Der Europäische Gerichtshof (EuGH) hat in der Rechtssache C-394/23 (Mousse) entschieden, dass die Abfrage des Geschlechts eines Kunden beim Online-Kauf eines Bahntickets keine notwendige Angabe für ein Eisenbahnunternehmen ist. Die Abfrage des Geschlechts verstößt daher in dem vorliegenden Fall gegen den Grundsatz der Datenminimierung der Datenschutz-Grundverordnung (DSGVO) und verdeutlicht, dass Unternehmen die Erhebung personenbezogener Daten auf das absolut Notwendige beschränken müssen.
Worum ging es?
Der Verband Mousse beanstandete bei der französischen Datenschutzbehörde CNIL, dass das französische Eisenbahnunternehmen SNCF Connect seine Kunden beim Online-Kauf von Fahrscheinen systematisch dazu verpflichtete, ihre Anrede („Herr“ oder „Frau“) anzugeben. Mousse argumentierte, dass diese Verpflichtung gegen den Grundsatz der Datenminimierung der DSGVO verstoße, da die Angabe des Geschlechts für den Erwerb eines Fahrscheins nicht erforderlich sei. Die CNIL wies diese Beschwerde 2021 jedoch zurück. Daraufhin wandte sich Mousse an den französischen Staatsrat, der den Fall dem EuGH vorlegte.
Wie entschied das Gericht?
Der EuGH stellte klar, dass die Abfrage der Anrede bzw. des Geschlechts beim Online-Ticketkauf nicht als objektiv unerlässlich anzusehen ist, selbst wenn sie darauf abzielt, die Kunden-Kommunikation zu personalisieren. Das Gericht begründete dies wie folgt:
- Grundsatz der Datenminimierung: Nach dem Grundsatz der Datenminimierung müssen die erhobenen Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein.
- Rechtsgrundlage: Für die Nutzung der Anrede bzw. des Geschlechts ist eine Rechtsgrundlage erforderlich. In Betracht kommt: (1) für die Erfüllung eines Vertrags mit der betroffenen Person oder (2) zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten.
- Erfüllung eines Vertrags: Die Personalisierung der geschäftlichen Kommunikation anhand der Geschlechtsidentität des Kunden ist für die ordnungsgemäße Erfüllung eines Schienentransportvertrags nicht objektiv unerlässlich. Ein Eisenbahnunternehmen könnte auch eine Kommunikation wählen, die auf allgemeinen und inklusiven Höflichkeitsformeln beruht, die keinen Bezug zur angenommenen Geschlechtsidentität der Kunden haben.
- Wahrung berechtigter Interessen: Wenn sich ein Unternehmen auf sein berechtigtes Interesse beruft, muss es sicherstellen, dass (1) das Interesse den Kunden bei der Datenerhebung mitgeteilt wurde, (2) die Verarbeitung auf das absolut Notwendige begrenzt ist und (3) die Grundrechte und Grundfreiheiten der Kunden nicht überwiegen, insbesondere wenn die Gefahr einer Diskriminierung aufgrund der Geschlechtsidentität besteht.
Konsequenzen für die Praxis:
Aus dem Urteil ergeben sich folgende Konsequenzen:
- Beschränkung der Datenerhebung: Unternehmen müssen die Erhebung personenbezogener Daten auf das absolut Notwendige beschränken.
- Keine Personalisierung auf Kosten des Datenschutzes: Eine Personalisierung der Kommunikation darf nicht zu Lasten des Datenschutzes gehen und muss immer auf einer Rechtsgrundlage basieren.
- Einsatz allgemeiner Formulierungen: Unternehmen sollten inklusive und allgemeine Kommunikationsformen wählen, die nicht auf die Geschlechtsidentität der Kunden Bezug nehmen.
- Überprüfung der Prozesse: Unternehmen sollten ihre Datenerhebungs-Prozesse überprüfen und sicherstellen, dass sie den ausgeführten Grundsätzen der DSGVO entsprechen.
Zusammenfassung:
Der EuGH hat entschieden, dass die Abfrage des Geschlechts beim Online-Kauf von Bahntickets keine notwendige Angabe ist und somit den Grundsatz der Datenminimierung der DSGVO verletzt. Diese Entscheidung unterstreicht die Bedeutung der Beschränkung von Datenerhebungen auf das Notwendigste und verpflichtet Unternehmen, ihre Datenschutzpraktiken zu überprüfen und anzupassen. Unternehmen sollten darauf achten, keine unnötigen Daten von ihren Kunden zu erheben und sicherstellen, dass ihre Kommunikationsstrategien inklusiv und datenschutzfreundlich sind.
