Telefonnummer als Pflichtangabe im Bestellformular?

In vielen Online-Shops ist die Angabe der Telefonnummer im Bestellprozess verpflichtend. Doch ist dies aus datenschutzrechtlicher Sicht überhaupt zulässig?

1. Telefonnummer als personenbezogene Information

Verarbeiten, nutzen oder erheben Shop-Betreiber auf ihrer Webseite unter Einsatz von Datenverarbeitungsanlagen sogenannte personenbezogene Daten, müssen sie bestimmte Informationspflichten erfüllen. Unter personenbezogene Daten fallen grundsätzlich alle Informationen, über die irgendwie ein Personenbezug hergestellt werden kann, wie der Name, die Anschrift, das Geburtsdatum und auch die Telefonnummer. Die Erhebung, Speicherung und Weitergabe solcher sensibler Daten muss zudem immer durch ein Gesetz erlaubt sein oder es muss eine Einwilligung der betroffenen Person vorliegen.

2.Abfrage der Telefonnummer zur Abwicklung des Vertrags grundsätzlich erforderlich?

Das Gesetz erlaubt das Erheben, Speichern und die Weitergabe personenbezogener Daten beispielsweise, wenn es zur Erfüllung und Abwicklung eines Vertragsverhältnisses, also zum Beispiel des Kaufvertrages bei einem Online-Kauf, erforderlich ist (§ 28 Abs. 1 Nr. 1 BDSG). Die Abfrage der personenbezogenen Daten darf nur Mittel zum Zweck der Vertragserfüllung ein. Deshalb ist auch die Erhebung und Weitergabe der Adressdaten des Kunden an das Versandunternehmen in der Regel zulässig, da die Ware ansonsten nicht zugestellt werden kann und eine Vertragserfüllung nicht möglich wäre.

Es stellt sich daher die Frage, ob der Shop-Betreiber die Telefonnummer des Kunden benötigt, um seine Pflichten aus dem Vertrag zu erfüllen. Grundsätzlich werden lediglich die Anschrift des Empfängers sowie seine Kontaktdaten für die Abwicklung des Vertrags erforderlich sein, nicht hingegen die Telefonnummer. Die Abfrage der Telefonnummer im Bestellprozess ist nach Einschätzung der IT-Recht Kanzlei daher grundsätzlich nicht von § 28 Abs. 1 Nr. 1 BDSG gedeckt und bedarf daher der Einwilligung des Kunden.

3. Verstoß gegen den Grundsatz der Datensparsamkeit?

Eine Einwilligung des Kunden in die Abfrage der Telefonnummer, beispielsweise durch eine Datenschutzerklärung, nutzt dem Shop-Betreiber jedoch herzlich wenig, wenn die Erhebung der Telefonnummer gegen weitere Vorschriften des Datenschutzrechts verstößt und deshalb unzulässig ist. Dabei ist insbesondere an einen Verstoß gegen einen der wesentlichen Grundsätze des deutschen Datenschutzrechts zu denken: den Grundsatz der Datensparsamkeit (§ 3a Bundesdatenschutzgesetz (BDSG)). Dieser verlangt, dass so wenige personenbezogene Daten wie möglich erhoben, verarbeitet und genutzt werden. Soweit möglich, sind diese Informationen zu anonymisieren oder zu pseudonymisieren. Für die Vertragsabwicklung genügt die Erhebung der Adress- und Kontodaten. Die Abfrage der Telefonnummer ist grundsätzlich nicht erforderlich. Daher verstößt die verpflichtende Erhebung dieser Information nach Einschätzung der IT-Recht Kanzlei gegen den Grundsatz der Datensparsamkeit.

4. Versandunternehmen fordern Telefonnummer

Einige Versandunternehmer fordern dennoch von den Händlern zusätzlich zu der Lieferadresse die Weitergabe der Kundentelefonnummer. Soweit ersichtlich ist bspw. ein Express-Versand bei sämtlichen Versanddienstleistern nur möglich, wenn die Telefonnummer des Kunden genannt wird. Begründet wird die Notwendigkeit der Weitergabe der Telefonnummer mit einer vereinfachten und vor allem rechtzeitigen Zustellung. In der Praxis unternehmen Versanddienstleister jedoch (auch beim Express-Versand) oft mehrere Zustellversuche, geben das Paket beim Nachbarn oder in einem Paketshop ab. Die Fälle, in denen Versandunternehmer den Kunden tatsächlich anrufen, um mit ihm den Liefertermin abzusprechen, stellen eine Seltenheit dar.

Für den Shop-Betreiber folgt aus der zwingenden Weitergabe der Telefonnummer jedoch folgendes: Entscheidet sich der Händler dafür, bestimmte Versanddienstleistungen wie den Express-Versand nicht anzubieten ist die Abfrage der Telefonnummer nicht erforderlich, sondern verstößt –wie oben dargestellt – gegen den Grundsatz der Datensparsamkeit und Datenvermeidung.

Möchten Händler Versanddienstleistungen wie den Express-Versand anbieten und entscheidet sich ein Kunde für diese Versandart, ist für den Händler eine Vertragsabwicklung nur möglich, wenn er die Telefonnummer des Kunden abfragt. Denn nur dann wird das Paket vom Versandunternehmen an den Kunden versendet. In diesem Fall ist die Abfrage und Weitergabe der Telefonnummer nach Ansicht der IT-Recht Kanzlei von § 28 Abs. 1 Nr. 1 BDSG gedeckt und verstößt auch nicht gegen den Grundsatz des Datenschutzrechts. Das Bestellformular sollte jedoch so gestaltet werden, dass das Pflichtfeld „Telefonnummer“ nur erscheint, wenn der Kunde eine Versanddienstleistung wählt, für die das Versandunternehmen eine zwingende Weitergabe der Telefonnummer fordert.

5. Wichtig zu wissen: Ein Verstoß gegen den Grundsatz der Datensparsamkeit ist (bislang) rechtlich folgenlos

Ein Verstoß gegen den Grundsatz der Datenvermeidung ist nach deutschem Recht rechtlich ohne Folgen. Der Gesetzgeber hat den Grundsatz der Datensparsamkeit ausdrücklich als reine Zielvorgabe ohne Sanktionsmöglichkeit vorgesehen (vgl. auch BT-Drs. 16/13567, S. 17). Dies ergibt sich bereits aus dem Wortlaut der Norm :„Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten und die Auswahl und Gestaltung von Datenverarbeitungssystemen sind an dem Ziel auszurichten, so wenig personenbezogene Daten wie möglich zu erheben, zu verarbeiten oder zu nutzen“.

Für neuen Wind sorgt jedoch die europäische Datenschutz-Grundverordnung (DSGVO). Obwohl sie bereits durch die amtliche Verkündung in Kraft trat, gilt sie unmittelbar erst ab dem 25. Mai 2018 und ist deshalb hinsichtlich ihrer Regelungen erst ab diesem Zeitpunkt verbindlich. Konkret schreibt Artikel 5 c) DSGVO vor, dass personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein muss („Datenminimierung“)“. Bei Verstößen gegen die Grundsätze für die Verarbeitung personenbezogener Daten sieht die DSGVO verschieden ausgestaltete Sanktionsmöglichkeiten vor, insbesondere ein direktes Klagerecht (Art. 79 Abs. 1 DSGVO) und einen (materiellen und immateriellen) Schadensersatzanspruch des Betroffenen (Art. 82 Abs. 1 DSGVO). Über die konkreten Auswirkungen der DSGV auf den Grundsatz der Datensparsamkeit informiert Sie die IT-Recht Kanzlei in Kürze in der Serie zur neuen DSGVO.

6. Abfrage der Telefonnummer für Lieferterminabsprache erforderlich?

Anders hingegen ist die Situation im Zusammenhang mit Speditionsfirmen zu bewerten, die den Kunden zwecks Absprache des Liefertermins kontaktieren müssen und aus diesem Grund vom Shop-Betreiber die Abfrage und Weitergabe der Kundentelefonnummer verlangen. Auch in diesem Fall stellt sich die Frage, ob der Shop-Betreiber die Telefonnummer des Kunden benötigt, um seine Pflichten aus dem Vertrag zu erfüllen. Dann wäre die Abfrage der Telefonnummer von § 28 Abs. 1 Nr. 1 BDSG gedeckt.

Nach Einschätzung der IT-Recht Kanzlei dient die Erhebung der Telefonnummer in diesem Fall nur als Mittel zum Zweck, nämlich der Vertragserfüllung durch die Auslieferung. Allein die Abfrage der Adress- und Kontodaten ist für die Vertragsabwicklung nicht ausreichend. Eine Kommunikation zwischen dem Spediteur und dem Kunden zwecks Liefertermin-Besprechung über andere Kommunikationsmittel, beispielsweise per E-Mail, ist zudem nicht besonders praxistauglich. Die Abfrage der Telefonnummer dient bei solchen Verträgen somit nach Auffassung der IT-Recht Kanzlei der Abwicklung des Schuldverhältnisses und ist von § 28 Abs. 1 Nr. 1 BDSG gedeckt. Daher liegt hier auch kein Verstoß gegen den Grundsatz der Datensparsamkeit vor.

7. Fazit

Die verpflichtende Abfrage der Telefonnummer im Bestellprozess verstößt nach Ansicht der IT-Recht Kanzlei grundsätzlich gegen den Grundsatz der Datensparsamkeit und Datenvermeidung. Kein Verstoß gegen den Grundsatz der Datensparsamkeit liegt jedoch vor, wenn Speditionsfirmen mit der Auslieferung der bestellten Ware beauftragt werden. In diesem Fall ist die Abfrage der Telefonnummer nach Einschätzung der IT-Recht Kanzlei zudem von § 28 Abs. 1 Nr. 1 BDSG gedeckt und daher zulässig.

Bislang ist der Verstoß gegen das Gebot der Datensparsamkeit rechtlich ohne Folgen. Die IT-Recht Kanzlei wird Sie im Rahmen der Serie über die neue DSGVO darüber informieren, welche Auswirkungen die neuen europäischen Vorschriften konkret auf das Gebot der Datensparsamkeit haben werden.

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.

Autor:
Dr. Bea Brünen
(freie jur. Mitarbeiterin der IT-Recht Kanzlei)