KVKK-Bußgelder bei Kundenkarten: Praxisfälle und Entscheidungen des Datenschutzrats

⏱️ Lesezeit: 14 min · 📁 Kategorie: KVKK & Digitale Compliance

KVKK-Bußgelder bei Kundenkarten: Praxisfälle und Entscheidungen des Datenschutzrats

Kundenkartensysteme werden im Einzelhandel häufig eingesetzt, um die Kundenbindung zu stärken.
Da sie zugleich eine Infrastruktur zur Verarbeitung personenbezogener Daten darstellen,
gehören sie zu den risikoreichen Tätigkeiten im Sinne der KVKK.

In den letzten Jahren hat der KVKK-Datenschutzrat wegen Kundenkartenprogrammen, Kundendatenbanken,
Kampagnensystemen und Transaktionen über Telefonnummern
zahlreiche Bußgelder verhängt.

Dieser Leitfaden erläutert anhand praktischer Beispiele tatsächliche KVKK-Bußgelder und Entscheidungen des Datenschutzrats
zu Kundenkartensystemen.

1️⃣ Warum drohen Kundenkartensystemen Bußgelder? 🔑 Hauptgrund:
Kundenkartensysteme werden häufig als Marketinginstrument betrachtet,
sind rechtlich jedoch Systeme zur Verarbeitung personenbezogener Daten.

In Kundenkartenprogrammen werden meist folgende Daten verarbeitet:

• Name und Nachname
• Telefonnummer
• E-Mail-Adresse
• Einkaufshistorie
• Standort- und Filialdaten
• Reaktionen auf Kampagnen

Alle diese Daten gelten unter der KVKK als personenbezogene Daten.

2️⃣ Bußgelder für Marketingnachrichten ohne ausdrückliche Einwilligung

Das Versenden von Marketingnachrichten an Kundenkarteninhaber ohne ausdrückliche Einwilligung
gehört zu den am häufigsten mit Bußgeldern belegten Tätigkeiten.

• SMS-Kampagnen
• E-Mail-Kampagnen
• Benachrichtigungen über Rabatte
• Personalisierte Anzeigen

Beispiel eines tatsächlichen Verstoßes:

Bei der Anmeldung zum Kundenkartenprogramm erhobene Telefonnummern
wurden für Werbe-SMS verwendet.

Der Datenschutzrat bewertete diese Praxis als Marketing ohne ausdrückliche Einwilligung
.

Nach der KVKK bedeutet ein Einkauf oder eine Mitgliedschaft
keine Erlaubnis zum Versand von Marketingnachrichten.

3️⃣ Bußgelder für Transaktionen über Telefonnummern

Der KVKK-Datenschutzrat betrachtet die Nutzung von Kundenkarten über Telefonnummern insbesondere in jüngster Zeit
als risikoreich.

• Rabatt durch Angabe einer Telefonnummer an der Kasse
• Einkaufen mit der Telefonnummer einer anderen Person
• Verwendung von Treuepunkten durch Dritte
• Rechnungsstellung auf den Namen der falschen Person

Haltung des Datenschutzrats:

Eine Telefonnummer allein ist keine Methode zur Identitätsprüfung.

Kundenkartensysteme ohne Verifikationsmechanismus
können als Verstoß gegen die Datensicherheit gewertet werden.

4️⃣ Sanktionen für fehlende Datenschutzhinweise

Fehlende oder unvollständige Datenschutzhinweise in Kundenkarten-Anmeldeformularen
können zu Bußgeldern führen.

• Fehlende Datenschutzhinweise
• Fehlende Datenschutzhinweise auf dem Anmeldebildschirm
• Datenübermittlungen nicht angeben
• Verarbeitungszwecke nicht nennen

Tatsächlicher Verstoß:

Bei der Beantragung einer Kundenkarte
wurden dem Nutzer keine Datenschutzhinweise vorgelegt.

Nach der KVKK müssen die Informationen zum Datenschutz zum Zeitpunkt der Datenerhebung bereitgestellt werden.

5️⃣ Sanktionen für Verstöße gegen die Datensicherheit

Kundenkartendatenbanken gehören zu den Bereichen, in denen Datenschutzverletzungen besonders häufig auftreten.

• Offenlegung der Kundendatenbank
• Unbefugte Zugriffe
• Schwache Verschlüsselung
• Keine Protokolle führen

Beispiel eines tatsächlichen Verstoßes:

Eine Kundenkartendatenbank wurde
für Unbefugte zugänglich.

Solche Fälle gelten als Datensicherheitsverletzung nach Art. 12 KVKK.

6️⃣ Sanktionen für die Datenübermittlung an Dritte

Kundenkartensysteme arbeiten häufig mit Software von Drittanbietern.

• CRM-Systeme
• E-Mail-Dienste
• SMS-Anbieter
• Marketingagenturen

Tatsächlicher Verstoß:

Kundenkartendaten wurden an Marketingunternehmen übermittelt,
ohne dies in den Datenschutzhinweisen anzugeben.

Dies kann als rechtswidrige Datenübermittlung gelten.

7️⃣ Die höchsten Bußgeldrisiken

Bei Kundenkartensystemen bergen die folgenden Verstöße das höchste Bußgeldrisiko.

• Marketing ohne ausdrückliche Einwilligung
• Transaktionen über Telefonnummern
• Datenleck
• Datenübermittlung ins Ausland
• Fehlende oder unvollständige Datenschutzhinweise

📌 Entscheidender Punkt:

Kundenkartensysteme gehören bei KVKK-Prüfungen
zu den zuerst untersuchten Bereichen.

8️⃣ Der Ansatz des KVKK-Datenschutzrats im Jahr 2026

Im Jahr 2026 zählt der KVKK-Datenschutzrat Kundenkartensysteme
zu den risikoreichen Datenverarbeitungstätigkeiten.

Insbesondere Transaktionen über Telefonnummern,
Kampagnensysteme und Marketingaktivitäten
werden bei Prüfungen vorrangig untersucht.

9️⃣ Checkliste zur KVKK-Compliance

• ✔ Datenschutzhinweis
• ✔ Mechanismus der ausdrücklichen Einwilligung
• ✔️ Verifikationssystem
• ✔ Analyse der Datensicherheit
• ✔️ Analyse der Datenübermittlungen
• ✔ KVKK-Dokumentation

🧠 Fachliches Fazit

Kundenkartensysteme gehören zu den Bereichen, in denen besonders häufig KVKK-Bußgelder verhängt werden.

Vor allem ältere Systeme, die auf Transaktionen über Telefonnummern beruhen,
bergen angesichts des KVKK-Ansatzes im Jahr 2026 erhebliche Risiken.

Richtig strukturierte Kundenbindungsprogramme verhindern Bußgelder
und schützen den Ruf der Marke.

KVKK-Risikoanalyse für Kundenkarten anfordern