Die Datenauswertungspraxis der Metro-Tochter Retail Media Group (RMG) weckt das Interesse der Datenschutzaufsichtsbehörden.  Die RMG soll die anonymisierten Besucher- und Verkaufsdaten der Metro sowie der in Nordrhein-Westfalen und Bayern ansässigen Metro-Töchter Saturn, Mediamarkt, Redcoon, Heal und Hitmeister auswerten, um Kunden mit individueller Online-Werbung anzusprechen.

Gegenüber PinG erklärte Andreas Sachs, Vertreter des Präsidenten des Bayerischen Landesamts für Datenschutzaufsicht, dass sich „die zuständigen Aufsichtsbehörden sicher Informationen zu den geplanten Auswertungen vorlegen lassen“.  Es hänge von der konkreten Ausgestaltung der Verfahren ab, ob die Metro auch eine Datenschutzfolgeabschätzung vornehmen und in Folge auch die Aufsichtsbehörden konsultieren müsse. Im Kern dreht es sich dabei um die Frage, ob die Daten tatsächlich anonymisiert werden. „Grundsätzlich gilt, dass anonyme Daten keine Identifizierung der Person ermöglichen dürfen“, stellt Sachs fest. Hierfür müsse das Unternehmen die Vorgaben des Bundesdatenschutzgesetzes einhalten.

Der Sprecher der nordrhein-westfälischen Landesdatenschutzbeauftragten weist darauf hin, dass der Behörde keine verlässlichen Informationen darüber vorliegen, „ob es sich tatsächlich um anonymisierte, und daher nicht um personenbezogene bzw. personenbeziehbare Daten handelt“. Insoweit sei eine fundierte Einschätzung noch nicht möglich.

Sofern Daten aus Online-Tracking-Verfahren verarbeitet würden, könnten künftig Vorschriften der geplanten europäischen E-Privacy-Verordnung Anwendung finden. Da sich die Verordnung derzeit im Verfahren der Gesetzgebung auf der Ebene der Europäischen Union befindet, sei es für eine endgültige Aussage über deren Anforderungen aber noch zu früh. Die Verordnung soll im Mai 2018 in Kraft treten.

Ob die bayerische gemeinsam mit der nordrhein-westfälischen Aufsichtsbehörde eine kooperative Prüfung durchführen wird, lasse sich momentan noch nicht bewerten, so Sachs. Er weist darauf hin, dass die Unternehmen derzeit nicht verpflichtet seien die Datenschutzaufsichtsbehörden zu informieren, wenn Geschäftsbereiche oder neue Firmen gegründet werden. Deshalb verfüge die Bayerische Datenschutzaufsicht keine konkreten Informationen über das geplante Datenauswertungsverfahren.