Frictionless Stores ermöglichen es Gästen, Produkte selbstständig zu entnehmen und den Store ohne klassischen Kassiervorgang zu verlassen. Kameras und Sensoren erfassen dabei die notwendigen Informationen und ordnen die ausgewählten Produkte dem Einkauf zu. Die Frictionless-Store-Lösung von AFC Ajax dient in der vorliegenden Arbeit als praxisbezogenes Referenzmodell für die datenschutzrechtliche Analyse. Dazu werden die relevanten Datenbearbeitungen entlang des Einkaufsprozesses analysiert und rechtlich beurteilt.

Der Betrieb eines Frictionless Stores nach dem Beispiel von AFC Ajax ist unter dem schweizerischen Datenschutzrecht grundsätzlich zulässig. Voraussetzung ist allerdings, dass die Datenbearbeitung von Beginn an datenschutzkonform ausgestaltet wird und die Anforderungen der Datenschutzgesetzgebung konsequent umgesetzt werden. Je stärker künftig zusätzliche Datenquellen miteinander verknüpft werden, umso höher werden auch die datenschutzrechtlichen Anforderungen ausfallen und desto sorgfältiger ist insbesondere die Frage eines Profilings oder sogar eines Profilings mit hohem Risiko zu prüfen.

Die Untersuchung hat gezeigt, dass beim Betrieb eines Frictionless Stores Personendaten im Sinne des schweizerischen Datenschutzgesetzes bearbeitet werden. Dazu gehören insbesondere tokenisierte Zahlungsinformationen, Bewegungs- und Interaktionsdaten sowie Kauf- und Transaktionsdaten. Diese Daten werden im Beispiel von AFC Ajax jedoch pseudonymisiert und für die Auswertung auf der Analyseplattform E15 anonymisiert. Die BSC Young Boys AG könnte sich jedoch vorstellen, die im Rahmen des Kaufs erhobenen Daten mit weiteren Daten zu verknüpfen (z.B. Fandaten, Abodaten). Durch diese zusätzliche Auswertung der Daten über die Analyseplattform E15 Insights (Cloud-Lösung) könnten Verhaltensmuster erkannt und betriebliche Erkenntnisse gewonnen werden. Diese Art der Datenbearbeitung dürfte die Merkmale eines Profilings nach Art. 5 lit. f DSG erfüllen. Im Bereich der cloudbasierten Datenbearbeitung zeigt sich, dass der Einsatz von Amazon Web Services oder Microsoft Azure einer datenschutzkonformen Umsetzung nicht per se entgegensteht, jedoch die datenschutzrechtlichen Anforderungen anhand der konkret geplanten Datenbearbeitungen nochmals speziell geprüft werden müssten.