Eine lauterkeitsrechtliche Unterlassungsklage gegen den Otto- Versand wegen behaupteten Verstößen gegen die Grundsätze der Datenminimierung und die datenschutzfreundlichen Voreinstellungen hatte auch in zweiter Instanz vor dem OLG Hamburg keinen Erfolg.
Worum ging es?
Die Verbraucherzentrale Nordrhein-Westfalen klagte gegen den Versandriesen Otto, um die Bedeutung des Datenschutzrechts im Onlinehandel zu stärken. Das Onlineversandhaus, welches Waren sowohl im eignen Namen verkauft als auch den Absatz von Produkten durch Dritthändler ermöglicht, schreibt seinen Kunden die verpflichtende Kundenkonto – Registrierung bei Bestellungen vor. Während für Onlineshops mit Direktverkauf die Pflicht zur Bereitstellung von Gastzugängen bereits anerkannt ist, war die Verpflichtung von Shops mit Marktplatzfunktion noch ungeklärt. Der Verbraucherverband sah in der notwendigen Erstellung eines fortlaufenden Kundenkonto für jede Bestellung ohne implementierte automatisierte Löschung einen Verstoß gegen die datenschutzfreundlichen Voreinstellungen gem. Art. 25 Absatz 2 Datenschutz-Grundverordnung (DSGVO) und die Datenminimierungspflicht gem. Art. 5 Absatz 1 Buchstabe c DSGVO. Zudem war der Verband der Ansicht, dass die Verwendung der gespeicherten Kundendaten für personalisierte Werbung zu eigenen Marketingzwecken datenschutzrechtlich nicht nach Art. 6 Absatz 1 Unterabsatz 1 Buchstabe f DSGVO gerechtfertigt sei. Gestützt hatte der Verbraucherverband seine Ansichten auf die Erkenntnisse der Datenschutzkonferenz des Bundes und der Länder (DSK) aus dem Jahr 2022. In dem Konzeptpapier der DSK wurde die Bereitstellung von verpflichtenden Gastzugängen bei Online- Bestellungen als Gebot der Datenminimierung festgelegt. Danach sollten ausschließlich die Daten erfasst werden, die für die Durchführung eines einzelnen Geschäfts erforderlich sind. Die rechtmäßige Verarbeitung personenbezogener Daten hänge im Einzelfall insbesondere davon ab, ob Kunden einen einmaligen Vertrag abschließen oder eine langfristige Geschäftsbeziehung anstreben. Dabei muss es ihnen freistehen, bei jeder Bestellung ihre Daten erneut einzugeben und somit als temporärer Gast zu agieren oder sich für eine dauerhafte Geschäftsbeziehung mit einem fortlaufenden Kundenkonto zu entscheiden. Das Versandhaus wies die Bindungswirkung der Festlegungen der DSK von sich. Ferner argumentierte Otto, dass sich das verwendete Vertriebssystem von solchen der klassischen Online- Shops unterscheide. Die Abwicklung von Vertragsabschlüssen mit einem Kundenkonto sei bei Versandhäusern mit Marktplatzfunktion durch Drittanbieter effizienter und liege im Interesse des Kunden.
Exkurs Datenschutzrecht
Beide Urteile aus Hamburg befassten sich vorrangig mit dem Gebot der Datenminimierung sowie der Rechtmäßigkeit einer Datenverarbeitung auf Grundlage berechtigter Interessen des Verantwortlichen. Sie bieten daher Anlass, zur besseren Verständlichkeit, einen kurzen Exkurs in die diesbezüglichen Grundzüge des Datenschutzes zu unternehmen.
Nach dem Grundsatz der Datenminimierung gem. Art. 5 Absatz 1 Buchstabe c) DSGVO müssen personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein“. Die beschriebenen Voraussetzungen sind dabei nicht trennscharf voneinander zu unterscheiden. Angemessen sind solche personenbezogenen Daten, die dem Zweck grundsätzlich nicht entgegenstehen und ohne diese der Zweck überhaupt nicht erreicht werden kann. Erheblich sind diese dann, wenn sie auch objektiv geeignet sind, den konkreten Zweck zu erreichen. Eine Priorisierung der Datenarten durch den Verantwortlichen soll dabei ausgeschlossen werden. Unter dem Gedanken der Erforderlichkeit wird der Datenumfang schließlich auf solche Daten eingeschränkt, die nicht über die konkreten Zwecke hinausgehen. Grundsätzlich gilt, dass eine personenbezogene Datenverarbeitung nur dann erfolgen soll, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. Bei der Prüfung soll auf die Struktur der Verhältnismäßigkeitsprüfung zurückgegriffen werden.
Zur Rechtmäßigkeit der Datenverarbeitung führten die Gerichte eine schulbuchartige Abwägung der widerstreitenden Interessen durch. Eine rechtmäßige Datenverarbeitung ist gem. Art. 6 Absatz 1 Unterabsatz 1 Buchstabe f DSGVO immer dann denkbar, wenn die Verarbeitung zur Wahrung berechtigter Interessen des Verantwortlichen erforderlich ist, sofern nicht der Schutz personenbezogener Daten überwiegt. Ein berechtigtes Interesse kann sich aus tatsächlicher, wirtschaftlicher oder ideeller Natur ergeben. Explizit zulässig sind dem ErwG 47, S.6, 7 zufolge Interessen im Rahmen der Betrugsprävention, Direktwerbung, Kundenbeziehungen und Netz- und Informationssicherheit. Zu beachten gilt hier das Widerspruchsrecht gem. Art. 21 I der Betroffenen. Das berechtigte Interesse muss die Verarbeitung bestätigen und auf das unbedingt erforderliche Maß beschränkt sein. Die Frage der Erforderlichkeit einer Datenverarbeitung muss anhand einer Interessenabwägung und Verhältnismäßigkeitsprüfung unter dem Gesichtspunkt der Datenminimierung erfolgen.
Entscheidungen der Gerichte
Nach erfolgloser datenschutzrechtlicher Abmahnung klagte der Verbraucherverband zunächst vor dem Landgericht Hamburg auf Unterlassung. Dort unterlag der Kläger. Die Berufung in zweiter Instanz blieb ebenfalls ohne Erfolg.
Die Hamburger Richter stellten klar: Otto handelt im Einklang mit der DSGVO. Das Gericht argumentierte, dass die im Rahmen der Anlage eines Kundenkontos erfolgende Datenerhebung und Datenverarbeitung den Grundsätzen der Datenminimierung und der datenschutzfreundlichen Voreinstellungen hinreichend Rechnung trägt. Die Erhebung und Verarbeitung personenbezogener Daten, wie Anrede, Vorname, Nachname etc. ist im Rahmen des Kundenkontos angemessen und verhältnismäßig. Ein Großteil der abgefragten Informationen ist sowohl für eine Bestellung mit Kundenkonto als auch für einen Gastzugang erforderlich. Somit besteht kein wesentlicher Unterschied in der Menge der erfassten Daten. Lediglich der Zusatz der Eingabe eines erforderlichen Passworts unterscheide sich. Eine Datenverarbeitung ist nicht nur bei ausdrücklicher Einwilligung zulässig, sondern auch bei Vorliegen von berechtigten Interessen nach Art. 6 Absatz 1 Unterabsatz 1 Buchstaben b, f DSGVO. Ein solches liege hier in der effektiven Geschäftsdurchführung, sowie in der Betrugsprävention. Die Nutzung eines Kundenkontos bietet klare Vorteile für die Kunden. Darüber hinaus werden die Daten vorliegend nicht unbegrenzt gespeichert. Nach längerer Inaktivität wird das Kundenkonto automatisch gelöscht. Im Ergebnis stellt der Gastzugang daher keine gleichwertige Alternative zum Kundenkonto dar. Ein Gastzugang würde vielmehr die technische und organisatorische Abwicklung unnötig erschweren, ohne einen wirklichen datenschutzrechtlichen Vorteil zu bringen. Auch die personalisierte Werbung wurde als rechtmäßig eingestuft. Otto verwende die Daten stark pseudonymisiert und biete Kunden ausdrücklich die Möglichkeit, der Nutzung zu widersprechen. Damit gelte die Verarbeitung der Daten als durch ein berechtigtes Interesse gem. Art. 6 Absatz 1 Unterabsatz 1 Buchstabe f DSGVO gedeckt. Im Erwägungsgrund 47 der DSGVO sei zudem die Direktwerbung ausdrücklich genannt.
Was bedeutet das Urteil?
Wer bei Otto einkauft, muss weiterhin ein Kundenkonto anlegen – ein Gastzugang bleibt ausgeschlossen. Wer keine personalisierte Werbung erhalten will, sollte aktiv von seinem Widerspruchsrecht Gebrauch machen. Das Urteil hat zwar die Position eines Onlinehändlers gestärkt, welches auf eine Registrierungspflicht setzt, jedoch bleibt es eine Abwägung im Einzelfall. Eine pauschale Nichtverpflichtung von Gastzugängen lässt sich daraus nicht ableiten. Für Online- Händler bleibt entscheidend, ob sie bezüglich der berechtigten Interessen ausreichend vortragen können.
I. Instanz LG Hamburg, Urteil vom 22. Februar 2024 – 327 O 250/22
II. Instanz OLG Hamburg, Urteil vom 27. Februar 2025 – 5 U 30/24
"E-Commerce: Braucht ein Onlineshop einen Gastzugang?"
von Hannah Reinhardt, wissenschaftliche Mitarbeiterin