Personalisierte Tickets bei Festivals
Immer mehr Festivals setzen auf bargeldloses Bezahlen durch in die Festivalbändchen integrierte RFID-Chips (d.h. Chips mit Nahfunktechnik). Die Chips verheißen kürzere Wartezeiten an Getränke- und Essensschlangen. Bei Verlust des Bandes und nach Ende des Festivals wird durch die Personalisierung gewährleistet, dass den Betroffenen das Guthaben zugewiesen werden kann.
Die Festivalgäste kaufen sich zunächst ein Ticket, erstellen sich dann einen sog. Account und aktivieren das Ticket. Das dann personalisierte Ticket wird bei Ankunft gegen ein Festivalbändchen mit integriertem RFID-Chip eingetauscht. Dabei kann das Bändchen vorab online oder bei einer Aufladestation auf dem Festivalgelände mit Geld aufgeladen werden. Auf diese Weise ist nicht ausgeschlossen, dass bereits vor dem Besuch des Festivals ein Persönlichkeitsprofil von den Gästen (Name, Anschrift, E-Mail-Adresse) erstellt wird, welches sich mit dem individuellen Ess- und Trinkverhalten (Art der Getränke und Speisen, Uhrzeit und Ort des Kaufs) verknüpfen lässt. Das in einem von der Datenschutzaufsicht geprüften Fall veranstaltende Unternehmen gab allerdings an, dass auch eine Aufladung vor Ort ohne vorherige Personalisierung möglich sei.
Das Unternehmen hat sich dafür entschieden, dass die Personalisierung der Tickets und damit der personalisierte Chip auf eine Einwilligung gestützt werden soll, und hierzu auf die Datenschutzbestimmungen verwiesen. Eine Einwilligung ist allerdings nur rechtmäßig, wenn diese eindeutig, klar und verständlich die Betroffenen über die Datenverarbeitung aufklärt. In den allgemeinen Geschäftsbedingungen und in den Datenschutzbestimmungen fand sich demgegenüber weder ein Hinweis auf eine mögliche Einwilligung zur Personalisierung der Tickets und der damit verbundenen Konsequenzen noch wurde eine solche Einwilligung in den Datenschutzbestimmungen textlich hervorgehoben. Die der Datenschutzaufsicht präsentierte Einwilligungslösung wurde daher dem Erfordernis einer informierten Einwilligung nicht gerecht. Darüber hinaus wies die eingesetzte Chiptechnik Sicherheitslücken aufgrund eines mangelhaften Verschlüsselungsalgorithmus auf.
Diese Mängel haben wir in Gesprächen mit der veranstaltenden Unternehmensgruppe
thematisiert. Aufgrund unserer umfangreichen Hinweise versprach die verantwortliche Stelle, die Einwilligung zur Personalisierung im Rahmen des Onlineprozesses einzuholen und insgesamt transparenter zu gestalten.
Die Überarbeitung des Registrierungsprozesses war bisher nicht zufriedenstellend. Zwar ist nunmehr geplant, eine Einwilligung in die Personalisierung der Tickets bzw. der Chips direkt bei Aktivierung des Tickets und nicht durch versteckte Einwilligungserklärungen in den Datenschutzbestimmungen einzuholen. Allerdings ist aus der geplanten Einwilligungserklärung nicht ersichtlich, was der eigentliche Inhalt der Einwilligung sein soll. Nach wie vor werden den Betroffenen weder die Personalisierung der Tickets und die damit verbundene Zuordnung zum Chip noch die Folgen vor Augen geführt. Es wird auch nicht darauf hingewiesen, dass anstelle der Personalisierung auch eine (anonyme) Aufladung vor Ort möglich ist. Die Betroffenen müssen jedoch bei Erteilung einer Einwilligung grundsätzlich wissen, wozu sie ihr Einverständnis erteilen und was mit ihren Daten geschieht.
Aufgrund der Hinweise der Datenschutzaufsicht und der praktischen Probleme, die sich 2015 ergeben haben, wurde im Berichtszeitraum auf den Einsatz der personalisierten Tickets sowie des bargeldlosen Bezahlsystems verzichtet.
Entscheiden sich Veranstalter für die Personalisierung von Tickets und ein damit verbundenes bargeldloses Bezahlsystem, müssen Festivalgäste umfassend, klar und verständlich informiert werden, damit sie die Tragweite ihrer Einwilligung in die Datenverarbeitung erkennen können. Zur Wahrung der Freiwilligkeit muss es eine echte Wahlmöglichkeit zwischen einem anonymen Besuch des Festivals ohne Aktivierung des Tickets oder einer Personalisierung des Tickets geben. Hierauf muss deutlich hingewiesen werden
Quelle: Berliner Datenschutzaufsicht
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking- Blickschutz hilft.
- Denkanstoß – Daten(schutz)risiko USB-Stick, es passiert immer wieder
- Aktenvernichter für den Arbeitsplatz – Gegen Datenpannen auf Papier
- Tipp: Textpassagen mit einem Camoflage-Rollstempel unkenntlich machen
- Aufsichtsbehörde empfiehlt Buch: DSGVO /ePrivacy auf Websites umsetzen
- Recht im Online-Marketing: So schützen Sie sich vor Fallstricken zur DSGVO
Dieser Absatz enthält Affiliatelinks/Werbelinks