In den meisten digitalen Formularen für den Erwerb von Sachen oder Dienstleistungen wird unter anderem auch die Angabe zum Geschlecht abgefragt, ohne dass dies als problematisch angesehen wird. Dass Gefühl und Recht in der Frage datenschutzrechtlich nicht deckungsgleich sein müssen, zeigt ein Urteil des EuGH zur Frage, ob beim Kauf von Zugfahrkarten das Geschlecht abgefragt werden darf. Der Beitrag stellt dar, was der EuGH dazu zu sagen hatte.
Der Inhalt im Überblick
Überblick: Wer fragte nach dem Geschlecht?
Die beklagte SNCF Connect vertrieb online Bahntickets. Beim Kauf eines Tickets musste der Kunde verpflichtend angeben, ob er ein Mann oder eine Frau sei. Hiergegen legte ein Kunde unter Verweis auf den Grundsatz der Rechtmäßigkeit und der Datenminimierung Beschwerde bei der französischen Datenschutzbehörde CNIL ein. Mit Entscheidung vom 23.03.2021 stellte die CNIL fest, dass kein Datenschutzverstoß vorläge. Die Frage zum Geschlecht sei für die Erfüllung des Vertrags erforderlich und nach der (generellen) Verkehrssitte auch das Geschlecht zu erfragen mit dem Grundsatz der Datenminimierung vereinbar. Hiergegen erhob der Betroffene Klage zum Conseil d’État, der den EuGH die Frage vorlegte:
„[Muss] die allgemeine Verkehrssitte in der privaten, geschäftlichen und behördlichen Kommunikation berücksichtigt werden, so dass die auf die Angaben Herr oder Frau beschränkte Erhebung von Daten hinsichtlich der Anrede der Kunden als erforderlich angesehen werden könnte, ohne, dass der Grundsatz der Datenminimierung dem entgegenstünde?“
Das sagt der EuGH zur Frage nach dem Geschlecht
Der EuGH meinte, dass die Abfrage des Geschlechts für die Vertragserfüllung nicht erforderlich, also rechtswidrig, sei.
Ist das Geschlecht relevant für die Vertragserfüllung?
Nach Art. 6 Abs. 1 lit. b DSGVO sei die Frage nach dem Geschlecht zulässig, wenn sie für die Erfüllung eines Vertrags erforderlich ist. Hierbei geht der EuGH von einem objektiven Maßstab aus und meint, der Verantwortliche müsse die Vertragspflicht nennen, die ohne die Angabe des Geschlechts unerfüllbar sei. Prinzipiell nimmt er bei Bahnreisen nicht an, dass die Beförderung von der Angabe des Geschlechts abhänge. Bei spezifischen Leistungen, wie dem Anbieten geschlechtsgetrennter Wagons mag das aus Sicht des EuGH ggf. anders sein, eine generelle Frage nach dem Geschlecht erlaube das aber nicht. Höflichkeitsfloskeln seien nett, aber nicht objektiv vertragliche erforderlich.
Hatte die Beklagte ein überwiegend berechtigtes Interesse an der Angabe des Geschlechts?
Vorab der Antwort, ob sich SNL Connect subsidiär auf ein überwiegendes berechtigtes Interesse berufen kann, fasst der EuGH seine Maßstäbe hierzu nochmals zusammen, welche Prüfungsschritte bei dieser Rechtsgrundlage nötig sind:
„Erstens muss von dem für die Verarbeitung Verantwortlichen oder (…) Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein, und drittens dürfen die Interessen (…) der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen.“
Zu Punkt 1 schließt sich der EuGH den Ausführungen des Generalanwalts an, der meinte, dass:
„Art. 6 Abs. 1 Buchst. f DSGVO und Art. 5 Abs. 1 Buchst. c DSGVO sind dahin auszulegen, dass die Verarbeitung der Anrededaten (…) nicht als zur Wahrung der (…) berechtigten Interessen (…) erforderlich angesehen werden kann, wenn das Unternehmen den Nutzern (…) das berechtigte Interesse nicht mitgeteilt hat.“
Konkret heißt das, kommt der Verantwortliche der Pflicht zur Aufklärung über die von ihm verfolgten berechtigte Interessen aus Art. 13 Abs. 1 lit. d) DSGVO nicht nach, kann er sich hierauf nicht berufe berufen.
Zu Punkt 2 fährt der EuGH fort:
„[Einfügung: Eine Personalisierung kann sich] auf die Verarbeitung der Namen und Vornamen (…) beschränken, da (.) Anrede und/oder Geschlechtsidentität eine Information ist, die (…) insbesondere im Licht (…) der Datenminimierung, nicht unbedingt notwendig erscheint.“
Schließlich konkretisiert der EuGH Punkt 3, dass:
„[Einfügung: Das vorlegende Gericht muss] bei der Abwägung der Interessen (…) insbesondere die vernünftigen Erwartungen der betroffenen Person sowie den Umfang der fraglichen Verarbeitung und deren Auswirkungen auf diese Person berücksichtigen.“
Auch hier sieht der EuGH die Frage, ob die Abfrage erforderlich sei, kritisch, verweist die Sache aber zur Prüfung zurück an das vorlegende Gericht. Dessen Entscheidung steht bis dato noch aus. Gemessen an den Vorgaben des EuGHs zur Erforderlichkeit zur Vertragserfüllung mag man aber zweifeln, dass dieses hier abweichend urteilen wird.
Formularmäßige Angaben zum Geschlecht – quo vadis?
Das Urteil geht in eine ähnliche Richtung wie das später ergangene Urteil des OLG Frankfurt am Main (Az. 6 UKI 14/24). Das OLG entschied, dass die Deutsche Bahn den Kauf von „Spar”- und „Super-Sparpreistickets” nicht von der Angabe einer E-Mail-Adresse oder Telefonnummer abhängig machen darf. Bislang mussten Fahrgäste, die ihre Fahrkarte am Schalter oder online kaufen wollten, ihre E-Mail-Adresse oder Handynummer angeben, um das digitale Ticket zu erhalten. Laut dem Gericht war diese Angabe jedoch nicht für die Abwicklung des Ticketkaufs bzw. des Transportvertrags nötig.
Die beiden Urteile zeigen, dass die Kontrolle der Erforderlichkeit der im Rahmen von Online- und Offline-Käufen formularmäßig anzugebenden Angaben nicht nur eine lästige Obliegenheit ist, sondern Konsequenzen nach sich ziehen kann. Unternehmen sind daher gut beraten, ihre Formulare zu prüfen, welche Angaben obligatorisch und welche fakultativ sind. Auch wenn dies bisher nur größeren Unternehmen Probleme bereitet hat, führen die Datenschutzaufsichtsbehörden oft genug konzentrierte Untersuchungen durch, bei denen auch solche Mängel zutage treten können.
Auch eine Abfrage, die sich auf das berechtigte Interesse stützt, ist zumindest fraglich, da die Erforderlichkeit nach beiden Rechtsgrundlagen objektiv ausgelegt wird. Dabei stellt sich widerum die Frage, ob die Angabe für die Erfüllung des Zwecks benötigt wird. Solange die jeweilige Dienstleistung nicht inhaltlich geschlechtsbezogen ist, wird es schwierig sein, dies rechtlich tragfähig darzustellen. Daher sollte auch hierauf verzichtet werden.
Dann müsste die Abfrage des Geschlechts korrekt sein, wenn das Bahn-Unternehmen Plätze in Schlafwagen anbietet und der Kunde dann beispielsweise angeben kann, dass er einen Schlafplatz in einem Abteil mit Personen des eigenen Geschlechts haben möchte?
Das wäre wohl ein plausibler Grund für die Abfrage des Geschlechts. In eine ähnliche Richtung gehen die Ausführungen des EuGH:
„41 In diesem Zusammenhang ist noch darauf hinzuweisen, dass SNCF Connect in der mündlichen Verhandlung geltend gemacht hat, dass die Verarbeitung der im Ausgangsverfahren in Rede stehenden Daten einen zweiten Zweck verfolge, nämlich die Anpassung der Beförderungsleistungen an Nachtzüge mit Waggons, die für Personen mit derselben Geschlechtsidentität reserviert seien, und an die Unterstützung von Fahrgästen mit einer Behinderung. (…)
42 Dieser zweite Zweck kann jedoch nicht die systematische und allgemeine Verarbeitung der Anrededaten aller Kunden des betreffenden Unternehmens, einschließlich der Kunden, die tagsüber reisen oder keine Behinderung haben, rechtfertigen. Eine solche Verarbeitung wäre nämlich unverhältnismäßig und verstieße damit gegen den (…) Grundsatz der Datenminimierung, da sie sich auf die Daten zur Geschlechtsidentität nur der Kunden beschränken könnte, die mit dem Nachtzug reisen oder aufgrund ihrer Behinderung persönliche Hilfe in Anspruch nehmen möchten.“
Die Idee ist wohl, dass geschlechtsbezogene Fragen erst dann abgefragt werden dürfen, wenn der Kunde angibt eine Leistung erwerben zu wollen, für die das Geschlecht erheblich ist.
Das sollte dann im Bestellformular entsprechend reflektiert werden, z. B. dass bestimmte Eingaben erst nach Auswahl der geschlechtlich relevanten Dienstleistung freigegeben werden.