In der Vergangenheit hat sich der Bayer. Landesbeauftragte für den Datenschutz (BayLfD) bereits ausführlich in dem Beitrag Nr. 11.4 seines 28. Tätigkeitsberichts 2018 zum Datenschutz beim Online-Ticketkauf geäußert. Die zentralen Aussagen dieses Beitrags lauten zusammengefasst:
- Ein Kundenkonto ist für die Abwicklung des Online-Ticketverkaufs nicht erforderlich. Das heißt, das Theater kann sich – für die Speicherung eines Kontos über den Verkauf hinaus – insoweit nicht auf die gesetzliche Befugnis nach Art. 4 Abs. 1 Bayerisches Datenschutzgesetz (BayDSG) bzw., wenn dem Online-Kartenverkauf ein Vertrag zwischen dem Kunden und einem Theater zugrunde liegt, nicht auf Art. 6 Abs. 1 Unterabs. 1 Buchst. b Datenschutz- Grundverordnung (DSGVO) stützen.
- Ein Kundenkonto muss nach der Abwicklung des Ticketverkaufs gelöscht werden.
- Eine Beibehaltung des Kontos aus Servicegründen – etwa um zukünftige Käufe zu erleichtern – ist nur aufgrund einer wirksamen Einwilligung denkbar.
In seinem unten vermerkten 32. Tätigkeitsbericht 2022 vom 14.6.2023 stellt der BayLfD fest, dass sich diese Aussagen auch auf den Online-Ticketverkauf von bayerischen – insbesondere staatlichen und kommunalen – Museen übertragen lassen; unter Nr. 10.3 führt der BayLfD insoweit im Einzelnen Folgendes aus:
„Im Ergebnis bedeutet dies, dass ein öffentliches Theater oder Museum für den Online-Ticketverkauf zwingend ein Gastkonto oder einen Gastzugang anbieten muss. Der Kauf im Webshop muss ohne die dauerhafte Anlegung eines Kundenkontos durchzuführen sein, das typischerweise die E-Mail-Adresse und ein Passwort sowie weitere personenbezogene Daten enthält (wie etwa Name, Anrede, Adresse, Telefonnummer, Kaufhistorie). Seit dem oben erwähnten Beitrag gingen weitere Beschwerden von Bürgerinnen und Bürgern gegen bayerische staatliche Theater und Museen ein, die insbesondere rügten, dass die betreffenden öffentlichen Einrichtungen beim Online-Ticketkauf keinen Erwerb über ein Gastkonto erlauben. Bei der Durchsetzung der Rechte betroffener Bürgerinnen und Bürgermusste ich feststellen, dass sich einzelne öffentliche Theater und Museen mit verschiedenen Argumenten gegen ein Gastkonto ,sträuben‘.
Daher verdeutliche ich im Folgenden nochmals meine Auffassung: Eine zwingende Erstellung eines Kundenkontos kann nicht etwa mit der Berufung auf die mitunter langen Zeiträume zwischen Kauf und Erfüllung, Unwägbarkeiten bezüglich der Leistungserfüllung, möglichen Leistungsstörungen oder Probleme bei der Zahlungsabwicklung gerechtfertigt werden. Gleiches gilt für die Geltendmachung von Anfechtungs-, Widerrufs- oder Widerspruchsrechten bezüglich der gewählten Zahlungsart. Eine Kontaktierung der Kundinnen und Kunden kann in diesen Fällen auch mittels eines Gastzugangs erfolgen. Auch bei einem Gastzugang muss ein Kunde personenbezogene Daten angeben, die für die Abwicklung des Onlinekaufs erforderlich sind. Diese Datenwerden bei einem Gastzugang vom Theater oder Museum in einem Kundendatensatz gespeichert. Für diese Datenverarbeitungen gibt es grundsätzlich gesetzliche Befugnisse (Art. 4 Abs. 1 BayDSG bzw. Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO).
Mit einer in diesem Zusammenhang erhobenen E-Mail- Adresse können die Kundinnen und Kunden – ohne die Anlage eines dauerhaften Kundenkontos – kontaktiert werden. Die Berufung auf eine ,unternehmerische Entscheidung‘, keinen Gastzugang anzubieten, trägt nicht. Die unternehmerischen Entscheidungen müssen sich selbstverständlich im Rahmen der geltenden Datenschutzgesetze bewegen. Gleiches gilt in Bezug auf das zuweilen vorgebrachte Argument, ein Kundenkonto sei für die Marketingstrategie des Betriebs nötig. In Bezug auf ein Kundenkonto genügt es auch nicht, wenn der Webshop vorsieht, dass Neukunden in die Anlage eines Kundenkontos einwilligen, und er dabei einen Hinweis auf die anonyme Kaufmöglichkeit an der Tages- oder Abendkasse gibt.
- a) Ein vorliegender Hinweis im Online-Ticketshop auf die anonyme Bezahlmöglichkeit an der Tages- und Abendkasse ist zwar zu begrüßen und notwendig. Dies alleine genügt aber nicht, um die Anlage eines Kundenkontos auf eine Einwilligung stützen zu können.
- b) Denn die Wirksamkeit der Einwilligung setzt insbesondere voraus, dass sie freiwillig ist. Die Freiwilligkeit bedingt vor allem, dass der Einwilligende eine echte oder freie Wahl haben muss und somit in der Lage sein muss, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden (Erwägungsgrund 42 DSGVO). Auch das sogenannte Koppelungsverbot ist von Bedeutung.
Dieses wird in der Datenschutz-Grundverordnung wie folgt erläutert: Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind (Art. 7 Abs. 4 DSGVO). Die Einwilligung gilt nicht als freiwillig erteilt, wenn zu verschiedenen Verarbeitungsvorgängen von personenbezogenen Daten nicht gesondert eine Einwilligung erteilt werden kann, obwohl dies im Einzelfall angebracht ist, oder wenn die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung abhängig ist, obwohl diese Einwilligung für die Erfüllung nicht erforderlich ist (Erwägungsgrund 43 DSGVO).
Wie eben dargelegt, ist ein Kundenkonto im Grundsatz für den Verkauf von Online- Tickets für Theateraufführungen oder Museumsbesuche nicht erforderlich. Eine echte, freie Wahl beim Kauf eines Online-Tickets hat ein Kunde nur, wenn ein Online-Kauf auch über einen Gastzugang oder ein Gastkonto möglich ist. Der Verweis auf eine Kaufmöglichkeit an der Tages- oder Abendkasse ist dagegen keine gleichwertige Alternative zum Angebot eines Gastzugangs oder Gastkontos. Denn um diese Möglichkeit zu nutzen, muss der Kunde die Verkaufsstellen zu den (eingeschränkten) Öffnungszeiten persönlich aufsuchen, während im Online-Ticketshop ein Kauf ,rund um die Uhr‘ möglich ist. Ein Kauf an der Abendkasse ist regelmäßig auf ein geringeres Angebot (Restposten) reduziert.
- c) Um Missverständnissen vorzubeugen: Das Erfordernis eines Gastzugangs zur Sicherstellung der Freiwilligkeit eines Kundenkontos beim Online-Ticketverkauf bedeutet nicht, dass auf das Angebot einer anonymen Kaufmöglichkeit an der Tages- oder Abendkasse verzichtet werden kann. Diese anonyme Bezahlmöglichkeit ist unabhängig von der Frage eines Kundenkontos notwendig, um überhaupt eine anonyme Kaufmöglichkeit von Theater- oder Museumstickets und damit eine anonyme Besuchsmöglichkeit von Theatern oder Museen zu erhalten.
Denn bei einem Online-Ticketkauf werden – unabhängig davon, ob mit Kundenkonto oder Gastzugang – stets personenbezogene Daten verarbeitet. Mit anderen Worten: Die Tages- oder Abendkasse sichert somit im Sinne des Datenschutzes die Einhaltung des Grundsatzes der Datenminimierung (Art. 5 Abs. 1 Buchst. c DSGVO) beim Ticketverkauf.
- d) Zahlreiche Webshops sehen mittlerweile die Möglichkeit des Kaufs mittels Gastkonto oder Gastzugang vor. Dies belegt, dass ein Online-Ticketvertrieb auch mittels Gastkonto faktisch realisierbar ist.
- e) Öffentliche Stellen, wie die staatlichen oder kommunalen Theater und Museen, sind – anders als private Organisationen (wie etwa ein privat betriebenes Kino) – unmittelbar grundrechtsgebunden, also auch in Bezug auf das Recht auf informationelle Selbstbestimmung. Mit diesem Befund kommt öffentlichen Stellen im Umgang mit personenbezogenen Daten eine besondere Verantwortung zu. Auch sollten öffentliche Stellen in Bezug auf den Datenschutz eine Vorbildfunktion ausüben und somit allein schon aus diesem Grund den Online-Kauf als Gast ermöglichen.
Die zentrale datenschutzrechtliche Botschaft lautet somit kurz gefasst: Die Einräumung der Möglichkeit eines Kaufs über einen Gastzugang ist notwendige Bedingung, damit eine Einwilligung in die Datenverarbeitung zur Anlage eines Kundenkontos aus Datenschutzsicht freiwillig ist und damit für das Anlegen eines Kundenkontos eine datenschutzrechtliche Befugnis vorliegt. Diese Auffassung wird auch von den anderen Datenschutzaufsichtsbehörden vertreten. So hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder am 24.3.2022 Hinweise zum datenschutzkonformen Online-Handel mittels Gastzugang beschlossen.“
- Tätigkeitsbericht des Bayerischen Landesbeauftragten für den Datenschutz vom 14.6.2023, im Internet abrufbar unter https://www.datenschutzbayern.de in der Rubrik „Tätigkeitsberichte“
Entnommen aus der Fundstelle Bayern 21/2023, Rn. 244.
