{"Signatur": "CH_EDÖB_001", "Spider": "CH_EDOEB", "Datum": "2014-04-07", "PDF": {"Datei": "CH_EDOEB/CH_EDÖB_001_20140407-schlussberi_2014-04-07.pdf", "URL": "https://www.edoeb.admin.ch/dam/de/sd-web/E5DZ-0lzwS-6/20140407%20schlussbericht_mcumulus_nachkontrolle.pdf", "Checksum": "bdb5674c193a58859997bcc2d9987a96"}, "Scrapedate": "2026-04-05", "Num": ["20140407 schlussbericht_mcumulus_nachkontrolle"], "Kopfzeile": [{"Sprachen": ["de"], "Text": "Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) Schlussberichte und Empfehlungen Datenschutz 07.04.2014"}, {"Sprachen": ["fr"], "Text": "Préposé fédéral à la protection des données et à la transparence (PFPDT) Rapports finaux et recommandations protection des données 07.04.2014"}, {"Sprachen": ["it"], "Text": "Incaricato fedeale della protezione dei dati e della trasparenza Rapporti finali e raccomandazioni protezione dei dati 07.04.2014"}], "Meta": [{"Sprachen": ["de"], "Text": "Eidgenossenschaft Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) Schlussberichte und Empfehlungen Datenschutz"}, {"Sprachen": ["fr"], "Text": "Conféderation Préposé fédéral à la protection des données et à la transparence (PFPDT) Rapports finaux et recommandations protection des données"}, {"Sprachen": ["it"], "Text": "Confederazione Incaricato fedeale della protezione dei dati e della trasparenza Rapporti finali e raccomandazioni protezione dei dati"}], "Abstract": [{"Sprachen": ["de", "fr", "it"], "Text": "Schlussbericht vom 7. April 2014 zur Nachkontrolle betreffend Kundenbindungsprogramm M-Cumulus"}], "ScrapyJob": "446973/66/2070", "Zeit UTC": "05.04.2026 03:11:48", "Checksum": "19faac35965ac1b407632442d2d7694d", "Chunktext": "Auszug aus dem Entscheid Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) Schlussberichte und Empfehlungen Datenschutz 07.04.2014\nRegeste:\nSchlussbericht vom 7. April 2014 zur Nachkontrolle betreffend Kundenbindungsprogramm M-Cumulus\n\nEine Transaktion eines Partnerunternehmens mit Einkaufsort, Einkaufsdatum, Einkaufstotal in\nCHF sowie Cumulus-Nummer enthält Personendaten, da gestützt auf die Cumulus-Nummer\nder Karteninhaber bestimmbar ist. Aus diesem Grund wurde im Schlussbericht vom 28.\nSeptember 2005 angeregt, dass in den AGB ein Vermerk aufgenommen wird, dass die im\nRahmen des Cumulus-Programms erhobenen Daten bis zu 3 Jahre aufbewahrt werden.\n\n27/39\nZusätzlich sollen die relevanten Aufbewahrungsfristen im Internet abrufbar sein. Auf den\neigentlichen AGB finden sich keine Informationen über die Aufbewahrungsdauer der Cumulus-\nDaten. Auf der Homepage von Cumulus wird unter der Rubrik „Datenschutz“ informiert, dass\ndie detaillierten Einkaufsdaten 24 Monate aufbewahrt werden und dass die Kassenzetteltotale\nund Einkaufsprofile maximal 3 Jahre aufbewahrt werden. Ausserdem wird über die\nAufbewahrungsdauer gemäss Obligationenrecht informiert. Im Sinne der Transparenz nach\nArt. 4 Abs. 2 DSG muss direkt bei den AGB auf der Anmeldebroschüre ein Hinweis auf\nInformationen über die Speicherdauer der Daten angebracht werden.\n\n14. Sicherheit\n\n14.1. Sicherheitsmassnahmen im Einzelnen\n\nDer unbefugte Zutritt zu Räumen, in denen Personendaten bearbeitet werden, wird durch\norganisatorische und technische Massnahmen geregelt. Die Details dazu finden sich im DMS-\nHandbuch, welches dem EDÖB vorliegt. Darin werden u.a. auch die Massnahmen zur\nVerhinderung der Nutzung von IT-Anlagen und Kommunikationseinrichtungen durch\nUnbefugte, die Verhinderung von unbefugten Zugriffen auf Daten durch berechtigte\nSystembenutzende und die Verhinderung des Verlustes der Vertraulichkeit, Verfügbarkeit und\nIntegrität während der Bearbeitung von Cumulus-Daten beschrieben.\n\nIm Vergleich zur Sachverhaltsfeststellung von 2005 arbeitet die Abteilung IT-Cumulus nicht\nmehr in separaten Räumlichkeiten. Um jedoch den gleichen Sicherheitsstandart zu\ngewährleisten, werden entsprechende Badge-Zutrittsberechtigungen und Passwort-\nApplikationen sowie individuellen, persönlichen Datenschutz-Schulungen (inkl. jährlichen\nAuffrischungs-Schulungen) eingesetzt.\n\n14.2. Beurteilung aus Sicht des EDÖB\n\nGemäss Art. 7 Abs. 1 DSG müssen Personendaten durch angemessene technische und\norganisatorische Massnahmen gegen unbefugtes Bearbeiten gesichert werden. Konkretisiert\nwerden diese Anforderungen in Art. 8 ff. der Verordnung zum Bundesgesetz über den\nDatenschutz vom 14. Juni 1993 (VDSG; SR 235.11). Die organisatorischen und technischen\n28/39\nMassnahmen von Migros erscheinen genügend, um den Schutz der Personendaten zu\ngewährleisten.\n\n15. Sensibilisierung und Schulung von Cumulus-\nMitarbeitern\n\n15.1. Ergriffene Massnahmen und Beurteilung\n\nDa Bezüglich der Massnahmen keine Veränderungen zum Schlussbericht vom 28. September\n2005 festgestellt werden konnte, kann bezüglich der einzelnen Massnahmen und deren\nrechtlichen Beurteilung auf die Ziff. 5.11 f. des Schlussberichtes von 2005 verwiesen werden.\n\nDer EDÖB begrüsst das Schulungskonzept und die Sensibiliserungsmassnahmen des MGB\nim Rahmen von Cumulus sehr und hat dazu keine weiteren Bemerkungen.\n\n29/39\n16. Ergebnisse\n\nAufgrund der Auswertung der eingereichten Unterlagen und Dokumente sowie gestützt auf die\ndurchgeführte Kontrolle vom 18. Juni 2013 gemäss Art. 29 DSG, gelangt der EDÖB zu einer\nüberwiegend positiven Gesamtbeurteilung. Die Datenschutzkontrolle hat gezeigt, dass die\nim Rahmen von Cumulus vorgenommene Datenbearbeitung grundsätzlich\ndatenschutzkonform verläuft. Trotz dieser überwiegend positiven Beurteilung ist der EDÖB\nin seiner Datenschutzkontrolle auch auf Sachverhalte gestossen, welche aus\ndatenschutzrechtlicher Sicht einer Anpassung resp. Änderung bedürfen. Ausgehend von\ndiesem Gesamtbild erlässt der EDÖB zuhanden des MGB mit Sitz in Zürich seine\nGesamtbeurteilung in folgender Form:\n\n• Feststellungen;\n• Anpassungs- resp. Verbesserungsvorschläge; oder\n• Empfehlung im Sinne des Art. 29 Abs. 3 DSG.\n\n16.1. Anmeldung\n\nDie Transparenz (Art. 4 Abs. 2 DSG) bei der Anmeldung zum Kundenbindungsprogramm\nCumulus ist für die Teilnehmer weitgehend positiv zu bewerten sind insbesondere die\nausführlichen Informationen über das Programm in der Anmeldebroschüre sowie die darauf\nebenfalls vollständig abgedruckten AGB. Die Datenerhebung bei der Anmeldung hält vor dem\nGrundsatz der inhaltlichen Verhältnismässigkeit (Art. 4 Abs. 2 DSG) stand. Dem Kunden bleibt\nbei der Anmeldung sowie während der gesamten Dauer der Teilnahme am\nKundenbindungsprogramm die Wahlmöglichkeit, auf weitergehende Direktwerbung zu\nverzichten.\n\nIm Unterschied zur klassischen Anmeldung mittels Anmeldebroschüre finden sich auf der\nHomepage von Cumulus wesentliche datenschutzrechtliche Informationen zum Auskunftsund Löschungsrecht und der Aufbewahrungszeiten der Daten in der Rubrik „Datenschutz“.\nDiese datenschutzrechtlichen Informationen zu den tragenden Datenschutzrechte sind auch\nin der Anmeldebroschüre mitzuteilen (vgl. dazu auch Ziff. 10.2, 10.3 und 12.3).\n\n"}