Datenschutz im Onlinehandel: Gastzugang als Standard, aber Ausnahmen möglich
Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) prüfte Anfang 2025 mehrere Hamburger Onlineshops und stellte fest, dass ein großes Bekleidungsversandhaus ausschließlich Bestellungen über ein dauerhaftes Kundenkonto ermöglichte. Da dies gegen das Datenschutzprinzip der Datenminimierung gemäß Artikel 5 Absatz 1 lit. c DS-GVO verstößt, forderte die Behörde die Einführung einer Gastbestelloption. Das Unternehmen setzte die Vorgabe um.
Die Datenschutzkonferenz (DSK) hatte bereits 2022 beschlossen, dass Onlinehändler ihren Kunden eine Bestellung ohne Registrierung ermöglichen müssen. Ein verpflichtendes Kundenkonto ist datenschutzrechtlich nur zulässig, wenn es für den Bestellprozess zwingend erforderlich ist. Dauerhafte Kundenkonten bergen zudem ein höheres Risiko für Datenschutzverletzungen und Hackerangriffe.
In bestimmten Fällen kann jedoch auf den Gastzugang verzichtet werden, wenn dies durch ein berechtigtes Interesse gerechtfertigt ist. So argumentierte die Plattform Otto.de, dass die Abwicklung von Bestellungen und Retouren sowie der Kundenservice ohne Kundenkonto nicht effizient möglich seien. Der HmbBfDI erkannte dies als legitimen Grund an.
Ein Mitbewerber sah darin einen Wettbewerbsverstoß und klagte. Das Oberlandesgericht Hamburg wies die Klage ab und bestätigte, dass die Ausnahme im Fall von Otto.de gerechtfertigt sei.
Grundsätzlich sind Onlinehändler verpflichtet, eine Gastbestellung anzubieten. Abweichungen sind nur in Ausnahmefällen und bei nachvollziehbaren, berechtigten Interessen zulässig.
Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
(Foto: wpw – stock.adobe.com)
Verwandte Produkte
Das könnte Sie auch interessieren
-
Webinar Verarbeitungsverzeichnis softwaregestützt erstellen, dokumentieren, pflegen und archivieren
Mit dem webbasierten Management-System DataAgenda Datenschutz Manager können Sie alle Maßnahmen zum Datenschutz erfassen, verwalten und dokumentieren (VVT, DSFA etc.) und so Ihre Rechenschaftspflicht gemäß DS-GVO erfüllen. Der Referent zeigt, wie Sie mit einem Verzeichnis der Verarbeitungstätigkeiten (VVT) gemäß Art. 30 DS-GVO einen zentralen Baustein der Datenschutzdokumentation erstellen. Sie erfahren, wie der DataAgenda Datenschutz Manager
Mehr erfahren -
BSI veröffentlicht Handreichung zur NIS-2-Geschäftsleitungsschulung
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine neue Handreichung zur Geschäftsleitungsschulung im Rahmen der NIS-2-Umsetzung veröffentlicht. Die Publikation richtet sich an Führungsebenen von Unternehmen und Einrichtungen, die künftig unter die NIS-2-Regulierung fallen – also als „wichtige“ oder „besonders wichtige Einrichtungen“ gelten. Ziel ist es, Geschäftsleitungen auf ihre neuen Pflichten im Bereich Cybersicherheit
Mehr erfahren -
Refurbished Notebook mit ungelöschten Daten – wer ist verantwortlich?
Der Erwerb gebrauchter oder „refurbished“ IT-Geräte wirft nicht nur technische, sondern auch datenschutzrechtliche Fragen auf. Besonders heikel wird es, wenn auf einem erworbenen Notebook noch personenbezogene Daten des Vorbesitzers vorzufinden sind. Doch wer trägt in diesem Fall die Verantwortung nach der DS-GVO? Verantwortlichenbegriff nach Art. 4 Nr. 7 DS-GVO Nach Art. 4 Nr. 7 DS-GVO
Mehr erfahren
