzugeben (vgl. unten Ziff. 3). 50
47 Ziff. 14 der Datenschutzerklärung vom 9. Juli 2015 („Nutzung zu Werbezwecken“). 48 Ziff. 5 bis 7 der Datenschutzerklärung vom 9. Juli 2015. 49 Datenschutzerklärung vom 11. Februar 2020, Ziff. 2 «Direktmarketing und Online-Werbung» und Ziff. 3 «Weitergabe von Da- ten an Dritte». 50 Ziff. 2 der Datenschutzerklärung vom 11. Februar 2020. 51 Ziff. 3 der Datenschutzerklärung vom 11. Februar 2020.
16/52
Diese Weitergabe «erfolgt grundsätzlich mit pseudonymisierten oder anonymisierten Daten». Die umgesetzten technischen und organisatorischen Massnahmen sollen sicherstellen, dass eine personenbezogene Identifizierung nicht mehr möglich ist: Eine Weitergabe an Unternehmen der TX-Gruppe oder mit der TX-Gruppe verbundene Unternehmen (hier finden Sie eine vollständige Liste aller betreffenden Unternehmen) gemäss vorliegender Ziffer 3 erfolgt grundsätzlich mit pseudonymisierten oder anonymisierten Daten. D. h., dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr Ihnen zugeordnet werden können. Wir stellen innerhalb der Unter- nehmen der TX-Gruppe oder mit der TX-Gruppe verbundene Unternehmen (hier finden Sie eine vollstän- dige Liste aller betreffenden Unternehmen) vertraglich und mittels technischer und organisatorischer Massnahmen sicher, dass eine personenbezogene Identifizierung nicht mehr möglich ist. 53
Die Datenbearbeitungen durch andere Unternehmen der TX-Gruppe oder mit der TX-Gruppe ver- bundenen Unternehmen zu Marketing- und Analysezwecken werden in Ziffer 4 der Datenschut- zerklärung beschrieben: Die Unternehmen der TX-Gruppe oder mit der TX-Gruppe verbundene Unternehmen (hier finden Sie eine vollständige Liste aller betreffenden Unternehmen) haben das Ziel, die Ihnen angebotenen digitalen Ange- bote kontinuierlich zu verbessern und bedarfsgerechter und sicherer auszugestalten. Dazu können laufend unter Einsatz verschiedener Analysetools nutzerspezifische historische und zukünf- tige Daten, über die wir verfügen, miteinander verknüpft und das Nutzerverhalten angebotsübergreifend analysiert, aggregiert, pseudonymisiert und anonymisiert werden. Zur Verbesserung unserer Datenbasis können wir öffentlich erhältliche Daten oder Daten von Drittanbietern hinzuziehen. Die Erkenntnisse aus Ihrer Nutzung unseres Angebotes können im Rahmen der Analyse des Nutzerverhaltens bei anderen teil- nehmenden Unternehmen genutzt und verwertet werden. Eine solche Datenbearbeitung erfolgt vor allem mit pseudonymisierten oder anonymisierten Daten. Die Bearbeitung erfolgt insbesondere zum Zweck, Ihnen gemäss Ziffer 2 personalisierte Werbung zukommen zu lassen oder auf einem unserer Portale anzu- zeigen sowie die Sicherheit unserer Portale zu verbessern. 54
52 Diese Liste der «Unternehmen der TX-Gruppe, die untereinander Daten austauschen» wird laufend auf der Website von TX- Group aktualisiert (entsprechender Verweis in der Datenschutzerklärung von Ricardo): https://www.tamedia.ch/tl_files/con- tent/Group/Datschutzerklaerung/Tamedia_Unternehmen_DE.pdf (Version vom 01.10.2019), https://tx.group/tl_files/con- tent/Group/Datschutzerklaerung/Tamedia_Unternehmen_DE.pdf ( Version vom 15.01.2021). 53 Ziff. 3 der Datenschutzerklärung vom 11. Februar 2020. 54 Ziff. 4 der Datenschutzerklärung vom 11. Februar 2020 («Bearbeitung Ihrer Personendaten zu Marketing- und Analysezwe- cken»).
17/52
2.4.4.2 Verknüpfung der Ausgabedaten/Segmente innerhalb der Tamedia (TX) Gruppe 65. TDA erstellt die Segmentierung sowohl für Ricardo als auch für die anderen Gesellschaften der Tamedia (TX) Gruppe. Dies erlaubt eine Anreicherung der Datensegmente von Ricardo mit wei- teren Daten der anderen Gruppengesellschaften.
Die von der TDA aufbereiteten Daten und aus
55 Gemäss Ricardo/Tamedia (neu: TX Group) findet bis anhin keine solche Anreicherung statt (Schreiben Ricardo vom Januar 2019). 56 Vgl. Sachverhaltsfeststellung vom März 2018. 57 Vgl. Schreiben Ricardo vom März 2019. 58 «Datenbearbeitungen, insbesondere die Verknüpfung oder die Veredelung der Profildaten mit anderen Daten finden aktuell nicht statt. In Zukunft könnte dies aber durchaus eine Option werden» (vgl. Schreiben vom 6. November 2017). «Weder die Be- nutzerdaten von Ricardo noch die aus der Aggregierung resultierenden Segmente werden an Dritte weitergegeben, sei es in- nerhalb oder ausserhalb der Tamedia-Gruppe. Sie werden auch nicht mit weiteren Daten oder Segmenten aus anderen Quellen zusammengeführt. Diese strikte Trennung gilt auch für die verwendeten Cookies» (vgl. Sachverhaltsfeststellung vom März 2018). 59 Siehe Schreiben von Ricardo vom Januar und März 2019. Siehe auch Vertrag IT-Dienstleistungen vom 19. Dezember 2018.
18/52
verschiedenen Quellen zusammengestellten Datensegmente werden anschliessend an die Digi- tal Ad Services AG (DAS AG) für die
digitale Werbeauslieferung 60 übermittelt 61 . Digitale Werbein- halte werden den nach der Segmentzuweisung potentiell interessierten Nutzern beim Besuch der Webseiten oder bei der Nutzung der Anwendungen der Tamedia (TX) -Gruppe ausgespielt. Mit der bedarfsgerechten Ausgestaltung und Auslieferung der digitalen Werbung soll den betreffen- den Nutzern ein Mehrwert geboten und die Attraktivität der Portale für bestehende und potentielle Werbekunden gesteigert werden. 66. Die detaillierten Abläufe und Prozesse werden nachfolgend beschrieben. 2.4.4.3 Datenverarbeitung und -Aufbereitung Ricardo/Tamedia AG (neu: TX Group AG)/DAS AG 67. Bei der Registrierung bei Ricardo wird dem Nutzer automatisiert eine User Identifikationsnummer (UID) zugewiesen, welche Ricardo anhand eines Ricardo-eigenen Algorithmus zu einem Hash- wert (mit Salt 62 ) umwandelt (BID). Die Umwandlung der UID zu BID erfolgt in der Verantwortung und auf den Systemen von Ricardo. 68. Dieser Hashwert (BID) wird zusammen mit den folgenden Kundenstammdaten (Kundendaten) einmal pro Nacht als Batch an TDA übermittelt:
Diese Umwandlung erfolgt auf einem unabhängigen, gesicherten und getrennt unterhaltenen System von Tamedia (TX Group). Tamedia (TX Group) und Ricardo sind zudem vertraglich ver- pflichtet, die von ihnen angewandten Algorithmen gegenüber dem anderen Vertragspartner sowie gegenüber Dritten geheim zu halten und nicht weiterzugeben. 63
Darüber hinaus übermittelt Ricardo dem TDA folgende Angaben über das Nutzungsverhalten von Usern («Nutzungsdaten»), welche Ricardo von allen Usern (registriert oder nicht) entweder beim Surfen auf der Ricardo-Webseite (per Mobile oder Desktop) oder bei der Benutzung der Mobile Applikation von Ricardo erhebt:
60 Im Rahmen einer Reorganisation wurde die Geschäftseinheit Digital Advertising (DAS) per 1. März 2019 in die selbständige Tochtergesellschaft Digital Ad Services AG (DAS AG) ausgelagert (vgl. Schreiben Ricardo, 20. März 2019). 61 Vgl. Schreiben Ricardo vom 20. März 2019. 62 Um eine Entschlüsselung der Ausgabedaten (Bruteforcing) zu verhindern, fügt Ricardo dem Eingabewert (UID) vor der Um- wandlung eine zufällige Zeichenfolge hinzu (sog. Salt). 63 Vgl. Vertrag für die Erbringung von IT-Leistungen vom 17. Dezember 2018 zwischen ricardo.ch AG und Tamedia AG.
19/52
In der Datenschutzerklärung wird festgehalten, dass alle Informationen zu den aktuellen Einkäu- fen und Vertragsschlüssen (Produkte, Dienstleistungen, Zahlungsbetrag) gespeichert und für Marketing und Analysezwecke verwendet werden dürfen (vgl. Ziffer 2.3.4 vorstehend) – unter an- derem mit Verweis auf Ziffer 4 der Datenschutzerklärung. Nach den Aussagen von Ricardo/TX Group würden diese Daten jedoch von Ricardo selber für eigene Marketing- und Werbezwecke verwendet. Die entsprechenden Datenbearbeitungen würden mit dem gruppenweiten Datenaus- tausch nichts zu tun haben. 64
Im Rahmen eines automatisierten Aggregierungsprozesses führt TDA die oben genannten Aus- gabedaten und Nutzungsdaten zu einheitlichen Segmenten zusammen, indem die Nutzungsda- ten und auf Basis der Nutzungsdaten Affinitäten und andere Prognosen den Ausgabedaten (also: BID, Quellenangabe, E-Mail-Adresse-Hashwert, Geschlecht, Alter +/- 10, Land/Kanton/ZIP-Code) zugewiesen werden (Segmentierung). Auf Basis des Hashwerts der E-Mail-Adresse führt TDA die Verknüpfung und Konsolidierung der Ausgabedaten durch und sorgt auf diese Weise für eine Verbesserung der Qualität der Datenbasis und Segmente. Dies bedingt, dass der E-Mail-Hash- wert in allen Fällen gleich erzeugt wird, weshalb das «Hashing» der E-Mail-Adressen als Be- standteil der IT-Dienstleistung zentral von TDA durchgeführt wird.
Dieses Ergebnis, basierend auf den von der TDA aufbereiteten Daten und aus verschiedenen Quellen zusammengestellten Datensegmente (s. oben) wird von TDA an die DAS AG übermittelt, welche anhand aller Datensegmente zentral auf den Webseiten der einzelnen Tamedia (TX)- Gruppengesellschaften zielgruppenspezifisch digitale Werbung vermarktet und ausliefert. Ge- mäss der Website von Tamedia stehen, neben «soziodemografische Merkmale», aktuell etwa hundert Segmente («Interessen und Kaufabsichten») zur Verfügung. 65 Zudem kann die Werbung auch inhaltsbezogen, nach den Wetterbedingungen oder der Geolokalisierung erfolgen.
TDA wendet dabei vor der Übermittlung an DAS einen «k-50-Anonymisierungsfilter» an, der si- cherstellt, dass die Anzahl Personen pro Segment nicht unter den Schwellenwert von 50 fällt.
Die Auslieferung digitaler Werbung erfolgt auf der Basis von Cookies. Die Segmente sind in der Data Management Platform ("DMP") von DAS hinterlegt. Das Cookie («third party cookie») ent- hält die «Ad-lD» sowie die entsprechenden «Segment-lDs». Diese Segmente basieren auf den bei den Gesellschaften der Tamedia (TX)-Gruppe erhobenen Informationen. Über diese Ad-Id kann der Ad-Server die Zuordnung der betreffenden Ad-lD zu den für die aktiven Kampagnen de- finierten Segmenten vornehmen. Mit anderen Worten: Der Abgleich Cookie zu Segment und die Ausspielung zielgruppenorientierter, digitaler Werbung wird über die im Cookie hinterlegten ID's (Ad-lD, Segment-lD's) gesteuert. 66
Die Zuweisung des Cookies im Browser findet automatisiert beim Aufruf einer Webseite durch den betreffenden User statt. Ruft ein Nutzer eine (Tamedia-)Website auf, werden diese Informati- onen ausgelesen, und basierend darauf wird automatisiert eine Zuordnung zu einem bestimmten zielgruppenspezifischen Segment vorgenommen. Auf Basis dieser Segmentszuordnung wird dann Werbung digital ausgeliefert.
64 Vgl. Stellungnahme Ricardo/TX-Group 16.01.2020. 65 Aktuell stehen nach Tamedia-Website etwa hundert Segmente zur Verfügung: Neben den “sozio-demografische Segmente sind auch insbesondere «Interessen und Kaufabsichten»-Segmente zu finden, zum Beispiel “Moto seekers”, “Family car resear- chers”, “Watch lovers”, “Music instrument buyers”, “Animal accessories seekers”, “DIY buyers”, “Family product buyers”, “Toys”. Weitere Segmente in den Bereichen Automotive, Fashion & Beauty, Sport, Entertainment, Lifestyles, Techies, Online-Shopper, Business Finance, Real Estate. Diese Segmente basieren einerseits auf den bei den Tamedia-Gesellschaften (u.a. Ricardo) registrierten Daten, andererseits auf der Nutzung der Tamedia-Webseiten, inkl. der Plattformen von Ricardo s. https://www.ta- media.ch/de/werbung/data-targeting/ueberischt und https://www.tamedia.ch/de/werbung/data-targeting/produkte (letztens be- sucht am 11.09.2019). 66 Vgl. Schreiben Ricardo/Tamedia vom März 2019.
20/52
2.4.5 Anonymisierung/Pseudonymisierung 78. Ricardo/Tamedia (TX Group) weist darauf hin, dass die Weitergabe innerhalb der Tamedia (TX)- Gruppe im Auftrag geschieht und die aggregierten Daten für Tamedia (TX Group) keinen Rück- schluss mehr auf eine bestimmte oder bestimmbare Person zulassen würden. Für Tamedia (TX Group) stellen diese Daten folglich nicht mehr Personendaten dar, und deren Bearbeitung fällt nicht unter das DSG. Ricardo beschreibt die «Ausgabedaten» und die «Nutzungsdaten» sowie die daraus erstellten (einheitlichen) Segmente als «anonym» und geht davon aus, dass diese nicht personenbezogen im Sinne des DSG sind (BID / Ad-Id als «anonymer Identifikator»). 79. Mit anderen Worten: Aufgrund der beschriebenen Anonymisierungs- und Aggregierungsprozess bzw. den technischen und organisatorischen Massnahmen geht Ricardo davon aus, dass eine Reidentifizierung der Ricardo-Kunden oder Nutzer zu keinem Zeitpunkt möglich ist. Bei der Aus- lieferung von digitalen Werbeinhalten bzw. zielgruppenspezifischer Werbung finde keine Identifi- zierung der betreffenden Person statt, und somit würden keine personenbezogenen Daten ver- wendet. 67
2.5 Information und Widerspruchsmöglichkeiten 2.5.1 Information und Ablauf bei einer neuen Anmeldung/Registrierung bei Ricardo 81. Um sich als neues Mitglied zu registrieren, muss der Nutzer bei der ersten Anmeldung/Registrie- rung auf ricardo.ch oder autoricardo.ch die AGB und die Datenschutzerklärung vollumfänglich ak- zeptieren 69 . Auf dem Anmeldeformular weist ein Text unter dem Anmeldebutton darauf hin, dass Beides mit der Anmeldung akzeptiert wird. Beide Dokumente werden verlinkt.
2.5.2 Information über die Änderung der Datenschutzerklärung an die Ricardo-Mitglieder 82. Ricardo-Mitglieder wurden über die neu geltende Datenschutzerklärung in deren Fassung von 2017 und 2018 per E-Mail informiert 70 . Zusätzliche Informationen wurden mit der neuen Daten- schutzerklärung auf der Website von ricardo.ch aufgeschaltet.
2.5.2.1 Datenschutzerklärung vom 27. Juli 2017 83. Ricardo hat seine bestehenden Mitglieder am 12. Juli 2017 per E-Mail über die Änderungen der Datenschutzerklärung informiert. Der Mitteilung war unter anderem zu entnehmen, dass mit der neuen Datenschutzerklärung für die Nutzer relevante Angebote und Dienstleistungen angezeigt und so das Online-Erlebnis wie auch die Sicherheit verbessert werden können. 84. Weiter wurde ausgeführt, dass bestehende Nutzer mit der Weiterverwendung ihres Accounts ab demselben Tag die neue Datenschutzerklärung automatisch akzeptiert haben. 85. Die Information lautete wie folgt:
67 Vgl. Schreiben Ricardo/Tamedia vom Januar 2019. 68 Vgl. Vertrag für die Erbringung von IT-Leistungen vom 17. Dezember 2018 zwischen ricardo.ch AG und Tamedia AG. 69 Mittlerweile (ab März 2020) muss die Datenschutzerklärung nicht mehr akzeptiert werden, aber in Kenntnis genommen wer- den. 70 Die Ergänzung der Datenschutzerklärung in der Fassung vom 30. März 2019 wurde den Ricardo-Kunden nicht separat (per E-Mail) kommuniziert, da Letztere von den dabei neu eingeführten Datenbearbeitungen (Ziffer 12: «Standortinformationen») inhaltlich nicht betroffen sind. Über die Mobile-Applikation von Ricardo werden keine Standortdaten erfasst. (Vgl. Stellungnahme Ricardo/TX-Group vom 16.01.2020).
21/52
Gerne informieren wir Sie über die neue Datenschutzerklärung von ricardo.ch, welche am 12. Juli 2017 in Kraft treten wird. ZUR DATENSCHUTZERKLÄRUNG Wieso wurde die Datenschutzerklärung geändert? Die Datenschutzerklärung wurde innerhalb der Mediengruppe Tamedia harmonisiert, um den internen Datenaustausch zu ermöglichen. Was genau ändert sich? Mit der neuen Datenschutzerklärung können wir Ihnen für Sie relevante Angebote und Dienstleistungen anzeigen und Ihr Online-Erlebnis sowie die Sicherheit unserer Angebote verbessern. Damit erhöht sich der Schutz vor Online-Betrug und -Missbrauch. Indem Sie die Dienstleistungen von ricardo.ch oder autoricardo.ch am oder nach dem 12. Juli 2017 ver- wenden, akzeptieren Sie die neue Datenschutzerklärung automatisch. Falls Sie damit nicht einverstanden sind, können Sie innert 14 Tagen per E-Mail an datenschutz@ricardo.ch oder schriftlich per Post wider- sprechen. Der Widerspruch hat eine Auflösung der Mitgliedschaft zur Folge. Wir danken Ihnen für Ihre Treue! Ihr ricardo.ch-Team 71
Mittels Klicks auf einen Link konnte auf die neue Datenschutzerklärung zugegriffen werden. 86. Die seit dem 27. Juli 2017 geltende Datenschutzerklärung (und damit auch die Datenweitergabe innerhalb der Tamedia-Gruppe) galt als automatisch akzeptiert, wenn das Mitglied die Dienstleis- tungen von ricardo.ch oder autoricardo.ch ab dem 12. Juli 2017 weiterhin verwendete oder der Datenschutzerklärung nicht innert 14 Tagen (bis zum 27. Juli 2017) widersprach. Der Wider- spruch hatte eine Auflösung der Mitgliedschaft zur Folge. 87. Ricardo teilte denjenigen, die der neuen Datenschutzerklärung auch nur hinsichtlich der Bearbei- tungen für personenbezogene Analyse- und Marketingzwecke widersprochen haben, denn auch mit, dass ihr Benutzerkonto geschlossen wurden. Gemäss Ricardo war dieser Ausschluss jedoch nicht beabsichtigt 72 . 88. Eine Deaktivierung des Nutzungsdaten-Trackings (bei Tamedia) war/ist zu diesem Zeitpunkt mit- tels einem Opt-out-Cookie jedoch möglich. (vgl. konkrete Umsetzung, nachfolgend unter Ziffer 2.5.3). Ein Widerspruch zum Datenaustausch innerhalb Tamedia war hingegen nicht möglich.
2.5.2.2 Datenschutzerklärung vom 25. Mai 2018 und folgende Versionen 90. Am 9. Mai 2018 wurden die Ricardo-Mitglieder per Mail auf die neue ab 25. Mai 2018 geltende Datenschutzerklärung aufmerksam gemacht.
71 E-Mail Ricardo vom 12. Juli 2017. 72 Schreiben Ricardo vom März 2018: „Sollten Mitglieder einzig auf Grund eines Widerspruchs dagegen unter den neuen Daten- schutzerklärung 12./27. Juli 2017 ausgeschlossen worden sein, war dies nicht beabsichtigt“.
22/52
Wir aktualisieren die Datenschutzerklärung von ricardo.ch per 25. Mai 2018, um mit der neuen strengeren EU-Verordnung zum Schutz von personenbezogenen Daten (DSGVO) Schritt zu halten. Damit erhalten Sie mehr Kontrolle über Ihre Daten. Die wichtigste Neuerung der Datenschutzerklärung besteht darin, dass Sie neu die Möglichkeit haben, gewissen Datenbearbeitungen zu widersprechen. (...) 73
In der Datenschutzerklärung vom 25. Mai 2018 sowie in den folgenden Versionen steht nun Fol- gendes: Sie können der Verarbeitung Ihrer Daten zu Marketing- und Werbezwecken sowie der Weitergabe Ihrer Daten innerhalb der TX-Gruppe gemäss 2 und 4 jederzeit per E-Mail widersprechen. Ein solcher Widerspruch schliesst die Erhebung von Personendaten nicht gänzlich aus. Unter folgendem Link 74 können Sie die Erfassung Ihrer Nutzungsdaten durch uns verhindern. Der Widerspruch schliesst le- diglich aus, dass erhobene Personendaten nicht anonymisiert für Marketingzwecke bearbeitet und zu die- sem Zweck auch an andere Unternehmen weitergeleitet und von diesen analysiert werden können. Um die Erhebung von Personendaten gänzlich auszuschliessen oder zumindest zu reduzieren müssen die in Ziffer 10 erwähnten Schritte betreffend Deaktivierung von Cookies befolgt werden. Dies kann zur Folge haben, dass Sie die von Ihnen bezogenen Dienste nicht mehr weiter beziehen oder nutzen können. 75
Das Dokument «Zusammenfassung der Datenschutzerklärung per 25. Mai 2018» 76 diente dazu, die häufig gestellten Fragen zur entsprechenden Änderung darzustellen. Nach allgemeinen Fra- gen und Antworten über die DSGVO wurden die «wichtigsten Änderungen der Datenschutzerklä- rung» aufgelistet. Insbesondere wurde auf eine neue Opt-out-Möglichkeit hingewiesen: «Neu ha- ben Sie die Möglichkeit, der Weitergabe Ihrer Daten zu Marketing und Werbezwecken zu wider- sprechen.». Der Grund des Datenaustausches innerhalb der Tamedia wurde wie folgt erklärt: Warum gibt es überhaupt eine interne Weitergabe bei Tamedia? Ein wichtiger Grund für die Weitergabe ist die Verbesserung der Sicherheit für die Mitglieder, um bei- spielsweise Online-Betrug besser vorzubeugen. Dies wird ermöglicht, indem Informationen bei Verdachts- fällen zwischen den Online-Plattformen von Tamedia ausgetauscht werden können. Zudem möchten wir in Zukunft für Sie relevantere und auf Ihre Bedürfnisse zugeschnittene Werbung anzeigen. Wenn Sie dies aber nicht möchten, können Sie uns das hier mitteilen. 77
Demnach sollte also ab dem 25. Mai 2018 neu möglich sein, dem Datenaustausch innerhalb der Tamedia-Gruppe zu widersprechen. Durch Anklicken auf den oben aufgeführten Link, konnte der eingeloggte Nutzer an einer Sektion der Seite help.ricardo.ch mittels der Option «Abmeldung Da- tenaustausch Tamedia» und Eingabe der E-Mail-Adresse das entsprechende Opt-out vorneh- men. Zu dieser Widerspruchsmöglichkeit, welche in der Zwischenzeit nicht mehr angeboten wird, führte der Datenschutzverantwortliche von Ricardo/TX Group in seiner Stellungnahme vom 25. März 2020 folgendes aus: «Inwiefern (...) ab 25. Mai 2018 ein Opt-out unter Angabe der E-Mail- Adresse über «Abmeldung Datenaustausch Tamedia unter Help Ricardo» möglich war, entzieht sich meiner Kenntnis».
In seiner Stellungnahme vom 16. Januar 2020 zum Sachverhalt führte Ricardo/TX Group aus, die in der Datenschutzerklärung erwähnte Widerspruchsmöglichkeit per E-Mail 78 betreffe die Daten- nutzung für Marketing-Massnahmen durch Ricardo bzw. die betreffenden Gruppengesellschaften
73 Vgl. E-Mail von Ricardo vom 9. Mai 2018. 74 Verweis auf https://www.tamedia.ch/de/datenschutzerklaerung/nutzungsdaten. 75 Vgl. Ziff. 6 der Datenschutzerklärung vom 11. Februar 2020 («Anspruch auf Auskunft, Berichtigung, Löschung und Be- schwerde»). 76 Am 25.09.2018 besucht; das betreffende Dokument befindet sich nicht mehr auf der Website von ricardo.ch. 77 Dokument «Zusammenfassung der Datenschutzerklärung per 25. Mai 2018». 78 «Sie können der Verarbeitung Ihrer Daten zu Marketing- und Werbezwecken sowie der Weitergabe Ihrer Daten innerhalb der TX-Gruppe gemäss 2 und 4 jederzeit per E-Mail widersprechen». Datenschutzerklärung, Ziffer. 6.
23/52
selber. Dabei gehe es um Datenbearbeitungen, die mit der gruppenweiten Datennutzung nichts zu tun haben. 79
2.5.3 Konkrete Widerspruchsmöglichkeiten und Umsetzung 95. Gemäss Ricardo und TX Group stehen den Nutzern somit die folgenden Widerspruchsmöglich- keiten zur Verfügung 80 :
Widerspruch zu den Marketing-Massnahmen von Ricardo per E-Mail: Die in der Datenschut- zerklärung erwähnte Widerspruchsmöglichkeit per E- Mail 81 betrifft lediglich die Datennut- zung für Marketing-Massnahmen durch Ricardo bzw. die betreffenden Gruppengesellschaf- ten selber. Ein Widerspruch zum Datenaustausch innerhalb der Gruppe per E- Mail sei hin- gegen - nicht möglich. Ricardo/TX Group hielt dazu fest, dass dies nicht durchsetzbar wäre, weil TX Group (TDA) die E-Mail-Adressen der betreffenden Nutzer nicht bekannt sei. 82
Widerspruch Nutzungsdaten-Tracking durch Einsatz eines Opt-out-Cookies: Über einen in der Datenschutzerklärung angegebenen Link wird den Nutzern der Plattformen der Tame- dia/TX-Group geboten, dem Nutzungsdaten-Tracking innerhalb der Gruppe zu widerspre- chen (dieser Link/URL der Tamedia/TX Group wird in der Datenschutzerklärung unter Ziff. 6 Anspruch auf Auskunft, Berichtigung, Löschung und Beschwerde sowie unter Ziff. 10 «Tra- cking und Analyse-Tools» angegeben).
Ein Widerspruch per E-Mail hat zur Folge, dass ein betreffender Nutzer für Marketingmass- nahmen durch Ricardo (bspw. Newsletter) gesperrt wird bzw. die ihn betreffenden Daten für diesen Zweck nicht mehr verwendet werden. Der Nutzer bekommt keine Werbe-Mitteilungen mehr. Die Einstellungen betreffend den Newsletter können auch im Benutzer-Konto geän- dert werden (An-/ Abmeldung). Weitere Marketingmassnahmen von Ricardo und welche Auswirkung ein allfälliges Widerspruchsbegehren auf sie hätte sind nicht bekannt.
Über den angegebenen Link der TX Group kann das Opt-out-Cookie auf dem Endgerät des Nutzers installiert werden. So kann die Erhebung von Nutzungsdaten durch Tracking-Coo- kies unterbunden werden: Das eingesetzte Opt-out-Cookie wird bei jedem künftigen Besuch der Plattformen der TX Group (u.a. Ricardo) erkannt 83 . Das Opt-out-Cookie dient dazu, dass die Nutzungsdaten, welche in der Regel zusammen mit dem BID, das einem bestimmten re- gistrierten Ricardo-Nutzer zugeteilt wurde, erhoben werden, nunmehr mit einem auf null (0) gesetzten BID erhoben werden. Somit können die Angaben zum Browsertyp, Betriebssys- tem, Internet Service Provider, aufgerufene Webseiten (Referenz-/Exit-Seiten), aufgerufenen digitale Angebote sowie Zeitpunkt und Dauer des Besuchs keinem registrierten Nutzer mit- tels Verknüpfung des BIDs zugeordnet werden. 84 Dies hat als Folge, die Lieferung von auf Nutzungsdaten-Tracking basierten Werbung zu verunmöglichen.
2.6 Relevante Neuerungen zum Sachverhalt nach der Gründung der SMG AG 97. Im Rahmen der Umstrukturierung wurde die für die Ricardo-Nutzer geltende Datenschutzerklä- rung überarbeitet. Mit der Einführung von Consent-Management-Plattformen (CMP) sollen die Ricardo-Nutzer die Cookies-Einstellungen verwalten können.
79 Vgl. Stellungnahme Ricardo/TX-Group 16.01.2020. 80 Vgl. Stellungnahme Ricardo/TX-Group 16.01.2020. 81 «Sie können der Verarbeitung Ihrer Daten zu Marketing- und Werbezwecken sowie der Weitergabe Ihrer Daten innerhalb der TX-Gruppe gemäss 2 und 4 jederzeit per E-Mail widersprechen». Datenschutzerklärung, Ziffer. 6. 82 Vgl. Stellungnahme Ricardo/TX-Group 16.01.2020. 83 Werden ein anderer Browser oder ein anderes Gerät verwendet oder die Cookies gelöscht, muss der Deaktivierungsvorgang erneut durchgeführt werden, um das Nutzungsdatentracking zu unterbinden. 84 Vgl. Schreiben Ricardo/Tamedia AG vom Januar und März 2019.
24/52
2.6.1 Neu geltende Datenschutzerklärung 98. Der EDÖB stellte fest, dass die Datenschutzerklärung im Zuge der Umstrukturierung überarbei- tet wurde und dass eine neue Datenschutzerklärung für die Plattformen von Ricardo (sowie sämtliche SMG-Portale) gilt bzw. auf der Website von Ricardo aufgeschaltet wurde. Die Ri- cardo-Nutzer wurden mittels eines Informationsbanners auf den Landingpages darüber infor- miert, dass sich die Datenschutzerklärung geändert hat. 85 Für die sogenannten «TX Daten-An- gebote» (Portalen der TX Group wie zum Beispiel ricardo.ch, carforyou.ch, tutti.ch, home- gate.ch, 20minuten.ch, immostreet.ch, etc.) wurden zudem eigene, separate Datenschutzhin- weise erarbeitet, welche die betroffenen Nutzer darüber informieren sollen, welche Daten und zu welchen Zwecken im Rahmen der TX Daten-Angebote (inkl. die Angebote von Ricardo) be- arbeitet werden. 86
SMG bzw. die SMG Gruppe sind verantwortlich für die Bearbeitung Ihrer Daten, die im Rahmen unserer Angebote oder Zusammenarbeit mit Ihnen gesammelt oder erhalten oder für andere Zwecke, wie in dieser Datenschutzerklä- rung definiert, bearbeitet werden. 101. Unter einem weiteren Kapitel (3. Umfang, Zweck und Rechtsgrundlage der Bearbeitung Ihrer Daten) wird beschrieben, zu welchen Zwecken die Daten bei der Nutzung der Angebote der SMG Gruppe «grundsätzlich» bearbeitet werden.
3.9 Marketing- und Analysezwecke Mit Ihrer Registrierung oder der Bestellung als Gast über eines unserer Angebote können wir Ihre Daten auch für personalisierte Werbemassnahmen von uns sowie von mit uns verbunden Unternehmen, von Dritten und von unseren Aktionären verwenden. Personalisierte Werbemassnahmen umfassen insbesondere die Personalisierung von Werbung mittels digitaler Werbeanzeigen auf unseren Web-Angeboten und Mobile-Applikationen, per E- Mail, wie beispielsweise E-Mails mit allgemeinen Informationen oder werbendem Charakter (Newsletter), per
85 Vgl. Schreiben TX Group vom 10. Februar 2022. 86 Vgl. Schreiben TX Group vom 10. Februar 2022. 87 Die Datenschutzerklärung der SMG Swiss Marketplace Group AG vom 11. November 2021 ist Bestandteil des vorliegenden Sachverhalts.
25/52
Telefon, Post, Telefax, Textnachrichten, Bildnachrichten sowie auf Instant Messaging Diensten. Am Ende jedes von der uns versendeten E-Mails findet sich ein Link, über den Sie den Newsletter jederzeit abbestellen können. Den Newsletter können Sie auch jederzeit per E-Mail an kundendienst@ricardo.ch abbestellen. Wir schicken Ihnen nur Newsletter, sofern diese ähnlichen Angebote betreffen oder Sie ausdrücklich zugestimmt haben. Ansonsten liegt die Auslieferung von personalisierten Inhalten und Werbung, z.B. auf unseren Portalen oder Portalen von mit uns verbundenen Unternehmen, in unserem berechtigten Interesse gemäss anwendbarem Datenschutzrecht, Ihnen unsere Produkte oder Dienste anzubieten, die Sie interessieren könnten sowie unsere Angebote optimal zu vermarkten. Sofern eine vorgängige Einwilligung, insbesondere zur Bearbeitung Ihrer Daten durch mit uns verbundene Unternehmen oder durch unsere Aktionäre notwendig ist, holen wir diese vorgängig ein. Dazu können laufend unter Einsatz verschiedener Analysetools nutzerspezifische historische und zukünftige Da- ten, über die wir verfügen, miteinander verknüpft und das Nutzerverhalten angebotsübergreifend analysiert, ag- gregiert, pseudonymisiert und anonymisiert werden. Zur Verbesserung unserer Datenbasis können wir öffentlich erhältliche Daten oder Daten von Drittanbietern hinzuziehen. Die Erkenntnisse aus Ihrer Nutzung unseres Ange- botes können im Rahmen der Analyse des Nutzerverhaltens bei anderen teilnehmenden Unternehmen genutzt und verwertet werden. Eine solche Datenbearbeitung erfolgt grundsätzlich mit pseudonymisierten oder anonymi- sierten Daten. Sie können dieser Bearbeitung Ihrer Daten jederzeit widersprechen in dem Sie sich per E-Mail an kundendienst@ricardo.ch wenden. 103. Der letzte Absatz entspricht der Formulierung der früheren Datenschutzerklärung (vgl. Rz. 56). Hier wird auch eine Widerspruchsmöglichkeit per E-Mail an den Kundendienst von Ricardo ex- plizit erwähnt. Gestützt auf die Aussagen der TX Group, dass die Datenbearbeitungen nach dem 28. Februar 2020 grundsätzlich nicht geändert wurden, wird davon ausgegangen, dass die in der Datenschutzerklärung erwähnte Widerspruchsmöglichkeit per E-Mail nach wie vor 88
die Datennutzung für Marketing-Massnahmen durch Ricardo bzw. die betreffenden Gruppengesell- schaften selber betrifft. Dabei geht es um «Datenbearbeitungen, die mit der gruppenweiten Da- tennutzung nichts zu tun haben» 89 . Ein Widerspruch per E-Mail zum Datenaustausch innerhalb der Gruppe ist nach wie vor nicht möglich.
88 V gl. Rz 94/95. 89 V gl. Stellungnahme Ricardo/TX-Group 16.01.2020.
26/52
den zur SMG Gruppe gehörenden Plattformen, um ein übergreifendes Profil zu erstellen, das die verschiedenen- Plattformen für die Steuerung von Werbung, für Marketing und für Analysen nutzen können. Namentlich sind dies folgende Plattformen: ImmoScout24, Homegate, Immostreet.ch, home.ch, Publimmo, Acheter-Louer.ch, CASA- SOFT, IAZI, AutoScout24, MotoScout24, CAR FOR YOU, anibis.ch, tutti.ch, Ricardo, FinanceScout24.] II Weitergabe an Aktionäre der SMG Gruppe Wir können Ihre Daten an die Aktionäre der SMG Gruppe [...] weitergeben. Die Aktionäre dürfen ihrerseits die Daten ihren gehaltenen Tochtergesellschaften weitergeben, sofern sie Ihre Daten nur zu den gleichen Zwecken bearbeiten (nachfolgend beschrieben), wie dies die Aktionäre selber tun dürfen. Eine Weitergabe erfolgt zur Auswertung, Verbesserung und bedarfsgerechten Ausgestaltung der Produkte und Dienste unserer Aktionäre, zur Personalisierung, zu Marketingzwecken sowie zur Betrugs- und Missbrauchsbe- kämpfung. Eine Weitergabe der Daten wie hierin beschrieben erfolgt nur, sofern dies rechtlich zulässig ist oder wir Ihre Einwilligung vorab bei Ihnen eingeholt haben. Eine solche Einwilligung kann jederzeit widerrufen werden. Die TX Group AG unterhält eine Reihe von Daten- Angeboten zugunsten anderer Unternehmen (angeschlossene Unternehmen). Die SMG Gruppe bezieht bei der TX Group AG ebenfalls solche Leistungen. Diese Daten-Angebote können das Nutzererlebnis auf Plattformen von angeschlossenen Unternehmen personalisieren (z.B. durch Emp- fehlungen von Inhalten), Betrugs-Aktivitäten auf Plattformen besser erkennen, auf den eigenen Plattformen ziel- gruppenspezifische Werbung anzeigen («ad targeting») oder personalisierte Werbung auf den Plattformen weite- rer anderer angeschlossenen Unternehmen anzeigen («ad retargeting»). Weitere Informationen über die Verar- beitung Ihrer Daten durch die TX Group Daten-Angebote finden Sie hier. 105. Wenn man auf «hier» klickt, gelangt man auf eine Webseite der TX Group «Datenschutzhin- weise zu den TX-Daten-Angeboten» 90
: Die TX Group AG unterhält eine Reihe von Daten-Angeboten zugunsten von Unternehmen (nachfolgend «ange- schlossene Unternehmen» sowie «TX Daten-Angebote»). TX Group AG kann den angeschlossenen Unternehmen in diesem Rahmen aggregierte, nicht personenbezogene Daten zur Verfügung stellen (im Folgenden jeweils «Da- ten» genannt), d.h. bestimmte Aussagen über grössere Nutzergruppen. Diese Unternehmen können durch die Verwendung solcher Daten das Nutzererlebnis auf ihren Plattformen personalisieren (z.B. durch Empfehlungen von Inhalten), Betrugs-Aktivitäten auf Plattformen besser erkennen, auf den eigenen Plattformen zielgruppenspe- zifische Werbung anzeigen («ad targeting») oder personalisierte Werbung auf den Plattformen weiterer anderer angeschlossenen Unternehmen anzeigen («ad retargeting»). Diese Personalisierung des Nutzererlebnisses durch die angeschlossenen Unternehmen erfolgt in der Regel auf nicht-personenbezogener Basis, d.h. ohne die von der TX Group AG erhaltenen Angaben einzeln bekannten Nutzern zuzuordnen. Soweit ein angeschlossenes Unterneh- men von der TX Group AG erhaltene Daten demgegenüber Ihnen persönlich zuordnet (z.B. wenn Sie sich durch eine Registrierung identifiziert haben), untersteht die entsprechende Datenbearbeitung separaten Datenschutzer- klärungen des betreffenden Unternehmens (Ziff. 3). In diesen Datenschutzhinweisen informieren wir Sie aus Transparenzgründen über den Umgang mit solchen Da- ten im Rahmen der TX Daten-Angebote. Sie gelten für alle Nutzer der Plattformen der angeschlossen Unterneh- men. 106. Diese Datenschutzhinweise sollen über den Umgang mit den Daten, welche im Rahmen der TX Daten-Angebote bearbeitet werden, informieren. Diese zusätzliche Datenschutzerklärung soll für alle Nutzer der Plattformen der angeschlossenen Unternehmen 91 , somit auch für die Ri- cardo-Nutzer, gelten. 107. In der Einleitung der Datenschutzerklärung der SMG steht dazu: «Wir können Ihnen zusätzliche Datenschutzerklärungen zur Verfügung stellen, wenn wir dies für sinnvoll halten. Solche zusätz- lichen Datenschutzerklärungen ergänzen diese Datenschutzerklärung und müssen mit dieser zusammengelesen werden».
90 Vgl. URL https://tx.group/de/datenschutzerklaerung/datenschutzhinweise-zu -den-tx-daten-angeboten. Diese Seite (besucht am 11.04.2023) ist auch Bestandteil des vorliegenden Sachverhalts. 91 Liste angeschlossener Unternehmen TX Data Services (09.11.2021): Tamedia Publikationen Deutschschweiz AG, Tamedia Finanz und Wirtschaft AG, Tamedia Publications romandes SA, Tamedia Basler Zeitung AG, Tamedia ZRZ AG, Tamedia Espace AG, Tamedia Abo Services AG, SMG Swiss Marketplace Group AG, CAR FOR YOU AG, ImmoStreet.ch S.A., Ricardo AG, Goldbach NeXT AG, Goldbach Publishing AG, Jaduda GmbH, Neo Advertising SA, Swiss Radioworld AG.
27/52
Widerspruchsrecht Sie können der Bearbeitung Ihrer Daten zu Marketing- und Analysezwecken sowie der Weitergabe Ihrer Daten innerhalb der SMG Gruppe gemäss Kapitel 3.9 jederzeit per E-Mail an kundendienst@ricardo.ch widersprechen. Ein solcher Widerspruch schliesst die Erhebung von personenbezogenen Daten nicht gänzlich aus, sondern nur für Marketing- und Analysezwecke sowie für die Weitergabe Ihrer Daten innerhalb der SMG Gruppe gemäss Kapitel 3.9. Darüber hinaus können Sie jeglicher Datenbearbeitung, die auf einem berechtigten Interesse von uns beruht, per E-Mail an kundendienst@ricardo.ch widersprechen, wenn Sie Gründe, die sich aus ihrer besonderen Situa- tion ergeben, darlegen können. Für TX Group Daten-Angebote: Über den Link «Voreinstellungen verwalten» in der Fusszeile der Hauptseite dieser Webseite bzw. in den Einstellungen der Mobile App gelangen Sie zum Cookie Preference Center. Um die Bearbei- tung Ihrer Daten durch die TX Group Daten-Angebote (vgl. Kapitel 5.3 [sic] 92 und weiterer Technologien zu deakti- vieren, können Sie alle im Cookie Preference Center aufgelisteten Bearbeitungszwecke, zu denen eine Datenbear- beitung durch die TX Group Daten-Angebote unterbunden werden soll, ausschalten. Zusätzlich haben Sie die Mög- lichkeit, im Cookie Preference Center in der Liste der Lieferanten die TX Group AG zu deaktivieren. Detaillierte Informationen zu den Bearbeitungszwecken finden Sie im Cookie Preference Center. Nach der Vornahme Ihrer Cookie-Einstellungen wird ein Cookie in Ihrem Browser bzw. auf Ihrem Endgerät gespeichert. Wenn Sie den Brow- ser wechseln, ein anderes Gerät verwenden oder Ihre Cookies löschen, müssen Sie den Deaktivierungsvorgang erneut durchführen. 2.6.2 CMP 109. Im Sommer 2021 informierte der DPO der TX Group den EDÖB über die schrittweise Einfüh- rung von Consent Management Plattformen auf den Portalen der TX Group (z.B. Ricardo, Carforyou, Tutti, 20 Minuten, Homegate). Dadurch sollen die Nutzer «ihre Privatsphäre-Einstel- lungen» verwalten können und «insbesondere auch die Datenbearbeitungen im Zusammen- hang mit den TX Daten-Angeboten unterbinden». 93
autonom umgesetzt, weshalb die CMP-Lösung nicht gleich bzw. einheitlich erfolgen soll. 95
92 Falscher Verweis, richtig wäre 5.2. 93 Schreiben TX Group vom 10. Februar 2022. 94 Vgl. interne Guideline zur Konfiguration einer Consent Management Plattform. 95 Schreiben Ricardo/TX Group vom 3. August 2021.
28/52
Datenschutzrechtliche Beurteilung 3.1. Bearbeitung von Personendaten und Anwendbarkeit des DSG
Das Bundesgesetz vom 19. Juni 1992 über den Datenschutz ist auf das Bearbeiten von Perso- nendaten durch private Personen anwendbar (Art. 2 Abs. 1 lit. a DSG). Unter «Bearbeiten» wird jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Aufbewahren, Verwenden, Umarbeiten, Bekanntgeben, Archivie- ren oder Vernichten von Daten verstanden (Art. 3 lit. e DSG). Als «Personendaten» im Sinne von Art. 3 lit. a DSG gelten alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen. Liegen keine Personendaten vor, kommt das DSG nicht zur Anwendung. Das nDSG sieht diesbezüglich keine Änderungen vor, abgesehen davon, dass unter Personen neu nur noch natürliche Personen verstanden werden. 3.1.1. Datenbearbeitungen bei Ricardo und weitere Datenverwendung durch TX Group
Bei der Benützung der Auktionsplattformen von Ricardo.ch werden verschiedene Daten zu di- versen Zwecken erfasst, weitergegeben, verarbeitet und analysiert (siehe dazu Ziffer 2.3 und 2.4 der Sachverhaltsfeststellung 96 ).
Die Erfassung der Daten bei der Anmeldung sowie weitere Bearbeitungen von Daten der Ri- cardo-Kunden durch Ricardo stellen zweifellos Bearbeitungen von Personendaten im Sinne von Art. 2 DSG i.V.m. Art. 3 Bst. a und e DSG dar.
Wie im Sachverhalt ausgeführt, übermittelt Ricardo der TX Group AG Nutzungsdaten 97 aller Nutzerinnen und Nutzer, zusammen mit einer pseudonymisierten Identifikationsnummer (BID oder Ad-ID). Bei registrierten Nutzern werden zusätzlich E-Mail-Adresse, Name, Vorname, Ad- resse, Geburtsdatum 98 weitergegeben. Diese personenbezogenen Daten werden umgehend in Ausgabedaten umgewandelt und erst dann im System der TX Group gespeichert. Auf der Basis der erhaltenen Daten führt TX Group eine Segmentierung durch. Die Verknüpfung der Daten aus allen Quellen ermöglicht die Anreicherung der Datensegmente von Ricardo mit weiteren Daten der anderen angeschlossenen Unternehmen. 99
Was die in Ausgabedaten umgewandelten Stammkundendaten, die Nutzungsdaten sowie die daraus erstellten einheitlichen Segmente anbelangt, bestreitet Ricardo/TX Group die Qualifika- tion als Personendaten. Sie vertreten den Standpunkt, dass diese Daten nicht mehr als Perso- nendaten gelten würden, da sie aufgrund der angewendeten technischen und organisatorischen Massnahmen (insbesondere die Aggregierung und Anonymisierung/Pseudonymisierung der Daten) keinen Rückschluss mehr auf eine bestimmte oder bestimmbare Person zulassen wür- den und eine Re-Identifizierung der Ricardo-Kunden oder Nutzer zu einem späteren Zeitpunkt unmöglich wäre. Diese Daten seien folglich anonymisierte Daten (BID und Ad-ID als «ano- nyme» Identifikatoren), so dass deren Bearbeitung durch Tamedia (TX Group) zum Zweck der zielgerichteten Werbung nicht in den Anwendungsbereich des DSG falle. Die Zustellung von digitalen Werbeinhalten bzw. zielgruppenspezifischer Werbung an die durch den «anonymen» Identifikator (Ad-ID) vertretenen Nutzer stelle auch keine Bearbeitung von Personendaten im Sinne des DSG dar. 3.1.2. Begriff Personendaten
96 Die detaillierten Abläufe und Prozesse von der Erfassung bis zur Ausspielung der personalisierten Werbung werden insbe- sondere im Ziffer 2.4.4.3 des Sachverhalts beschrieben. 97 Vgl. Sachverhalt, Rz 71 98 Vgl. Sachverhalt, Rz 69 99 Vgl. Sachverhalt, Rz 73
29/52
Personendaten (bzw. «Daten» im Sinne des Datenschutzgesetzes) sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen (Art. 3 lit. a DSG). Die gesetzliche Defi- nition des Begriffs «Personendaten» erfasst demnach alle Informationen, die mit einer natürli- chen oder juristischen Person in Verbindung gebracht werden können. Der Wortlaut von Art. 3 Bst. a DSG ist folglich extensiv auszulegen (BLECHTA, in: Basler Kommentar, Datenschutzge- setz/Öffentlichkeitsgesetz, 3. Aufl. 2014, N. 7 zu Art. 3 DSG).
Bestimmbar ist eine Person, wenn sie zwar allein durch die Daten nicht eindeutig identifiziert wird, aus den Umständen, das heisst dem Kontext einer Information aber auf sie geschlossen werden kann (Botschaft DSG, BBl 1988 II 413, S. 444). Auf welche Weise der Bezug zur be- troffenen Person, mithin die Identifizierung, hergestellt wird, wie etwa anhand eines Schlüssels, einer AHV-Nummer, eines Aktenzeichens oder auch einer Kundennummer, ist grundsätzlich ohne Bedeutung (BLECHTA, a.a.O., N. 10 zu Art. 3 DSG).
Zur Annahme der Bestimmbarkeit der Person genügt jedoch nicht jede theoretische Möglichkeit deren Identifizierung. Ist der Aufwand derart gross, dass nach der allgemeinen Lebenserfah- rung nicht damit gerechnet werden muss, dass ein Interessent diesen auf sich nehmen wird, liegt keine Bestimmbarkeit vor (BBl 1988 II 444 f.; so z.B. die komplizierte Analyse einer Statis- tik, mithilfe welcher eine Information einer bestimmten Person zugeordnet werden könnte). Dies ist im konkreten Fall zu prüfen, wobei insbesondere auch die Möglichkeiten der Technik mitbe- rücksichtigt werden müssen (BELSER, in: Basler Kommentar, Datenschutzgesetz, 2. Aufl. 2006, N. 6 zu Art. 3 DSG; ROSENTHAL, Handkommentar DSG, N. 24 f. zu Art. 3 DSG).
Der Aufwand für eine Identifizierung hängt massgeblich vom Interesse und den Mitteln des Inte- ressenten ab. Hierzu sind die Mittel einzubeziehen, die grundsätzlich jedermann zugänglich sind, sowie jene Mittel, über die der Datenbearbeiter zusätzlich verfügt, sei es aufgrund seines besonderen Wissens, sei es aufgrund der ihm zugänglichen Informationsquellen (z.B. eine in- terne Datenbank) oder aufgrund anderer Umstände. Zu prüfen ist weiter, welches Interesse der Datenbearbeiter an einer Identifizierung hat, um festzustellen, ob nach allgemeiner Lebenser- fahrung damit gerechnet werden muss, dass er den konkret zur Identifizierung erforderlichen Aufwand auf sich nehmen würde. Dieses Interesse kann sich im Laufe der Zeit ebenso ändern wie die Mittel, die dem Datenbearbeiter zur Identifikation zur Verfügung stehen (ROSENTHAL, Handkommentar DSG, N. 26 zu Art. 3 DSG).
Anonymisierung und Pseudonymisierung von Personendaten sind Bearbeitungsmethoden, die die Verschleierung der Identität der betroffenen Person bezwecken. Von einer Anonymisierung der Daten kann man ausgehen, wenn keine Partei in der Lage ist, eine Person aus einem Da- tenbestand herauszugreifen, eine Verbindung zwischen zwei Datensätzen eines Datenbestands (oder zwischen zwei unabhängigen Datenbeständen) herzustellen oder durch Inferenz Informa- tionen aus einem solchen Datenbestand abzuleiten. 100 Wenn andererseits immer noch die Mög- lichkeit einer Re-Identifizierung der Daten durch Herausgreifen, Verknüpfung und Inferenz be- steht, spricht man von pseudonymisierten Daten. 101
Pseudonymisierte Daten stellen insofern Personendaten nach Art. 3 Bst a DSG dar, als sie ohne unangemessenen Aufwand re-identifiziert werden können (vgl. BLECHTA, a.a.O., N. 11 - 12 zu Art. 3 DSG). 3.1.3. Vorliegen eines eindeutigen Personenbezugs
3.1.3.1. Erstellung eines pseudonymisierten Identifikators zwecks Personalisierung 122. Um die Ausgabe- und Nutzungsdaten der Ricardo-Nutzenden mit Daten aus anderen Quellen verknüpfen zu können, werden sogenannte Identifikatoren verwendet. Auf diese Weise können Daten, die bei den Ricardo-Nutzenden erhoben wurden, mit Daten von anderen Unternehmen (TX-Daten-Angeboten) verknüpft werden, die sich ebenfalls auf diese Nutzenden beziehen.
100 Siehe Stellungnahme 5/2014 der Artikel-29-Datenschutzgruppe zu Anonymisierungstechniken. 101 Ibidem.
30/52
102 UID: User Identifikationsnummer (vgl. Rz. 67) 103 Vgl. Sachverhalt, Rz. 49.
31/52
tungsmöglichkeiten der automatischen Datenverarbeitung und durch die Verknüpfung automati- sierter Datenbestände immer leichter und häufiger geworden. Oftmals haben die Betroffenen keine Kenntnis vom Bestehen eines Profils, können demzufolge weder die Richtigkeit noch die Verwendung kontrollieren und werden dadurch der Freiheit beraubt, sich so darzustellen, wie sie dies wollen (BBl 1988 II 447). 3.2.1. Begriff Persönlichkeitsprofil 130. Gemäss Art. 3 lit. d DSG stellt ein Persönlichkeitsprofil «eine Zusammenstellung von Daten dar, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt». Gemäss der Botschaft zum DSG ist ein Persönlichkeitsprofil eine Zusammenstellung einer grös- seren Zahl von Daten über die Persönlichkeitsstruktur, die beruflichen Fähigkeiten und Aktivitä- ten oder auch die ausserberuflichen Beziehungen und Tätigkeiten, die ein Gesamtbild oder ein wesentliches Teilbild der betreffenden Person ergibt. Entscheidend ist, dass die systematische Zusammenstellung von an sich nicht besonders schützenswerten Daten (z.B. über Lesege- wohnheiten, Reise- und Freizeitaktivitäten) eine Beurteilung wesentlicher Aspekte der Persön- lichkeit zulässt (BBl II 1988 447). 131. Nach der Rechtsprechung des Bundesgerichts werden Persönlichkeitsprofile bearbeitet, wenn eine Vielzahl an sich nicht besonders schützenswerter Daten so zusammengestellt wird, dass eine Beurteilung wesentlicher Aspekte der Persönlichkeit ermöglicht wird. Auch Datensammlun- gen über das Konsumverhalten sind geeignet, mindestens ein Teilbild der betroffenen Person zu ergeben. Dabei spielt sowohl die Menge und der Inhalt der personenbezogenen Informatio- nen eine Rolle, als auch die zeitliche Dimension der Informationen. Personendaten, die über einen längeren Zeitraum zusammengetragen werden und dadurch gleichsam ein biografisches Bild ergeben, sind eher als Persönlichkeitsprofil zu qualifizieren als Daten, die eine blosse Mo- mentaufnahme darstellen (BVerG A-4232/2015 Urteil vom 18. April 2017, E. 5.2.1). 3.2.2. Bearbeitung von Persönlichkeitsprofilen der Ricardo-Nutzenden 132. Die von TX Group durchgeführten Datenbearbeitungen zielen darauf ab, mit Hilfe von Algorith- men Korrelationen zwischen den bei den Nutzenden erhobenen Daten herzustellen, um das Verhalten und die Vorlieben einer Person zu analysieren und vorauszusagen. Es stellt sich dementsprechend die Frage, ob die Zusammenstellung dieser Daten die Beurteilung wesentli- cher Aspekte der Persönlichkeit der Ricardo-Nutzenden ermöglicht oder geeignet ist, mindes- tens ein Teilbild von ihnen zu ergeben. 133. Vorliegend werden Kunden- und Nutzungsdaten von Ricardo-Nutzenden unter Einsatz von Analysetools mit Daten weiterer Unternehmen der TX-Gruppe oder verbundenen Unternehmen systematisch miteinander verknüpft, mit dem Zweck, das Nutzerverhalten angebotsübergreifend zu analysieren (Vgl. Rz. 59ff. und 102). Diese Personendaten werden über einen längeren Zeit- raum zusammengetragen. 104 Zur Verbesserung der Datenbasis können auch öffentlich erhältli- che Daten oder Daten von Drittanbietern hinzugezogen werden. Durch die Verknüpfung von Datensätzen aus verschiedenen Quellen erreichen die miteinander verknüpften Personendaten eine Informationsdichte, die Verhaltensmuster erkennen lassen. 134. Die Erkenntnisse aus der Analyse der verknüpften Daten über das Konsumverhalten ermöglicht TX Group zumindest ein Teilbild der Personen der Nutzenden der Plattformen der TX Group zu erstellen. Diese Verknüpfung erlaubt also eine «Beurteilung wesentlicher Aspekte der Persön- lichkeit einer natürlichen Person» 105 . Folglich bearbeitet TX Group Persönlichkeitsprofile. 135. Im nDSG wurde die Begrifflichkeit des «Persönlichkeitsprofils» durch die Begrifflichkeit des «Pro- filings» ersetzt. Gemäss Art. 5 lit. f umfasst die Bearbeitungsform des Profilings «jede Art der
104 In den Datenschutzerklärungen, welche aktuell für die Ricardo-Nutzenden gelten, steht zur Datenaufbewahrung folgendes: «Bei Analysen Ihrer Daten speichern wir Ihre Daten so lange bis die Analyse abgeschlossen ist oder Sie der weiteren Bearbei- tung widersprochen haben» (Datenschutzerklärung SMG) sowie «Wir bearbeiten Daten so lange, wie es unsere Bearbeitungs- zwecke [...] es verlangen» (Datenschutzerklärung zu den TX-Daten-Angeboten). 105 Vgl. Rechtsprechung Moneyhouse.
32/52
automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesund- heit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Orts- wechsel dieser natürlichen Person zu analysieren oder vorherzusagen». 136. Im Rahmen der parlamentarischen Arbeiten hat der Gesetzgeber von 2020 das «Profiling» in lit. g. von Art. 5 nDSG durch die qualifizierte Bearbeitungsform des «Profilings mit hohem Risiko» ergänzt, welche in der Vorlage des Bundesrats noch nicht vorgesehen war. Dabei handelt es sich um ein «Profiling, das ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffe- nen Person mit sich bringt, indem es zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt.» Es ist augenschein- lich, dass sich der Gesetzgeber von 2020 mit dieser Formulierung an die Definition des altrecht- lichen «Persönlichkeitsprofils» angelehnt hat und dieses weitgehend übernimmt (so R UDIN, in: Baeriswyl/Pärli/Blonski (Hrsg.), Stämpflis Handkommentar um DSG, 2. Aufl. Art. 5 N 52). 137. Obwohl beide Begrifflichkeiten eine automatisierte Form der Bearbeitung voraussetzen, ist deren Bedeutung nicht deckungsgleich. Während es sich beim altrechtlichen Persönlichkeitsprofil um das Ergebnis einer Datenbearbeitung handelt, bezeichnet «Profiling» eine besondere Form der Bearbeitung. Aus dem logischen Zusammenhang zwischen dem Resultat und der Form einer Bearbeitung wiederum lässt sich in Anlehnung an die einschlägige Lehre ableiten, dass automa- tisierte Bearbeitungen, die im Ergebnis zu einem altrechtlichen «Persönlichkeitsprofil» führen, das eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer Person erlaubt, im Regelfall auch die Qualifikationsmerkmale des «Profilings mit hohem Risiko» erfüllen (in diesem Sinne S TENGEL/LODERER unter Berufung auf Daniel Rosenthal u.a., in: Bieri/Powell (Hrsg.), Kommentar DSG, Ausg. 2023 Art. 5 N 16 f.). 138. Wie oben dargelegt, lassen die von der TX Group AG bearbeiteten Persönlichkeitsprofile eine Beurteilung wesentlicher Persönlichkeitsaspekte zu, wie sie auch für das «Profiling mit hohem Risiko» nach neuem Recht kennzeichnend ist. Ob im konkreten Fall denn auch von einem sol- chen «Profiling mit hohem Risiko» auszugehen ist, kann der EDÖB indessen offenlassen, da sich die vorliegende Sachverhaltsabklärung nach altem Recht beurteilt.
3.3. Ricardo und TX Group als Datenverantwortliche 139. Gemäss Art. 3 lit. i DSG gelten als Verantwortliche oder Inhaber einer Datensammlung, private Personen oder Bundesorgane, die über den Zweck und den Inhalt der Datensammlung ent- scheiden. 140. Datenbearbeitungen, welche durch das Kompetenzzentrum der TX Group AG für die Erfüllung von Bearbeitungszwecken, die Ricardo bestimmt hat, durchgeführt werden, sind als Auftragsda- tenbearbeitungen im Sinne von Art. 10a DSG anzusehen. Die vorliegend geprüfte Datenerfas- sung und Weiterbearbeitung, welche TX Group AG für die Erfüllung der Zwecke der TX Group und der angeschlossenen Unternehmen vornimmt, stellt jedoch eine Datenbearbeitung dar, wo- für die TX Group datenschutzrechtlich verantwortlich bzw. mitverantwortlich ist. 141. In den für Ricardo-Nutzenden aktuell geltenden Datenschutzerklärungen 106 sind die Datenver- antwortlichkeiten wie folgt definiert: Standardisierte Datenschutzerklärung der SMG: «SMG bzw. die SMG Gruppe sind verantwort- lich für die Bearbeitung Ihrer Daten, die im Rahmen unserer Angebote oder Zusammenarbeit mit Ihnen gesammelt oder erhalten oder für andere Zwecke, wie in dieser Datenschutzerklärung definiert, bearbeitet werden.» Datenschutzerklärung der TX Group: «Für die Datenerhebung im Rahmen der TX Daten-Ange- bote sind die TX Group AG und die angeschlossenen Unternehmen gemeinsam verantwortlich.
106 Vgl. Sachverhalt, Rz. 98ff.
33/52
Für die Aggregierung der über die TX Daten-Angebote erhobenen Nutzerdaten und die Gestal- tung der TX Daten-Angebote ist die TX Group AG verantwortlich. Für die Bearbeitung der durch die TX Daten-Angebote erhaltenen Daten ist das angeschlossene Unternehmen selbständig verantwortlich». 142. Obwohl dies aus der Datenschutzerklärung nicht klar hervorgeht 107 , sind für die vorliegend un- tersuchten Datenbearbeitungen 108 sowohl Ricardo (als angeschlossenes Unternehmen) als auch TX Group für die Einhaltung des DSG verantwortlich. Dies haben Ricardo und TX Group im Rahmen der Abklärungen auch mehrfach bestätigt 109 .
3.4. Bestehen einer Persönlichkeitsverletzung 143. Gemäss Art. 12 DSG darf ein Verantwortlicher, der Personendaten bearbeitet, dabei die Per- sönlichkeit der betroffenen Personen nicht widerrechtlich verletzen. Insbesondere darf er nicht Personendaten entgegen den Grundsätzen der Artikel 4, 5 Absatz 1 und 7 Absatz 1 bearbeiten und ohne Rechtfertigungsgrund Daten einer Person gegen deren ausdrücklichen Willen bear- beiten.
3.4.1. Einhaltung der Bearbeitungsgrundsätze (Art. 12 Abs. 2 lit. a DSG) 144. Die Bearbeitung von Personendaten muss gemäss den Bearbeitungsgrundsätzen von Art. 4, 5 Abs. 1 und 7 Abs. 1 DSG erfolgen. Eine Verletzung dieser Bearbeitungsgrundsätze stellt eine Persönlichkeitsverletzung gemäss Art. 12 Abs. 2 lit. a DSG dar.
3.4.1.1. Erkennbarkeit der Datenbearbeitungen zu Marketingzwecken (Grundsatz der Trans- parenz, Treu und Glauben)
3.4.1.1.1. Anforderungen an der Transparenz nach DSG 145. Die Bearbeitung von Personendaten hat gemäss Art. 4 Abs. 2 DSG nach Treu und Glauben zu erfolgen. Nach Art. 4 Abs. 4 DSG müssen die Beschaffung von Personendaten und insbeson- dere der Zweck ihrer Bearbeitung für die betroffene Person erkennbar sein. 146. Der Grundsatz der Transparenz dient dazu, den betroffenen Personen zu ermöglichen, be- wusste Entscheidungen über ihr informationelles Selbstbestimmungsrecht zu treffen. Wenn die Bearbeitungszwecke nicht präzis genug bestimmt werden oder nicht in einer klaren und eindeu- tigen Form beschrieben werden, kann eine betroffene Person weder die durchgeführten Daten- bearbeitungen kontrollieren, noch ihre datenschutzrechtlichen Ansprüche vernünftig ausüben. So die Botschaft: «Die in Artikel 4 Absatz 4 verlangte Transparenz (...) verleiht dem Recht, die Bearbeitung zu untersagen (Art. 12 Abs. 2 Bst. b DSG), ebenfalls eine neue Dimension. Das Recht, sich der Bearbeitung zu widersetzen, muss so lange blosse Theorie bleiben, als die be- troffenen Personen sich über eine Datenbeschaffung und ihre wesentlichen Rahmenbedingun- gen gar nicht im Klaren sind. Die Transparenz der Beschaffung und die Information der betroffe- nen Person bilden somit den eigentlichen Eckpfeiler des ganzen Datenschutzsystems.» (BBl 2003 2101, S. 2126) 147. Vor diesem Hintergrund sind die Informationen, welche der Inhaber der Datensammlung in ei- ner konkreten Situation der betroffenen Person erteilen muss, damit die Datenbeschaffung so-
107 Vgl. Zur Erkennbarkeit der Datenverantwortlichen, siehe 3.4.1.2., Rz. 171 sowie Rz. 180. 108 Nachdem im Rahmen weiterer Abklärungen im Sommer 2023 festgestellt wurde, dass neu doch ein „Datenaustausch inner- halb der SMG“ stattfindet, der aber angeblich nichts mit den bisher untersuchten Datenbearbeitungen (Angebote) zu tun habe, verzichtete der Beauftragte aus verfahrensökonomischen Gründen darauf, das Verfahren formell auf die Swiss Market- place Group AG (SMG) bzw. deren Gesellschaften auszudehnen. Dazu vgl. Sachverhalt Rz. 11ff, insbesondere 16ff. 109 Vgl. Rz. 12f sowie Rz. 16.
34/52
wie die Rahmenbedingungen der Datenbearbeitung erkennbar sind, nach den Umständen so- wie den Grundsätzen der Verhältnismässigkeit und von Treu und Glauben zu beurteilen (Art. 4 Abs. 2 DSG). 148. Wenn die Datenbeschaffung und ihr Zweck aus den Umständen klar erkennbar sind, muss keine besondere Information erfolgen. Wenn eine Beschaffung aufgrund der Umstände hinge- gen weniger deutlich erkennbar ist, muss die betroffene Person umso eher in geeigneter Art und Weise auf die Erhebung und ihre wesentlichen Rahmenbedingungen aufmerksam gemacht werden. Wenn eine Information erforderlich ist, setzen die Grundsätze der Verhältnismässigkeit und von Treu und Glauben voraus, dass diese aus der Perspektive einer zum Zielpublikum der Plattform gehörenden, verständigen Durchschnittsperson nach Treu und Glauben hinreichend sind, um ihnen eine zumutbare Möglichkeit zu gewähren, davon Kenntnis zu nehmen. 149. Es ist jeweils zu prüfen, ob die Informationen für eine durchschnittliche, verständige Person hin- reichend klar und bestimmt sind, um sich ein Bild davon zu machen und gestützt darauf eine Entscheidung über die Erklärung der Einwilligung oder eines Widerspruchs zu fällen (vgl. Bot- schaft DSG 2017, S. 7050). Neben dem explizit zu nennendem Zweck ist die Identität des Ver- antwortlichen oder, falls Daten weitergegeben werden sollen, die Kategorie von möglichen Da- tenempfängern bekanntzugeben (Botschaft DSG 2003, S. 2125). 150. Gemäss der Botschaft ist es aber möglich, dass unter Umständen weitere Angaben gemacht werden müssen: «Erfordert es der Grundsatz von Treu und Glauben, muss der Inhaber der Da- tensammlung indessen noch weitere Informationen liefern, beispielsweise darüber, ob die Be- antwortung der gestellten Fragen freiwillig oder obligatorisch ist und über die Folgen einer Ver- weigerung der verlangten Angaben» (BBl 2003 2131). Um seiner Informationspflicht nachzu- kommen muss der Verantwortliche alles unternehmen, was von ihm nach den Umständen ver- nünftigerweise verlangt werden kann (BBl 2003 2101, S. 2132). 151. Das DSG kennt neben dem Transparenzgebot des Art. 4 Abs. 4 DSG auch eine Informations- pflicht des Verantwortlichen beim Beschaffen von besonders schützenswerten Personendaten und Persönlichkeitsprofilen: Der Inhaber der Datensammlung ist verpflichtet, die betroffene Per- son über die Beschaffung von besonders schützenswerten Personendaten oder Persönlichkeits- profilen zu informieren (vgl. Art. 14 Abs. 1 DSG). 152. Je einschneidender die Datenbearbeitung in Bezug auf die Persönlichkeitsrechte ist, desto hö- here Anforderungen sind an die Transparenz zu stellen. Die Informationspflicht nach Art. 14 DSG setzt voraus, dass die Information ausdrücklich bereitgestellt wird und dass der Inhaber der Datensammlung der betroffenen Person alle Informationen zukommen lässt, die für eine Bearbeitung nach dem Grundsatz von Treu und Glauben und der Verhältnismässigkeit erforder- lich sind, insbesondere die Identität des Inhabers der Datensammlung, den Zweck des Bearbei- tens und die Kategorien allfälliger Datenempfänger. 153. Bei besonders einschneidenden oder unerwarteten Bearbeitungen ist die betroffene Person «gesondert aufmerksam» zu machen. 110
3.4.1.1.2. Einhaltung der Transparenz und Informationspflichten im vorliegenden Fall
110 Das Erfordernis eines gesonderten Hinweises bzw. die Ungewöhnlichkeitsregel wird aus dem Vertrauensprinzip und Verhält- nismässigkeitsprinzip abgeleitet. Das Erfordernis eines gesonderten Hinweises ergibt, die betroffene Person im Sinne der Rechtsprechung zur Ungewöhnlichkeit «gesondert aufmerksam» zu machen ist (vgl. Lukas Bühlmann/Michael Schüepp, Infor- mation, Einwilligung und weitere Brennpunkte im (neuen) Schweizer Datenschutzrecht, in: Jusletter 15. März 2021, S. 22).
35/52
Vorliegend soll geprüft werden, ob die Datenbearbeitungen bzw. die Weitergabe der Ricardo- Nutzerdaten an die TX Group sowie die danach durchgeführte plattformübergreifende Daten- verknüpfung zum Zweck der personalisierten Werbung der TX Group bzw. der angeschlosse- nen Unternehmen aus der Perspektive des Ricardo-Mitglieds bzw. eines durchschnittliches Ri- cardo-Nutzers erkennbar sind.
Ricardo AG, TX Group AG und alle Gesellschaften der Tamedia/TX-Gruppe bzw. angeschlos- sene Unternehmen sind für den jeweilig anderen als «Dritte» zu qualifizieren. Die Beziehung der Ricardo-Plattform zu Tamedia bzw. zu TX Group ist für die meisten Ricardo-Nutzenden nicht per se bekannt. Ein Ricardo-Mitglied kann grundsätzlich nicht erwarten, dass die Daten aus seiner Nutzung der Ricardo-Auktionsplattform mit Daten aus seiner Nutzung von anderen Plattformen wie homegate.ch, anibis.ch oder 20 Minuten bzw. einer Tamedia-Zeitung verknüpft werden. Er kann auch nicht ohne eine angemessene Information damit rechnen, dass die Da- ten, welche er bei der Registrierung bei Ricardo angegeben hat, mit den Daten von seinen an- deren TX-Accounts verglichen und miteinander verknüpft werden können.
TX Group bearbeitet im Zusammenhang mit dem Tracking zu Marketing- und Sicherheitszwe- cken Persönlichkeitsprofile (siehe Ziff. 3.2.2), somit untersteht sie der Informationspflicht nach Art. 14 DSG, welche den Grundsatz der Transparenz ergänzt und eine ausdrückliche Informa- tion durch den Verantwortlichen über die Beschaffung der Daten, den Zweck ihrer Bearbeitung, die Identität des Inhabers der Datensammlung sowie die Kategorien der allfälligen Datenemp- fänger voraussetzt.
Vorliegend muss geprüft werden, ob die bereitgestellten Informationen deutlich und angemes- sen sind, um die Erkennbarkeit der Datenbearbeitung zu gewährleisten.
Die Erkennbarkeit der im Juli 2017 eingeführten Datenbearbeitungen, deren Zwecke (sowie der allfälligen Widerspruchsmöglichkeiten), der Identität des Verantwortlichen und der allfälligen Da- tenempfänger wird im Folgenden aus den verschiedenen Perspektiven der Betroffenen (sei es ein bestehendes Mitglied von Ricardo oder ein potentieller Neukunde) geprüft. a) Mitteilung vom 12. Juli 2017 und Datenschutzerklärung vom 12./26. Juli 2017
Die damals bestehenden Ricardo-Mitglieder wurden mittels einer E-Mail-Mitteilung am 12. Juli 2017 über die bevorstehende Änderung der Datenschutzerklärung bzw. über die Datenweiter- gabe innerhalb der Tamedia-Gruppe informiert. Den Ricardo-Mitgliedern wurde mitgeteilt, die neue Datenschutzerklärung gelte als automatisch akzeptiert, wenn ein Mitglied die Dienstleis- tungen von ricardo.ch verwenden würde. Ein allfälliger Widerspruch würde eine Auflösung der Mitgliedschaft zu Folge haben. Bei denjenigen Mitgliedern, welche den Bearbeitungen für per- sonenbezogene Analyse- und Marketingzwecke widersprochen haben, wurde das Benutzer- konto tatsächlich deaktiviert. 111
In der Mitteilung wurden die Sicherheitszwecke des Datenaustausches innerhalb der Tamedia- Gruppe hervorerhoben 112 (vgl. Sachverhaltsfeststellung, 2.5.2.1). Hingegen bestand kein ein- deutiger Hinweis auf eine Datenweitergabe oder Datenaustausch zu Marketingzwecken oder personalisierte Werbung. Auch wurde keineswegs auf die Bearbeitung von Persönlichkeitsprofi- len hingewiesen, obwohl diese in der revidierten Datenschutzerklärung explizit vorgesehen war 113 . Der Datenaustausch innerhalb der Gruppe zu Sicherheitszwecken, insbesondere die erwähnte Missbrauchsbekämpfung, welche prominent in der Mitteilung erwähnt wurde, war da- gegen nicht in der Datenschutzerklärung vorgesehen.
111 Sachverhalt, Rz. 85-87 112 „Mit der neuen Datenschutzerklärung können wir Ihnen für Sie relevante Angebote und Dienstleistungen anzeigen und Ihr Online-Erlebnis sowie die Sicherheit unserer Angebote verbessern. Damit erhöht sich der Schutz vor Online-Betrug und -Miss- brauch.“; „...Der Widerspruch hat eine Auflösung der Mitgliedschaft zur Folge“. 113 Der entsprechende Hinweis wurde jedoch nachträglich bzw. in der im Mai 2018 revidierten Datenschutzerklärung gelöscht (vgl. Sachverhalt, Rz. 43).
36/52
Im Rahmen der Sachverhaltsabklärung wurde allerdings deutlich, dass die neu eingeführten Datenbearbeitungen, insbesondere die Datenverknüpfung von Daten aus verschiedenen Quel- len, in erster Linie Marketing bzw. personalisierten Werbungzwecken dienen sollen. Dieses Vor- gehen verstösst gegen den Grundsatz von Treu und Glauben.
Das Hervorheben der Sicherheitszwecke, die gegenüber den Marketing- bzw. Werbezwecken lediglich eine marginale Rolle spielten 114 , sowie die mangelnde Information betreffend die Mar- ketingzwecke der Datenbearbeitungen führt dazu, dass die betroffenen Mitglieder nicht ange- messen über die neu eingeführten Datenbearbeitungen informiert worden sind und somit nur bedingt in der Lage waren, gestützt auf diese Mitteilung und die Datenschutzerklärung eine Ent- scheidung über ihr informationelles Selbstbestimmungsrecht zu treffen.
Auch waren die Rahmenbedingungen der Datenbearbeitung zu Marketingzwecken (inklusive die Widerspruchsmöglichkeiten) nicht hinreichend erkennbar. Bei denjenigen Mitgliedern, wel- che den Bearbeitungen für personenbezogene Analyse- und Marketingzwecke widersprochen haben, wurde das Benutzerkonto deaktiviert. 115 Allerdings war in dieser ersten Fassung der Da- tenschutzerklärung die Möglichkeit einer Deaktivierung des Online-Trackings durch Tamedia erwähnt ( Das entsprechende URL war jedoch nicht verlinkt). Dies erweckte den Eindruck, dass ein Widerspruch möglich war. Diese Widerspruchsmöglichkeit beschränkte sich zudem auf die zukünftigen Nutzungsdaten (Einsatz eines Opt-out-cookies). Es bestand also in der Tat keine Möglichkeit, dem Datenaustausch bzw. der Datenverknüpfung innerhalb Tamedia zu Marketing- zwecken insgesamt zu widersprechen. 116 Dieses Vorgehen verstösst ebenfalls gegen den Grundsatz von Treu und Glauben. b) Mitteilung vom 9. Mai 2018 betreffend die Datenschutzerklärung vom 25. Mai 2018
Ricardo.ch kündigte am 9. Mai 2018 den registrierten Kunden eine aktualisierte und an die EU- DSGVO angepasste Datenschutzerklärung an, welche ab dem 25. Mai 2018 gelten sollte. In der entsprechenden Mitteilung wurden die Sicherheitszwecke erneut hervorgehoben 117 . Was die Rahmenbedingungen der Datenbearbeitung anbelangt, wurde diesmal explizit auf eine «neue» Widerspruchsmöglichkeit des Datenaustauschs innerhalb der Tamedia hingewiesen. Insbesondere sollte demnach den Mitgliedern «eine einfache Möglichkeit zur Verfügung gestellt werden, um die Datenweitergabe innerhalb der Tamedia-Gruppe zu unterbinden» (Abmeldung Datenaustausch Tamedia). 118
Gemäss der im Mai 2018 revidierten Datenschutzerklärung konnte der Analyse des Nutzerver- haltens bzw. der angebotsübergreifenden Datenverknüpfung per E-Mail an Ricardo widerspro- chen werden: «Sie können der Verarbeitung Ihrer Daten zu Marketing- und Werbezwecken so- wie der Weitergabe Ihrer Daten innerhalb der TX-Gruppe [...] jederzeit per E-Mail widerspre- chen». 119 Nach den Erkenntnissen dieser Sachverhaltsabklärung hat ein per E-Mail eingereich- tes Widerspruchsbegehren jedoch keine solche Auswirkung. 120
Die Tatsache, dass Ricardo-Nutzer über die Widerspruchsmöglichkeit gegen die Weitergabe bzw. Datenverknüpfung innerhalb der TX Group zu Werbezwecken informiert wurden und diese wider Erwarten nicht umgesetzt wird , stellt einen Verstoss gegen den Grundsatz von Treu und Glauben dar. Vor diesem Hintergrund kann festgehalten werden, dass die Rahmenbedingungen
114 Jedenfalls wurden keine entsprechenden Prozesse unterhalten, vgl. Sachverhalt Rz. 49. 115 Vgl. Sachverhalt, Rz. 87. 116 Vgl. Datenschutzerklärung vom 27. Juli 2017 bzw. Sachverhalt, Rz. 94-96. 117 „Warum gibt es überhaupt eine interne Weitergabe bei Tamedia? Ein wichtiger Grund für die Weitergabe ist die Verbesserung der Sicherheit für die Mitglieder, um beispielsweise Online-Betrug besser vorzubeugen. Dies ermöglicht, indem Informationen bei Verdachtsfällen zwischen den Online-Plattformen von Tamedia ausgetauscht werden können. Zudem möchten wir in Zu- kunft für Sie relevantere und auf Ihre Bedürfnisse zugeschnittene Werbung anzeigen...“ (vgl. Sachverhalt, Rz. 92). 118 Vgl. Sachverhalt, Rz. 91ff., insb. Rz. 92-93. 119 Vgl. Sachverhalt, Rz. 91. 120 Vgl. Sachverhalt, Rz. 93.
37/52
der Datenbearbeitung zu Marketingzwecken nicht hinreichend erkennbar waren und somit der Grundsatz der Transparenz verletzt wurde. c) Information bei einer neuen Anmeldung 168. Bei den ersten Abklärungen erfolgte eine neue Anmeldung durch das Akzeptieren der AGB und der Datenschutzerklärung von Ricardo. Dabei gab es keinen besonderen bzw. expliziten Hin- weis auf eine Datenweitergabe an die TX Group oder auf ein plattformübergreifendes Tracking bei der TX Group für Werbezwecke. Aktuell müssen neue Mitglieder beim Erstellen eines Ri- cardo-Konto die AGB durch Ankreuzen akzeptieren und von der Datenschutzerklärung von Ri- cardo nur Kenntnis nehmen. Bei der Anmeldung gibt es weiterhin keinen besonderen bzw. ex- pliziten Hinweis auf eine Datenweitergabe an die TX Group oder auf ein plattformübergreifen- des Tracking bei der TX Group für Werbezwecke. 121
(bzw. die Daten- schutzerklärungen) informiert, dass eine Weitergabe an TX Group und eine Datenverknüpfung bzw. ein plattformübergreifendes Tracking auf Basis von Daten aus allen weiteren angeschlos- senen TX-Unternehmen (sogenannte TX-Angebote) stattfinden. Die Angemessenheit dieser In- formationen wird folgend geprüft (Buchstaben d und e). Seit der Einführung des CMP werden die Nutzer ebenfalls mittels Banner über die Bearbeitung ihrer Daten informiert (siehe Buch- stabe f). d) Standardisierte Datenschutzerklärung der TX-Gruppe am Beispiel der Datenschutzerklä- rung vom 11. Februar 2020 170. Wie im Sachverhalt dargestellt, führte die Tamedia-Gruppe bzw. seit Ende 2019 die TX Group bei zugehörigen Unternehmen eine einheitliche Datenschutzerklärung ein 122 . Die standardi- sierte Datenschutzerklärung sollte für alle Unternehmen der Gruppe gelten, die untereinander Daten austauschen - insbesondere auch Ricardo. Die Datenschutzerklärung wurde mehrfach aktualisiert, jedoch - abgesehen vom möglichen Widerspruch gegen den gruppeninternen Da- tenaustausch - ohne wesentliche inhaltliche Änderungen. Für die vorliegende Abklärung wird die Datenschutzerklärung vom 11. Februar 2020 herangezogen. 171. Die (standardisierte) Datenschutzerklärung bezieht sich sowohl auf Datenbearbeitungen von Ricardo, als auch auf Datenbearbeitungen von Gesellschaften der TX-Gruppe (alt: Tamedia) sowie verbundenen Unternehmen. 123 Obwohl die Ricardo AG und die TX Group AG bzw. Ge- sellschaften der Tamedia/TX-Gruppe bzw. «verbundene Unternehmen» nicht gemeinsam die Verantwortung für die Datenbearbeitungen tragen, werden sie mit «wir» in der Datenschutzer- klärung bezeichnet 124 . Es ist somit nicht klar, welche Datenbearbeitungen durch welche Unter- nehmen durchgeführt werden können bzw. wer für die Datenbearbeitungen jeweils verantwort- lich ist. 172. Im Ziffer 3 der Datenschutzerklärung wird die Weitergabe an Dritte erläutert. Nach deren Wort- laut können «die von Ihnen erfassten Angaben und im Rahmen unserer Nutzungsmessungen gemäss Ziff. 1 oben erhobene Daten zu Ihrer Person» genutzt und an Unternehmen der TX Group oder an verbundene Unternehmen «zur Auswertung, Verbesserung und bedarfsgerech- ten Ausgestaltung unserer Dienste, respektive der Dienste der verbundenen Unternehmen, zur Kundenpflege, zu Personalisierung und zu Marketingzwecken» weitergegeben werden. 125 Eine
121 Vgl. Sachverhalt Rz. 81. 122 Vgl. Sachverhaltsfeststellung, Rz. 1. Zur Momentaufnahme der Sachverhaltsfeststellung vom 28. Februar 2020 und bis die Umstrukturierung im November 2021 war Ricardo AG Teil der TX Group. 123 Vgl. Sachverhalt, Rz. 27. 124 «Diese Datenschutzerklärung von ricardo.ch, ein Angebot der ricardo.ch AG, informiert Sie darüber, wie wir und die Gesell- schaften der TX-Gruppe sowie verbundene Unternehmen (...); nachfolgend insgesamt auch «Wir») mit Daten umgehen, welche über Sie bearbeitet werden (...)», Sachverhalt, Rz. 28. 125 V gl. Ziffer 1 der Datenschutzerklärung und Ziffer 3 der Datenschutzerklärung
38/52
solche Weitergabe soll «grundsätzlich mit pseudonymisierten oder anonymisierten Daten» erfol- gen; zudem werde «mittels technischer und organisatorischer Massnahmen» sichergestellt, «dass eine personenbezogene Identifizierung nicht mehr möglich ist». Für Datenbearbeitungen durch andere Unternehmen der TX-Gruppe oder mit der TX-Gruppe verbundene Unternehmen wird auf Ziffer 4 («Bearbeitung Ihrer Personendaten zu Marketing und Analysezwecken») ver- wiesen. Zu Marketing und Analysezwecken der Unternehmen der TX-Gruppe oder der mit der TX-Gruppe verbundenen Unternehmen dürften demzufolge «laufend unter Einsatz verschiede- ner Analysetools nutzerspezifische historische und zukünftige Daten über die wir verfügen, mit- einander verknüpft und das Nutzerverhalten angebotsübergreifend analysiert, aggregiert, pseu- donymisiert und anonymisiert werden. Zur Verbesserung unserer Datenbasis können wir öffent- lich erhältliche Daten oder Daten von Drittanbietern hinzuziehen». Die Erkenntnisse aus der Analyse sollen bei den teilnehmenden Unternehmen genutzt und verwertet werden können, wo- bei eine solche Datenbearbeitung «vor allem mit pseudonymisierten oder anonymisierten Da- ten» erfolgt. 126
126 Vgl. Ziffer 4 der Datenschutzerklärung. 127 Vgl. Sachverhalt, Rz. 41-42.
39/52
davon ausgehen müssen, dass alle möglichen Datenbearbeitungen zu allen möglichen Zwe- cken durchgeführt werden können, dann wird ausserdem der Grundsatz von Treu und Glauben verletzt. 177. W as die Erkennbarkeit der Widerspruchsmöglichkeiten betrifft, weist diese Datenschutzerklä- rung die gleichen Mängel auf, die wir bereits unter Rz. 166f. bei der Datenschutzerklärung vom 25. Mai 2018 festgestellt haben. 178. Die Formulierung «Sie können der Verarbeitung Ihrer Daten zu Marketing- und Werbezwecken sowie der Weitergabe Ihrer Daten innerhalb der TX-Gruppe [...] jederzeit per E- Mail widerspre- chen» wurde beibehalten, obwohl ein per E-Mail eingereichtes Widerspruchsbegehren keine solche Auswirkung hat. Dies verstösst gegen den Grundsatz von Treu und Glauben. Zudem ist nicht deutlich, dass die bestehende Widerspruchsmöglichkeit (Einsatz eines Opt-out-cookies) sich auf die zukünftigen Nutzungsdaten beschränkt. e) Einführung der standardisierten Datenschutzerklärungen der SMG und der TX Group per 11. November 2021 179. Seit dem 11. November 2021 gilt für die Ricardo-Nutzer eine standardisierte Datenschutzerklä- rung der SMG Swiss Marketplace Group AG. Ergänzend dazu sollen die Datenschutzhinweise der TX Group für die TX-Angebote (inklusive ricardo.ch) gelten. Die standardisierte Datenschut- zerklärung der SMG mit Verweis auf diejenige der TX Group ersetzen die Datenschutzerklärung von Ricardo vom 11. Februar 2020. 180. Was die Erkennbarkeit der Verantwortlichen und Empfänger betrifft, weist diese Datenschutzer- klärung die gleichen Mängel auf, die bereits unter Ziff. 170 f f. bei der standardisierten Daten- schutzerklärung der TX-Group festgestellt wurden: Die (standardisierte) Datenschutzerklärung der SMG-Gruppe informiert, «wie SMG Swiss Marketplace Group AG und die Gesellschaften der SMG Swiss Marketplace Group [...] nachfolgend gemeinsam "wir, "uns", "unsere", "SMG und SMG Gruppe“, bei der Nutzung der SMG-Angebote sowie im Rahmen einer Zusammenar- beit mit Ihren personenbezogenen Daten umgehen». Darüber hinaus sieht die neue Daten- schutzerklärung von Ricardo (SMG) eine Datenweitergabe an die Gesellschaften der SMG 128
und eine Weitergabe an die Aktionäre der SMG (inklusive deren Tochtergesellschaften) 129 , da- runter die TX Group, zur Personalisierung und zu Marketingzwecken vor. 130
128 D .h. SMG Swiss Marketplace Group AG, Casasoft AG, Anibis Vertrieb GmbH, CAR FOR YOU AG, Immostreet.ch SA, Ri- cardo AG, Acheter-Louer.ch & Publimmo Sàrl, Nhat Viet Group Co. Ltd, IAZI, Informations- und Ausbildungszentrum für Immo- bilien AG. 129 D.h. die Schweizerische Mobiliar Versicherungsgesellschaft, die TX Group AG, Ringier AG, General Atlantic. 130 vgl. Datenschutzerklärung der Swiss Marketplace Group AG (SMG), 3.9. Marketing- und Analysezwecke und 5.1 und 5.2. Weitergabe Ihrer Daten an Dritte. 131 Datenschutzerklärung SMG, 5.2. «Weitere Informationen über die Verarbeitung Ihrer Daten durch die TX Group Daten-Ange- bote finden Sie hier», verlinkt mit einem URL, welcher zur Website der TX Group führt (« Datenschutzhinweise zu den TX Daten- Angeboten» - tx.group). 132 In einer früheren Version der Datenschutzerklärung der TX Group waren alle Plattformen ausgeführt, vgl. Sachverhalt, Rz. 57. 133 Gemäss Stand 09.11.2021: Tamedia Publikationen Deutschschweiz AG, Tamedia Finanz und Wirtschaft AG, Tamedia Publi- cations romandes SA, Tamedia Basler Zeitung AG, Tamedia ZRZ AG, Tamedia Espace AG, Tamedia Abo Services AG, SMG Swiss Marketplace Group AG, CAR FOR YOU AG, ImmoStreet.ch S.A., Ricardo AG, Goldbach NeXT AG, Goldbach Publishing AG, Jaduda GmbH, Neo Advertising SA, Swiss Radioworld AG.
40/52
der TX Group, welche komplementär für alle Ricardo-User gelten sollen, die durchgeführten Da- tenbearbeitungen noch unübersichtlicher geworden sind. Mit den zahlreichen Verweisen (es wird in einem Abschnitt eines Unterkapitels auf eine ergänzende Datenschutzerklärung der TX Group verweist und umgekehrt), ist es für den Ricardo-Nutzenden nicht nachvollziehbar, wie die Datenschutzerklärungen einzuordnen sind bzw. welche Datenschutzbestimmungen jeweils gel- ten. Dies führt dazu, dass die betroffenen Personen nicht in der Lage sind, zu erkennen, was die Rahmenbedingungen der durchgeführten Datenbearbeitungen sind. 182. Es kann ausserdem nicht vom Ricardo-Nutzer erwartet werden, dass er die ganze Datenschut- zerklärung studiert, um auf die Informationen über die TX-Daten-Angebote und entsprechenden URL-Link zu gelangen; diese sollten im Vordergrund stehen. 183. Damit beheben die standardisierten Datenschutzerklärungen der SMG und der TX Group die Transparenzmängel, welche in der Datenschutzerklärung von Ricardo vom 11. Februar 2020 festgestellt wurden, nicht 134 . Diese Mängel werden durch diese sogar verschärft. 184. Zudem lassen die Datenschutzbestimmungen der SMG offen, auf welchen Rechtfertigungs- grund (bzw. «Rechtsgrundlage») eine solche Weitergabe sich an Dritte zur Personalisierung und Marketingzwecken stützen würde. 135 Dies ist insofern ein Problem, als die betroffenen Per- sonen ihre Rechte nicht wahrnehmen können, wenn sie die Grundlage, auf die sich der für die Verarbeitung Verantwortliche stützt, nicht kennen. Dadurch erfüllen Datenverantwortlichen nicht ihre Transparenz- bzw. Informationspflicht gegenüber den Ricardo-Nutzenden. 185. Darüber hinaus wird die Kenntnisnahme auch dadurch erschwert, dass sich die Datenschutzer- klärungen nur auf das DSGVO beziehen und nicht auf das DSG, obwohl dieses vorliegend pri- mär anwendbar ist. Eine unmissverständliche Information über die für den Verantwortlichen gel- tende Datenschutzgesetzgebung ist unerlässlich, um den Nutzern zu ermöglichen, ihre Rechts- ansprüche zu kennen und durchzusetzen. f) Einsatz eines Consent Management Plattforms auf ricardo.ch 186. Im Zusammenhang mit dem Einsatz einer Consent management Plattform 136 stellt sich vorlie- gend die Frage, ob sich die Transparenz in Bezug auf die durchgeführten Datenbearbeitungen zu Marketingzwecken der Ricardo AG und der TX Group AG verbessert hat, sodass keine Per- sönlichkeitsverletzung mehr besteht. 137
134 S iehe oben unter Rz. 171ff. 135 Weitergabe an Unternehmen der SMG Gruppe: „Sofern [...] Ihre Einwilligung notwendig ist, holen wir diese vorgängig bei Ihnen ein. [...] Wenn keine Einwilligung notwendig ist, beruht die Weitergabe Ihrer Daten auf unserem berechtigten Interesse oder dem berechtigten Interesse eines Unternehmens der SMG Gruppe oder mit der SMG Gruppe verbundene Unternehmen und Joint Ventures der SMG Gruppe [...] Ihnen Werbung anzuzeigen oder zu schicken“. Weitergabe an Aktionäre der SMG Gruppe: „Eine Weitergabe der Daten [...] erfolgt nur, sofern dies rechtlich zulässig ist oder wir Ihre Einwilligung vorab bei Ihnen eingeholt haben.“ 136 Siehe dazu Rz. 109f. 137 Nachfolgend wird auch geprüft, ob eine (gültige) Einwilligung im Sinne des DSG mittels CMP eingeholt wird. 138 Vgl. Einsatz CMP auf ricardo.ch, siehe Anhang 1. 139 Vgl. Anhang 1
41/52
3.4.1.1.3. Bearbeitung trotz Widerspruch zu Marketingzwecken (Grundsatz der Treu und Glau- ben) 191. Im vorliegenden Fall haben die Ricardo-Nutzer die Möglichkeit, das «Nutzungsdaten-Tracking» der TX Group zu «deaktivieren». Dies verhindert jedoch nur die Erfassung von neuen Daten. Eine Analyse, Datenverknüpfung und Segmentierung anhand aller Daten, die bereits erfasst worden sind (z.B. Stammdaten bzw. Ausgabedaten, die bereits erhobenen Nutzungsdaten), fin- den trotz Widerspruch statt. Die Auslieferung von gezielter Werbung erfolgt aufgrund aller Da- ten, die bisher erfasst worden sind - möglicherweise auch aus anderen Quellen als Ricardo - und weiterhin zur Verfügung stehen. Da aus den Informationen an die Kunden nicht klar hervor- geht, welche Auswirkungen ein möglicher Widerspruch hat, könnte ein Nutzer, der von dieser Möglichkeit Gebrauch gemacht hat, nach Treu und Glauben erwarten, dass seine Daten nicht weiter bearbeitet werden. Dies stellt einen Verstoss gegen den Grundsatz von Treu und Glau- ben. 192. Die per 25. Mai 2018 revidierte Datenschutzerklärung sollte zudem den Ricardo-Mitgliedern eine einfache Möglichkeit anbieten, «die Datenweitergabe innerhalb der Tamedia-Gruppe zu unterbinden». Mit Abmeldung Datenaustausch Tamedia wurde den Mitgliedern «eine einfache Möglichkeit zur Verfügung gestellt, um die Datenweitergabe innerhalb der Tamedia-Gruppe zu unterbinden». Eine entsprechende Anpassung der Datenschutzerklärung wurde vorgenom- men 140 . Nach Angaben von Ricardo betrifft die Widerspruchsmöglichkeit nur die Datennutzung für die Marketingmassnahmen von Ricardo. 141 Auch dieser Umstand verstösst gegen Treu und Glauben.
3.4.1.2. Grundsatz der Verhältnismässigkeit 193. Nach Art. 4 Abs. 2 DSG muss das Bearbeiten von Personendaten verhältnismässig sein (Ver- hältnismässigkeitsprinzip). Verhältnismässig ist eine Datenbearbeitung, wenn sie zur Errei- chung des angestrebten Zwecks geeignet, erforderlich und für die betroffene Person zumutbar ist (Maurer-Lambrou/Steiner, DSG 4 N9; Rosenthal, DSG 4, N 20f; vgl. auch BGE 134 I 140, E.
140 «Sie können der Verarbeitung Ihrer Daten zu Marketing- und Werbezwecken sowie der Weitergabe Ihrer Daten innerhalb der Tamedia-(TX-) Gruppe gemäss Ziffer 2 und 4 jederzeit per E-Mail widersprechen» Datenschutzerklärung, Ziffer 6; vgl. Sachver- halt, Rz 91ff. 141 S iehe dazu Sachverhaltsfeststellung, vgl. Rz 94.
42/52
6.2.). Gefordert wird ein vernünftiges Verhältnis zwischen dem Zweck des Bearbeitens und der damit verbundenen Beeinträchtigung der Persönlichkeit (Botschaft DSG, BBl 1988 II S. 450). 194. Ausdruck des Verhältnismässigkeitsprinzips ist das Gebot der Datenminimierung, wonach nur diejenigen Daten beschafft und bearbeitet werden dürfen, die für einen Zweck auch tatsächlich benötigt werden. Dies gilt auch in zeitlicher Hinsicht: Daten dürfen nur solange aufbewahrt wer- den, wie dies zur Erreichung des Zwecks geeignet und erforderlich ist (Speicherbegrenzung). Gemäss der Rechtsprechung des Bundesgerichts stellt eine längere Aufbewahrungsdauer be- reits per se einen schwerwiegenden Eingriff in das Selbstbestimmungsrecht dar und erhöht die Gefahr einer missbräuchlichen Verwendung der gespeicherten Daten (BGE 133 I 77 E. 5.3). Darum muss auch die Speicherdauer aufgrund des Verhältnismässigkeitsgrundsatzes begrenzt werden. 195. F ür die Beurteilung der Zumutbarkeit der Datenbearbeitung ist massgebend zu prüfen, ob zwi- schen den Datenbearbeitungen und dem damit verbundenen Eingriff in die Privatsphäre der Ri- cardo-Kunden/User ein angemessenes Verhältnis besteht (Verhältnismässigkeit im engeren Sinne; vgl. BGE 138 II 346 E. 9.2 S. 362). Im Rahmen einer Interessenabwägung ist daher zu prüfen, inwieweit das Interesse der TX Group an der Erhebung und Auswertung grosser Daten- mengen zur Erstellung von Profilen für personalisierte Werbung, das Interesse der Betroffenen an einem möglichst geringen Eingriff in ihre informationelle Selbstbestimmung überwiegt. 196. Ob ein «vernünftiges» Verhältnis besteht, beurteilt sich entsprechend den allgemeinen Daten- schutzgrundsätzen nach objektiven Gesichtspunkten (Rosenthal, Handkommentar, Art. 4 N 22; BGE 125 II 473 E. 4b S. 476). Dabei gilt zu berücksichtigen, dass es sich hier um ein Tracking handelt, das nicht nur auf die Kunden oder Nutzer der Ricardo-Plattform ausgerichtet ist und sich aus deren Daten speist, sondern plattformübergreifend erfolgt; das heisst, Daten werden aus allen Plattformen der TX Group miteinander verknüpft. Bei der Interessenabwägung ist auch zu berücksichtigen, dass Massnahmen implementiert wurden, um den Eingriff in die Per- sönlichkeit zu minimieren (z.B. das Pseudonymisierung-Verfahren).
3.4.2. Bearbeitung der Daten einer Person gegen deren ausdrücklichen Willen (Art. 12 Abs. 2 lit. b DSG) 198. Gemäss Art. 12 Abs. 2 lit. b DSG dürfen keine Personendaten ohne Rechtfertigungsgrund bear- beitet werden, wenn die betroffene Person ihren ausdrücklichen Widerspruch zur Datenbearbei- tung eingelegt hat. Wird eine Bearbeitung gegen den ausdrücklichen Willen der betroffenen Person und ohne Rechtfertigungsgrund durchgeführt, gilt die Datenbearbeitung als rechtswidrig (v gl. BVerG A-7040/2009, Urteil vom 30.03.2011, E. 8.2.). 199. Widerspricht also ein Nutzer der Datenverknüpfung zu Werbezwecken und wird dieser Wider- spruch nicht berücksichtigt, liegt eine Persönlichkeitsverletzung vor. 200. Mit der per 25. Mai 2018 neu geltenden Datenschutzerklärung sollte insbesondere dem Daten- austausch bzw. der Datenverknüpfung innerhalb der Tamedia-Gruppe widersprochen werden können. Insbesondere wurde den Mitgliedern «eine einfache Möglichkeit zur Verfügung gestellt, um die Datenweitergabe innerhalb der Tamedia-Gruppe zu unterbinden». Eine entsprechende
43/52
Anpassung der Datenschutzerklärung wurde vorgenommen 142 . Diese Möglichkeit, die Daten- weitergabe bzw. dem Datenaustausch innerhalb der Gruppe insgesamt zu unterbinden, wurde bzw. wird jedoch nicht umgesetzt. 143 Ein allfälliger Widerspruch gegen die bei der TX Group durchgeführte Datenverknüpfung wird bzw. wurde somit nicht beachtet, die Daten werden in diesen Fällen entgegen dem ausdrücklich geäusserten Willen der betroffenen Person weiterbe- arbeitet, so dass eine Persönlichkeitsverletzung im Sinne von Art. 12 Abs. 2 lit. b DSG vorliegt. 3.4.3. Persönlichkeitsverletzung aufgrund von Datenbearbeitungen, die die Persönlichkeit we- sentlich beeinträchtigen 201. Nach bundesgerichtlicher Rechtsprechung kann eine Persönlichkeitsverletzung vorliegen, wenn die Beeinträchtigung der Persönlichkeit eine gewisse Intensität aufweist, namentlich wenn die Datenbearbeitung einen solchen Eingriff in die Persönlichkeit der betroffenen Person darstellt, dass die Entfaltung der Persönlichkeit beeinträchtigt werden kann (siehe Rechtsprechung des Bundesgerichts i. S. Google Street View (BGE 138 II 346 E. 8.3 S. 360) und des Bundesge- richts i.S. Videoüberwachung in einem Mieterhaus (BGE 142 III 263 E. 2.2.2). 202. Durch die Kombination von Daten können Informationen aus verschiedenen Quellen zusam- mengeführt und daraus neue Erkenntnisse gewonnen werden (Datenanreicherung). Beim Tra- cking können mithilfe von KI-Technologien beliebige Daten auf beliebige Weise und in beliebi- ger Menge verarbeitet und kombiniert werden, was je nach Kontext und Verwendung die Per- sönlichkeit einer betroffenen Person beeinträchtigen bzw. verletzen kann. Das Bundesgericht 144
umschreibt diese Intensität dahingehend: «Da mit Hilfe elektronischer Datenverarbeitung perso- nenbezogene Informationen in beliebigem Umfang gespeichert, verknüpft und reproduziert wer- den können, lassen sich auch an sich harmlose Informationen, die ohne Weiteres der Öffent- lichkeitssphäre zuzurechnen wären, zu eigentlich schützenswerten Persönlichkeitsprofilen ver- dichten». 203. Persönlichkeitsprofile sind somit grundsätzlich geeignet, die betroffenen Personen die Entfal- tung ihrer Persönlichkeit wesentlich zu beeinträchtigen, weshalb sie nur unter bestimmten Vo- raussetzungen erstellt und bearbeitet werden dürfen (siehe Rechtsprechung Bundesverwal- tungsgerichts i.S. Moneyhouse, Vgl. BVerG A-4232/2015 vom 18.04.2017 E. 5.2.1.). 204. Bei einer Bearbeitung von Persönlichkeitsprofilen im Rahmen der Kundenverhaltensanalyse, wie sie durch Ricardo resp. die TX Group vorgenommen wird (vgl. unsere Ausführungen dazu unter 3.2.2), wird die in der Rechtsprechung umschriebene Intensität der Beeinträchtigung der Persönlichkeit erreicht. 205. Die Bearbeitung von Persönlichkeitsprofilen im Rahmen der Kundenverhaltensanalyse führt aufgrund der Intensität der Beeinträchtigung der Persönlichkeit vorliegend zu einer Persönlich- keitsverletzung. 3.4.4. Fazit zu den verorteten Persönlichkeitsverletzungen 206. Zusammenfassend lässt sich feststellen, dass im Zusammenhang mit den vorliegend unter- suchten Datenbearbeitungen Persönlichkeitsverletzungen verortet wurden: 207. Zum einen wurden Verstosse gegen die Bearbeitungsgrundsätze (Art. 12 Abs. 2 lit. a DSG) festgestellt: ein plattformübergreifendes Tracking bzw. eine umfangreiche Datenanreicherung aus verschiedenen Quellen deutet auf einen Verstoss der Verhältnismässigkeit hin; eine irrefüh- rende Kommunikation über die Zwecke der neu eingeführten Datenbearbeitungen auf einen Verstoss des Grundsatzes der Treu und Glauben; intransparente und nicht nachvollziehbare
142 «Sie können der Verarbeitung Ihrer Daten zu Marketing- und Werbezwecken sowie der Weitergabe Ihrer Daten innerhalb der Tamedia-(TX-) Gruppe gemäss Ziffer 2 und 4 jederzeit per E-Mail widersprechen» Datenschutzerklärung, Ziffer 6; vgl. Sachver- halt, Rz 82ff. 143 Die Widerspruchsmöglichkeit betrifft jetzt nur die Datennutzung für Marketingmassnahmen von Ricardo (siehe dazu Sachver- haltsfeststellung, vgl. Rz 86). 144 BGE 138 II 346 E. 8.2 S. 359
44/52
Informationen über Datenbearbeitungen und Widerspruchsmöglichkeiten auf einen Verstoss der Transparenz. 208. Auch stellte der EDÖB fest, dass Datenbearbeitungen möglicherweise gegen den ausdrückli- chen Willen der betroffenen Personen (Art. 12 Abs. 2 lit. b DSG) erfolgten. 209. Zudem führt die Bearbeitung von Persönlichkeitsprofilen im Rahmen der Kundenverhaltensana- lyse aufgrund der Intensität der Beeinträchtigung der Persönlichkeit zu einer Persönlichkeitsver- letzung. 210. Aus diesen Gründen stellen die fraglichen Datenbearbeitungen der Ricardo/TX Group, also die Weitergabe und das plattformübergreifende Tracking durch TX Group (inklusive Datenverknüp- fung mit weiteren Daten aus verschiedenen Quellen) zwecks zielgerichteter Werbung, eine Per- sönlichkeitsverletzung im Sinne vom Art. 12 DSG dar. 211. Das nDSG sieht bei der Begrifflichkeit der Persönlichkeitsverletzung keine Änderungen vor.
3.5. Rechtfertigungsgründe 212. Eine Persönlichkeitsverletzung im Sinne vom Art. 12 DSG kann gemäss Art. 13 Abs. 1 DSG durch eine Einwilligung der betroffenen Person, durch ein überwiegendes privates oder öffentli- ches Interesse oder durch ein Gesetz gerechtfertigt werden. 213. Das nDSG sieht bei den gesetzlichen Rechtfertigungsgründen keine Änderungen vor. 3.5.1. Rechtfertigung einer Persönlichkeitsverletzung aufgrund eines Verstosses gegen die Bearbeitungsgrundsätze 214. Wie hier oben ausgeführt, wurden vorliegend unter anderem Verstosse gegen den Grundsatz von Treu und Glauben und die Erkennbarkeit verortet. Gemäss Bundesgericht ist eine Rechtfer- tigung der Bearbeitung von Personendaten entgegen den Grundsätzen von Art. 4, Art. 5 Abs. 1 und Art. 7 Abs. 1 DSG nicht generell ausgeschlossen. Rechtfertigungsgründe können jedoch in einem solchen Fall nur mit grosser Zurückhaltung bejaht werden (BGE 136 II 508 E. 5.2.4 und 6.3.1; vgl. auch BGE 138 II 346). Überwiegende private oder öffentliche Interessen können also nicht leichthin für eine Rechtfertigung einer Persönlichkeitsverletzung wegen Verletzung der Be- arbeitungszwecke angenommen werden, da dadurch die Einhaltung der Bearbeitungsgrund- sätze ausgehöhlt würden. 215. Angesichts der Tatsache, dass angemessene Information über die durchgeführten Datenbear- beitungen eine Grundbedingung des informationellen Selbstbestimmungsrechts ist, kann das Interesse von Ricardo bzw. TX Group an das durchgeführte Tracking die Verletzung des Trans- parenzgrundsatzes und von Treu und Glauben im Zusammenhang mit der Bereitstellung von angemessenen Informationen über die von ihnen durchgeführten Datenbearbeitungen nicht rechtfertigen. Eine gültige Einwilligung ist auch ausgeschlossen, soweit die Betroffenen nicht angemessen informiert wurden. Dies ist umso mehr der Fall, als Persönlichkeitsprofile bearbei- tet werden (vgl. Art. 14 DSG). Somit sind die in diesem Zusammenhang herbeigeführten Per- sönlichkeitsverletzungen als widerrechtlich zu beurteilen. 216. Verstösse gegen die Verhältnismässigkeit stellen Persönlichkeitsverletzungen dar, die - wenn auch nur sehr zurückhaltend - grundsätzlich durch einen Rechtfertigungsgrund gerechtfertigt werden können. Diese werden im Rahmen der von Ricardo und TX Group angeführten Recht- fertigungsgründe nachfolgend näher geprüft. 3.5.2. Rechtfertigung durch ein überwiegendes privates Interesse
45/52
145 Bei der Vorabklärung im Juli 2017 wurde die Position vertreten, dass die neu eingeführten Datenbearbeitungen durch die Einwilligung der Ricardo-Mitglieder gerechtfertigt seien (cf. Schreiben Ricardo vom 27. Juli 2017). 146 V gl. Schreiben vom 21. Juni 2019. 147 “ Legitimate Interest Assessment (LIA) regarding Behavioural Tracking of Users on TX Group Company Platforms for the TX Group Companies partaking in the TX Data Pipeline as controlling parties”; vgl. Beilage zum Schreiben vom 18. August 2021. Das Assessment erfolgte auf der Grundlage der Leitlinie der Information Commissioner's Office (ICO) ( "legitimate interest guide- lines of the ICO").
46/52
148 Eine kontextbezogene Werbung generiere weniger Einnahmen und erfülle somit nicht den Zweck die Plattformen «auf die effizienteste Weise» zu finanzieren. Die Bearbeitung der Informationen auf Plattformbasis erweise sich nicht als der beste und effektivste Weg, um das Ziel zu erreichen, ein Produkt so attraktiv wie möglich zu gestalten und die Dienste und Plattformen wettbewerbsfähig zu betreiben. Die effektive Nutzung der Verarbeitung hänge mit der Quantität und Qualität der Daten zusam- men. Eine Minimierung der Datenmenge würde angeblich dem Zweck der Verarbeitung zuwiderlaufen und sich negativ auf die Qualität der Ergebnisse auswirken. (vgl. LIA, S. 4-5) 149 “The data is collected directly from the data subject (first party tracking). There is a clear customer-to-service provider rela- tionship. This facilitates a direct and transparent information to the data subject about the data collection activities of the TX plat- forms via privacy policies, terms of use and consent/transparency modules.” (LIA, S. 2) 150 “Apart from the transparent information about the processing via the privacy policy, reasonable data subjects might expect the collection of their online behaviour by online platforms for the purpose of developing platform functionality and serving tar- geted advertisements - as the platform is offered for free (‘if it’s free, you are the product’ is a widely-known concept) - the rec- ommended which is displayed to data subjects implies in itself that it is based on some sort of processing of their behavioral data on the platform.” (LIA, S. 3)
47/52
knüpfung aus unterschiedlichen Quellen kann wie unter 3.2.2 ausgeführt ein Persönlichkeitspro- fil ergeben. Die Daten werden automatisiert und in grossem Umfang erhoben, und die Auswir- kungen auf die Rechte und Freiheiten der Nutzer sind, auch im kommerziellem bzw. Werbung- bereich nicht unerheblich: die «verhaltensorientierte Online-Werbung» (Online behavioural ad- vertising) birgt in Bezug auf die Privatsphäre und die Autonomie der Verbraucher die Gefahr, die Privatsphäre zu beeinträchtigen, sowie die Wahlfreiheit der Verbraucher einzuschränken und psychologische Eigenschaften und Schwachstellen auszunutzen 151 . Auf Ricardo werden auch Produkte angeboten und erworben, die zumindest teilweise einen Rückschluss auf beson- ders schützenswerte Personendaten ermöglichen wie bspw. die Gesundheit. Je länger und je mehr eine Person auf Ricardo bestellt, desto aussagekräftiger ist deren Persönlichkeitsprofil durch das Kundenkonto. Persönlichkeitsprofile sind gemäss Bundesverwaltungsgericht geeig- net, die Entfaltung der Persönlichkeit wesentlich zu beeinträchtigen (vgl. BVerG A-4232/2015 vom 18.04.2017, E. 5.2.1.). 229. Bezüglich der vernünftigen Erwartungen der betroffenen Personen können vorliegend die Ri- cardo-Mitglieder nicht erwarten, dass ihr Verhalten auch bei anderen Plattformen der TX Group (oder bei weiteren Webseiten) getrackt werden kann. Diesbezüglich wurden (namentlich in der Datenschutzerklärung sowie bei der Kommunikation von Ricardo) Transparenzmängel verortet und in diesem Bericht bereits thematisiert (vgl. Ziff. 3.4.1.1.2). Anders als TX Group behauptet, besteht weder eine «direkte» noch eine «klare» Beziehung zwischen den Ricardo-Kunden und der TX Group. Die Kundendaten der Ricardo-Mitglieder werden über die Registrierung durch Ricardo erhoben. Ricardo gibt dann diese Daten an die TX Group weiter und die TX Group ver- wendet die mittlerweile von ihr pseudonymisierten und teils aggregierten Daten für die Anrei- cherung der Datenbasis der TX Group zwecks personalisierter Werbung. 230. Auch das Argument der TX Group, die Betroffenen könnten vernünftigerweise erwarten, dass ihr Online-Verhalten über die Plattformen der TX Group erfasst werde, da die Plattform kosten- los angeboten werde («’if it’s free, you are the product’ is a widely-known concept»), greift nicht durch. Das Verkaufen auf ricardo.ch ist kostenpflichtig (vgl. Rz. 25 des Sachverhalts). 231. Bei der Interessenabwägung soll auch die Stellung des für die Verarbeitung Verantwortlichen und der betroffenen Person berücksichtigt werden. Erwähnt sei in diesem Kontext die notori- sche Tatsache, dass Ricardo zu den Marktleadern der Auktionsplattformern der Schweiz ge- hört. Daraus folgt, dass für eine grosse Anzahl von Personen durch die Bekanntheit und Beliebtheit Ricardo erste Anlaufstelle ist, um Produkte zu erwerben und anzubieten. Demzu- folge ist das Verhältnis der betroffenen Personen mit Ricardo und TX Group asymmetrisch. Diese haben eine starke bzw. dominante Marktposition in der Schweiz. 3.5.2.4. Fazit 232. Im vorliegenden Fall ist zwar ein wirtschaftliches Interesse an einem plattformübergreifenden Tracking zum Zwecke des Advertising Targeting und retargeting nachvollziehbar und als schüt- zenswert anzuerkennen, dennoch konnten Ricardo und TX Group in diesem Zusammenhang kein überwiegendes privates Interesse nachweisen. Die Interessen der Nutzer bzw. der be- troffenen Personen an der Kontrolle über ihre Daten bzw. an ihrem Recht auf informationelle Selbstbestimmung überwiegen vorliegend die wirtschaftlichen Interessen der TX Group und der weiteren Unternehmen.
151 Siehe unter anderem Michèle Burnier / Nando Lappert / Simon Winkler, Consumer manipulation through online behavioural advertising, in: Jusletter 2 August 2021, inklusive der zahlreichen Verweise; vgl. auch „Briefing Regulating targeted andbehav- ioural advertising in digital services (europa.eu)“. unter https://www.europarl.europa.eu/Reg- Data/etudes/BRIE/2021/696967/IPOL_BRI(2021)696967_EN.pdf
48/52
3.5.3. Rechtfertigung durch eine Einwilligung 233. Da im vorliegenden Fall kein überwiegendes privates Interesse die fraglichen Datenbearbeitun- gen rechtfertigen konnte bzw. kann, ist nun zu prüfen, ob sich Ricardo bzw. TX Group auf die Einwilligung der betroffenen Personen stützen konnten bzw. können (und wenn ja, unter wel- chen Bedingungen). 234. Im Rahmen der Vorabklärung im Sommer 2017 stellte sich Ricardo auf den Standpunkt, dass mit der neuen Datenschutzerklärung eine gültige Einwilligung von den einzelnen Mitgliedern von ricardo.ch eingeholte werde 152 . Diese Position wurde in der Folge von Ricardo und TX Group verworfen und der Rechtfertigungsgrund des berechtigten Interesses wurde vorgebracht (siehe 3.5.2). Mit dem Einsatz einer Consent management platform (CMP) auf ricardo.ch geht Ricardo davon aus, dass die fraglichen Datenbearbeitungen durch die Einwilligung der Ricardo- Nutzer nun gerechtfertigt werden. 235. Inwieweit die damit eingeholte Einwilligung die festgestellten Persönlichkeitsverletzungen (vgl. Ziff. 3.4 und 3.4.4), worunter die Bearbeitung von Persönlichkeitsprofilen im Rahmen der Kun- denverhaltensanalyse (vgl. Ziff. 3.4.3), rechtfertigen vermag, wird folgend geprüft. 3.5.3.1 Anforderungen an eine wirksame Einwilligung 236. Die Anforderungen an eine Einwilligung sind im Art. 4 Abs. 5 DSG festgehalten: «Ist für die Be- arbeitung von Personendaten die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung erst gültig, wenn sie nach angemessener Information freiwillig erfolgt». Bei der Be- arbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen muss die Einwilligung zudem ausdrücklich erfolgen». Wenn die Anforderungen an eine gültige Einwil- ligung nicht erfüllt sind, ist die Einwilligungserklärung rechtsunwirksam. 237. Die betroffene Person muss über alle Informationen im konkreten Fall verfügen, die erforderlich sind, damit sie eine (freie) Entscheidung treffen kann
(Botschaft DSG 2003, S. 2127). Für eine wirksame datenschutzrechtliche Einwilligung muss die Bearbeitung, insbesondere deren Ge- genstand, Umfang und Zweck, hinreichend bestimmt sein (Botschaft DSG 2017, S. 7027). 238. Die Einwilligung muss freiwillig erfolgen. Dies bedeutet insbesondere, dass die betroffene Per- son über mögliche negative Folgen oder Nachteile informiert sein muss, die sich aus der Ver- weigerung ihrer Zustimmung ergeben können. Die alleinige Tatsache, dass eine Verweigerung einen Nachteil für die betroffene Person nach sich zieht, kann dagegen die Gültigkeit der Zu- stimmung nicht beeinträchtigen. Dies ist nur dann der Fall, wenn dieser Nachteil keinen Bezug zum Zweck der Bearbeitung hat oder diesem gegenüber unverhältnismässig ist (BBl 2003 1963, S. 2001 ff., 2127). 239. In der Rechtsprechung zu Helsana+ führt das Bundesverwaltungsgericht ausserdem aus, dass es nicht genügt, wenn die Einwilligung breit und ohne Einschränkungen formuliert ist, weil dadurch der Inhaber der Datensammlung eine über den notwendigen Zweck der Datenbearbei- tung hinausgehende Einwilligung einholen würde. Zudem würde eine Einwilligung, die auf meh- rere Bestimmungen verteilt ist (z.B. Nutzungsbedingungen und Datenschutzerklärung), welche die Nutzerinnen und Nutzer durch Anklicken einer Schaltfläche genehmigen würden, den Vo- raussetzungen einer angemessenen Information für die Gültigkeit einer Einwilligung nach Art. 4 Abs. 5 DSG nicht entsprechen. Dies, weil dieses Vorgehen es den betroffenen Personen er- schwert zu erkennen, in welche Datenbearbeitungen sie einwilligen (BVerG, Urteil vom 19. März 2019, A-3548/2018, E. 4.8.4). In diesem Zusammenhang wird eine Information über die Datenkategorien und die Bearbeitungszwecke, welche gestützt auf die Einwilligung der betroffe- nen Personen erfolgen, vorausgesetzt. 240. Soll die Einwilligung mittels AGB erhoben werden, dann gilt ebenfalls die Ungewöhnlichkeitsre- gel. Demnach gelten einzelne AGB-Klauseln dann nicht als Vertragsbestandteil, wenn sie so ungewöhnlich sind, dass der Kunde nicht mit ihnen gerechnet hat und aus seiner Sicht zur Zeit
152 Vgl. Schreiben vom 27. Juli 2017
49/52
des Vertragsschlusses vernünftigerweise auch nicht rechnen musste. Bei besonders einschnei- denden oder unerwarteten Bearbeitungen ist die betroffene Person also «gesondert aufmerk- sam» zu machen (Erfordernis eines gesonderten Hinweises). 153
153 Vgl. Lukas Bühlmann/Michael Schüepp, Information, Einwilligung und weitere Brennpunkte im (neuen) Schweizer Daten- schutzrecht, in: Jusletter 15. März 2021.
50/52
3.6. Empfehlungen In Bezug auf die Transparenz und Informationspflicht (vgl. Ziff. 3.4.1.1) sowie auf das Widerspruchs- recht (vgl. Ziff. 3.4.2) und gestützt auf Art. 29 Abs. 3 DSG erlässt der EDÖB gegenüber der Ricardo und der TX Group AG die folgenden Empfehlungen (A) Die Ricardo AG passt die Ricardo-Plattform dergestalt an, dass die Nutzerinnen und Nutzer eindeu- tig über die Datenbearbeitungen informiert werden.
Die Ricardo AG hat die Ricardo-Plattform dahingehend anzupassen, dass:
für die Ricardo-Nutzerinnen und Nutzer klar erkennbar ist, zu welchen Zwecken welche Perso- nendaten bearbeitet werden;
für die Ricardo-Nutzerinnen und Nutzer klar erkennbar ist, ob und wenn ja, welche Datenbear- beitungen zu Persönlichkeitsprofilen führen;
für die Ricardo-Nutzerinnen und Nutzer klar erkennbar ist, welche Plattformen am Tracking bzw. an der Datenverknüpfung zu Werbezwecken beteiligt sind;
für die Ricardo-Nutzerinnen und Nutzer klar erkennbar ist, für welche Datenbearbeitungen sich die Ricardo AG auf welche Rechtfertigungsgründe beruft und wie den Datenbearbeitungen al- lenfalls widersprochen werden kann.
die Datenschutzerklärung leicht auffindbar, nachvollziehbar und übersichtlich ist. Eine nahelie- gende Umsetzungsmöglichkeit ist der mehrstufige Informationsansatz: Auf der obersten Ebene geben knappe und leicht verständliche Informationen einen ersten Überblick über die wesentli- chen Aspekte der Datenbearbeitung; über einen Link kann dann die ausführliche Datenschut- zerklärung aufgerufen werden;
die Datenschutzerklärung, falls auf die gesetzlichen Grundlagen verwiesen wird, soweit an- wendbar, auf die Bestimmungen des anwendbaren Datenschutzgesetzes (DSG) verweist, und nicht nur auf diejenigen der DSGVO;
die Datenschutzerklärung die tatsächlich durchgeführten Datenbearbeitungen wiedergibt bzw. aufführt;
die Datenschutzerklärung je nach Rechtfertigungsgrund der Datenbearbeitung die korrekte Lö- schung bzw. Widerspruchsmöglichkeit beschreibt und ihre Praxis bezüglich der Löschung bzw. Widerspruchsbegehren diesbezüglich korrekt umgesetzt wird;
für die Nutzerinnen und Nutzer in der Consent Management Plattform (CMP) nachvollziehbar und erkennbar ist, welche Datenbearbeitungen zu welchen Zwecken stattfinden, sowie die je- weiligen Widerspruchsmöglichkeiten. Ricardo hat sicherzustellen, dass keine Datenbearbeitun- gen stattfinden, wenn die Auswahl in der CMP auf «inaktiv» gesetzt ist.
In Bezug auf die Einwilligung als Rechtfertigungsgrund hält der EDÖB fest, dass sich Ricardo in Bezug auf die Persönlichkeitsverletzungen (vgl. Ziff. 3.4) auf einen Rechtfertigungsgrund zu stützen
51/52
hat. Da vorliegend kein überwiegendes privates Interesse die Datenbearbeitungen zu Werbezwe- cken zu rechtfertigen vermag (vgl. Ziff. 3.5.2) und keine rechtsgültige Einwilligung der betroffenen Personen vorliegt (vgl. Ziff. 3.5.3), sind die geprüften Datenbearbeitungen im vorliegenden Fall wi- derrechtlich. Sofern sich Ricardo nicht auf den Rechtfertigungsgrund der Einwilligung stützen kann, dürfen keine Daten an TX Group zu den Werbezwecken weitergegeben werden. Falls die rechtlichen Anforderungen entsprechend erfüllt sind, kann jedoch eine Einwilligung die Datenbearbeitungen ins- künftig rechtfertigen. Dabei muss Ricardo Massnahmen ergreifen, damit die Betroffenen eine rechts- gültige Einwilligung erteilen können.
Der EDÖB erlässt gestützt auf Art. 29 Abs. 3 DSG gegenüber der Ricardo AG und der TX Group AG somit die folgenden
Empfehlungen (B)
Die Ricardo AG passt die Ricardo-Plattform dergestalt an, dass sie inskünftig die Einwilligung der Ricardo-Nutzer und Nutzerinnen zu den durch Ricardo AG und TX Group durchgeführten Bearbeitungen zu Werbezwecken der TX-Daten-Angebote-Unternehmen einholt, bevor sie Nutzungsdaten erhebt und Personendaten an die TX Group AG zu diesen Zwecken weitergibt. Diese muss nach angemessener Information (vgl. Empfehlung A), freiwillig und ausdrücklich erfolgen. Die Einwilligung kann beispielsweise durch die einmalige Anzeige eines Popups beim nächsten Login, durch eine Anpassung des Anmeldeformulars oder mittels CMP (jeweils durch Setzen eines Häkchens) eingeholt werden. Da das plattformübergreifende Tracking nur mit Einwilligung der Nutzerinnen und Nutzer erfolgen darf, soll der Button mit dem Text «be- rechtigten Interessen widersprechen» nicht angezeigt werden.
Die TX Group AG löscht die bestehenden Daten von Ricardo-Nutzer und -Nutzerinnen, welche zu Werbezwecken der TX-Daten-Angebote-Unternehmen bereits erfasst worden sind, sofern keine rechtsgültige Einwilligung der Ricardo-Nutzer und -Nutzerinnen vorliegt bzw. eingeholt wurde.
Verfahren 4.1. Rechtliches Gehör und weiteres Vorgehen
Mit Schreiben vom 11. April 2024 hat der EDÖB der Ricardo AG sowie der TX Group AG den vorliegenden Schlussbericht mit Empfehlungen vorgelegt. Die Ricardo AG sowie die TX Group AG wurden aufgefordert, innerhalb von 30 Tagen nach Erhalt zum Bericht Stellung zu nehmen und mitzuteilen, ob sie die Empfehlungen annehmen oder ablehnen.
Bei vollständiger oder teilweiser Annahme der Empfehlungen wird der EDÖB der Ricardo AG bzw. der TX Group AG eine Frist zur Stellungnahme zur Umsetzung der Empfehlungen inkl. Umsetzungsfrist setzen. Sollte sich aufgrund dieser Stellungnahme ein Abstimmungsbedarf er- geben, kann der EDÖB die Ricardo AG und die TX Group AG zu gegebener Zeit zu Gesprä- chen einladen.
Soweit die Empfehlungen nicht angenommen werden, kann der EDÖB sie dem Bundesverwal- tungsgericht zum Entscheid vorlegen (Art. 29 Abs. 4 DSG).
4.2. Stellungnahmen der Ricardo AG und der TX Group AG
52/52
Mit Schreiben vom 8. Juli 2024 haben die Ricardo AG und die TX Group AG innerhalb der er- streckten Frist ihre Stellungnahmen eingereicht.
Sowohl die Ricardo AG als auch die TX Group AG machen im Wesentlichen geltend, dass sich die Empfehlungen des EDÖB auf einen nicht mehr existierenden Sachverhalt und ein nicht mehr geltendes Gesetz beziehen würden. Die Empfehlungen des EDÖB seien daher gegen- standslos und die Sachverhaltsabklärung somit abzuschreiben. Die Ricardo AG und die TX Group AG erklären, die Empfehlungen des EDÖB weder anzunehmen noch abzulehnen. In ma- terieller Hinsicht seien die Empfehlungen inhaltlich haltlos. Die Parteien weisen die Feststellung von Verstössen gegen das DSG zurück und bestreiten die rechtlichen Schlussfolgerungen der Sachverhaltsabklärung: Bei den an die TX Group AG übermittelten Daten handle es sich nicht um Personendaten, weshalb das DSG auf die vorliegend untersuchten Datenbearbeitungen nicht anwendbar sei. Zudem würden bei der TX Group AG keine Persönlichkeitsprofile bearbei- tet. Die allgemeinen Datenschutzgrundsätze, insbesondere die Erkennbarkeit der Datenbear- beitungen, seien eingehalten, so dass keine Persönlichkeitsverletzung vorliege. Obwohl kein Rechtfertigungsgrund für die vorliegenden Datenbearbeitungen erforderlich wäre, würde eine Einwilligung der Ricardo-Nutzer eingeholt bzw. ein überwiegendes privates Interesse vorliegen.
4.3. Veröffentlichung des Schlussberichts mit Empfehlungen 253. Es besteht ein allgemeines Interesse daran, die Öffentlichkeit für die vorliegende Art der Daten- bearbeitung zu sensibilisieren sowie über die Feststellungen und Empfehlungen des EDÖB zu informieren. Gestützt auf Art. 30 Abs. 2 DSG wird der EDÖB deshalb den vorliegenden Schlussbericht in angepasster Form auf seiner Website (www.edoeb.admin.ch) veröffentlichen.
Der Beauftragte: Die zuständige Juristin:
Adrian Lobsiger Odile Rossier