So ein Kundenkonto ist eine großartige Sache. Kunden müssen nicht bei jeder Bestellung ihre Daten neu eingeben, können ihre Bestellhistorie und Lieferstatus ihrer Bestellungen einsehen und sich sogar Wunschlisten mit favorisierten Artikeln erstellen. Für eine Online-Bestellung vorauszusetzen, dass Kunden ein Konto anlegen, kann daher wohl nicht schaden. Die Datenschutzkonferenz (DSK) steht diesem Thema allerdings mit weit weniger Wohlwollen gegenüber, als es wohl der Betreiber eines Webshops tut und verlangt sogar ausdrücklich einen Gastzugang zur Verfügung zu stellen. Warum das so ist, wollen wir in diesem Artikel einmal näher betrachten.
Der Inhalt im Überblick
Position der DSK zur Erforderlichkeit eines Gastzugangs
Das Gremium der Datenschutzaufsichtsbehörden des Bundes und der Länder vertritt in einem Beschluss die Auffassung, dass Betreiber von Webshops ihren Kunden grundsätzlich neben der Registrierung eines Kundenkontos einen Gastzugang zur Verfügung stellen müssen. Ich darf also meine Kunden nicht „zwingen“ für eine Bestellung ein Konto anzulegen.
Kundenkonto nur mit Einwilligung?
Begründet wird dies von der DSK damit, dass das Anlegen des Kundenkontos nicht notwendig sei für die Durchführung des Vertrages (Art. 6 Abs. 1 lit. b DSGVO). Der Verantwortliche könne bei einer erstmaligen Bestellung nicht davon ausgehen, dass Kunden eine dauerhafte Geschäftsbeziehung eingehen wollen. Darüber hinaus würden mit Benutzername/Passwort auch Daten verarbeitet, die ohnehin nicht erforderlich für die Durchführung des Vertrages sein sollen und damit gegen den Grundsatz der Datenminimierung verstoßen. Gem. Art. 5 Abs. 1 lit. c DSGVO müssen personenbezogene Daten nämlich dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Es sollen demnach nur die Daten erhoben werden, die für die Abwicklung eines einzelnen Geschäfts erforderlich sind.
Ein Kundenkonto soll grundsätzlich einzig auf Grundlage einer Einwilligung erstellt werden können. Um hier nicht gegen die Voraussetzung „freiwillig“ und das Kopplungsverbot zu verstoßen (Art. 4 Nr. 11, 7 Abs. 4 DSGVO; Kopplungsverbot = Abschluss eines Vertrages darf nicht vom Erteilen einer Einwilligung abhängen), müsse den Nutzern neben der Registrierung eines Kontos eine gleichwertige Bestellmöglichkeit zur Verfügung gestellt werden. „Gleichwertig“ soll es dabei sein, wenn
keinerlei Nachteile entstehen, also Bestellaufwand und Zugang zu diesen Möglichkeiten, wie bei einem Gastzugang, denen eines laufenden Kund*innenkontos entsprechen und technisch organisatorische Maßnahmen getroffen werden, die ein angemessenes Datenschutzniveau gewährleisten.
In bestimmten Fällen könne jedoch ausnahmsweise ein fortlaufendes Konto als für die Erfüllung eines Vertrages erforderlich angesehen werden. Die DSK nennt hier als Beispiel „Fachhändler bei bestimmten Berufsgruppe“ ohne dies näher auszuführen.
Zuletzt weist die DSK auf die Erfordernisse von Datenschutzinformationen und das generelle Einwilligungserfordernis bei Werbemaßnahmen hin. Weitergehende Verarbeitungen, die nicht unmittelbar mit der Erfüllung eines Vertrags zusammenhängen (z.B. Analyse des Kaufverhaltens zu Werbezwecken, Speichern von Zahlungsmitteln) bedürfen einer Einwilligung.
Behördliche Prüfungen sind möglich
Dass dieses Thema bei den Aufsichtsbehörden auf dem Schirm ist, zeigt nicht zuletzt eine Kampagne der rheinland-pfälzischen Aufsichtsbehörde. Hierbei wurden stichprobenartig mehr als 100 Unternehmen auf das Vorhandensein von Gastzugängen in ihren Webshops überprüft. Wenig überraschend gehen auch die Rheinland-Pfälzer von einer Pflicht zum Angebot von Gastzugängen für Online-Bestellungen aus.
Urteil des LG Hamburg zum Gastzugang beim Online-Marktplatz
Wie eine Ausnahme zum Grundsatz der Pflicht einen Gastzugang zur Verfügung zu stellen aussehen könnte, hat zu Beginn des Jahres das LG Hamburg (Urteil vom 22.2.2024 – 327 O 250/22) entschieden. Hier war eine Verbraucherschutzorganisation gegen den Anbieter eines Online-Markplatzes für Mode- und Lifestyleprodukte vorgegangen, um den Händler zu veranlassen, auch Bestellungen über einen Gastzugang anzunehmen.
Im Rahmen des Prozesses wurde eine amtliche Auskunft bei der Hamburger Aufsichtsbehörde eingeholt, die in einer Stellungnahme feststellte, dass die Beklagte auf ihrer Webseite einen Platz mit einer Vielzahl angeschlossener Händler bereitstellt, über den eine hohe Zahl an Bestellungen getätigt werden kann. Für die nachgelagerte Kommunikation und Rechteausübung falle ein erheblicher Zeit- und Ressourcenaufwand an. Dieser könne mit Hilfe einer standardmäßig erfolgenden Kontoerstellung deutlich verringert werden. Darüber hinaus bestehe zwischen einer Bestellung mit und einer Bestellung ohne Konto kaum ein Unterschied, da sich in beiden Fällen die verarbeiteten Daten nahezu gleichen und identische, gesetzliche Rechte und Pflichten zur Aufbewahrung bestehen. Unterschied sei einzig die passwortgeschützte Zugangsmöglichkeit zu diesen Daten.
Das Gericht folgt diesen Ausführungen und sieht damit den Ausnahmetatbestand und die Rechtsgrundlage „Vertragserfüllung“ als einschlägig an. Insgesamt ist das Urteil jedoch leider ein wenig unübersichtlich und es ist nicht ganz klar, an welcher Stelle der Grundsatz der Datenminimierung, das Gebot zu datenschutzfreundlichen Voreinstellungen oder die Rechtsgrundlage geprüft wird. Mitnehmen lässt sich allerdings, dass sich eine Registrierung eines Kundenkontos ohne Möglichkeit eines Gastzugangs rechtfertigen lässt, wenn damit eine effektive Kundenkommunikation sichergestellt und die Durchsetzung von Käuferrechten erleichtert werden kann.
Kritik an der „Pflicht zum Gastzugang“
Die Position der DSK muss man keineswegs kritiklos hinnehmen. Es lassen sich hier durchaus Schwachstellen finden. So vertritt sie hinsichtlich des Kopplungsverbots eine äußerst restriktive Auffassung, obgleich Reichweite und Umfang des Kopplungsverbots durchaus umstritten sind. Zudem äußert sich die DSK nicht zur Möglichkeit der Datenverarbeitung auf Grundlage des berechtigten Interesses gem. Art. 6 Abs. 1 lit. f DSGVO. Hier könnten die Optimierung der Service-Leistungen, und insbesondere die Vereinfachung zukünftiger Kaufvorgänge jedoch ein berechtigtes Interesse darstellen. Es lässt sich hierbei außerdem feststellen, dass mit den fraglichen Verarbeitungsvorgängen auch keine weitergehende Erhebung von Daten erfolgt, sondern vielmehr nur Daten betroffen sind, die im Rahmen des Bestellvorgangs ohnehin schon bei dem Verantwortlichen vorhanden sind. Betroffene haben zudem die Möglichkeit, der Datenverarbeitung gem. Art. 21 DSGVO zu widersprechen. Weshalb die DSK trotzdem so vehement auf die Einwilligung pocht und das berechtigte Interesse nicht einmal erwähnt, ist somit nicht in Gänze nachvollziehbar.
Die DSK erwähnt außerdem nicht, dass auch vorvertragliche Handlungen eine taugliche Rechtsgrundlage gem. Art. 6 Abs. 1 lit. b DSGVO darstellen können. Das Erstellen eines Nutzerkontos könnte als eine vorvertragliche Handlung angesehen werden. In der Praxis besteht außerdem die Möglichkeit einen „Plattformvertrag“ anzubieten und somit ein etwaiges Einwilligungserfordernis zu umgehen.
Müssen Webshops nun Kunden einen Gastzugang anbieten?
Wer compliance-technisch auf Nummer Sicher gehen möchte, der sollte trotz nachvollziehbarer Kritik an der Auffassung der DSK, einen Gastzugang bereitstellen. Die Bestellmöglichkeit über den Gastzugang sollte dabei nicht unnötig erschwert oder versteckt werden. Das Urteil des LG Hamburg zeigt, dass in bestimmten Fällen Ausnahmen möglich sind. In diesen Fällen sollten allerdings die Gründe gut dokumentiert werden, um im Falle einer Prüfung etwas in der Hand zu haben.
Vielen Dank für den interessanten Beitrag. Ich teile de gemachte Aussage bezüglich der Anlage eines Kundenkontos auf Basis Art. 6 1 b und f nicht.
Eine vorvertragliche Maßnahme kommt m.E. schon deshalb nicht in Betracht, da dies weder durch den Zweck gedeckt noch erforderlich wäre. Der Zweck der Onlineplattform ist der Verkauf von Waren und/oder Dienstleistungen. Um eine vertragsgemäße Bestellung abzuwickeln braucht es lediglich die Angaben zur Liefer-/Rechnungsadresse und den Zahlungsinformationen – diese sind gerade auf den Zweck der Bestellung beschränkt und mit erreichen des Zwecks (Einhaltung der Widerrufsfrist bzw. Auslieferung der Ware) und nach Ablauf einer gesetzlichen Aufbewahrungsfrist zu löschen. Schon das würde einer vorvertraglichen Maßnahme widersprechen, da es für den Bestellprozess schlicht nicht erforderlich wäre. Ich erinnere hier auch an Artikel, die sich mit der Angabe notwendiger Daten zur Bestellabwicklung beschäftigt haben und regelmäßig zum Ergebnis gekommen sind, das die verpflichtende Angabe einer Telefonnummer den Grundsatz der Datenminimierung bis auf wenige Ausnahmen verletzt. Zudem wird hier einfach so über die Erhebung zusätzlicher Daten für den Login hinweggegangen. Auch hier werden Daten verarbeitet, die sich m.E. nicht auf b im Zusammenhang mit dem Bestellprozess stützen lassen, da sie zur Erfüllung des Vertrages nicht erforderlich sind. 6 1 f ist in er Tat interessant – allerdings scheint mir dies schon deshalb nicht geeignet zu sein, da mit der Bestellung ein Vertragsverhältnis über b abgedeckt wird und das Interesse des Verantwortlichen die Grundrechte und Grundfreiheiten des Bestellers bei genauer Betrachtung nicht überwiegen wird (Unverhältnismäßigkeit). Somit bleibt als einzig mögliche Rechtsgrundlage a, womit das Angebot eines Gastkontos alternativlos erscheint. Abschließend hätte ich mir auch gewünscht, hier einen Vergleich zum stationären Handel vorzunehmen: dort besteht oftmals die Möglichkeit, ein Kundenkonto anzulegen, um alle im Artikel genannten Vorteile durch beide Vertragsseiten in Anspruch nehmen zu können – ich kenne jedoch keinen einzigen Fall, wo ein Kundenkonto zwingend erforderlich wäre, um beim stationären Einzelhandel einen Einkauf tätigen zu können.