Angabe „Herr“ oder „Frau“ bei Fahrschein-Kauf nicht erforderlich

Der Europäische Gerichtshof (EuGH) hat entschieden, dass die Erhebung von Daten hinsichtlich der Anrede der Kunden („Herr“ oder „Frau“) beim Kauf von Fahrschein-Tickets nicht objektiv unerlässlich sei, insbesondere wenn die Erhebung darauf abziele, die geschäftliche Kommunikation zu personalisieren. Dies stehe nicht im Einklang mit wesentlichen Grundsätzen der Datenschutzgrundverordnung (DSGVO) (Urteil des EuGH, 9. Januar 2025, Rechtssache C-394/23 | Mousse).

Hintergrund des Verfahrens ist ein Rechtsstreit zwischen dem französischen Verband Mousse und der französischen Datenschutzaufsichtsbehörde CNIL sowie dem französischen Eisenbahnunternehmen SNCF Connect. Dabei ging es um die Frage der Verarbeitung von Kunden-Anrededaten des SNCF Connect, welches über die eigene Website und Apps Zugtickets, Abos und Ermäßigungskarten vertreibt. Nach Angaben des Unternehmens würden die Daten in der geschäftlichen Kommunikation mit den Kunden verwendet und seien hierfür auch erforderlich. Es handele sich hierbei um Pflichtfelder im Bestellformular und die Kunden müssten bei der Bestellung ihre Anrede als „Herr“ oder „Frau“ angeben.

Anrede „Herr“ oder „Frau“ war bei Fahrschein-Kauf verpflichtend

Der Verband beanstandete daraufhin bei der Datenschutzbehörde CNIL die Praxis der SNCF Connect, seine Kunden beim Onlineerwerb von Fahrscheinen systematisch zu verpflichten, ihre Anrede („Herr“ oder „Frau“) anzugeben. Seiner Ansicht nach verstoße diese Verpflichtung gegen die DSGVO, insbesondere im Hinblick auf den Grundsatz der Datenminimierung, da die Anrede, die einer Geschlechtsidentität entspreche, keine für den Erwerb eines Fahrscheins erforderliche Angabe sein dürfte. Das Unternehmen SNCF Connect habe daher die Anrededaten nicht erheben dürfen oder zumindest seinen Kunden alternative Möglichkeiten anbieten müssen, wie z. B. die Option „neutral“ oder „sonstige“.

2021 wies die CNIL diese Beschwerde mit der Begründung zurück, dass diese Praxis keinen Verstoß gegen die DSGVO darstelle.

Mousse war mit diesem Bescheid nicht einverstanden und wandte sich an den französischen Staatsrat, um ihn für nichtig erklären zu lassen. Der Staatsrat fragte sodann den EuGH insbesondere, ob die Erhebung von Daten hinsichtlich der Anrede der Kunden, die auf die Angaben „Herr“ oder „Frau“ beschränkt ist, als rechtmäßig und insbesondere mit dem Grundsatz der Datenminimierung vereinbar eingestuft werden könne. Dies vor allem, wenn die Erhebung darauf abziele, eine personalisierte geschäftliche Kommunikation mit den Kunden zu ermöglichen.

Tipp: Hochautomatisierte Abmahnkanzleien spüren bestehende Datenschutzlücken in Sekunden auf und strafen Sie mit saftigen Bußgeldern ab! Mit dem Abmahnschutz unserer Datenschutzpakete bieten wir Ihnen nicht nur Sicherheit, sondern auch die Gewissheit, dass Sie im Falle einer Abmahnung nicht allein sind. Hier klicken & mehr erfahren.

Anrede des Kunde nicht unerlässlich

Zunächst weist der EuGH in seinem Urteil darauf hin, dass der Grundsatz der Datenminimierung bedeute, dass erhobene Daten stets angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen.

Die DSGVO enthalte eine erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden könne. Dies sei laut EuGH insbesondere dann der Fall, wenn die Verarbeitung

• für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder
• zur Wahrung der berechtigten Interessen des Verantwortlichen dieser Verarbeitung oder eines Dritten erforderlich sei.

Was den ersten dieser beiden Rechtfertigungsgründe anbelange, müsse die Verarbeitung von Daten für die ordnungsgemäße Erfüllung des Vertrags objektiv unerlässlich sein, damit sie für die Erfüllung eines Vertrags als erforderlich angesehen werden könne. In diesem Zusammenhang jedoch erscheine eine Personalisierung der geschäftlichen Kommunikation, die auf einer anhand der Anrede des Kunden angenommenen Geschlechtsidentität beruhe, nicht objektiv unerlässlich, um die ordnungsgemäße Erfüllung eines Schienentransportvertrags zu ermöglichen. Das Eisenbahnunternehmen könne sich nämlich für eine Kommunikation entscheiden, die auf allgemeinen und inklusiven Höflichkeitsformeln beruhe, die in keinem Zusammenhang mit der angenommenen Geschlechtsidentität der Kunden stehe, was eine praktikable und weniger einschneidende Lösung wäre.

In Bezug auf den zweiten Rechtfertigungsgrund stellte der EuGH nun klar, dass die Datenverarbeitung der Kundenanrede nicht als erforderlich angesehen werden könne, wenn

• diesen Kunden bei der Erhebung dieser Daten nicht das verfolgte berechtigte Interesse mitgeteilt wurde, oder
• die Verarbeitung nicht innerhalb der Grenzen dessen erfolgte, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig sei, oder in Anbetracht aller relevanten Umstände die Grundrechte und Grundfreiheiten dieser Kunden gegenüber diesem berechtigten Interesse überwiegen könnten, insbesondere wegen der Gefahr einer Diskriminierung aufgrund der Geschlechtsidentität.

Unternehmen sollten das Urteil dringend beachten

Für Unternehmen bedeutet das Urteil, dass bei der Datenverarbeitung zur Vertragserfüllung immer zu beachten ist, dass die Kommunikation mit dem Kunden als wesentlicher Bestandteil des Vertrags anzusehen ist. Dies ist z.B. für Unternehmen im E-Commerce von erheblicher Bedeutung, wenn sie ihre Kunden z.B. über Updates zum Bestellstatus informieren möchten (Versandbestätigungen, Änderungen des Lieferdatums etc.). Dabei ist laut EuGH-Urteil immer sicherzustellen, dass die erhobenen Daten auch tatsächlich für die Kommunikation oder andere vertragliche Zwecke genutzt werden. Werden die Daten beispielsweise nur bei einigen Kunden verwendet bei anderen jedoch nicht, könnte dies darauf hindeuten, dass keine allgemeine Erforderlichkeit für die Vertragsdurchführung besteht. Eine sporadische oder inkonsistente Nutzung der Daten reicht nicht aus, um eine Notwendigkeit im vertraglichen Kontext zu begründen. Mit anderen Worten: Die Nutzung der Daten sollte einheitlich erfolgen.

Für die Verarbeitung von Daten auf Grundlage berechtigter Interessen ist zudem zu beachten, dass eine unzureichende Erfüllung der spezifischen Informationspflichten dazu führen kann, dass diese Interessen nicht als rechtmäßige Grundlage für die Verarbeitung herangezogen werden dürfen. Eine fehlerhafte oder inhaltlich unzureichende Information kann dazu führen, dass die Verarbeitung trotz bestehender berechtigter Interessen rechtswidrig ist, wenn über diese Interessen nicht korrekt informiert wurde.

Unternehmen sind verpflichtet, konkrete Interessen für die jeweiligen Verarbeitungsvorgänge bereits bei der Erhebung der Daten klar zu benennen. Allein die vernünftigen Erwartungen der Kunden reichen nicht aus, um die Interessenabwägung zugunsten des Verantwortlichen ausfallen zu lassen, obwohl sie bei der Abwägung berücksichtigt werden müssen.