Im Vorfeld der Kontrolle wurden Unterlagen eingeholt und Fragen gestellt. Im Februar 2005
erfolgte dann eine Sachverhaltsabklärung vor Ort in den Räumlichkeiten von M-CUMULUS
sowie der CUMULUS-Infoline. Zusammen mit M-CUMULUS Marketing Services und der Datenschutzbeauftragten des Migros-Genossenschafts-Bund (MGB) hat der EDSB die verschiedenen Prozesse identifiziert und die entsprechenden Datenflüsse in einem Schema visualisiert (vgl. Ziff. 4.4 des Schlussberichtes). Das Schema liegt als Basis der datenschutzrechtlichen Beurteilung zugrunde, welche sich an den effektiven Datenflüssen orientiert.