Hamburger Datenschützer überprüfen Online-Handelsplattformen

Hamburgs Datenschützer haben ein kritisches Auge auf dort ansässige Betreiber von Onlineshops geworfen. Ziel war eine Überprüfung der Datenschutzpraxis der Unternehmen. Unter anderem kam dabei heraus, dass ein großes Versandhaus grundsätzlich dazu verpflichtet, ein Konto anzulegen, um Bestellungen durchzuführen. Aus Sicht des Datenschutzes eine problematische Forderung.

Vor allem im Hinblick auf die Pflicht zur Datenminimierung, einem Grundsatz des DSGVO, ist diese Praxis nicht rechtens. Das heißt im konkreten Fall, dass eine einmalige Bestellung beim Händler keineswegs rechtfertigt, Daten des Kaufenden zu erheben und diese abzuspeichern. Der HmbBfDI forderte folglich den Händler dazu auf, Kunden eine Möglichkeit zu offerieren, einfach nur als Gast eine Bestellung vornehmen zu können. Dazu sind nämlich lediglich Daten zu erfassen, die mit dem einmaligen Kaufvorgang einhergehen.

Pflicht zur Bestellung als Gast

Bereits vor drei Jahren hat die Datenschutzkonferenz zu dieser Thematik ein Statement abgegeben. Schon damals sah man es als nicht mit geltendem Recht vereinbar an, dass eine Online-Bestellung mit dem Eröffnen eines Kontos einhergehen muss. Denn die Datenschutzgrundverordnung fordert eindeutig, dass für Bestellvorgänge lediglich die Daten gespeichert und erfasst werden dürfen, die für den reinen Bestellvorgang notwendig sind. Zur Einrichtung eines personalisierten Kontos hingegen werden personenbezogene Daten erfasst, die nicht unbedingt mit dem einmaligen Kauf in Relation stehen.

Neben der Pflicht zur Datenminimierung geht es auch um eine Abwendung unnötiger Risiken. Denn alle gespeicherten Daten von Kunden können, selbst wenn sie in einem passwortgeschützten Bereich hinterlegt sind, zum Ziel von Hacker-Angriffen werden. Viele Online-Shopper möchten dieses Risiko nicht eingehen und erwarten daher die Möglichkeit, ohne dauerhafte Registrierung zu bestellen – was nun wiederholt als rechtens bestätigt wurde.

Marktplätze genießen eine Ausnahmestellung in rechtlicher Hinsicht

Eine etwas andere rechtliche Situation liegt vor, wenn es sich um die Betrachtung von Online-Marktplätzen handelt. Beispielsweise otto.de, ein bedeutender Online-Marktplatz, argumentierte, dass das Fehlen einer Gastbestellung durch alternative Datenschutzmaßnahmen ausgeglichen werden soll. Die Plattform ermöglicht nicht nur den Kauf direkt von otto.de, sondern auch von Drittanbietern. Ein einheitliches Kundenkonto erleichtert hierbei die Bestellabwicklung und den durch die verschiedenen Kanäle aufwendigen Retourenprozess. Um dennoch die Verpflichtung zur Minimierung von Daten zu erfüllen, weist beispielsweise otto.de darauf hin, dass Daten von den inaktiven Konten ehemaliger Kunden regelmäßig komplett gelöscht werden.

Praxis von otto.de durch Hamburger OLG bestätigt

Mit der für otto.de geduldete gesonderte Regelung wollte sich die nordrhein-westfälische Verbraucherschutzzentrale nicht zufriedengeben. Folglich klagte die Institution gegen den Händler und wollte auf juristischem Weg eine Gastbestellung durchsetzen. Das Landgericht und in zweiter Instanz das Hanseatische Oberlandesgericht (OLG Hamburg) wiesen die Klage jedoch ab. Dem Gericht zufolge ist es ausreichend, wenn pragmatische Löschprinzipien zur Anwendung kommen. Generell sahen die Richter die Pflicht zur Eröffnung eines Kundenkontos als rechtens an. Es ist zu erwarten, dass andere Gerichte sich an diesem Urteil orientieren, wenn sie eigene Entscheidungen treffen. Damit scheint otto.de zunächst auf der sicheren Seite zu sein, solange die angesprochenen alternativen Maßnahmen hinsichtlich des Datenschutzes korrekt umgesetzt werden.

Fazit: Die Pflicht zur Datenminimierung laut DSGVO macht die Erfassung für Prozesse eher unwichtiger Daten unter Umständen zum Verstoß gegen geltendes Datenschutzrecht. Der Minimierungspflicht kann jedoch auch nachgekommen werden, wenn Unternehmen durch regelmäßige und sorgfältige Löschung von personenbezogenen Daten der Minimierung im Nachhinein nachkommen.