Eindeutigkeit des Zwecks
Art. 5 Abs. 1 b) DSGVO legt fest, dass persönliche Daten nur „für festgelegte, eindeutige und legitime Zwecke erhoben werden“ dürfen. Mit der Festgelegtheit und Eindeutigkeit der Zwecke hapert es offenkundig in Anbetracht der vagen und uneinheitlichen Erläuterungen des Zwecks durch das Unternehmen. Auch Leserberichten zufolge scheint ein klarer, nachvollziehbarer Zweck der Datenerhebung oft nicht angegeben zu werden.
Datensparsamkeit
In Art. 5 Abs. 1 c) ist gefordert, dass die erhobenen Daten „dem Zweck angemessen und erheblich“ und „auf das notwendige Maß beschränkt“ sein müssen. Das ist das Prinzip der Datensparsamkeit. Der Zweck zu dem MediaMarktSaturn die Daten erhebt ist zwar nicht ganz klar. Aber nimmt man die Abwicklung von Rückgaben und Reparaturen als Zweck an, so ist festzustellen, dass traditionell und in den Geschäften der meisten anderen Unternehmen der Kassenzettel oder ein ähnlicher anonymer Kaufbeleg hierfür genügt.
Bedingungen der Rechtmäßigkeit
Art. 6 Abs. 1 DSGV enthält eine erschöpfende Liste von Zulässigkeitsgründen für die Datenerhebung. In Frage kommt die (freiwillige) Einwilligung. Diese scheint, insbesondere in Zusammenhang mit Art. 7 Abs. 4 (s.u.) nicht gegeben. Denn der Kauf wird von der Einwilligung abhängig gemacht, obwohl die Daten zur Abwicklung des Kaufs nicht notwendig sind. Zur Durchführung vertraglicher Maßnahmen sind die Daten bei einem Standardkauf ohne Lieferauftrag etc. nicht erforderlich. Auch die anderen aufgelisteten möglichen Rechtsgrundlagen scheinen nicht einschlägig.
Freiwilligkeit
Art. 7 Abs. 4 DSGVO lautet:
„Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.“
Falls also MediaMarkt/Saturn den Verkauf eines Geräts von der Einwilligung in die Erfassung von persönlichen Daten abhängig macht, die für die Abwicklung des Kaufs und der vereinbarten Nebenleistungen nicht erforderlich sind, wäre die Einwilligung nicht wie gefordert freiwillig.
Informationspflichten
Sehr problematisch erscheint die Praxis außerdem im Hinblick auf die Informationspflichten nach Art. 13 Abs. 1 DSGVO. Danach muss der die Daten Erhebende der betroffenen Person bereits zum Zeitpunkt der Erhebung dieser Daten den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters mitteilen, sowie gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten, außerdem die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung.
