Neues vom Datenschutz: Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat am 24.03.2022 einen Beschluss gefasst, demzufolge Online-Shops stets eine Gastbestellung ermöglichen müssen. Inhalt und Begründung dieser Rechtsansicht fordern zum Widerspruch allerdings geradezu heraus.

Die DSK meint, Betreiber von Online-Shops dürften die Bestellmöglichkeit aus Datenschutzgründen nicht davon abhängig machen, dass Kunden ein Kundenkonto bei dem Online-Shop eröffnen, wie dies vielfach die Regel ist (z. B. beim Platzhirsch Amazon). Vielmehr müsste stets die Möglichkeit einer Gastbestellung ermöglicht werden, d.h. ohne Anlage eines Kundenkontos. Für Anbieter, deren Shop eine solche Möglichkeit nicht vorsieht, würde dies nicht unbeträchtlichen Umstellungsaufwand auslösen.

Was sagt die DSK genau?

Wie kommt die DSK zu dieser Ansicht? Die Datenschutzbehörden berufen sich darauf, dass personenbezogene Daten nur für die Erfüllung des „einzelnen Vertrages“ verarbeitet werden dürften, worunter die DSK offenbar den einzelnen Kauf im Online-Shop versteht. Für die Einrichtung eines fortlaufenden Kundenkontos sei hingegen „eine entsprechende bewusste Willenserklärung“ der Kunden erforderlich. Für die Kunden, die das nicht wollen, müsse eine Gastbestellmöglichkeit angeboten werden. Für diese seien die Daten des Kaufes nach Erfüllung zu löschen oder – soweit z. B. handels- oder steuerrechtliche Aufbewahrungspflichten bestehen – gegen eine weitere Verarbeitung zu sperren. Ausnahmen hiervon erkennt die DSK nur für besondere Konstellationen wie einen Fachhändler für bestimmte Berufsgruppen an.

Ohne Möglichkeit der Gastbestellung sei die Einwilligung, die für die Einrichtung eines Kundenkontos erforderlich sei, nicht mehr freiwillig im Sinne von Art. 7 Abs. 4 DSGVO. Zudem sei eine Einwilligung erforderlich, um die personenbezogenen Daten aus dem Kundenkonto (z. B. die Kaufhistorie) für Werbezwecke zu nutzen. Gastbesteller würden zudem zum Ausdruck bringen, dass sie keine Werbung wünschten, weshalb auch bei diesen die Kaufdaten nur mit Einwilligung für werbliche Zwecke genutzt werden dürften.

Brüchiges Fundament

Rechtsdogmatisch steht die Ansicht der DSK auf äußerst tönernen Füßen. Die Gestaltung des Online-Bestellprozesses ist (innerhalb der zivilrechtlichen Grenzen, insbesondere des Fernabsatzrechts und des Rechts des elektronischen Geschäftsverkehrs) zunächst einmal allein Sache des Betreibers. Ob dieser die Registrierung für ein Kundenkonto oder eine Gastbestellmöglichkeit vorsieht, ist nach dem Grundsatz der Vertragsfreiheit grundsätzlich dem jeweiligen Anbieter überlassen.

Der Beschluss des DSK geht zudem von einem Sachverhalt aus, der auf viele Online-Shops mit „Kundenkonto“ in dieser Form nicht zutreffen wird: Denn regelmäßig ist die Anlage eines Kundenkontos mit dem Abschluss eines zusätzlichen, vom eigentlichen Einkauf im Online-Shop zu unterscheidenden Vertrages verbunden. So werden in den meisten Online-Shops mit Kundenkonto eigene Nutzungsbedingungen für das Kundenkonto vereinbart. Insofern liegt in vielen Fällen die von der DSK geforderte „entsprechend bewusste Willenserklärung“ vor. Der so gestaltete Kundenkonto-Vertrag rechtfertigt dann die auf Basis dieses Vertrages erfolgenden Datenverarbeitungsvorgänge (Art. 6 Abs. 1 Satz 1 lit. b DSGVO). Je nach Gestaltung des Kundenkonto-Vertrages kann dies mehr oder weniger umfangreiche Datenverarbeitungsvorgänge implizieren, für die dann –entgegen der Ansicht der DSK – gerade keine Einwilligung mehr erforderlich ist.

Ebenso zweifelhaft erscheint die undifferenzierte Ansicht der DSK, dass die bei einem einzelnen Kaufvorgang anfallenden personenbezogenen Daten ohne Einwilligung nicht für Werbezwecke genutzt werden dürften. Dies widerspricht zum einen Erwägungsgrund 47 Satz 7 DSGVO, wonach die Verarbeitung für Zwecke der Direktwerbung durchaus auch ohne Einwilligung auf Basis eines berechtigten Interesses des Shopbetreibers legitim sein kann (Art. 6 Abs. 1 Satz 1 lit. f DSGVO). Zum anderen ignoriert die DSK die ausdrückliche gesetzliche Regelung in § 7 Abs. 3 UWG: Nach dieser Vorschrift darf ein Unternehmer die im Zusammenhang mit einem Verkauf erhaltenen Daten des Kunden unter bestimmten Bedingungen sogar für die grundsätzlich besonders restriktiv geregelte Werbung per E-Mail nutzen – ebenfalls ohne Einwilligung. Da die Nutzung für Werbezwecke somit einen grundsätzlich legitimen Zweck darstellt, ist auch nicht ersichtlich, warum die Daten bei einer Gastbestellung nach Abwicklung des Verkaufes direkt gelöscht oder gesperrt werden sollten. Ebensowenig kann man aus dem Umstand einer Gastbestellung schließen, dass der Kunde keine Werbung erhalten wolle, wie die DSK dies meint. Eine Gastbestellung kann vielfältige Gründe haben, und sei es nur Bequemlichkeit, um mit der Anlage eines Kundenkontos verbundenen zusätzlichen Aufwand zu vermeiden.

Fazit

Mit dem Beschluss hat sich die DSK keinen Gefallen getan. Nicht nur ist die darin vertretene Ansicht realitätsfern, sie lässt auch jedwede fundierte Auseinandersetzung mit den rechtlichen Grundlagen vermissen. Die DSK verfällt in datenschutzrechtliches Wunschdenken, das aber nicht der geltenden Rechtslage entspricht. Da die Verlautbarungen dieses Gremiums eine große Öffentlichkeitswirkung erzielen, sorgt der Beschluss für Verunsicherung bei Online-Shop-Betreibern, die bei einer gründlicheren Auseinandersetzung mit der Thematik vermeidbar gewesen wäre.