Die DSGVO verlangt Datensparsamkeit – aber wie viel ist zu viel? Mit dieser Frage beschäftigte sich das OLG Hamburg in einem aktuellen Urteil vom 27. Februar 2025. Im Zentrum des Streits: Muss ein Online-Shop seinen Kunden zwingend die Möglichkeit bieten, ohne Registrierung – also als „Gast“ – zu bestellen? Oder darf er die Bestellung an ein obligatorisches Kundenkonto knüpfen?
Der Vorwurf: Verstoß gegen Datenminimierung
Ein Verbraucherschutzverband hatte geklagt. Die Beklagte – ein großer Online-Marktplatz mit tausenden Dritthändlern – erlaubt Bestellungen nur nach vorheriger Registrierung. Das sei rechtswidrig, so der Kläger, und verstoße gegen den Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO. Die verpflichtende Einrichtung eines dauerhaften Kundenkontos führe zur Speicherung unnötiger personenbezogener Daten – etwa Geburtsdatum, Telefonnummer oder Passwort. Das Argument: Für die bloße Vertragsabwicklung reiche eine „Gastbestellung“ völlig aus.
Die Entscheidung: Kein Anspruch auf Gastzugang
Das OLG Hamburg sieht das anders. Die Berufung des Klägers blieb ohne Erfolg. Ein Online-Händler sei nicht verpflichtet, neben einem Kundenkonto auch eine Gastbestellmöglichkeit anzubieten – zumindest nicht, wenn die Datenerhebung zur Wahrung berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO erforderlich sei.
Das Gericht folgt der Argumentation der Händlerseite und des zuständigen Datenschutzbeauftragten (HmbBfDI). Die gespeicherten Daten seien nötig, um:
-
Altersverifikation durchzuführen,
-
Betrugsprävention zu gewährleisten,
-
die Nachverfolgbarkeit von Bestellungen sicherzustellen,
-
Kundenkommunikation zu erleichtern.
Besonders relevant: Das OLG betont, dass die erhobenen Daten – mit Ausnahme des Passworts – auch bei einer Gastbestellung notwendig wären. Die zentrale Verwaltung über ein Kundenkonto vereinfache Prozesse, schütze vor Missbrauch und diene auch den Interessen der Kunden. Zudem würden Daten nach drei Jahren Inaktivität automatisch gelöscht – eine „dauerhafte“ Speicherung liege also gar nicht vor.
Direktwerbung: Auch ohne Einwilligung erlaubt?
Ein zweiter Streitpunkt war die Personalisierung von Werbung auf Basis der Bestellhistorie. Auch hier blieb die Klage erfolglos. Das Gericht sieht kein umfassendes Profiling und erkennt die datenschutzrechtliche Zulässigkeit an – insbesondere unter Verweis auf Art. 6 Abs. 1 lit. f DSGVO und den Erwägungsgrund 47 zur DSGVO. Danach kann Direktwerbung ein berechtigtes Interesse darstellen – sofern ein Widerspruchsrecht besteht, was hier der Fall war.
Fazit für die Praxis
Das Urteil bringt mehr Klarheit für Händler – und auch für deren rechtliche Berater:
-
Ein Kundenkonto darf verpflichtend sein, wenn es nachweislich betriebliche Notwendigkeiten erfüllt.
-
Der Grundsatz der Datenminimierung verlangt nicht die technisch geringstmögliche Lösung, sondern eine interessenbasierte Abwägung.
-
Auch personalisierte Werbung kann auf ein berechtigtes Interesse gestützt werden, wenn ein klarer Opt-out besteht.
Allerdings bleibt das Urteil einzelfallbezogen. Es zeigt: Datenschutz ist selten schwarz oder weiß – sondern oft eine Frage des Kontexts, der Dokumentation und der klaren Kommunikation gegenüber den Kunden.
Für wen ist das Urteil wichtig?
-
Online-Händler, die ihren Checkout-Prozess datenschutzkonform gestalten möchten.
-
IT- und Datenschutzverantwortliche, die Haftungsrisiken minimieren wollen.
-
Rechtsanwälte, die DSGVO-Verfahren begleiten – sei es im E-Commerce, Marketing oder bei Verbandsklagen