Am 9. Januar 2025 hat der Europäische Gerichtshof (EuGH) in der Rechtssache C-394/23 ein wegweisendes Urteil gefällt. Die Richter entschieden, dass die verpflichtende Angabe einer Anrede („Herr“ oder „Frau“) beim Online-Ticketkauf gegen die Datenschutz-Grundverordnung (DSGVO) verstößt.
Der Fall wurde von der französischen Organisation Mousse, die sich für den Schutz von LGBTQ+-Rechten einsetzt, gegen die französische Staatsbahn SNCF angestrengt.
Die SNCF verlangte beim Online-Ticketkauf von Fahrgästen zwingend die Auswahl einer Anrede. Die Kläger argumentierten, dass diese Praxis diskriminierend sei und unnötigerweise personenbezogene Daten erhebe, die für den eigentlichen Kaufvorgang nicht erforderlich seien.
Die Organisation berief sich insbesondere auf den Grundsatz der Datenminimierung aus Artikel 5 Absatz 1 Buchstabe c der DSGVO, der vorschreibt, dass personenbezogene Daten nur in dem Umfang erhoben werden dürfen, der für den konkreten Zweck unbedingt notwendig ist.
Der EuGH stellte wie folgt klar:
- Die Erhebung der Anrede ist nicht erforderlich für den Ticketkauf. Die SNCF konnte nicht nachweisen, dass die Anrede für die Vertragserfüllung erforderlich sei. Die Identifikation eines Kunden kann auch ohne Angabe des Geschlechts erfolgen (z. B. durch Namen, E-Mail-Adresse oder Buchungsnummer).
- Verstoß gegen den Grundsatz der Datenminimierung. Die DSGVO erlaubt es Unternehmen nur, die Daten zu erfassen, die tatsächlich benötigt werden. Die Geschlechtsidentität des Kunden sei für den Ticketkauf nicht relevant.
- Fehlende Transparenz bei der Datenerhebung. Die SNCF hatte nicht ausreichend dargelegt, warum diese Daten erhoben wurden. Kunden wurden nicht informiert, ob sie die Angabe verweigern können oder welche Alternativen bestehen.
Das Gericht stellte damit eindeutig fest, dass Unternehmen keine personenbezogenen Daten ohne eine klare rechtliche Grundlage erheben dürfen.
Mit diesem Urteil unterstreicht der EuGH einmal mehr die Bedeutung der Datenschutz-Grundverordnung. Die Datenminimierungspflicht wird weiter konkretisiert, und Unternehmen müssen sich stärker mit der Notwendigkeit ihrer Datenerhebung auseinandersetzen.
Gerade im Online-Bereich müssen Unternehmen sicherstellen, dass keine unnötigen personenbezogenen Daten erhoben werden – ein wichtiger Schritt hin zu mehr Datenschutz und weniger Datensammelei.
