21. Tätigkeitsbericht des Hamburgischen Datenschutzbeauftragten ...

Member-Cards übersandt wurden. Diese ermöglichen eine kostenfreie Nutzung
einer Members Lounge und das kostenlose Parken im Einkaufszentrum. Die mit
einem Chip versehenen Members Cards wurden mit einem persönlichen Anschreiben,
in dem die Vorzüge der Karte geschildert wurden, an ausgewählte Personen,
unter anderem Politiker, übersandt. Das Anschreiben enthielt allerdings
keine Informationen darüber, ob und welche Daten auf dem Chip gespeichert werden
und ob über Lesegeräte ausgewertet werden kann, wann und wie lange sich
die Karteninhaber in der Members Lounge oder im Parkhaus aufhalten.
Auf Anfrage hat das die Karten herausgebende Unternehmen mitgeteilt, dass
auf den Member-Cards ein Code gespeichert ist. Anhand des Codes erkenne
das Zugangssystem, ob die Karte zugelassen und damit der Inhaber zum Zugang
berechtigt sei. Vorübergehend werde gespeichert, wann welche Karten
an welchem Lesegerät eingesetzt würden. Anderenfalls könne nicht festgestellt
werden, ob der Inhaber der Karte auch berechtigt sei, den jeweiligen Bereich,
wie z.B. das Parkhaus, wieder zu verlassen. Die Daten würden jedoch
kurzfristig nach deren Einsatz gelöscht. Nach der Löschung sei nur noch eine
statistische Erfassung, wie viele Besucher beispielsweise die Lounge oder das
Parkhaus während einer bestimmten Zeit besucht hätten, möglich. Die Daten
würden nicht an Dritte weitergegeben.
Nach den Vorschriften des Bundesdatenschutzgesetzes war die Vorgehensweise
des Unternehmens zu beanstanden. Grundsätzlich ist die Erhebung, Verarbeitung
und Nutzung von personenbezogenen Daten nach der Rechtsvorschrift
des § 28 Abs. 1 Satz 1 Nr. 2 BDSG, auf die sich das Unternehmen berufen
hat, zulässig, soweit es zur Wahrung berechtigter Interessen der verantwortlichen
Stelle erforderlich ist und kein Grund zu der Annahme besteht, dass das
schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung
oder Nutzung überwiegt. Der mit der Herausgabe der Karte verbundene Werbeeffekt
und die so mögliche Kundenbindung können als berechtigtes Interesse
des Unternehmens zur Nutzung und Speicherung von personenbezogenen
Daten anerkannt werden. Allerdings besteht nach der dargestellten Sachlage
Grund zu der Annahme, dass überwiegende schutzwürdige Interessen der Betroffenen
der Datenverarbeitung im Zusammenhang mit dem Einsatz der Karte
entgegenstehen und diese nach § 28 Abs. 1 Satz 1 Nr. 2 BDSG unzulässig ist.
Die Betroffenen erhalten die Karte, ohne einen entsprechenden Antrag gestellt
zu haben. Ihre Daten werden ohne ihr Zutun für die Herausgabe der Karte erhoben
und gespeichert, ohne dass sie sich gegen die Datenverarbeitung wenden
können. Sie werden nicht über den Umfang der Datenverarbeitung bei Einsatz
der Karte unterrichtet und haben daher keine Vorstellung, wann welche Daten zu
welchem Zweck wie lange gespeichert werden. Wegen des Fehlens einer solchen
Information kann man auch nicht davon ausgehen, dass die Betroffenen
durch die Nutzung der Karte in die entsprechende Erhebung und Verarbeitung
von Daten beim Einlass in die Lounge oder das Parkhaus konkludent einwilligen,
so dass die Datenverarbeitung auch nicht nach § 4 Abs. 1 BDSG zulässig ist.
134
21. Tätigkeitsbericht 2006/2007 HmbDSB