Datenschutz- und Compliance-Bulletin – Juli 2022
Das Gesetz zum Schutz personenbezogener Daten („KVKK“) und die sekundären Rechtsvorschriften sind seit ihrem Inkrafttreten bis heute ein häufig aktualisiertes und lebendiges Recht. Nicht nur Gesetze, Verordnungen und Bekanntmachungen, sondern auch Beschlüsse des Ausschusses, Grundsatzbeschlüsse und Zusammenfassungen der Beschlüsse des Ausschusses legen zahlreiche Verfahren und Grundsätze im Bereich des Datenschutzes fest. Daher zielen unsere monatlichen Newsletter darauf ab, die Betroffenen über die Praktiken des Ausschusses für den Schutz personenbezogener Daten („Ausschuss“) zu informieren und auf dem neuesten Stand zu halten.
Im Juli wurden vom Ausschuss für den Schutz personenbezogener Daten 12 Zusammenfassungen von Ausschussbeschlüssen und Meldungen über Datenschutzverletzungen veröffentlicht.
MELDUNGEN ÜBER DATENSCHUTZVERLETZUNGEN
„Verpflichtungen in Bezug auf die Datensicherheit“ gemäß KVKK Art. 12/5. „Werden verarbeitete personenbezogene Daten auf unrechtmäßige Weise von anderen Personen erlangt, muss der für die Datenverarbeitung Verantwortliche dies unverzüglich den Betroffenen und der Kommission melden. Die Kommission kann diesen Sachverhalt gegebenenfalls auf ihrer Website oder auf andere Weise, die sie für angemessen hält, bekannt geben.“
Im Juli 2022 wurden auf der Website der Datenschutzbehörde unter der Domain www.kvkk.gov.tr fünf Meldungen über Datenschutzverletzungen veröffentlicht.
Meklas Otomotiv San. ve Tic. A.Ş.
Der für die Datenverarbeitung Verantwortliche gab an, dass die Verletzung am 29.06.2022 durch eine Ransomware-Attacke in Form einer Verschlüsselung der Daten erfolgte und am selben Tag durch eine E-Mail an den für die Datenverarbeitung Verantwortlichen festgestellt wurde. Die Verletzung betraf Mitarbeiter, Nutzer, Kunden und potenzielle Kunden, wobei mindestens 142 Personen betroffen waren, die genaue Anzahl der betroffenen Personen jedoch aufgrund des eingeschränkten Zugriffs auf die Server nicht ermittelt werden konnte. Neben allgemeinen personenbezogenen Daten wie Identität, Kontaktdaten und Bildaufzeichnungen wurden auch Gesundheitsdaten, sowie Daten zu Weltanschauung, Religion und Konfession, die zu den Kategorien personenbezogener Daten besonderer Art gehören, ebenfalls zu den von der Verletzung betroffenen Kategorien personenbezogener Daten gehören.
Knauf İnşaat ve Yapı Elemanları San. ve Tic. A.Ş und Knauf Insulation Izolation San. ve Tic. A.Ş
Als Anteilseigner der für die Datenverarbeitung Verantwortlichen wurde darauf hingewiesen, dass am 29.06.2022 ein Ransomware-Angriff auf die deutschen Server von Knauf Gips KG stattfand und dass es möglich ist, dass keine Datenverletzung stattgefunden hat.
Da die in den Geschäftsprozessen gesammelten personenbezogenen Daten auf den Servern des Datenverarbeiters gespeichert werden, sind die Identität, die Kontaktdaten, die Personal- und Rechtsverfahren, Kundenvorgänge, physische Sicherheit, Transaktionssicherheit, Risikomanagement, Berufserfahrung, Finanzen, Marketing, visuelle und akustische Aufzeichnungen sowie Gewerkschaftsmitgliedschaft, Weltanschauung, Religion, Konfession und andere Glaubensrichtungen, strafrechtliche Verurteilungen und Sicherheitsmaßnahmen sowie Gesundheitsdaten betroffen sein könnten.
Die von der Verletzung betroffene Personengruppe konnte zwar noch nicht ermittelt werden, jedoch wurde angegeben, dass natürliche und juristische Personen, mit denen Geschäftsbeziehungen bestehen, Besucher, Bewerber, Praktikanten und Praktikumsbewerber, juristische Personen, mit denen Verträge geschlossen wurden, sowie Familienangehörige von Mitarbeitern in diesen Bereich fallen. Die Details zu den betroffenen Daten würden im Rahmen einer technischen Untersuchung ermittelt werden.
Türkiye Elektrik Dağıtım A.Ş. (TEDAŞ)
Die Verletzung wurde während der Ermittlungen des Ministeriums für Cybersicherheit im Dark Web festgestellt. Der Benutzername und das Passwort eines Mitarbeiters des für die Datenverarbeitung Verantwortlichen wurden auf unbekannte Weise abgegriffen und die mit diesem Benutzerkonto im System gespeicherten Daten anderer Benutzer wurden per E-Mail an eine E-Mail-Adresse weitergeleitet. Zu den von der Verletzung betroffenen Personengruppen gehören Mitarbeiter und Bürger, und die von der Verletzung betroffenen Personen umfassten 208.000 Personen, deren personenbezogene Daten Name, Nachname, E-Mail-Adresse und Mobiltelefonnummer umfassten.
Surtaş Otomotiv ve Servis Hizmetleri Sanayi Ticaret Ltd. Şti
Die Verletzung ereignete sich am 16.07.2022 und wurde am selben Tag festgestellt. Die Verletzung erfolgte, indem der für die Daten verantwortliche Mitarbeiter den SMS-Bestätigungscode, der ihm zugesandt wurde, einer Person mitteilte, die sich als befugt ausgab, woraufhin die Kontrolle über das Online-Transaktionssystem des für die Daten Verantwortlichen und eine Instant-Messaging-Anwendung auf dem Telefon des Mitarbeiters übernommen wurde. Die von der Verletzung betroffenen Personengruppen sind Mitarbeiter, Kunden und potenzielle Kunden, wobei die Kategorien der personenbezogenen Daten Identität (Vor- und Nachname), Kommunikation (Telefonnummer) sowie visuelle und akustische Aufzeichnungen (Profilfoto) umfassen und die Anzahl der von der Verletzung betroffenen Personen auf 1200 geschätzt wird.
NeoPets Inc.
Die Verletzung ereignete sich am 17.07.2022 und wurde entdeckt, als der für die Datenverarbeitung Verantwortliche am 20.07.2022 feststellte, dass ein Teil seiner Systeme einem Cyberangriff ausgesetzt war. Der Angreifer habe in einem Forum gepostet, dass er etwa 69 Millionen aktuelle und ehemalige Nutzerdaten von der Online-Plattform des Datenverantwortlichen gestohlen habe, und habe eine Anzeige veröffentlicht, um die Quellcodes und die Datenbank zu verkaufen. Von der Verletzung seien Nutzer, Abonnenten/Mitglieder und Kinder betroffen, wobei es sich bei den Kategorien der personenbezogenen Daten um Identitäts-, Kommunikations- und Transaktionssicherheit handele, die Untersuchungen jedoch noch andauerten. Die Anzahl der von der Verletzung betroffenen Personen und Datensätze konnte noch nicht ermittelt werden, jedoch gibt es auf der betroffenen Online-Plattform 3,5 Millionen aktive und 65 Millionen inaktive Konten, und der Datenverantwortliche hat begonnen, mit einem IT-Forensikunternehmen zusammenzuarbeiten, um detailliertere Informationen zu erhalten.
ZUSAMMENFASSUNG DER ENTSCHEIDUNGEN DES AUSSCHUSSES
„Verarbeitung der Handgeometriedaten der betroffenen Person durch den Datenverantwortlichen ohne deren ausdrückliche Zustimmung zum Zwecke des Zugangs zum Dienstleistungsgebäude eines Unternehmens” – Zusammenfassung der Entscheidung der Datenschutzkommission vom 07.07.2022, Nr. 2022/662
Bei der Registrierung in einem Unternehmen wurden die Handflächen- und Fingerabdruckdaten der betroffenen Person ohne deren ausdrückliche Einwilligung von den Unternehmensvertretern gescannt und in den Unternehmensunterlagen verarbeitet, um Zugang zum Dienstleistungsbereich zu erhalten. Nach der Kündigung des Dienstleistungsvertrags wurde gemäß dem KVKK ein Antrag beim für die Datenverarbeitung Verantwortlichen gestellt. Der Datenverantwortliche antwortete der betroffenen Person, aber die Antwort wurde als unzureichend empfunden, und es wurde gefordert, dass die erforderlichen Maßnahmen in dieser Angelegenheit ergriffen werden.
In der Antwort wurde zusammengefasst, dass ein Gerät namens „Handgeometrie-Terminal” verwendet wurde, das im Gegensatz zur Erfassung von Finger- oder Handflächenabdrücken die „Handgeometrie” der Personen im System speicherte, dass nur die Oberseite der auf das Gerät gelegten Hand gescannt wurde, dass das Gerät über keinen Mechanismus verfügte, der die Innenseite der Hand mit den Finger- oder Handflächenabdrücken scannte, mit anderen Worten, genau wie bei der Messung der Körpergröße einer Person die Maße der Hand mit Hilfe des Geräts gescannt werden. Der für die Datenverarbeitung Verantwortliche stützt sich in seiner Antwort darauf, dass es sich bei diesen personenbezogenen Daten nicht um sensible personenbezogene Daten wie biometrische Daten handelt, sondern um allgemeine personenbezogene Daten wie Alter, Vor- und Nachname sowie Kontaktnummer.
Es wird erklärt, dass die Erfassung der Handgeometrie einer Person allein nicht ausreicht, um die Person korrekt zuzuordnen, da es nicht ausreicht, die Hand am Handgeometrie-Terminal zu scannen, sondern zusätzlich ein Passwort eingegeben werden muss, und dass die Handgeometrie allein, wie Fingerabdruck- oder Handflächenscanner, nicht ausreicht, um eine Person zu identifizieren. Im Rahmen des KVKK wurde erklärt, dass die Handgeometriedaten der betroffenen Person nach Beendigung ihrer Mitgliedschaft unverzüglich gelöscht werden.
Bei einer Recherche der Kommission über offene Quellen zu dem betreffenden Gerät wurde zunächst festgestellt, dass der Name des Geräts „… Biometrisches Handterminal” lautet und dass die Handgeometrie-Lesetechnologie auf dem Prinzip basiert, die physischen Merkmale der Benutzer, wie Hände und Finger, in einer dreidimensionalen Umgebung zu messen. In den Erläuterungen wird betont, dass die unverzichtbare Eigenschaft biometrischer Systeme die Erzielung korrekter Ergebnisse ist und dass die Wahrscheinlichkeit eines Fehlers bei der Handgeometrie 1/101.559.956.668.416 beträgt.
Obwohl der für die Datenverarbeitung Verantwortliche angibt, dass aufgrund der Möglichkeit einer Zuordnung zu einer anderen Person eine sekundäre Überprüfung mittels Passwort erfolgt, wird in den Erläuterungen zum Gerät angegeben, dass die Überprüfung in weniger als einer Sekunde erfolgt, sobald die Person den Code eingegeben hat, um ihr eigenes Bild aufzurufen, und ihre Hand unter das Gerät hält.
In der Entscheidung wird auf die Entscheidung der 15. Kammer des Verwaltungsgerichtshofs zu diesem Thema, die Europäische Datenschutz-Grundverordnung, die Entscheidung des Europäischen Gerichtshofs für Menschenrechte zu diesem Thema und die Stellungnahme des Verfassungsgerichtshofs verwiesen.
In Anbetracht der Tatsache, dass Biometrie die „Messung eines lebenden Organismus” bezeichnet, fallen auch nicht-physiologische Verhaltensdaten unter die Definition biometrischer Daten, und es wird davon ausgegangen, dass die Handgeometriedaten aufgrund ihrer messbaren physiologischen Eigenschaften vom Datenverantwortlichen mit einer automatisch überprüfbaren Identitätskontrolltechnik verarbeitet werden, Mit Hilfe des Geräts wird die Hand an 31.000 Punkten dreidimensional gescannt, um die Hand und die Finger zu analysieren. Angesichts der Tatsache, dass die Fehlerquote bei der Zuordnung zur betreffenden Person mathematisch eindeutig und klar sehr gering ist, handelt es sich um eine Identitätsprüfungsmethode, die anhand physiologischer Merkmale durchgeführt und automatisch überprüft werden kann. Infolgedessen wird festgestellt, dass der für die Datenverarbeitung Verantwortliche eine Identitätsprüfung mittels biometrischer Verfahren durchführt, indem er die Handgeometrie der Dienstabonnenten und der betreffenden Person erfasst, und dass in diesem Sinne personenbezogene Daten besonderer Art verarbeitet werden.
Es wurde festgestellt, dass es keinen rechtlichen Grund für die Verarbeitung besonderer personenbezogener Daten zum Zwecke der Kontrolle beim Betreten des Dienstgebäudes des Datenverantwortlichen und für die Verwendung biometrischer Datensysteme in diesem Zusammenhang gibt und dass die besonderen personenbezogenen Daten der betroffenen Person ohne Vorliegen einer der in der KVKK genannten Verarbeitungsbedingungen verarbeitet wurden.
Da die Informationen zur „Handgeometrie” der betroffenen Person, die zu den biometrischen Daten mit besonderem Schutzstatus gehören, entgegen den Bestimmungen von Artikel 12/1 des KVKK verarbeitet wurden, wurde gemäß Artikel 18/1/b des KVKK eine Verwaltungsstrafe in Höhe von 100.000 TL gegen den Datenverantwortlichen verhängt. Auf der Grundlage der Erklärung des für die Datenverarbeitung Verantwortlichen wurde beschlossen, dass die Löschungsanforderung erfüllt wurde und die betroffene Person über die Löschung der betreffenden personenbezogenen Daten informiert wird, dass im Falle einer Weitergabe an Dritte die Maßnahmen zur Vernichtung unverzüglich mitgeteilt werden und dass der Ausschuss über das Ergebnis informiert wird.
„Verarbeitung personenbezogener Daten durch die Verwendung der E-Mail-Adresse der betroffenen Person bei der Bestellung über das Internet durch eine Person mit demselben Namen und die anschließende Zusendung der Rechnung an die betroffene Person” Zusammenfassung der Entscheidung Nr. 2022/243 des Datenschutzausschusses vom 17.03.2022
Es wurde festgestellt, dass die betreffende Person sich mit demselben Namen und derselben E-Mail-Adresse bei einem Datenverantwortlichen, der über das Internet Dienstleistungen anbietet, registriert und eine Bestellung aufgegeben hat, und dass der Datenverantwortliche die Rechnung für die Bestellung an die betreffende Person gesendet hat, ohne die Richtigkeit der E-Mail-Adresse zu überprüfen und zu bestätigen. Daher wurde gefordert, dass gegen den Datenverantwortlichen die erforderlichen Maßnahmen ergriffen werden.
In seiner Antwort erklärte der Datenverantwortliche, dass die E-Mail-Adresse nicht mit den Daten der betroffenen Person übereinstimme und dass keine Identitätsdaten der Person verarbeitet worden seien. Es sei festgestellt worden, dass es möglich sei, dass ein anderer Nutzer sich als Gast angemeldet und unter Verwendung dieser E-Mail-Adresse aufgrund der Namensähnlichkeit versehentlich eine Bestellung aufgegeben habe. Um dies zu verhindern, seien Entwicklungsarbeiten aufgenommen und Pläne erstellt worden. Darüber hinaus wurde angegeben, dass unter Berücksichtigung der Bestimmung in Artikel 12/5 des KVKK und der Definition einer Datenverletzung gemäß der Europäischen Datenschutz-Grundverordnung keine Datenverletzung bei der Behörde gemeldet wurde.
In der Entscheidung des Ausschusses wurde auf die E-Rechnungs-Verpflichtungen der Allgemeinen Bekanntmachung zum Steuerverfahrensgesetz verwiesen und festgestellt, dass die betreffende Bestimmung, nämlich Artikel 5/2/ç des KVKK, die rechtliche Verpflichtung des Datenverantwortlichen zur Erfüllung seiner rechtlichen Verpflichtungen als rechtliche Grundlage für die Notwendigkeit der Datenverarbeitung herangezogen werden kann. Es wurde festgestellt, dass das Fehlen eines Bestätigungsmechanismus bei diesem Vorgang nicht nur zu einem Verlust von Rechten führen kann, sondern auch bedeutet, dass alle über einen Gastzugang ohne Mitgliedschaft auf der Website getätigten Einkäufe das Risiko einer Datenverletzung bergen.
Da sich die betreffende Verarbeitungstätigkeit nicht auf eine der in Artikel 5 des KVKK genannten Verarbeitungsbedingungen stützt und der Datenverantwortliche seiner in Artikel 12/ 1 genannten Verpflichtungen nicht erfüllt, wurde beschlossen, gegen den Datenverantwortlichen gemäß Artikel 18/1/b des KVKK eine Verwaltungsstrafe in Höhe von 100.000 TL zu verhängen. Darüber hinaus wurde der Datenverantwortliche, der sich auf die Europäische Datenschutz-Grundverordnung bezieht, daran erinnert, dass die Einhaltung der Bestimmungen des KVKK vorrangigist.
Zusammenfassung der Entscheidung Nr. 2022/224 der Datenschutzbehörde vom 10.03.2022 zum Thema „Weitergabe der Telefonnummer einer betroffenen Person durch das Callcenter einer Bank an Dritte”
Nachdem die betroffene Person die Karte eines Dritten in einem Bankautomaten gefunden hatte, wurde die Karte dem Sicherheitsdienst am Fundort übergeben, aber später sandte der Karteninhaber der betroffenen Person eine Nachricht über ihre private Telefonnummer, wodurch die Daten ohne ausdrückliche Zustimmung an den Karteninhaber weitergegeben wurden. Da die betroffene Person nicht informiert worden war und keine ausdrückliche Zustimmung erteilt hatte, wurde der für die Datenverarbeitung Verantwortliche, die Bank, aufgefordert, die erforderlichen Maßnahmen zu ergreifen.
In seiner Antwort erklärte der für die Datenverarbeitung Verantwortliche, dass die verarbeiteten personenbezogenen Daten im Allgemeinen zum Zwecke der Gewährleistung der Kundensicherheit verarbeitet würden, dass die Informationserklärung auf der Website für jedermann zugänglich sei und somit die Informationspflicht erfüllt sei und dass die betroffene Person informiert worden sei und ihre Einwilligung gegeben habe.
In der Entscheidung der Kommission wird zusammengefasst, dass bei der Kontaktaufnahme mit der Bank über das Callcenter dem Anrufer die Datenschutzerklärung der KVKK vorgelegt wurde und dass aus den vom Datenverantwortlichen übermittelten Unterlagen hervorgeht, dass die betroffene Person bei der Antragstellung über den Bereich „Kontakt“ auf der Website des Datenverantwortlichen das Kästchen „Ich habe die Informationen zum Schutz personenbezogener Daten gelesen und verstanden“ angekreuzt hat, sodass davon auszugehen ist, dass der Datenverantwortliche, die Bank, seiner Informationspflicht nachgekommen ist. Allerdings hat das Callcenter-Personal zuvor das Kästchen „Ich habe die Informationen zum Schutz personenbezogener Daten gelesen und verstanden“ angekreuzt, sodass davon auszugehen ist, dass der Datenverantwortliche, die Bank, seiner Informationspflicht nachgekommen ist. verstanden” angekreuzt hat. In diesem Sinne wird festgestellt, dass die Bank als Datenverantwortlicher ihrer Informationspflicht nachgekommen ist.
Allerdings ist es nicht vernünftig zu erwarten, dass aus der Erklärung des Callcenter-Mitarbeiters, der zuvor die Sicherheit der Karte gewährleistet hatte, geschlossen werden kann, dass die Daten der betroffenen Person an den Karteninhaber, einen Dritten, weitergegeben werden,
Aus derselben Erklärung lässt sich eher ableiten, dass die Kartensicherheit gewährleistet wird und die Informationen über den Aufenthaltsort der Karte von einem Bürger weitergegeben werden. Aus der ablehnenden Antwort der betroffenen Person auf den Vorschlag, die Karte selbst zu übergeben, lässt sich ableiten, dass die betroffene Person nicht mit der Weitergabe ihrer personenbezogenen Daten einverstanden ist.
Aufgrund der Weitergabe des Namens, des Nachnamens und der Telefonnummer der betroffenen Person, die als personenbezogene Daten im Sinne von Art. 12 KVKK gelten, an Dritte unter Verstoß gegen die KVKK wurde beschlossen, gegen den für die Datenverarbeitung Verantwortlichen eine Verwaltungsstrafe gemäß Art. 18 zu verhängen, da die Bank ihrer Informationspflicht nachgekommen ist und daher keine Maßnahmen im Rahmen der KVKK zu ergreifen sind.
Zusammenfassung der Entscheidung Nr. 2022/184 der Datenschutzbehörde vom 04.03.2022 zum Thema „Weitergabe der Schuldnerdaten der betroffenen Person durch ein Inkassounternehmen an Dritte”
Unter dem Namen des Datenverantwortlichen, einer Forderungsmanagementgesellschaft, wurden SMS-Nachrichten an die auf den Namen des Bruders und der Ehefrau der betroffenen Person registrierten Telefonnummern gesendet, in denen mitgeteilt wurde, dass die Frist für die Begleichung der Schulden der betroffenen Person gegenüber einem Telekommunikationsunternehmen ablaufen würde und dass bei Nichtbegleichung der Schulden Vollstreckungsmaßnahmen eingeleitet würden. Die betroffene Person wandte sich aufgrund der Offenlegung ihrer personenbezogenen Daten an die Rechtsabteilung des betreffenden Unternehmens, erhielt jedoch keine schriftliche Antwort. Als sie daraufhin Auskunft darüber verlangte, warum ihre personenbezogenen Daten nicht an ihr eigenes Telefon gesendet worden waren und wie die betreffenden Telefonnummern ermittelt worden waren, erhielt sie die Antwort: „Wir finden es heraus“. Es wurde angegeben, dass die personenbezogenen Daten der betroffenen Person ohne deren Zustimmung an Dritte weitergegeben worden seien, und es wurde eine Beschwerde im Rahmen des KVKK eingereicht.
In der Entscheidung des Ausschusses heißt es, dass aus den vom Datenverantwortlichen übermittelten Antwortschreiben hervorgeht, dass bei Anrufen beim Callcenter des Datenverantwortlichen zur Erlangung von Informationen über eine Schuld dem Anrufer ohne jegliche Benachrichtigung und ohne dass eine der in Artikel 5 des KVKK genannten Verarbeitungsbedingungen vorliegt, die Telefonnummern der Anrufer automatisch im System gespeichert und verarbeitet werden und dass diese Personen mit anderen Personen, deren personenbezogene Daten vorliegen, in Verbindung gebracht werden können. , ohne dass die Anrufer darüber informiert werden und ohne dass eine der in diesem Artikel genannten Verarbeitungsbedingungen erfüllt sind, die Telefonnummern der Anrufer automatisch im System gespeichert werden und dass mit diesen Personen Informationen über die Schulden anderer Personen, die als personenbezogene Daten gelten, ausgetauscht werden. Daher wurde festgestellt, dass der Datenverantwortliche es versäumt hat, die erforderlichen technischen und administrativen Maßnahmen zu ergreifen, um ein angemessenes Sicherheitsniveau zu gewährleisten und die rechtswidrige Verarbeitung personenbezogener Daten gemäß Artikel 12 Absatz 1. Absatz des KVKK fest, dass der für die Datenverarbeitung Verantwortliche nicht die erforderlichen technischen und administrativen Maßnahmen ergriffen hat, um ein angemessenes Sicherheitsniveau zu gewährleisten und die unrechtmäßige Verarbeitung personenbezogener Daten zu verhindern. Aus diesem Grund wurde beschlossen, gegen den für die Datenverarbeitung Verantwortlichen gemäß KVKK Art. 18/1/b eine Verwaltungsstrafe in Höhe von 50.000 TL zu verhängen, die Praxis der Speicherung der Kontaktdaten von Personen, die Informationen einholen möchten, zu beenden und den Ausschuss über das Ergebnis zu informieren.
„Anforderung besonders geschützter personenbezogener Daten von Bewerbern durch die Kontaktstelle in der Türkei eines im Ausland ansässigen Datenverantwortlichen im Rahmen des Einstellungsverfahrens“ Zusammenfassung der Entscheidung Nr. 2022/172 der Datenschutzbehörde vom 24.02.2022
Bei der Einstellung der betreffenden Person wurden von ihr durch die Kontaktstelle des Datenverantwortlichen ein Strafregisterauszug, ein Gesundheitszeugnis, ein Blutgruppenausweis, eine Kopie des Führerscheins, eine Kopie der Heiratsurkunde usw. verlangt, jedoch wurde keine ausdrückliche Einwilligung zur Verarbeitung dieser besonderen personenbezogenen Daten eingeholt, was einen Verstoß gegen die in Artikel 4 des KVKK aufgeführten allgemeinen Grundsätze darstellt, und die Daten könnten auch ins Ausland übertragen worden sein; auf die Anfrage der betroffenen Person wurde vom Datenverantwortlichen innerhalb der gesetzlichen Frist von 30 Tagen keine Antwort gegeben, und gemäß den Bestimmungen des KVKK wurden die erforderlichen Maßnahmen gefordert.
In der Antwort des Verbindungsbüros in der Türkei wurde darauf hingewiesen, dass sie keine eigenständige Rechtspersönlichkeit und keine gewerbliche Tätigkeit haben, die betreffenden personenbezogenen Daten aufgrund des Arbeitsvertrags den Charakter einer „Personalakte” hätten, gemäß den einschlägigen Rechtsvorschriften und Gesetzen für legitime Zwecke gespeichert würden und nach Beendigung des Arbeitsvertrags vernichtet würden. Ausgehend von den Bestimmungen des Arbeitsgesetzes Nr.
4857 gehört die Eigenschaft als „Datenverantwortlicher” nicht dem Verbindungsbüro, sondern dem Unternehmen mit Sitz im Ausland, die Mitteilung der betroffenen Person an den Datenverantwortlichen über den Beauftragten des Verbindungsbüros und den Arbeitgebervertreter ist durch eine von einem im Ausland ansässigen Notar beglaubigte und ausgestellte Vollmacht im Namen des Datenverantwortlichen rechtsgültig und wirksam, Es wurde festgestellt, dass auf den Antrag der betroffenen Person nicht rechtzeitig geantwortet wurde, dass die Übermittlung von Daten ins Ausland nicht rechtswidrig ist, dass dies jedoch nur mit der ausdrücklichen Zustimmung der betroffenen Person erfolgen darf.
Andererseits wurde zwar behauptet, dass alle personenbezogenen Daten der betroffenen Person durch den Datenverantwortlichen am Firmensitz und in der Kontaktstelle vernichtet worden seien, jedoch wurde der Behörde kein Dokument vorgelegt, das dies belegen würde. Gemäß Artikel 7 Absatz 3 der Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten 7/3 müssen die für die Datenverarbeitung Verantwortlichen die von ihnen durchgeführten Löschvorgänge dokumentieren und die entsprechenden Unterlagen auf Verlangen den Behörden vorlegen.
Auch wenn die Einwilligung der betroffenen Person als rechtmäßig angesehen wird, wurde aufgrund der Nichtvorlage eines Belegs für die Vernichtung der betreffenden Daten bei der Behörde beschlossen, den für die Datenverarbeitung Verantwortlichen anzuweisen, bei Anträgen der betroffenen Personen mit größter Sorgfalt und Vorsicht vorzugehen und die Behörde durch Übermittlung des Belegs über die Vernichtung der Daten zu informieren.
„Über die Veröffentlichung von Informationen über die Einleitung eines Vollstreckungsverfahrens gegen ein Unternehmen, dessen Name in der Bezeichnung der betroffenen Person enthalten ist, in den sozialen Medien“ Zusammenfassung der Entscheidung Nr. 2022/103 der Datenschutzbehörde vom 10.02.2022
Nach dem Austausch mit dem Datenverantwortlichen wurde von diesem ein Vollstreckungsverfahren gegen das Unternehmen („Unternehmen”) eingeleitet, in dessen Namen die betreffende Person aufgeführt ist. Im Rahmen dieses Verfahrens hat eine Person auf der Social-Media-Plattform Facebook in einer öffentlich zugänglichen Gruppe einen Kommentar abgegeben, dass Dokumente im Zusammenhang mit dem Verfahren geteilt werden sollen. Nach Recherchen wurde die Person, die den Beitrag geteilt hat, als Ansprechpartner des Datenverantwortlichen identifiziert. Obwohl die betreffende Person keine geschäftliche Beziehung zu der genannten Person hatte, wurde beim Datenverantwortlichen gemäß den Rechten im Rahmen des KVKK eine Beschwerde eingereicht, da durch die Weitergabe der in der Vollstreckungsakte enthaltenen personenbezogenen Daten an Dritte ihre Persönlichkeitsrechte verletzt worden seien. Innerhalb der Frist sei jedoch keine Antwort eingegangen.
In seiner Antwort schrieb der Datenverantwortliche zusammenfassend: Das Unternehmen sei Partei in einer Beschwerde, die bezüglich der Beiträge in den sozialen Medien bei der Staatsanwaltschaft eingereicht worden sei. Da es sich bei der beschwerten Partei nicht um eine natürliche Person, sondern um eine juristische Person handele und die gesetzlichen Tatbestandsmerkmale einer Straftat nicht vorlägen, sei entschieden worden, dass keine Strafverfolgung wegen Beleidigung stattfinde. Die Person, die die Beiträge verfasst habe, sei zu diesem Zeitpunkt Teilzeitmitarbeiter des Unternehmens gewesen, habe das Unternehmen später verlassen und anschließend bei dem für die Datenverarbeitung Verantwortlichen zu arbeiten begonnen habe.
Der für die Datenverarbeitung Verantwortliche der beschwerdeführenden Partei sei in diesem Unternehmen für das Portfolio dieser Person zuständig, das Unternehmen habe die Zahlung für den Kauf der Waren nicht geleistet und es sei ein Vollstreckungsverfahren eingeleitet worden. und dass die Person dadurch großen Schaden erlitten habe, weshalb sie in einer Facebook-Gruppe, in der sie Mitglied war, die Situation mit dem Unternehmen erläutert habe, um andere Unternehmen vor Schaden zu bewahren. Als Beweis habe sie die Vorderseite der Gerichtsakte unleserlich geteilt, diese Veröffentlichung sei jedoch gelöscht worden, sodass Dritte den Beitrag nicht sehen konnten. Nach dem Vorfall sei die betreffende Person aus der Gruppe ausgeschlossen und gesperrt worden.
In der Zusammenfassung der Entscheidung des Ausschusses wurde neben dem KVKK auch die Sichtweise der Artikel-29-Datenschutzgruppe, die auf der Grundlage der Datenschutzrichtlinie 95/46/EG erstellt wurde, zum Begriff „personenbezogene Daten” aus ihrer Stellungnahme vom 04.06.2007 mit der Nummer 4/2007 dargelegt. Es wurde auf die Kriterien eingegangen, die bei der Bewertung von Informationen über juristische Personen zu berücksichtigen sind, wenn diese mit natürlichen Personen in Verbindung stehen.
Obwohl der Name und Nachname der betreffenden Person im Namen des Unternehmens, das Gegenstand der Beschwerde ist, vorkommt, wurde entschieden, dass keine Maßnahmen zu ergreifen sind, da aus den Beiträgen in den sozialen Medien hervorgeht, dass die juristische Person das Ziel war, und die betreffenden Daten nicht als Daten einer natürlichen Person, sondern als Daten einer juristischen Person bewertet wurden, sodass die Beschwerde nicht unter den Geltungsbereich des KVKK fällt.
„Über die Verarbeitung personenbezogener Daten der betroffenen Person durch den für die Verarbeitung Verantwortlichen im Gesundheitswesen zum Zwecke des Versands kommerzieller elektronischer Nachrichten ohne deren ausdrückliche Zustimmung“ Zusammenfassung der Entscheidung Nr. 2022/31 der Datenschutzbehörde vom 18.01.2022
Die betroffene Person hat Beschwerde eingereicht und angegeben, dass ihr ohne ihre ausdrückliche Einwilligung kommerzielle elektronische Nachrichten von einem im Gesundheitswesen tätigen Datenverantwortlichen an ihre E-Mail-Adresse gesendet wurden, dass ihre personenbezogenen Daten gemäß dem Gesetz zur Regulierung des elektronischen Handels und dem KVKK rechtswidrig verarbeitet wurden und dass der Datenverantwortliche es versäumt habe, die erforderlichen administrativen und technischen Maßnahmen zu ergreifen.
Der für die Datenverarbeitung Verantwortliche hat in seiner Verteidigung angegeben, dass die E-Mail-Adresse der betroffenen Person bei ihrer ersten Anmeldung im Krankenhaus im Krankenhausinformationssystem gespeichert worden sei und dass die Datenverarbeitung gemäß dem KVKK auf dem Rechtsgrund „die Verarbeitung personenbezogener Daten der Vertragsparteien ist erforderlich, sofern dies in direktem Zusammenhang mit dem Abschluss oder der Erfüllung eines Vertrags steht” beruhe. Der Datenverantwortliche erklärte, dass die an die Person gesendete E-Mail auf eine vorübergehende Koordinationslücke zurückzuführen sei, und betonte, dass die betreffende Person auf ihren Wunsch hin aus der Liste der Personen, die dem Versand kommerzieller elektronischer Nachrichten zugestimmt haben, gestrichen worden sei und dass keine weiteren E-Mails mehr an sie gesendet würden.
Der Ausschuss befand die Erhebung der personenbezogenen Daten der betroffenen Person zum Zeitpunkt der Eröffnung der Patientenakte für rechtmäßig, wies den Datenverantwortlichen jedoch darauf hin, dass die Verwendung der personenbezogenen Daten in einem Zusammenhang mit den Zwecken ihrer Erhebung die Datenverarbeitung rechtswidrig machen würde. Der Ausschuss Der Ausschuss kam zu dem Schluss, dass die an die E-Mail-Adresse der Person zu Werbe- und Marketingzwecken gesendete elektronische Nachricht nicht mit den rechtlichen Gründen vereinbar ist, die die Erhebung personenbezogener Daten in der ersten Phase rechtfertigen, und verhängte gegen den Datenverantwortlichen, der nicht die erforderlichen administrativen und technischen Maßnahmen zum Schutz der personenbezogenen Daten getroffen hatte, eine Verwaltungsstrafe in Höhe von 100.000 TL.
„Über die rechtswidrige Weitergabe personenbezogener Daten auf einer Internetadresse, auf der die Registerdaten des Unternehmens angezeigt werden, dessen ehemaliger Partner die betroffene Person ist“ Zusammenfassung der Entscheidung Nr. 2022/6 der Datenschutzbehörde vom 06.01.2022
Die betroffene Person wandte sich an die Handelskammer mit der Begründung, dass die Registerdaten des Unternehmens, dessen ehemaliger Gesellschafter sie war, auf der Website unter den Unternehmensdaten aufgeführt seien und sie nicht wolle, dass ihre personenbezogenen Daten ohne ihre Zustimmung an Dritte weitergegeben würden. Die Handelskammer lehnte den Antrag der betroffenen Person mit der Begründung ab, dass dieser gemäß dem türkischen Handelsgesetzbuch („TTK”) und der Handelsregisterverordnung nicht erfüllt werden könne.
In ihrer Antwort an den Ausschuss erklärte die für die Datenverarbeitung verantwortliche Handelskammer, dass Es wurde darauf hingewiesen, dass die Eintragung und Bekanntgabe von Änderungen in der Gesellschafterstruktur des Unternehmens gemäß den gesetzlichen Bestimmungen offenbare Informationen seien, dass in den entsprechenden Bekanntmachungen keine personenbezogenen Daten wie Identitätsnummern oder Adressen enthalten seien und dass die Informationen, die gemäß den einschlägigen Bestimmungen des TTK und der Handelsregisterverordnung für Dritte einsehbar seien, in den Unternehmensinformationen auf der Website enthalten seien.
In seiner Entscheidung stellte der Ausschuss fest, dass die im Lichte des TTK und anderer einschlägiger Rechtsvorschriften durchgeführten Maßnahmen mit den im Gesetz festgelegten Grundsätzen der „Zweckbindung, Begrenztheit und Verhältnismäßigkeit” im Einklang stehen. Es wurde betont, dass die Informationen über die Informationsdatenbankplattform auf der Website der Handelskammer zugänglich sind und dass es keine Anzeichen dafür gibt, dass die Veröffentlichung der Daten einen anderen Zweck als die Veröffentlichung im Handelsregister hat.
Angesichts all dieser Bewertungen wurde festgestellt, dass, obwohl der Name, der Nachname und die Höhe des Kapitals des ehemaligen Gesellschafters des Unternehmens auf der Abfrageseite einsehbar sind, die Gründe für die Verarbeitung dieser personenbezogenen Daten nicht weggefallen sind und daher keine Maßnahmen im Rahmen des KVKK erforderlich sind.
„Über die Erstellung eines Programms zur Erstellung einer schwarzen Liste durch Unternehmen, die Software für Fahrzeugvermietungsprogramme entwickeln und verkaufen, das die Verarbeitung der Daten der betroffenen Personen und den Austausch dieser Daten zwischen Fahrzeugvermietungsunternehmen ermöglicht“ Zusammenfassung der Entscheidung Nr. 2021/1303 der Datenschutzbehörde vom 23.12.2021
Es wurde festgestellt, dass die für die Datenverarbeitung Verantwortlichen Hersteller oder Verkäufer von Autovermietungssoftware sind, dass die Autovermietungsunternehmen, die diese Software verwenden, die über ihre Kunden erhobenen personenbezogenen Daten speichern, dass diese Daten jedoch ohne Zustimmung der Kunden in Form einer Blacklist-Anwendung anderen Unternehmen, die dieselbe Software verwenden, zugänglich gemacht und in diesem Rahmen offengelegt werden.
In den Antworten, die die Hersteller von Autovermietungssoftware an die Behörde übermittelt haben, wurde allgemein darauf hingewiesen, dass für die Betriebsführung die im Autovermietungsvertrag vorgeschriebenen Angaben sowie bestimmte personenbezogene Daten, wie die von öffentlichen Einrichtungen und Behörden vorgeschriebenen Angaben zur Identität und zum Führerschein, gespeichert werden müssen. Einige Softwareunternehmen gaben an, dass die betreffende Anwendung auch den Zweck habe, bei Anfragen von „problematischen Kunden” nach Mietwagen von anderen Autovermietungsunternehmen die betreffenden Warnungen und Kommentare über den Kunden an das jeweilige Autovermietungsunternehmen weiterzuleiten. Die Hersteller von Autovermietungssoftware erklärten, dass sie nicht für die rechtswidrige Nutzung durch ihre Kunden, die Autovermietungsunternehmen, verantwortlich seien.
Der Ausschuss hat unter Bezugnahme auf seine Entscheidung Nr. 2021/1303 vom 23.12.2021 zum gleichen Thema erneut das Konzept des gemeinsamen Datenverantwortlichen hervorgehoben. Der Ausschuss hat erklärt, dass es offensichtlich ist, dass die Softwareunternehmen als Datenverantwortliche agieren, da sie aufgrund der von ihnen angebotenen Dienstleistungen die Datenbank und die Verwaltung der Software in ihrem Unternehmen unterhalten, innerhalb ihres Unternehmens Benutzer mit Administratorrechten ernennen, die Autovermietungsunternehmen nicht in die Softwarecodes eingreifen können und daher die Kundenverwaltungsrechte eingeschränkt sind. Es wurde festgestellt, dass die Autovermietungsunternehmen weiterhin eindeutig gemeinsam mit den Softwareunternehmen für die Daten verantwortlich sind.
Da die Softwareunternehmen keine gesetzliche Verpflichtung zur Verarbeitung der Daten der Kunden der Autovermietungsunternehmen haben, wurde festgestellt, dass die Weitergabe der Daten an „Geschäftspartner, Niederlassungen oder Vertreter” der Autovermietungsunternehmen gemäß den gesetzlichen Bestimmungen nur im Rahmen des berechtigten Interesses möglich ist. Da die Personen und Personengruppen, die an der Übermittlung beteiligt sind, nicht vom Datenverantwortlichen informiert werden, die Übermittlung nicht zwischen den Autovermietungsunternehmen, sondern in erster Linie an das System erfolgt und in diesem Zusammenhang nicht vorhersehbar ist, welche Unternehmen die personenbezogenen Daten einsehen können, wurde ein Verstoß gegen die Grundprinzipien der Datenverarbeitung und die allgemeinen Grundsätze der Übermittlung festgestellt.
In der Entscheidung wurde betont, dass das Interesse des Unternehmens mit den Grundrechten der betroffenen Person konkurrieren kann, dass die Datenverarbeitung für die Erreichung des Interesses erforderlich ist, dass das Interesse klar und bestimmt sein muss und dass es für das Unternehmen unmöglich sein muss, das betreffende Interesse ohne die Verarbeitung personenbezogener Daten zu erreichen. Der Ausschuss befand, dass die Datenverarbeitungsmethoden der für die Datenverarbeitung verantwortlichen Softwareunternehmen gegen die allgemeinen Grundsätze des KVKK verstoßen, und wies die für die Datenverarbeitung Verantwortlichen an, die betreffenden personenbezogenen Daten gemäß der Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten zu vernichten.
„Über die Verarbeitung der Bankdaten der betroffenen Person durch eine Versicherungsgesellschaft” Zusammenfassung der Entscheidung Nr. 2021/1262 des Ausschusses für den Schutz personenbezogener Daten vom 16.12.2021
Obwohl die betroffene Person ihre Bankdaten nicht an die für die Datenverarbeitung verantwortliche Versicherungsgesellschaft weitergegeben hatte, erklärte sie, dass die Versicherungsgesellschaft diese Daten rechtswidrig verarbeitet habe, und reichte über ihren Vertreter einen Antrag ein, in dem sie die Löschung der genannten Daten forderte. Nachdem ihr Antrag unbeantwortet blieb, wandte sie sich an die Datenschutzbehörde.
Der für die Datenverarbeitung Verantwortliche erklärte, dass der Zweck der Datenverarbeitung darin bestehe, die Versicherungsprämien einzuziehen und die sich aus der Police ergebenden Verpflichtungen zu erfüllen. Da es eine Entscheidung des Verbrauchergerichtshofs zu diesem Fall gab, wurde betont, dass die Bankdaten verarbeitet wurden, um die aus der Police resultierende Verpflichtung zur Entschädigung für den festgestellten Schaden durch eine Zahlung auf das in den Unterlagen des Unternehmens hinterlegte Bankkonto der Person zu erfüllen, und dass die Kontoinformationen im Hinblick auf die Erfüllung der Entscheidung des Verbrauchergerichtshofs gemäß den gesetzlichen Verpflichtungen 10 Jahre lang aufbewahrt werden müssen.
Der für die Datenverarbeitung Verantwortliche hat in seiner Verteidigung außerdem darauf hingewiesen, dass es sich bei der vom Bevollmächtigten der Person vorgelegten Vollmacht um eine „allgemeine Vollmacht” handele und dass die angeforderten Informationen die Verarbeitung personenbezogener Daten beträfen, die ein eng mit der Person verbundenes Recht darstellten, weshalb der Bevollmächtigte, der seine Rechte gemäß Art. 11 Rechte ausübt, eine Vollmacht mit besonderer Befugnis vorlegen muss und die Anfrage aus diesem Grund nicht beantwortet wurde, betonte der Ausschuss jedoch, dass diese Bedingung nicht verlangt werden sollte, da es in den Rechtsvorschriften keine Regelung bezüglich einer besonderen Vollmacht gibt, und beschloss, die vom Datenverantwortlichen im Antragsformular angegebene Bedingung der besonderen Befugnis aufzuheben. In allen anderen Punkten befand der Ausschuss die Verteidigung für gerechtfertigt und sah keine Notwendigkeit, Maßnahmen zu ergreifen, da die personenbezogenen Daten gemäß den rechtlichen Gründen in KVKK Art. 5/2-c und ç verarbeitet wurden.
Zusammenfassung der Entscheidung der Datenschutzbehörde vom 16.12.2021, Nr. 2021/1258, über die rechtswidrige Verarbeitung der personenbezogenen Daten der betroffenen Person durch den für die Datenverarbeitung Verantwortlichen nach Beendigung des Arbeitsverhältnisses
Die betroffene Person hat bei der Behörde Beschwerde eingereicht und angegeben, dass sie bei dem Unternehmen, bei dem sie beschäftigt war, mittels Gesichtserkennungs- und Fingerabdrucksystemen zur Arbeit gekommen und gegangen sei, dass Daten ins Ausland übertragen worden seien und dass bei der Verarbeitung oder Übertragung personenbezogener Daten kein ausdrückliches Einwilligungsverfahren durchgeführt worden sei. Die betroffene Person hat außerdem betont, dass der Datenverantwortliche seiner Aufklärungspflicht nicht in rechtmäßiger Weise nachgekommen sei, da ihr die Möglichkeiten zur Einreichung eines Antrags nicht mitgeteilt worden seien und kein Antragsformular zur Verfügung gestanden habe.
Aufgrund der Beschwerde hat der Datenverantwortliche in seiner Verteidigung geltend gemacht, dass er seiner Aufklärungspflicht nachgekommen sei, da der von der betroffenen Person unterzeichnete Arbeitsvertrag Bestimmungen zum Schutz personenbezogener Daten enthalte, und dass die Beschwerdeführer in dem nur für Mitarbeiter eingerichteten sozialen Netzwerk des Unternehmens detaillierte Informationen über die Beschwerdewege erhalten hätten. Er erklärte, dass biometrische Daten wie Fingerabdrücke und Gesichtsabdrücke zum Schutz des Unternehmens und der Mitarbeiter erhoben würden und dass keine Daten ins Ausland übertragen würden.
In seiner Entscheidung verwies der Ausschuss auf die bei der Verarbeitung personenbezogener Daten einzuhaltenden Grundsätze und erklärte, dass die Verarbeitungsmethode des Unternehmens nicht mit diesen Grundsätzen vereinbar sei. Da die im Arbeitsvertrag enthaltenen Klauseln nicht die Mindestanforderungen an die Aufklärung und Einwilligungserklärung erfüllten und in Form eines gemischten Textes formuliert waren, wurde betont, dass es sich gemäß der Mitteilung über die Verfahren und Grundsätze zur Erfüllung der Aufklärungspflicht nicht um eine ordnungsgemäße Aufklärung handelte. Der Ausschuss stellte fest, dass es unmöglich sei, eine Arbeit aufzunehmen, ohne den Arbeitsvertrag zu unterzeichnen, und erklärte ausdrücklich, dass die im Arbeitsvertrag enthaltene Einwilligungserklärung nicht als Ausdruck des freien Willens der betroffenen Person angesehen werden könne.
Wie in vielen Entscheidungen bereits festgestellt, wies der Ausschuss erneut auf die Bedeutung des Grundsatzes der Verhältnismäßigkeit bei der Verarbeitung sensibler personenbezogener Daten hin und erklärte, Da es Systeme gibt, die für die Sicherheit der Mitarbeiter des Unternehmens keine Verwendung biometrischer Daten erfordern und dem gleichen Zweck dienen (Magnetkarten usw.), hat der Ausschuss die Verwendung von Fingerabdruck- und Gesichtserkennungssystemen als unverhältnismäßig bezeichnet und eine Verwaltungsstrafe in Höhe von 125.000 TL gegen den für die Datenverarbeitung Verantwortlichen verhängt.
„Meldung der betroffenen Person über die rechtswidrige Verarbeitung personenbezogener Daten durch den Datenverantwortlichen im Rahmen eines Treueprogramms” Zusammenfassung der Entscheidung der Datenschutzbehörde vom 05.07.2019, Nr. 2019/198
In der bei der Behörde eingereichten Petition wurde wird darauf hingewiesen, dass der Datenverantwortliche Rabatte auf bestimmte in seinem Geschäft verkaufte Produkte nur für Kunden mit einer „Treue-Karte“ gewährt, dass der Erhalt einer solchen Karte als Treue-Karte mit der ausdrücklichen Zustimmung zur Weitergabe personenbezogener Daten verbunden ist und dass die ausdrückliche Zustimmung in diesem Zusammenhang dem Kunden als „Bedingung“ auferlegt wird, wodurch seine Möglichkeit, die Dienstleistung in Anspruch zu nehmen, beeinträchtigt wird.
In seiner Verteidigung erklärte der Datenverantwortliche, dass in der zusammen mit der Informationserklärung vorgelegten Einwilligungserklärung die Zwecke, für die die Einwilligung verlangt wird, erläutert werden und somit die Voraussetzung der Bezugnahme auf einen bestimmten Sachverhalt erfüllt ist; Kunden, die keine Kundenkarte erhalten möchten, hätten jederzeit die Möglichkeit, über die Website oder im Geschäft einzukaufen, der mit der Kundenkarte gewährte Rabatt beziehe sich nicht auf das Hauptprodukt oder die Hauptdienstleistung, sondern stelle einen zusätzlichen Vorteil dar und könne aus all diesen Gründen nicht als Voraussetzung für die Inanspruchnahme der Dienstleistung angesehen werden.
Der für die Datenverarbeitung Verantwortliche verwies in seiner Verteidigung auf einen ähnlichen Fall, der auch im Handbuch zum europäischen Datenschutzrecht (Handbook on European Data Protection Law) erwähnt wird, und betonte, dass die Bindung zusätzlicher Vorteile an die Bedingung der ausdrücklichen Einwilligung die freie Willensentscheidung nicht beeinträchtige. Dem Handbuch zufolge „besteht keine wechselseitige Abhängigkeit zwischen dem Kunden und dem Unternehmen, und die Folgen einer Nichtzustimmung sind nicht so schwerwiegend, dass sie den freien Willen des Dateninhabers beeinträchtigen würden”. Mit anderen Worten: Der genannte Rabatt ist nicht so groß, dass er den freien Willen beeinträchtigen würde.
Der Ausschuss kam in seiner Entscheidung zu ähnlichen Einschätzungen und stellte fest, dass der mit der „Kundenkarte” angebotene Rabatt ein zusätzlicher Vorteil sei und die Einkaufsmöglichkeit nicht beeinträchtige, sodass er nicht als Voraussetzung für die Inanspruchnahme von Produkten und Dienstleistungen angesehen werden könne, und entschied, dass es sich nicht um eine Verarbeitung im Sinne des KVKK handele.