EUGH-Urteil zur DSGVO-konformen Ansprache von Kund:innen

Von den geehrten Frauen und den lieben Herren: Geschlechtsneutrale Kommunikation mit Kund:innen

„Sehr geehrte Frau …“, „Lieber Herr …“, so beginnen typischerweise Mails, die Kund:innen heutzutage von all jenen erhalten, mit denen sie entweder bereits in Geschäftsbeziehungen getreten sind oder denen sie zumindest signalisiert haben, dies künftig zu tun. Das gehöre zum wechselseitig erwarteten, höflichen Umgangston. Angaben zu der gewünschten Anrede als Herr oder Frau sind daher derzeit oft (verpflichtend) anzugeben, sei es bereits vorab bei der Erstellung eines Kundenkontos oder später zum Zeitpunkt des Kaufs eines konkreten Produkts. Ob diese althergebrachten Annahmen auch heute noch uneingeschränkt Geltung beanspruchen können, hat der EuGH jüngst hinterfragt. Mit der Thematik der DSGVO-konformen Ansprache von Kund:innen setzen sich im Folgenden Rechtsanwalt Andreas Lopatka-Sint und Rechtsanwaltsanwärter Lukas Wandl auseinander.

EuGH-Urteil: Datenminimierung und Geschlechtsidentität beim Online-Kauf von Tickets
Die Geschlechtsidentität von Kund:innen ist für Bahnunternehmen grundsätzlich irrelevant, entschied der EuGH. Eine persönliche Ansprache mit „Herr“ oder „Frau“ ist weder für den Erwerb der Fahrkarten noch für die Erbringung der Beförderungsleistung notwendig. Die pauschale Erhebung entsprechender Angaben verstößt gegen das Prinzip der Datenminimierung nach der DSGVO – künftig werden Unternehmen daher vermehrt auf geschlechtsneutrale Kommunikation zu achten haben.

Auch die österreichische Behördenpraxis und Rechtsprechung hat bisher einen undifferenzierten Ansatz verfolgt und die „Anrede“ als nur eine unter vielen personenbezogenen Informationen gesehen und sie zumeist (beiläufig) gemeinsam mit dem Vor- und Nachnamen oder der Adresse einer Person untersucht (etwa jüngst DSB 29.09.2021, 2021-0.568.642; BVwG 27.12.2024, W258 2227269-1). Dementsprechend großzügig gestaltete sich auch die Praxis datenschutzrechtlicher „Verantwortlicher“ — also jener Personen, die nach der Datenschutz-Grundverordnung (DSGVO) eigenverantwortlich personenbezogene Daten erheben, speichern oder nutzen.

Anfang dieses Jahres hat der EuGH der Anrede als Mindestinformation zur Kontaktaufnahme eine Absage erteilt (EuGH 09.01.2025, Rs. C-394/23, Mousse). Nun sind Unternehmen in der gesamten EU dazu angehalten, ihre diesbezügliche Praxis zu überdenken, um Geldstrafen von bis zu 4 Prozent ihres gesamten weltweit (!) erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs zu vermeiden. Was der EuGH im Detail entschieden hat und die konkreten Auswirkungen für Unternehmen sollen im Folgenden beleuchtet werden.

Der Ausgangsfall: Ticketkauf bei der SNCF mit verpflichtender Angabe der Anrede

Die Société nationale des chemins de fer français (Nationale Gesellschaft der französischen Eisenbahnen, kurz SNCF) verkauft ihre Bahnfahrtickets über ihre App und ihre Website. Beim Erwerb waren Kund:innen verpflichtet anzugeben, ob sie mit „Madame“ oder „Monsieur“ angesprochen werden möchten. Der französische Verband Mousse, der sich gegen sexuelle Diskriminierung einsetzt, sah darin einen Verstoß gegen die DSGVO und erhob Beschwerde an die französische Datenschutzbehörde. Diese wies die Beschwerde ab und folgte der Argumentationslinie der SNCF, eine personalisierte Anrede entspreche den Gepflogenheiten geschäftlicher Kommunikation.

Nach Erhebung eines Rechtsmittels landete der Fall bei der höchsten französischen Verwaltungsinstanz, dem Conseil d’État, der eine Auslegungsfrage des Unionsrechts erblickte und im Rahmen eines Vorabentscheidungsersuchens im Kern folgende Frage an den EuGH richtete:

Kann die Verarbeitung der Angabe „Anrede“ für die geschäftliche Kommunikation eines Transportunternehmens mit seinen Kund:innen datenschutzrechtlich als erforderlich und damit zulässig angesehen werden?

DSGVO: Grundsätze der Rechtmäßigkeit und Datenminimierung

Die DSGVO enthält eine Reihe von allgemeinen Grundsätzen, die den Rahmen dafür bilden, was in ihren zahlreichen Artikeln im Einzelnen geregelt wird. Für das vorliegende Thema sind die Grundsätze der „Rechtmäßigkeit“ und der „Datenminimierung“ (Art. 5 DSGVO) von zentraler Bedeutung.

• Der Grundsatz der Rechtmäßigkeit besagt, dass z. B. für das Erheben oder die Speicherung von Daten mit Personenbezug einer der in Art. 6 Abs. 1 DSGVO sechs genannten Gründe vorliegen muss, damit die Verarbeitung erlaubt ist. Dazu zählen die Einwilligung der Person, auf die sich die Daten beziehen (Art. 6 Abs. 1 lit. a DSGVO), ein überwiegendes berechtigtes Interesse des Datenverarbeitenden (Art. 6 Abs. 1 lit. f DSGVO) oder die Erforderlichkeit zur Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO).
• Der Grundsatz der Datenminimierung schränkt die Zulässigkeit weiter ein, indem er fordert, dass die Verarbeitung stets geeignet sein muss, um einem der in Art. 6 Abs. 1 DSGVO genannten Zwecke zu dienen, und nicht über das unbedingt erforderliche Maß hinausgehen darf.

Anrede als Ausfluss der Gender Identity als personenbezogenes Datum im Sinne der DSGVO

Im vorliegenden Fall stellte der EuGH zunächst fest, dass die Anrede, die einer männlichen oder weiblichen Geschlechtsidentität („gender identity“) entspreche, durch ihren Bezug auf eine bestimmte Person unstrittig in den Anwendungsbereich der DSGVO fallen könne und somit den genannten Grundsätzen entsprechen müsse.

Ist die Verarbeitung der geschlachtsspezifischen Anrede für den Ticketkauf erforderlich?

Ob die SNCF diese erfüllt hatte, prüfte das Höchstgericht zunächst an der Frage, ob die Datenverarbeitung für die Vertragserfüllung, also die Personenbeförderung, erforderlich sei. Zwar könne die geschäftliche Kommunikation zwischen Unternehmen und Kund:innen durchaus notwendiger Bestandteil der Vertragsleistung sein, die insbesondere vorgegebenen Höflichkeitsformeln folgen müsse. Allerdings stellte der EuGH klar, dass es nicht ersichtlich sei, warum eine solche Kommunikation gerade anhand der Geschlechtsidentität der betreffenden Kund:innen personalisiert werden solle.

Allgemeine und inklusive Kommunikation mit Kund:innen und ihre Ausnahmen

Eine solche Personalisierung könne nur dann als erforderlich angesehen werden, wenn sie für die Erbringung der fraglichen Dienstleistung objektiv unerlässlich sei. In allen anderen Fällen könnten Unternehmen stattdessen allgemeine und inklusive Höflichkeitsformeln verwenden, etwa „Guten Tag“ oder „Danke, gute Reise“.

Als Beispiele für eine objektive Unerlässlichkeit deutete der EuGH etwa Frauenwaggons in Nachtzügen oder die Unterstützung für Kund:innen mit Behinderung an. Selbst solche Fälle rechtfertigen jedoch keine systematische Verarbeitung der Anrede aller Kund:innen.

Geschlechtsspezifische Anrede bei kommerzieller Direktwerbung?

Abschließend untersuchte der EuGH als zweiten Rechtfertigungsgrund, ob die Erhebung und Speicherung der Anrede auf das überwiegende berechtigte Interesse der SNCF gestützt werden könne. Grundsätzlich erkannte das Gericht an, dass die Personalisierung kommerzieller Direktwerbung ein berechtigtes Interesse eines Bahnunternehmens sein könne.

Allerdings sei auch in diesem Kontext eine Personalisierung im Hinblick auf die Geschlechtsidentität nicht unbedingt erforderlich. Argumente der SNCF und der französischen Regierung, die sich auf „Gepflogenheiten und gesellschaftliche Konventionen“ sowie die „sprachliche und kulturelle Vielfalt“ beriefen, wurden vom Gericht nicht anerkannt. Solche Aspekte seien im Rahmen berechtigter Interessen nicht ausschlaggebend, zumal geschlechtsneutrale Höflichkeitsformeln diese Vielfalt nicht beeinträchtigen würden.

Das Gericht betonte zudem, dass die Gefahr einer Diskriminierung aufgrund der Geschlechtsidentität schwerer wiege als die Interessen eines Geschäftstreibenden.

Das EuGH-Urteil zur DSGVO-konformen Anrede von Kund:innen
Insgesamt stellte der EuGH fest, dass die Verarbeitung der Anrede einer Person in der vorliegenden Konstellation weder für die Vertragserfüllung erforderlich sei noch ein überwiegendes berechtigtes Interesse des Unternehmens überzeugend dargelegt werden könne.

“Fest steht: Zeiten ändern sich – und
mit ihnen der Datenschutz. Was
gestern noch selbstverständlich war,
kann heute eine unzulässige Datenverarbeitung sein.”

Mag. Lukas Wandl,
Rechtsanwaltsanwärter bei EY Law

Auswirkungen des DSGVO-Urteils für Unternehmen

Wie es auch im Schlussantrag angesprochen wurde, kann es durchaus überraschen, auf welche Fälle datenschutzrechtliche Vorschriften zur Anwendung kommen. Besonders jetzt, da die Debatte über die Unterscheidung zwischen biologischem und sozialem Geschlecht, der Binarität oder Nonbinarität und deren institutionelle Anerkennung in den europäischen Staaten unterschiedlich geführt wird, überrascht es durchaus, dass der EuGH gerade in einer Datenschutzentscheidung in gewisser Weise eine Richtung für den zukünftigen Umgang damit vorgibt.

Obwohl sich das Gericht im vorliegenden Fall mit der Datenverarbeitung im Bereich eines Beförderungsunternehmens beschäftigt, werden die in der Entscheidung getroffenen Aussagen von allgemeiner Bedeutung sein. Wenn die Datenverarbeitung zur Personalisierung der Kommunikation mit Kund:innen anhand ihrer Geschlechtsidentität — sei es durch die Anrede „Herr“ oder „Frau“ oder durch andere Formen der Anpassung — im Einzelfall erforderlich und alternativlos sein muss, wird sich künftig jede:r Geschäftstreibende die Frage stellen müssen: Ist eine solche Individualisierung in Bezug auf die Geschlechtsidentität meiner Kund:innen für die Erbringung meiner konkreten Dienstleistung tatsächlich notwendig?

Der EuGH hat der Antwort auf diese Frage enge Grenzen gesetzt. Die hohen Anforderungen, denen die Interessen der Geschäftstreibenden sowie die Erforderlichkeit für die Erfüllung eines konkreten Vertrags genügen müssen, dürften pauschale Abfragen von Daten zur Geschlechtsidentität unzulässig machen. Dies betrifft vor allem die Anrede einer Person als Frau oder Herr.

Dieser Artikel zur DSGVO-konformen Ansprache von Kund:innen in der Unternehmenskommunikation ist im aktuellen EY Tax & Law Magazine erschienen. 

• Alle aktuellen News von EY Law
• Rechtsberatung: Datenschutz