{"Signatur": "CH_EDÖB_001", "Spider": "CH_EDOEB", "Datum": "2014-04-07", "PDF": {"Datei": "CH_EDOEB/CH_EDÖB_001_20140407-schlussberi_2014-04-07.pdf", "URL": "https://www.edoeb.admin.ch/dam/de/sd-web/E5DZ-0lzwS-6/20140407%20schlussbericht_mcumulus_nachkontrolle.pdf", "Checksum": "bdb5674c193a58859997bcc2d9987a96"}, "Scrapedate": "2026-04-05", "Num": ["20140407 schlussbericht_mcumulus_nachkontrolle"], "Kopfzeile": [{"Sprachen": ["de"], "Text": "Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) Schlussberichte und Empfehlungen Datenschutz 07.04.2014"}, {"Sprachen": ["fr"], "Text": "Préposé fédéral à la protection des données et à la transparence (PFPDT) Rapports finaux et recommandations protection des données 07.04.2014"}, {"Sprachen": ["it"], "Text": "Incaricato fedeale della protezione dei dati e della trasparenza Rapporti finali e raccomandazioni protezione dei dati 07.04.2014"}], "Meta": [{"Sprachen": ["de"], "Text": "Eidgenossenschaft Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) Schlussberichte und Empfehlungen Datenschutz"}, {"Sprachen": ["fr"], "Text": "Conféderation Préposé fédéral à la protection des données et à la transparence (PFPDT) Rapports finaux et recommandations protection des données"}, {"Sprachen": ["it"], "Text": "Confederazione Incaricato fedeale della protezione dei dati e della trasparenza Rapporti finali e raccomandazioni protezione dei dati"}], "Abstract": [{"Sprachen": ["de", "fr", "it"], "Text": "Schlussbericht vom 7. April 2014 zur Nachkontrolle betreffend Kundenbindungsprogramm M-Cumulus"}], "ScrapyJob": "446973/66/2070", "Zeit UTC": "05.04.2026 03:11:48", "Checksum": "19faac35965ac1b407632442d2d7694d", "Chunktext": "Auszug aus dem Entscheid Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) Schlussberichte und Empfehlungen Datenschutz 07.04.2014\nRegeste:\nSchlussbericht vom 7. April 2014 zur Nachkontrolle betreffend Kundenbindungsprogramm M-Cumulus\n\nDas Auskunftsrecht wird auf der Webseite von Cumulus unter der Rubrik Datenschutz\nausdrücklich erwähnt. Dort findet sich auch ein Formular, wo die betroffene Person Auskunft\nüber die gespeicherten Daten von Cumulus verlangen kann. Auf der gedruckten\n\n22/39\nAnmeldebroschüre fehlt jedoch ein vergleichbarer Hinweis. Im Sinne der Transparenz soll in\noder direkt bei den AGB ein Hinweis auf weitere Informationen und dem Formular über die\nAuskunftserteilung auf der Homepage abgedruckt werden (vgl. dazu auch Ziff. 5.2 und 12.3).\n\nZur Gewährung des Auskunftsrechtes wird von der antragstellenden Person eine Kopie eines\namtlichen Ausweises verlangt. Ein Cumulus-Kunde kann sein Recht auf Auskunft auch über\nInternet ausüben. Mittels Cumulus-Nummer und Passwort (eigenes oder von Migros\ngestelltes) kann ein Kunde seine Personalien sowie seinen (aktuellen oder vergangenen)\nPunktesaldo abrufen. Zusätzlich kann der Kunde von sich aus per Internet seine Stammdaten\nändern (mit Ausnahme von Vor- und Nachname). Der Kunde kann sich daneben den\ngesamten Warenkorb der vergangenen 2 Jahre anzeigen lassen. Die Kontoabfrage per\nInternet erfolgt chiffriert, was unter dem Aspekt der Datensicherheit (Art. 7 DSG) zu begrüssen\nist.\n\n11. Datenauskünfte auf behördliche Anweisung\n\n11.1. Untersuchter Datenfluss\n\nFalls Behörden im Rahmen einer (Straf-)Untersuchung Informationen über Cumulus-Kunden\nbrauchen, müssen sie sich an die Rechtsabteilung des MGB wenden. Anfragen über die\nCumulus-Infoline oder an den MGB werden an Cumulus weitergeleitet. Wenn die Anfrage auf\nDatenherausgabe gerechtfertigt ist (in Absprache mit der Rechtsabteilung des MGB), liefert\nCumulus die gefragten Informationen (typischerweise handelt es sich bei diesen Informationen\num die Personalien des Kontoinhabers, welche gestützt auf eine bekannte Cumulus-Nummer\nausfindig gemacht werden).\n\n11.2. Bekanntgabe von Kundendaten auf behördliche Anweisung im Einzelnen\n\nEditionsverfügungen werden durch die TELAG und durch Cumulus-Abteilung bearbeitet. Es\ngibt immer wieder Anfragen von Polizeibehörden (meist wegen Abfallsünder), welche ohne\nEditionsverfügung Daten verlangen. Solche Anfragen werden jedoch durchgehend verneint.\n\n23/39\n11.3. Beurteilung aus Sicht des EDÖB\n\nIn den AGB zu Cumulus wird in Ziffer 3 darauf hingewiesen, dass die Migros die Kundendaten\nunter Umständen an Dritte weitergeben muss, sofern dies vom geltenden Recht und\nnamentlich von der zuständigen Strafverfolgungsbehörde gefordert wird. Der EDÖB begrüsst\ndiese Erwähnung in den AGB ebenso wie die Tatsache, dass strikt keine Daten ausserhalb\nvon Editionsverfügungen an Polizeibehörden bekannt gegeben werden.\n\n12. Datenlöschung auf Verlangen der Kunden\n\n12.1. Untersuchter Datenfluss\n\nEin Kunde kann von sich aus die Löschung seiner Daten verlangen und damit aus dem\nCumulus-Programm aussteigen. Löschanträge können an die Migros resp. Cumulus oder an\ndie TELAG resp. das Call Center gerichtet werden. Die Löschanträge werden vom CallCenter\nbearbeitet und Cumulus übermittelt.\n\n12.2. Löschanträge im Einzelnen\n\nVerlangt ein Cumulus-Kunde die Löschung seiner Daten, so werden diese nicht allesamt\ngelöscht, sondern anonymisiert. Die Löschung bezieht sich nur auf die im Antragsformular\nangegebenen Stammdaten. Die Programmdaten stehen also weiterhin für statistische Zwecke\nzur Verfügung. Der Kunde muss einen Löschantrag schriftlich an Cumulus stellen. Er kann\nden Löschauftrag auch mündlich via Call Center deponieren, jedoch kann diese Löschung\nnicht gestützt auf mündliches Begehren ausgeführt werden. Die Mitarbeiter von TELAG haben\nin diesem Fall strikte Vorgehensanweisungen (festgehalten im DMS-Handbuch) der Cumulus-\nMarketing Services, welche sie zu befolgen haben. Bei mündlichen Löschanträgen erhält der\nKunde vom Call Center ein standardisiertes Begleitschreiben sowie ein entsprechendes\nFormular mit Löschantrag nach Hause geschickt, das dieser auszufüllen und zu unterzeichnen\nhat. Im Begleitschreiben wird der Kunde ausdrücklich darauf aufmerksam gemacht, dass sich\ndie Löschung auf seine Stammdaten im operativen Cumulus-System bezieht und ein Abbild\nder abgerechneten Kontoauszüge auf CD-Rom erhalten bleibt, mit der jedoch keine\nDatenbearbeitungen mehr vorgenommen werden. Ebenso wird der Kunde darauf\n\n24/39\nhingewiesen, dass er alle auf sein Konto laufende Cumulus-Karten und Cumulus-Etiketten\nvernichten soll, damit z.B. nicht andere Haushaltsmitglieder weiterhin auf diese Karte\nCumulus-Punkte sammeln. Cumulus-Karten können nicht gesperrt werden. Mit dem\nLöschungsantrag hat der Kunde eine Kopie der Identitätskarte resp. des Passes einzusenden.\n\nEine Information über das Löschungsrecht findet sich bloss online auf der Homepage von\nCumulus. Darin wird erwähnt, dass die Personendaten nach erfolgtem Löschungsantrag\ngelöscht werden.\n\nMigros löscht Stammdaten von sich aus von Cumulus-Mitgliedern, welche während zweier\nJahren keine Punkte gesammelt haben. In Ziffer 8 der AGB wird über diesen Sachverhalt\ninformiert. Ebenso werden Kundenkonten mitsamt den angesammelten Punkten\nunwiderruflich gelöscht bei Kunden, deren Kontoauszüge während zwei Jahren nicht\nzustellbar ist (vgl. dazu Information in AGB Ziffer 9). Die Löschungen werden durch IT-\nCumulus jährlich jeweils im Januar vorgenommen.\n\n"}