Muss in Online-Bestellformularen nun aber wirklich auf die Verwendung von „Herr“ und „Frau“ verzichtet werden? Worum ging es denn konkret? Das französische Unternehmen SNCF Connect, das Online-Zugtickets verkauft, verlangte von seinen Kunden, beim Kauf eines Fahrscheins die Anrede „Herr“ oder „Frau“ auszuwählen. Wenn der Kunde keine der genannten Anreden auswählte, war es ihm nicht möglich, ein Ticket zu kaufen. Der Verein Mousse betrachtete dies als unangemessen und argumentierte, dass die Angabe für den Kauf eines Fahrscheins nicht notwendig sei. Dies verstoße damit gegen das Prinzip der Datenminimierung, eines der grundlegenden Prinzipien der GDPR. In einer Beschwerde, beim zuständigen Verwaltungsorgan (CNIL) forderte der Verein, dass SNCF Connect auf diese Anforderung verzichtet. Die Beschwerde des Vereins wurde jedoch von der CNIL abgelehnt mit der Begründung, dass die Verarbeitung der betreffenden Daten zur Erfüllung des Vertrags über die Erbringung von Beförderungsdienstleistungen erforderlich sei und somit mit den Regeln der GDPR im Einklang stehe. Außerdem entspreche eine Anrede der Kunden mit „Herr“ oder „Frau“ den in der zivil-, handels- und verwaltungsrechtlichen Kommunikation anerkannten Gepflogenheiten. Der Verein Mousse war mit der Entscheidung der CNIL nicht einverstanden und reichte dagegen Klage beim zuständigen Gericht in Frankreich ein. Dieses wandte sich, da die Angelegenheit unmittelbar die Auslegung des Rechts der Europäischen Union betraf, an den EUGH und legte diesem eine sogenannte Vorabentscheidungsfrage vor. Darin wurde (vereinfacht) gefragt, ob die Verarbeitung personenbezogener Daten, die die Geschlechtsidentität betreffen, für die Erfüllung des Beförderungsvertrags oder für die berechtigten Interessen des Verantwortlichen, die die Datenverarbeitung verfolgt, notwendig sei – mit anderen Worten, ob die Verarbeitung dieser personenbezogenen Daten mit der GDPR vereinbar ist. Der EUGH stellte fest, dass die Anrede „Herr“ und „Frau“ bzw. die Angabe der Geschlechtsidentität im Allgemeinen für den Zweck des Kaufs eines Fahrtickets nicht objektiv notwendig ist. Damit gab er Mousse insofern Recht, als diese Anforderung gegen das Prinzip der Datenminimierung verstößt. Dies bedeutet jedoch nicht automatisch, dass künftig von Kunden die Angabe ihrer Geschlechtsidentität bei Bestellungen von Dienstleistungen oder Waren in keinem Fall verlangt werden darf. Wie der EUGH in seinem Urteil ausführt, kann unter bestimmten Umständen die Erhebung solcher Daten vielmehr notwendig sein und damit mit der GDPR im Einklang stehen. Unternehmen verstoßen nämlich nicht gegen die GDPR, wenn die Verarbeitung solcher Daten tatsächlich zur Erfüllung des Vertrags erforderlich ist bzw. ein berechtigtes Interesse besteht, das bei der Verarbeitung dieser personenbezogenen Daten verfolgt wird. Dies allein reicht jedoch nicht: neben der Pflicht, die betroffenen Personen über das verfolgte berechtigte Interesse zu informieren, muss der Verantwortliche auch nachweisen können, dass der Vertrag sonst nicht erfüllt bzw. das berechtigte Interesse nicht auf einem anderen gleich wirksamen Weg erreicht werden kann. |
