Aus dem Grundsatz der Datenminimierung ergibt sich:

Verantwortliche, die Waren oder Dienstleistungen im Onlinehandel anbieten, müssen ihren Kund*innen unabhängig davon, ob sie ihnen daneben einen registrierten Nutzungszugang (fortlaufendes Kund*innenkonto) zur Verfügung stellen, grundsätzlich einen Gastzugang (Online-Geschäft ohne Anlegen eines fortlaufenden Kund*innenkontos) für die Bestellung bereitstellen.

Grund:

Bei einer erstmaligen Bestellung kann der Verantwortliche nicht per se unterstellen, dass er Daten von Kund*innen für mögliche, aber ungewisse zukünftige Geschäfte auf Vorrat vorhalten darf. Für die Einrichtung eines fortlaufenden Kund*innenkontos ist eine entsprechende bewusste Willenserklärung der Kund*innen erforderlich. Für Kund*innen, die keine dauerhafte Geschäftsbeziehung eingehen wollen oder eine Verarbeitung von nicht zur Geschäftsabwicklung benötigten Daten ablehnen, ist daher regelmäßig ein Gastzugang zu ermöglichen. Ein solcher Zugang verzichtet auf Registrierungs- bzw. Zugangsdaten (z.B. Benutzername/Passwort) für eine erneute Nutzung.

Aus dem Beschluss hierzu:

Nach Art. 6 Abs.1 Satz 1 Buchstabe b) DS-GVO ist nur die Verarbeitung der personenbezogenen Daten zulässig, die für die Erfüllung des einzelnen Vertrages erforderlich sind. Bei einer erstmaligen Bestellung kann der Verantwortliche nicht per se unterstellen, dass er Daten von Kund*innen für mögliche, aber ungewisse zukünftige

Geschäfte auf Vorrat vorhalten darf. Für die Einrichtung eines fortlaufenden Kund*innenkontos ist eine entsprechende bewusste Willenserklärung der Kund*innen erforderlich.

Aber:

Soweit im Einzelfall besondere Umstände vorliegen, bei denen ein fortlaufendes Kund*innenkonto ausnahmsweise als für die Erfüllung eines Vertrages erforderlich angesehen werden kann (Art. 6 Abs. 1 Buchstabe b DS-GVO, z.B. für Fachhändler bei bestimmten Berufsgruppen) und mithin hierfür ausnahmsweise keine Einwilligung erforderlich ist, ist dem Grundsatz der Datenminimierung Rechnung zu tragen, indem z.B. das Kund*innenkonto bei Inaktivität automatisiert nach einer kurzen Frist gelöscht wird.

Wichtig:

der DSK-Beschluss ist nicht rechtsverbindlich, sondern nur eine Rechtsauffassung.

Wer ihn trotzdem einhalten möchte:

Verträge:

• Mit Customer-Service ausstatten à rechtfertigt Kundenservice über ein Portal
• Mit als Dauerschuldverhältnis (Miete) gestalten à dauerhafte Verbindung zum Kunden

GoBD = Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff

Folgende Grundsätze müssen laut BfDI eingehalten werden:

• Grundsatz der Nachvollziehbarkeit und Nachprüfbarkeit
• Grundsätze der Wahrheit, Klarheit und fortlaufenden Aufzeichnung
• Vollständigkeit
• Einzelaufzeichnungspflicht
• Richtigkeit
• zeitgerechte Buchungen und Aufzeichnungen
• Ordnung und Unveränderbarkeit

Beschluss der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder

• Gastzugang: keine Registrierungs- oder Zugangsdaten

Über diesen Zugang dürfen nur die zur Durchführung des Vertrages und zur Erfüllung gesetzlicher Pflichten erforderlichen personenbezogenen Daten und Informationen der Kund*innen erfasst werden.

Nach Vertragserfüllung nicht mehr benötigte Daten müssen gemäß Art. 17 Abs. 1 lit. a) DS-GVO unverzüglich gelöscht werden.

Werden die Daten im Übrigen nur noch im Rahmen spezialgesetzlich geregelter Aufbewahrungsplichten verarbeitet, z.B. aus dem Handels- oder Steuerrecht, sind technisch-organisatorische Maßnahmen zu ergreifen, um diese Daten von den Daten im operativen Zugriff zu trennen (Datensperrung).

Ein Zugriff der Kund*innen auf die Daten oder das Hinzuspeichern von weiteren Daten durch die Verantwortlichen sind bei einem Gastzugang nicht vorgesehen.“

Das Landgericht Hamburg entschied nun in seinem Urteil vom 22. Februar 2024 (327 O 250/22), dass der Online-Versandhändler und Marktplatzbetreiber nicht verpflichtet ist, einen Gastzugang für Bestellungen bereitzustellen. Laut DSGVO Art. 5 Abs. 1 lit. c und Art. 6 Abs. 1 S. 1 lit. f ist die Datenerhebung für die Zwecke der Direktwerbung ein berechtigtes Interesse, das die Anlage eines Kundenkontos rechtfertigt und die Datenschutzgrundsätze wie Datenminimierung und datenschutzfreundliche Voreinstellungen nicht verletzt.

Der Kläger, ein Verbraucherschutzverein, hatte argumentiert, dass die Verpflichtung zur Kontenerstellung gegen den Grundsatz der Datenminimierung verstößt, da alternative mildere Mittel wie der Gastzugang nicht angeboten werden. Das Gericht widersprach und erklärte, dass die Komplexität des Marktplatzes und die Effizienz in der Abwicklung der Geschäftsprozesse, einschließlich der Kommunikation und der Verwaltung von Gewährleistungsrechten über das Kundenkonto, die Notwendigkeit eines solchen Kontos begründen.

Zudem sieht die DSGVO vor, dass Direktwerbung ein legitimer Grund für die Datenverarbeitung sein kann, solange die Interessen der Verbraucher berücksichtigt werden, was hier der Fall ist, da der Kunde jederzeit Widerspruch einlegen kann.

Das Gericht bestätigte, dass der Online-Händler die Grundsätze der Datenminimierung und der datenschutzfreundlichen Voreinstellungen einhält, indem er nur notwendige Daten erhebt und die Kunden die Möglichkeit haben, ihr Konto nach Ablauf der gesetzlichen Aufbewahrungsfristen zu löschen.

Die Entscheidung unterstreicht die Bedeutung der Abwägung zwischen Verbraucherschutz und der praktischen Durchführbarkeit von Geschäftsmodellen in der digitalen Wirtschaft.

Urteil des LG Hamburg vom 22.2.2024 – 327 O 250/22 

Stand: April 2024