EuGH: Zwingende Auswahl einer Anrede verstößt gegen DSGVO

Die Auswahl einer Anrede im Bestellprozess eines Online-Shops wird häufig als Pflichtfeld gekennzeichnet. Der EuGH (Urt. v. 9.1.2025 – C-394/23) entschied nun, dass die Erhebung des Geschlechts und die Auswahl der Anrede „Herr“ oder „Frau“ allein für eine personalisierte Kommunikation gegen die DSGVO verstoße.

Der Verband Mousse beanstandete bei der französischen Behörde für den Schutz personenbezogener Daten (CNIL) die Praxis des französischen Eisenbahnunternehmens SNCF Connect, seine Kunden beim Onlineerwerb von Fahrscheinen systematisch zu verpflichten, ihre Anrede („Herr“ oder „Frau“) anzugeben. Seiner Ansicht nach verstößt diese Verpflichtung gegen die DSGVO, insbesondere im Hinblick auf den Grundsatz der Datenminimierung, da die Anrede, die einer Geschlechtsidentität entspreche, keine für den Erwerb eines Fahrscheins erforderliche Angabe sein dürfte. 2021 wies die CNIL diese Beschwerde mit der Begründung zurück, dass diese Praxis keinen Verstoß gegen die DSGVO darstelle. Der Verband war mit diesem Bescheid nicht einverstanden und wandte sich an den französischen Staatsrat, um ihn für nichtig erklären zu lassen.

Der Staatsrat hat dem EuGH daraufhin u.a. die Frage zur Vorabentscheidung vorgelegt, ob die Erhebung von Daten hinsichtlich der Anrede der Kunden, die auf die Angaben „Herr“ oder „Frau“ beschränkt ist, als rechtmäßig und insbesondere mit dem Grundsatz der Datenminimierung vereinbar eingestuft werden kann, wenn diese Erhebung darauf abzielt, eine personalisierte geschäftliche Kommunikation mit diesen Kunden in Übereinstimmung mit der allgemeinen Verkehrssitte in diesem Bereich zu ermöglichen.

Die Entscheidung des EuGH

Der EuGH entschied, dass die Erhebung des Geschlechts und die Auswahl einer geschlechtsabhängigen Anrede allein für eine personalisierte Anrede in der Kommunikation gegen den Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO verstoße. Die Erhebung sei werde für die Erfüllung des Vertrags erforderlich noch bestehe ein berechtigtes Interesse.

Anrede für die Erfüllung des Vertrags erforderlich?

Nach Art. 6 Abs. 1 Unterabs. 1 lit. b DSGVO ist eine Verarbeitung personenbezogener Daten rechtmäßig, wenn sie „für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich [ist], die auf Anfrage der betroffenen Person erfolgen“. Zunächst stellte der EuGH noch einmal klar, unter welchen Umständen eine Verarbeitung personenbezogener Daten als für die Erfüllung eines Vertrags erforderlich im Sinne dieser Bestimmung angesehen werden kann. Dafür müsse sie als objektiv unerlässlich angesehen werden.

Damit eine Verarbeitung personenbezogener Daten als für die Erfüllung eines Vertrags erforderlich im Sinne dieser Bestimmung angesehen werden kann, muss sie objektiv unerlässlich sein, um einen Zweck zu verwirklichen, der notwendiger Bestandteil der für die betroffene Person bestimmten Vertragsleistung ist. Der Verantwortliche dieser Verarbeitung muss somit nachweisen können, inwiefern der Hauptgegenstand dieses Vertrags ohne diese Verarbeitung nicht erfüllt werden könnte (Urteil vom 12. September 2024, HTB Neunte Immobilien Portfolio und Ökorenta Neue Energien Ökostabil IV, C‑17/22 und C‑18/22, EU:C:2024:738, Rn. 43 und die dort angeführte Rechtsprechung).

Der etwaige Umstand, dass eine solche Verarbeitung im Vertrag erwähnt wird oder für dessen Erfüllung lediglich von Nutzen ist, ist insoweit für sich genommen unerheblich. Entscheidend für die Anwendung des in Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO genannten Rechtfertigungsgrundes ist nämlich, dass die Verarbeitung personenbezogener Daten durch den Verantwortlichen für die ordnungsgemäße Erfüllung des zwischen ihm und der betroffenen Person geschlossenen Vertrags wesentlich ist und dass daher keine praktikablen und weniger einschneidenden Alternativen bestehen (Urteil vom 12. September 2024, HTB Neunte Immobilien Portfolio und Ökorenta Neue Energien Ökostabil IV, C‑17/22 und C‑18/22, EU:C:2024:738, Rn. 44 und die dort angeführte Rechtsprechung).

Anrede zur Vertragserfüllung nicht erforderlich

Vorliegend sei Zweck der Erhebung der Anrede nur die Personalisierung der geschäftlichen Kommunikation gewesen. Eine solche Personalisierung sei jedoch nicht erforderlich zur Erfüllung des Vertrags. Die Beklagte könne auch allgemeine Höflichkeitsformeln verwenden unabhängig vom Geschlecht.

Eine solche Kommunikation muss jedoch nicht notwendigerweise anhand der Geschlechtsidentität des betreffenden Kunden personalisiert werden. Nach der Rechtsprechung erscheint die Personalisierung von Inhalten nämlich nicht erforderlich, um einem Kunden Dienste anzubieten, wenn diese Dienste gegebenenfalls in Form einer gleichwertigen Alternative an ihn erbracht werden können, die nicht mit einer solchen Personalisierung verbunden ist, so dass diese nicht objektiv unerlässlich ist, um einen Zweck zu verwirklichen, der notwendiger Bestandteil dieser Dienste ist (vgl. in diesem Sinne Urteil vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 102).

Was die im Ausgangsverfahren in Rede stehenden Dienstleistungen betrifft, erscheint eine Personalisierung der geschäftlichen Kommunikation, die auf einer anhand der Anrede angenommenen Geschlechtsidentität beruht, weder objektiv unerlässlich noch wesentlich, um die ordnungsgemäße Erfüllung des betreffenden Vertrags im Sinne der in den Rn. 33 und 34 des vorliegenden Urteils angeführten Rechtsprechung zu ermöglichen.

Es scheint nämlich eine praktikable und weniger einschneidende Lösung zu geben, da sich das betreffende Unternehmen – sei es gegenüber Kunden, die ihre Anrede nicht angeben möchten, sei es generell – für eine Kommunikation entscheiden könnte, die auf allgemeinen und inklusiven Höflichkeitsformeln beruht, die in keinem Zusammenhang mit der angenommenen Geschlechtsidentität dieser Kunden stehen. Wie der Generalanwalt in den Nrn. 49 und 50 seiner Schlussanträge ausgeführt hat, verwendet SNCF Connect zudem offenbar bereits solche Formeln, was vom vorlegenden Gericht zu prüfen ist, und hätte die Angabe einer unzutreffenden Anrede darüber hinaus keine Auswirkung auf die Erbringung der betreffenden Beförderungsdienstleistungen, was bestätigen würde, dass die Verarbeitung der im Ausgangsverfahren in Rede stehenden Daten nicht objektiv unerlässlich ist, um den Hauptgegenstand des Vertrags zu erfüllen.

Wahrung der berechtigten Interessen des Verantwortlichen?

Nach Art. 6 Abs. 1 Unterabs. 1 lit. f DSGVO ist eine Verarbeitung personenbezogener Daten rechtmäßig, wenn sie „zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich [ist], sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt“. Auch hierzu stellte der EuGH zunächst noch einmal klar, unter welchen Voraussetzungen die Verarbeitung personenbezogener Daten nach diesem Ausnahmetatbestand zulässig ist:

Nach ständiger Rechtsprechung ist die Verarbeitung personenbezogener Daten nach dieser Bestimmung unter drei kumulativen Voraussetzungen rechtmäßig: Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein, und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen (Urteile vom 4. Juli 2023, Meta Platforms u. a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks], C‑252/21, EU:C:2023:537, Rn. 106, und vom 4. Oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, Rn. 37).

Kein berechtigtes Interesse an der Erhebung der Anrede

In Bezug auf den Rechtfertigungsgrund des berechtigten Interesses stellt der EuGH unter Hinweis auf seine einschlägige ständige Rechtsprechung klar, dass die Verarbeitung von Daten hinsichtlich der Anrede der Kunden eines Transportunternehmens, die darauf abzielt, die geschäftliche Kommunikation aufgrund ihrer Geschlechtsidentität zu personalisieren, nicht als erforderlich angesehen werden kann, wenn (1.) diesen Kunden bei der Erhebung dieser Daten nicht das verfolgte berechtigte Interesse mitgeteilt wurde, oder (2.) die Verarbeitung nicht innerhalb der Grenzen dessen erfolgt, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist, oder (3.) in Anbetracht aller relevanten Umstände die Grundrechte und Grundfreiheiten dieser Kunden gegenüber diesem berechtigten Interesse überwiegen können, insbesondere wegen der Gefahr einer Diskriminierung aufgrund der Geschlechtsidentität.

Das berechtigte Interesse an kommerzieller Direktwerbung kann im Fall der Gefahr einer Beeinträchtigung der Grundrechte und Grundfreiheiten der betroffenen Person jedenfalls nicht überwiegen. Wie sich nämlich aus dem 75. Erwägungsgrund der DSGVO ergibt, können Risiken für die Rechte und Freiheiten natürlicher Personen – mit unterschiedlicher Eintrittswahrscheinlichkeit und Schwere – aus einer Verarbeitung personenbezogener Daten hervorgehen, die zu einem physischen, materiellen oder immateriellen Schaden führen könnte, insbesondere wenn eine solche Verarbeitung zu einer Diskriminierung führen kann. […]

Folglich ist Art. 6 Abs. 1 Unterabs. 1 Buchst. f in Verbindung mit Art. 5 Abs. 1 Buchst. c DSGVO dahin auszulegen, dass die Verarbeitung personenbezogener Daten hinsichtlich der Anrede der Kunden eines Transportunternehmens, die darauf abzielt, die geschäftliche Kommunikation aufgrund ihrer Geschlechtsidentität zu personalisieren, nicht als zur Wahrung der berechtigten Interessen des Verantwortlichen dieser Verarbeitung oder eines Dritten erforderlich angesehen werden kann, wenn

• diesen Kunden bei der Erhebung dieser Daten nicht das verfolgte berechtigte Interesse mitgeteilt wurde; oder
• diese Verarbeitung nicht innerhalb der Grenzen dessen erfolgt, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist; oder
• in Anbetracht aller relevanten Umstände die Grundrechte und Grundfreiheiten dieser Kunden gegenüber diesem berechtigten Interesse überwiegen können, insbesondere wegen der Gefahr einer Diskriminierung aufgrund der Geschlechtsidentität.

Fazit

Die Auswahl einer Anrede im Bestellprozess eines Online-Shops wird häufig als Pflichtfeld ausgestaltet. Der EuGH (Urt. v. 9.1.2025 – C-394/23) entschied nun, dass die Erhebung des Geschlechts und die Auswahl der Anrede „Herr“ oder „Frau“ allein für eine personalisierte Kommunikation gegen die DSGVO verstoße. Die Erhebung sei werde für die Erfüllung des Vertrags erforderlich noch bestehe ein berechtigtes Interesse.

Zudem haben bereits das OLG Karlsruhe und das LG Frankfurt a.M. entschieden, dass eine verpflichtende Wahl zwischen ,,Herr“ und ,,Frau“ nicht-binäre Personen zwinge, sich einem dieser Geschlechter zuzuordnen, obwohl dies nicht ihrer Identität entspricht und stelle somit einen Verstoß gegen das Allgemeine Persönlichkeitsrecht dar.