Datenminimierung: Was darf beim Online-Fahrkartenkauf abgefragt werden?

Das französische Unternehmen SNCF Connect vertreibt online Bahnfahrkarten. Beim Online-Kauf eines Fahrscheins über ihre Internetseite und Apps sind die Kunden verpflichtet, für die Anrede »Herr« oder »Frau« anzukreuzen.

Der französische Verband Mousse, der sich gegen sexuelle Diskriminierung einsetzt, beanstandete bei der zuständigen französischen Behörde diese Praxis. Sie verstoße gegen die DSGVO, insbesondere gegen den Grundsatz der Datenminimierung. Die Anrede, die einer Geschlechteridentität entspreche, sei keine für den Erwerb eines Fahrscheins erforderliche Angabe. Die Behörde wies die Beschwerde des Verbands mit der Begründung zurück, es liege kein DSGVO-Verstoß vor.

Im Mai 2021 erhob der Verband Mousse eine Nichtigkeitsklage beim französischen Staatsrat gegen diese Entscheidung der Behörde. Der Staatsrat setzte das Verfahren aus. Er legte die Frage, ob eine verpflichtende binäre Abfrage des Geschlechts beim Online-Kauf von Fahrscheinen mit den Grundsätzen der DSGVO vereinbar sei, dem Europäischen Gerichtshof zur Vorabentscheidung vor.

Der EuGH entschied: Die verpflichtende Angabe des Geschlechts beim Online-Kauf einer Fahrkarte ist nicht mit dem Grundsatz der Datenminimierung vereinbar und verstößt daher gegen die DSGVO. Mangels Rechtsgrundlage ist die Datenerhebung daher unzulässig.

Nur absolut notwendige Daten dürfen vom Kunden erhoben werden. Die Abfrage des Geschlechts des Kunden beim Kauf einer Bahnfahrkarte ist weder für die Vertragserfüllung noch zur Wahrung berechtigter Interessen des Transportunternehmens erforderlich. Sie darf daher nicht als Pflichtangabe abgefragt werden.

Auch wenn ein Unternehmen ein Interesse daran hat, seine Kunden möglichst persönlich zu adressieren, stehen hierfür auch allgemeine und inklusive Höflichkeitsformeln zur Verfügung, die nicht in die Rechte der Betroffenen eingreifen.

EuGH, Urteil vom 9.1.2025, C-394/23

Tipp: An Datenschutzrichtlinien muss sich nicht nur der Staat halten, sondern auch die Arbeitgeber. Seit 2018 gibt es nach dem Bundesdatenschutzgesetz (BDSG) und der DSGVO die Verpflichtung zum Datengeheimnis. Die DSGVO hat damit die Verantwortlichen in die Pflicht genommen, die Einhaltung des Datenschutzes nachzuweisen. Dazu dient die Verpflichtungserklärung zum Datengeheimnis. Mit Smartlaw können Sie im Handumdrehen diese Verpflichtungserklärung erstellen und ihren Arbeitnehmern und freien Mitarbeitern zur Kenntnisnahme und Unterschrift vorlegen. Außerdem können Sie schnell und einfach Ihre Geheimhaltungsvereinbarung erstellen, sowohl in deutsch als auch in englischer Sprache.