Gastzugang im Onlinehandel: HmbBfDI setzt Verbesserungen durch, OLG Hamburg bestätigt Ausnahmen

Pressemitteilung des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit vom 12.03.2025

In einer beschwerdeunabhängigen Prüfung hat der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) im Januar dieses Jahres relevante Hamburger Onlineshops unter die Lupe genommen. Bei einem großen Versandhaus mit dem Schwerpunkt Bekleidung wurde festgestellt, dass der Onlineshop keine Bestellmöglichkeit als Gast anbot. Einkäufe waren daher nur nach dem Anlegen eines dauerhaften Kund:innenkontos möglich. Der HmbBfDI forderte das Unternehmen dazu auf, in Zukunft Gastbestellungen zu ermöglichen, um den datenschutzrechtlichen Anforderungen zu entsprechen. Das Unternehmen richtete daraufhin eine solche Bestellmöglichkeit ein.

Hintergrund: Zwang zum Kund:innenkonto ist in der Regel nicht zulässig

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat in einem Beschluss vom 24. März 2022 festgelegt, dass Onlinehändler ihre Kund:innen in der Regel nicht dazu verpflichten dürfen, ein Kund:innenkonto anzulegen, sondern auch Gastbestellungen ohne dauerhafte Registrierung ermöglichen müssen. Im Grundsatz ist es mit dem Datenschutzrecht unvereinbar, dauerhafte Kund:innenprofile anzulegen, wenn Kund:innen gegebenenfalls nur einmalig bestellen möchten. Das Prinzip der Datenminimierung gibt vor, nur so wenige Daten wie unbedingt notwendig zu verarbeiten – Kund:innenkonten enthalten hingegen oft weitergehende Informationen. Mit der Anlage eines passwortgeschützten Zugangs über das Internet werden die eingegebenen Daten zudem der Gefahr von Hackerangriffen ausgesetzt – ein Risiko, dass nicht alle Kund:innen eingehen wollen.

Pflicht zum Angebot eines Gastzugangs – Ausnahmen für Marktplätze

Obwohl Onlinehändler grundsätzlich verpflichtet sind, Gastbestellungen anzubieten, können Ausnahmen zugelassen werden, wenn es dafür gute Gründe gibt. Die Datenschutz-Grundverordnung (DSGVO) schreibt nicht ausdrücklich vor, wie Onlineshops dem Grundsatz der Datenminimierung konkret gerecht werden müssen. Daher erlaubt die DSK Abweichungen, wenn das Erfordernis durch andere Maßnahmen umgesetzt wird. Auf eine solche Ausnahme hatte sich Otto.de berufen. Der HmbBfDI sah in der Ausgestaltung des Webshops des Versandhauses die Voraussetzungen erfüllt, um keinen Gastzugang anbieten zu müssen. Ein wesentlicher Grund für das berechtigte Interesse, Bestellungen nur nach Anlage eines Kund:innenkontos entgegenzunehmen, ist die besondere Stellung als Onlinemarktplatz. Über Otto.de können nicht nur Waren direkt von Otto bestellt werden, sondern auch Angebote zahlreicher Dritthändler, die die Website als Verkaufsplattform benutzen. Otto.de hat nachvollziehbar und ausführlich dargelegt, dass der Kund:innenservice inklusive der Organisation von Retouren über ein einheitliches Kund:innenkonto wesentlich effizienter abgewickelt werden kann. Um dem Grundsatz der Datenminimierung gerecht zu werden, hat Otto.de alternative Maßnahmen ergriffen. Dazu zählt insbesondere die automatisierte Löschung der Kund:innenkonten, die innerhalb eines festgelegten Zeitraums nicht mehr benutzt wurden.

Das Hanseatische Oberlandesgericht hat am 27. Februar 2025 die Auffassung des HmbBfDI in zweiter Instanz bestätigt (Az. 5 U 30/24). Wie schon das Landgericht zuvor hat es eine Klage der Verbraucherzentrale Nordrhein-Westfalen abgewiesen, mit der Otto.de verpflichtet werden sollte, Gastbestellungen anzubieten. Der HmbBfDI war mittels einer vom Landgericht eingeholten amtlichen Stellungnahme in den Rechtsstreit eingebunden. Im Ergebnis muss das Versandhaus keinen Gastzugang ermöglichen. Die Pflicht zur Einrichtung eines Kund:innenkontos für eine Bestellung verstieß nach Ansicht des Landgerichts nicht gegen das Gebot der Datenminimierung, wenn das Konto nach einer bestimmten Inaktivitätsperiode automatisch gelöscht wird und nur Daten erhoben werden, die für die Abwicklung des Vertrags notwendig sind. Zudem sind die Daten nach Ablauf der Gewährleistungsfristen auszusondern und nach Ablauf der Aufbewahrungsfristen zu löschen. An den eingangs genannten Beschluss der DSK waren beide Gerichte nicht gebunden, berücksichtigten dessen Wertung dennoch als sogenanntes „Soft Law“ in den Entscheidungen.

Weitere Fälle

Die Mehrzahl der bei der Kontrolle besuchten Websites enthielt die Option der Gastbestellung. Diese Onlineshops haben damit die Anforderungen der DSK bereits umgesetzt. Teilweise war die Option der Gastbestellung bereits vor der Veröffentlichung des DSK-Beschlusses implementiert, um Verbraucher:innen einen möglichst hohen Kund:innenkomfort zu bieten. In anderen Fällen wurde der Beschluss zum Anlass für technische Änderungen genommen.

In einem weiteren Fall beruft sich ein Unternehmen darauf, einen Marktplatz auch für Dritthändler zu betreiben und daher keine Gastzugänge anbieten zu müssen. Die Plattform ist nun aufgerufen, anhand konkreter Nutzungszahlen zu belegen, inwieweit die Konstellation tatsächlich vergleichbar ist mit der eines Onlinemarktplatzes wie beispielsweise Otto.de. Ein pauschaler Verweis auf den Umstand, ein Marktplatz für Drittanbieter zu sein, genügt nicht.

Ausblick: Prüfung von in Hamburg ansässigen Onlinehändlern wird fortgesetzt

Der HmbBfDI wird bei Onlinehändlern in seinem Zuständigkeitsbereich weiterhin überprüfen, ob sie ihrer Verpflichtung nachkommen, Gastbestellungen zu ermöglichen. Lediglich in gut begründeten Ausnahmefällen kann davon abgesehen werden. Solche Gründe können insbesondere in der folgenden Konstellation gegeben sein:

• Betrieb eines Marktplatzes mit zahlreichen angeschlossenen Händlern und zentralisierter Kund:innenbetreuung
• anhand konkreter Zahlen belegter Bedarf, eine Vielzahl von Retouren und Anfragen an Dritthändler mittels einer Plattform zu verwalten
• Erhebung nur solcher Daten, die für die Abwicklung des Vertrags notwendig sind und auch außerhalb des Kund:innenkontos für vertragliche und steuerrechtliche Gründe aufzubewahren wären
• eigeninitiative Löschung der Daten und Kund:innenkonten ohne aktives Tun der Betroffenen binnen einer angemessenen Frist

In Zweifelsfällen sollten Onlinehändler grundsätzlich davon ausgehen, dass sie dazu verpflichtet sind, einen Gastzugang für Bestellungen anzubieten. Wer auf einen Gastzugang verzichtet, sollten die im Beschluss der DSK sowie in beiden Gerichtsurteilen etablierten Parameter für eine Ausnahme sorgfältig mit der eigenen Situation abgleichen.

Weiterführende Dokumente:

Beschluss der DSK vom 24. März 2022
Urteil des Landgerichts Hamburg vom 22. Februar 2024