Geschlechtsidentität ist nicht beim Ticketkauf anzugeben
Die Datenschutzgrundverordnung (DSGVO) stellt hohe Anforderungen an die Verarbeitung personenbezogener Daten und fordert insbesondere die Minimierung ihrer Erhebung. Dennoch kommt es immer wieder zu Streitigkeiten darüber, welche Daten tatsächlich erhoben werden dürfen. Ein aktueller Fall aus Frankreich beleuchtet diese Problematik: Der Verband Mousse beanstandete, dass das französische Eisenbahnunternehmen SNCF Connect beim Online-Fahrkartenerwerb Kunden zwingt, ihre Anrede (“Herr” oder “Frau”) anzugeben. Der Gerichtshof der Europäischen Union (EuGH) hat nun mit Urteil vom 09.01.2025 entschieden, dass die Geschlechtsidentität nicht beim Ticketkauf anzugeben ist.
Hintergrund: Mousse gegen SNCF Connect
Die Beschwerde des Verbands Mousse richtete sich an die französische Datenschutzbehörde CNIL (Commission Nationale de l’informatique et des Libertés). Darin moniert er, dass das französische Bahnunternehmen SNCF, beim Kauf von Tickets zwingend die Angabe einer Anrede („Herr“ oder „Frau“) forderte. Mousse argumentierte, dass die Erhebung dieser Informationen gegen den Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO verstößt. Die Angabe der Anrede entspreche der Geschlechtsidentität und diese Information sei für den Kauf von Zugtickets nicht zwingend erforderlich.
Die CNIL sah dies jedoch anders und wies die Beschwerde 2021 ab. Die Begründung: Die Datenverarbeitung stelle keine Datenschutzverletzung dar. Daraufhin rief Mousse den französischen Staatsrat an, der den EuGH um Klärung bat. Insbesondere wollte er laut der Pressemitteilung (abrufbar hier) des EuGH wissen, ob der Datenminimierungsgrundsatz gewahrt ist, wenn die Datenerhebung „darauf abzielt, eine personalisierte geschäftliche Kommunikation mit diesen Kunden in Übereinstimmung mit der allgemeinen Verkehrssitte in diesem Bereich zu ermöglichen“.
Grundsatz der Datenminimierung
Der Datenminimierungsgrundsatz ist ein DSGVO-Prinzip, das die Verarbeitung personenbezogener Daten auf das notwendige Maß beschränken soll. Er verlangt, dass Daten nur erhoben und verarbeitet werden, wenn dies für den jeweiligen Zweck geeignet, erheblich und erforderlich ist. Dies bedeutet, dass Unternehmen und Organisationen sicherstellen müssen, dass keine überflüssigen oder irrelevanten Daten erhoben werden, um die Rechte und Freiheiten der betroffenen Personen zu schützen und die Verhältnismäßigkeit der Datenverarbeitung zu wahren.
Urteil des EuGH
Der EuGH entscheidet, dass die Geschlechtsidentität nicht beim Ticketkauf anzugeben ist. Hierfür prüfte er in seinem Urteil (C-394/23) zwei Rechtsgrundlagen, die für eine entsprechende Datenverarbeitung in Betracht kämen aber im vorliegenden Fall nicht greifen.
Erfüllung eines Vertrages: Objektive Unerlässlichkeit
Nach Art. 6 Abs. 1 lit. b DSGVO ist eine Datenverarbeitung rechtmäßig, wenn sie zur Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, erforderlich ist. Der EuGH stellt klar, dass für die Erforderlichkeit die Verarbeitung personenbezogener Daten für die Vertragserfüllung objektiv unerlässlich sein muss. Eine solche Unerlässlichkeit liege jedoch nicht vor, wenn die Erhebung der Anrede lediglich der Personalisierung der geschäftlichen Kommunikation im Rahmen eines Schienentransportvertrages dient. Das Gericht argumentiert, dass das Eisenbahnunternehmen statt der Anrede allgemeinere und inklusivere „Höflichkeitsformeln“ verwenden könnte, die keine Bezugnahme auf die Geschlechtsidentität der Kunden erfordern. Dies sei eine weniger invasive und praktikable Alternative.
Berechtigte Interessen: Erforderlichkeit
Auch die Berufung auf berechtigte Interessen des Unternehmens nach Art. 6 Abs. 1 lit. f DSGVO scheitert. Der EuGH betont, dass die Verarbeitung unzulässig ist, wenn das berechtigte Interesse nicht klar gegenüber den Kunden kommuniziert wurde oder die Verarbeitung nicht auf das Notwendige beschränkt bleibt oder eine Interessenabwägung zu Lasten des Verantwortlichen ausfällt. Hinsichtlich letzterem bestünde insbesondere eine „Gefahr der Diskriminierung“ aufgrund der Geschlechtsidentität.
Auswirkungen auf die Praxis
Das Urteil setzt klare Grenzen für die Datenerhebung im Rahmen der Vertragserfüllung und der Wahrung berechtigter Interessen. Unternehmen sollten überprüfen, dass sie nur solche Daten erheben, die wirklich notwendig sind. Dies gilt nicht nur für den Schienenverkehr, sondern für alle Branchen, in denen personenbezogene Daten verarbeitet werden. Hierbei sollten sie insbesondere prüfen, ob weiterhin auch die Angabe der Anrede eine zwingende Voraussetzung etwa bei der Ausfüllung von Kontaktformularen, beim Online-Kauf oder beim Abschluss sonstiger Verträge ist. Besonders praktikable ist hier auf weniger invasive Alternativen umzusteigen. In diesem Zusammenhang könnte ein höfliches „Guten Tag“ oder „Hallo“ schon ausreichen. Unternehmen sollten zudem ihre Informationspflichten gegenüber Kunden verbessern, um die Rechtmäßigkeit der Datenverarbeitung transparenter zu gestalten.
Fazit
Der EuGH entscheidet, dass die Geschlechtsidentität nicht beim Ticketkauf anzugeben ist. Das Urteil unterstreicht die Bedeutung des Grundsatzes der Datenminimierung und die Notwendigkeit, die Verarbeitung personenbezogener Daten ordnungsgemäß zu rechtfertigen. Die Entscheidung zeigt, dass selbst weit verbreitete Praktiken wie die Abfrage der Anrede nicht automatisch mit der DSGVO vereinbar sind. Unternehmen sind gut beraten, ihre Datenerhebungsprozesse kritisch zu hinterfragen und gegebenenfalls anzupassen. Wir als Externe Datenschutzbeauftragte helfen Ihnen dabei gerne weiter.