Kundenkonto als Kaufpflicht: Wann ein Onlineshop Gastbestellungen ermöglichen muss

Ein Onlineshop braucht für einen einzelnen Kauf in der Regel kein dauerhaftes Kundenkonto. Entscheidend ist, ob die Verarbeitung von Kontodaten für den konkreten Zweck wirklich erforderlich ist und ob ein gleich wirksamer, weniger eingriffsintensiver Bestellweg zur Verfügung steht.

Die EDPB-Empfehlungen 2/2025, Version 1.0, wurden am 3. Dezember 2025 als Version für die öffentliche Konsultation angenommen. Sie sind daher keine geltende Norm und begründen keine allgemeine Gastkaufpflicht. Sie geben eine fachliche Orientierung dafür, wie Art. 6 DSGVO bei einem Pflichtkonto geprüft werden kann. Ein Shop sollte die Kontopflicht an Kaufart, Zweck, Datenumfang und Alternativen messen.

Art. 6 Abs. 1 lit. b DSGVO erlaubt die Verarbeitung, wenn sie für die Erfüllung eines Vertrags erforderlich ist. Die Erforderlichkeit verlangt eine enge Verbindung zum konkreten Vertragsgegenstand. Der Verantwortliche muss erklären können, warum der Vertrag ohne die konkrete Verarbeitung nicht erfüllt werden kann. Eine einseitig auferlegte Kontopflicht, die nur nützlich oder bequem ist, erfüllt diesen Maßstab nicht automatisch.

Bei einem einzelnen Kauf können Name, Lieferadresse, Zahlungs- und Kontaktdaten für die Vertragsabwicklung benötigt werden. Diese Angaben lassen sich grundsätzlich in einem Gastbestellvorgang erheben. Der Shop muss dafür kein persönliches Onlinekonto mit Zugangsdaten, Profil und dauerhaft aktivem Datensatz einrichten.

Die Konsultationsfassung des EDPB kommt für den dort beschriebenen Einmalkauf zu dem Ergebnis, dass die Kontopflicht regelmäßig nicht über Art. 6 Abs. 1 lit. b DSGVO begründet werden kann. Daraus folgt eine Einzelfallprüfung. Der Text ist eine Orientierung aus einem Konsultationsverfahren, kein eigenständiges Verbot und keine pauschale gesetzliche Pflicht zum Gastkauf.

Ein Shop muss zuerst festlegen, welche Verarbeitung mit dem Konto verbunden ist. Die Abwicklung des Kaufs, die Nachverfolgung einer Lieferung, die Änderung einer Bestellung, Kundentreue, personalisierte Angebote und Betrugsprävention sind unterschiedliche Zwecke. Für jeden Zweck ist die passende Rechtsgrundlage gesondert zu prüfen. Das Konto selbst ist kein Verarbeitungszweck.

Art. 6 Abs. 1 lit. c DSGVO setzt eine klare, präzise und vorhersehbare rechtliche Verpflichtung voraus. Aufbewahrungspflichten für Rechnungen und Buchhaltungsunterlagen verlangen in der Regel die Aufbewahrung bestimmter Dokumente. Sie erfordern deshalb nicht ohne Weiteres, die dazu verwendeten Kontodaten in einem aktiven Kundenkonto weiterzuführen.

Art. 6 Abs. 1 lit. f DSGVO verlangt ein berechtigtes Interesse, die Erforderlichkeit der Verarbeitung und eine Abwägung mit den Interessen und Grundrechten der betroffenen Person. Ein wirtschaftliches Interesse an bequemeren Folgekäufen, Kundenbindung oder einer besseren Auswertung reicht für eine Pflichtkontopflicht nicht allein aus. Die Interessenabwägung muss vor Beginn der Verarbeitung konkret dokumentiert werden.

Bei einem Abonnement kann ein Konto näher am Vertragsgegenstand liegen. Wenn Kundinnen und Kunden während der Laufzeit wiederholt authentifiziert auf Inhalte zugreifen, Lieferungen verfolgen, Vertragsdaten ändern oder sicher mit dem Shop kommunizieren müssen, kann die Kontoverarbeitung für diese laufende Leistung erforderlich sein. Die Prüfung bleibt auf die Vertragsdauer und die tatsächlich nötigen Funktionen begrenzt.

Ein exklusives Angebot rechtfertigt ein Konto nur bei einer echten, beschränkten Gemeinschaft mit nachweisbaren Eigenschaften oder einer längerfristigen Beziehung. Eine allgemeine Rabattaktion, zu der jede Person allein durch die Registrierung Zugang erhält, beschreibt keine solche geschlossene Gemeinschaft. Das Konto darf die Zugangsvoraussetzung nicht erst künstlich erzeugen.

Bei einem bedingten Kauf, etwa für eine bestimmte Berufsgruppe, muss der Shop prüfen, ob der Status auch über ein sicheres Formular und einen einmaligen Nachweis festgestellt werden kann. Wenn diese Lösung gleich wirksam ist und die Daten danach gelöscht oder begrenzt werden können, spricht das gegen die Erforderlichkeit eines dauerhaften Kontos.

Eine Gastbestellung ermöglicht den Kauf durch ein Formular, ohne dass die Person ein Kennwort und einen dauerhaften persönlichen Bereich anlegt. Für die Bestellung werden nur jene Daten erhoben, die für den jeweiligen Zweck erforderlich sind. Eine freiwillige spätere Kontoerstellung kann zusätzliche Funktionen eröffnen, darf den Gastkauf aber nicht durch versteckte Nachteile entwerten.

Für Sendungsverfolgung, nachträgliche Änderungen, Rückfragen oder Reklamationen können eine Bestellnummer, ein geschützter Bereich mit zeitlich begrenztem Link oder ein sicherer Kontaktweg genügen. Die Identität lässt sich dabei anhand der aktuellen Bestellung und bekannter Kontaktdaten zuordnen. Ein dauerhaftes Profil ist dafür nicht zwingend die einzige Lösung.

Der Shop sollte die Alternativen nicht nur technisch, sondern auch datenschutzrechtlich vergleichen. In die Dokumentation gehören Zweck, Datenfelder, Authentifizierung, Speicherdauer, Zugriffsschutz und der Zeitpunkt, an dem der alternative Zugang endet. So wird sichtbar, warum der gewählte Weg für Vertrag und Sicherheit ausreicht.

Ein aktives Kundenkonto hält personenbezogene Daten häufig länger vor, als es für einen einzelnen Kauf erforderlich ist. Das berührt die Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO. Nicht mehr genutzte Konten können außerdem leichter übersehen werden und dadurch einem erhöhten Risiko unbefugter Zugriffe ausgesetzt sein.

Der Shop sollte deshalb Konten, Bestellunterlagen und gesetzlich aufzubewahrende Dokumente getrennt betrachten. Für Rechnungen und andere Nachweise kann eine besondere Aufbewahrung gelten. Daraus folgt aber nicht automatisch, dass das vollständige Profil, Zugangsdaten und alle Kontofunktionen aktiv bleiben müssen.

Auch ein Konto verhindert Betrug nicht von selbst. Geeignete technische und organisatorische Maßnahmen wie ein angemessener Anmeldeschutz, zusätzliche Prüfungen bei ungewöhnlichen Vorgängen oder CAPTCHA können unabhängig von einer Kontopflicht eingesetzt werden. Die konkrete Maßnahme muss zum Risiko passen und darf nicht als pauschale Begründung für zusätzliche Daten dienen.

Art. 25 DSGVO verlangt Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen. Der Shop entscheidet daher bereits in der Gestaltung, ob der Gastkauf gleich sichtbar neben der Kontooption steht, welche Felder vorausgefüllt sind und welche Informationen für optionale Funktionen hinzukommen.

Eine verständliche Oberfläche trennt den Kauf von freiwilligen Zusatzleistungen. Die Kundin oder der Kunde muss erkennen, welche Angaben für Lieferung und Zahlung nötig sind und welche Daten nur für ein freiwilliges Profil, personalisierte Angebote oder ein Treueprogramm verarbeitet werden. Marketing und andere Zusatzwecke gehören in eine eigene Prüfung und sind vom Pflichtkonto getrennt.

Die Entscheidung sollte mit Screenshots oder einer Ablaufbeschreibung, einer Feldliste, den Löschregeln und dem Alternativenvergleich dokumentiert werden. Ändern sich Zahlungsdienstleister, Kundenportal, Lieferprozess oder Zusatzfunktionen, ist zu prüfen, ob die bisherige Begründung und die Datenminimierung noch passen.

Für die Prüfung brauchen Shopbetreiber zunächst eine Beschreibung des konkreten Kauf- oder Abonnementmodells. Dazu kommen Datenfluss, Kontofelder, Bestellfelder, Zwecke, Empfänger, Speicherorte und die Rollen der eingesetzten Dienstleister. Die Dokumentation muss erkennen lassen, welche Daten der Vertragsabwicklung dienen und welche Funktionen freiwillig sind.

Ergänzend sollte der Shop den Alternativenvergleich ablegen. Beschreiben Sie, ob eine Gastbestellung, ein Einmal-Link, ein sicheres Formular oder ein anderer Zugang denselben Zweck erfüllt. Für jede verworfene Alternative ist der konkrete sachliche Grund festzuhalten. Allgemeine Hinweise auf Komfort, Marketing oder interne Prozessvereinfachung reichen dafür nicht.

Bei einer Kontopflicht sind außerdem Kontosicherheit, Löschung, Deaktivierung, Datenminimierung und die Information der betroffenen Personen zu prüfen. Für die weiterführende Einordnung des Datenflusses bei Dienstleistern bietet sich die Schwerpunktseite zu Auftragsverarbeitung und Dienstleistern an. Bei einem Drittlandbezug hilft der Beitrag Drittlandtransfer mit SCC und TIA.

Der Shop erklärt Komfort zur Erforderlichkeit: Ein schnellerer Folgekäuf, eine einheitliche Kundennummer oder eine einfachere interne Verwaltung belegen noch nicht, dass ein dauerhaftes Konto für den konkreten Vertrag notwendig ist.

Der Zweck bleibt unbestimmt: Bestellung, Kundenbindung, Profilbildung und Betrugsprävention werden in einer pauschalen Kontobegründung vermischt. Trennen Sie die Zwecke und prüfen Sie die Rechtsgrundlagen jeweils einzeln.

Die Gastbestellung ist versteckt: Ein theoretischer Gastzugang hilft nicht, wenn die Oberfläche zum Konto drängt oder der Gastkauf mit sachlich nicht erforderlichen Nachteilen verbunden ist. Die Optionen müssen verständlich und fair dargestellt werden.

Rechnungsaufbewahrung hält das ganze Konto aktiv: Gesetzlich aufzubewahrende Dokumente und ein aktives Nutzerprofil haben unterschiedliche Funktionen. Prüfen Sie, welche Daten und Unterlagen tatsächlich weiter benötigt werden.

Die Konsultationsfassung wird wie ein Gesetz behandelt: Die EDPB-Empfehlungen 2/2025 geben eine Orientierung aus der öffentlichen Konsultation. Geltendes Recht, konkrete Vertragsmodelle und allfällige besondere gesetzliche Zugangsvoraussetzungen bleiben getrennt zu prüfen.

Die Kontopflicht betrifft die Erforderlichkeit einer dauerhaften Kontoverarbeitung für den Kauf oder eine damit verbundene Leistung. Sie beantwortet nicht die Frage, ob ein Shop für Werbung, personalisierte Angebote oder ein Treueprogramm eine eigene Rechtsgrundlage und transparente Information braucht.

Auch die Verarbeitung von Zahlungsdaten, die Auswahl von Auftragsverarbeitern und Übermittlungen in Drittländer bilden eigene Prüffelder. Für Anfragen betroffener Personen und den Umgang mit einer Datenkopie können Sie den Beitrag Auskunftsbegehren nach Art. 15 DSGVO heranziehen. Bei einem Wechsel eines Unterauftragsverarbeiters ist der Beitrag Unterauftragsverarbeiter austauschen einschlägig.

Die konkrete Entscheidung ergibt sich aus Kaufart, Datenfluss, Systemgestaltung und den vernünftigen Erwartungen der Kundinnen und Kunden. Ein kurzer Alternativenvergleich ist deshalb wertvoller als eine allgemeine Aussage für alle Produkte des Shops.

Wir prüfen mit Ihnen Kaufmodell, Kontofelder, Datenflüsse, Alternativen und Speicherregeln. Dabei wird getrennt, was für Vertrag und Lieferung erforderlich ist und welche Zusatzfunktionen freiwillig bleiben können. Senden Sie uns den aktuellen Bestellablauf, die Konto- und Formularfelder sowie die vorhandene Datenschutzdokumentation. Neue Beiträge und rechtliche Hinweise der Kanzlei erhalten Sie mit BRANDaktuellen Rechtsnews.