Kundenkonto und Gastbestellung: Datenschutz im Checkout

Was die DSGVO im Checkout verlangt

Im Checkout erhebt der Shop personenbezogene Daten bei der betroffenen Person. Zulässig ist das nur mit einer Rechtsgrundlage nach Art. 6 Abs. 1 der Datenschutz-Grundverordnung (DSGVO); für Name, Anschrift und Zahlungsdaten kommt Buchst. b in Betracht (Erfüllung des Vertrags), für eine gesetzlich vorgeschriebene Angabe Buchst. c (Erfüllung einer rechtlichen Verpflichtung), die Zuordnung nimmt der Shop selbst vor. Der Umfang ist zusätzlich begrenzt: Die Daten müssen dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sein (Art. 5 Abs. 1 Buchst. c DSGVO, Datenminimierung). Diese Prüfung gilt für jedes Feld einzeln und für die Voreinstellung des Formulars.

Art. 25 Abs. 2 DSGVO verlagert die Prüfung in die Gestaltung des Formulars. Die Voreinstellung darf grundsätzlich nur Daten verarbeiten, deren Verarbeitung für den jeweiligen Zweck erforderlich ist; das gilt für die Menge der erhobenen Daten, den Umfang der Verarbeitung, die Speicherfrist und die Zugänglichkeit. Der Europäische Datenschutzausschuss (EDSA) liest das als Verbot, nicht notwendige Kategorien überhaupt zu erheben (Leitlinien 4/2019 zu Art. 25, Version 2.0 vom 20. Oktober 2020, Abschnitt 2.2.2.1 zu Rn. 49). Ein Feld, das nur vorsorglich im Formular steht, ist damit kein neutrales Extra.

Der Shop muss am Feld oder in der Datenschutzerklärung sagen, welche Angabe Pflicht ist und welche Folgen das Fehlen hätte (Art. 13 Abs. 2 Buchst. e DSGVO); ein Sternchen ohne Erklärung genügt dafür nicht. Die übrigen Pflichtangaben behandeln die Artikel Datenschutzerklärung für Onlineshop in Deutschland und Datenschutzerklärung für Onlineshop in Österreich.

Muss ich eine Gastbestellung anbieten?

Eine Vorschrift, die eine Gastbestellung vorschreibt oder verbietet, haben wir in den geöffneten Quellen nicht gefunden — geprüft wurden die DSGVO, § 312i des Bürgerlichen Gesetzbuchs (BGB) und § 10 des E-Commerce-Gesetzes (ECG). Entscheidend ist stattdessen die Notwendigkeit: Verlangt der Shop ein Konto, obwohl er die Bestellung auch ohne annehmen könnte, erhebt er für diesen Zweck mehr Daten, als Art. 5 Abs. 1 Buchst. c DSGVO erlaubt.

Ein Konto hat einen eigenen Zweck: Es hält Name, Anschrift und Bestellungen über den einzelnen Kauf hinaus bereit, damit spätere Bestellungen schneller gehen. Soll Art. 6 Abs. 1 Buchst. b DSGVO das tragen, ist der Begriff erforderlich streng zu lesen: Zwischen Verarbeitung und Vertragszweck muss ein direkter und objektiver Zusammenhang bestehen (EDSA-Leitlinien 05/2020 zur Einwilligung, Version 1.1 vom 4. Mai 2020, Rn. 30).

Wird die Kontoanlage zur Bedingung für die Bestellung und stützt sich der Shop auf eine Einwilligung, greift Art. 7 Abs. 4 DSGVO: Bei der Frage, ob die Einwilligung freiwillig erteilt wurde, ist dem Umstand größtmöglicher Rechnung zu tragen, dass die Vertragserfüllung von einer Verarbeitung abhängt, die für den Vertrag nicht erforderlich ist. Der EDSA nennt das Bündelung und lässt sie nur in Ausnahmefällen zu (Leitlinien 05/2020, Rn. 26 und 35). Welche Funktionen ein Konto sinnvoll trägt, behandelt der Artikel Kundenkonto und Login im Shop.

Beispiel: Ein Shop für Ersatzteile zeigt im Checkout ein Pflichtkonto und verlangt zusätzlich Geburtsdatum und Telefonnummer. Für die Abwicklung nötig sind Name, Liefer- und Rechnungsanschrift, ein Kontaktweg für die Bestellbestätigung und die Angaben der gewählten Zahlungsart. Diese Felder bleiben Pflicht, Konto und Zusatzangaben werden zu Optionen.

Welche Felder Pflichtfeld sein dürfen

Die Tabelle ordnet typische Checkout-Angaben nach der Notwendigkeitsprüfung ein. Wo das Gesetz Raum lässt, ist die Einordnung eine redaktionelle Einschätzung dieses Artikels und keine Auskunft einer Aufsichtsbehörde. Den Ablauf behandelt der Artikel Checkout gestalten.

Angabe	Einordnung	Begründung und Grenze
Name und Rechnungsanschrift	Pflichtfeld, soweit geliefert wird oder eine Rechnungsanschrift erforderlich ist	Erforderlich für Lieferung und Rechnungsstellung (Art. 6 Abs. 1 Buchst. b DSGVO); bei einem Produkt, das nur zum Herunterladen bereitsteht, ist die Anschrift dafür nicht erforderlich (EDSA-Leitlinien 4/2019, Abschnitt 3.5, Beispiel 1).
E-Mail-Adresse	Pflichtfeld, soweit für Bestätigung und Abwicklung als Kontaktweg erforderlich	Der Shop muss den Zugang der Bestellung unverzüglich auf elektronischem Weg bestätigen (§ 312i Abs. 1 Satz 1 Nr. 3 BGB für Deutschland, § 10 Abs. 2 ECG für Österreich); ein bestimmter Kanal, etwa E-Mail, ist nicht vorgeschrieben. Dient die Adresse als Kontaktweg, ist sie dafür erforderlich (Art. 6 Abs. 1 Buchst. b DSGVO); bei ausschließlich individueller Kommunikation entfällt die Bestätigungspflicht (§ 312i Abs. 2 BGB, § 10 Abs. 3 ECG).
Abweichende Lieferanschrift	Freiwillig	Zusätzliches Feld; wird es ausgefüllt, ist die Verarbeitung durch die Zustellung an diese Adresse gedeckt (Art. 6 Abs. 1 Buchst. b DSGVO).
Angaben der gewählten Zahlungsart, etwa Kontodaten bei einer Lastschrift	Pflichtfeld, aber nur für diese Zahlungsart	Erforderlich für die Zahlungsabwicklung (Art. 6 Abs. 1 Buchst. b DSGVO); wählt der Kunde eine andere Zahlungsart, entfällt der Bedarf.
Firmenname und USt-IdNr.	Freiwillig	Für Geschäftskunden sinnvoll; für eine Bestellung als Verbraucher ist die Angabe kein Erfordernis des Kaufvertrags.
Anrede und Titel	Freiwillig	Für Kauf, Lieferung und Zahlung nicht erforderlich, als Pflichtfeld also ein Verstoß gegen Art. 5 Abs. 1 Buchst. c DSGVO.
Telefonnummer	Freiwillig; Pflicht nur mit belegtem Bedarf	Im Beispiel der EDSA-Leitlinien 4/2019 (Abschnitt 3.5, Beispiel 1 zu Rn. 76) bei einer vorausbezahlten Buchbestellung kein erforderliches Feld; Pflichtfeld nur, wenn der Shop einen klaren Bedarf belegt, etwa wenn die Zustellung ohne Terminabsprache nicht möglich ist.
Geburtsdatum	Freiwillig; Pflicht nur mit belegtem Bedarf	Im Beispiel der EDSA-Leitlinien 4/2019 (Abschnitt 3.5, Beispiel 1 zu Rn. 76) ist das Geburtsdatum bei einer vorausbezahlten Buchbestellung kein erforderliches Feld; Pflichtfeld nur, wenn der Shop eine Notwendigkeit klar nachweist und begründet (Art. 5 Abs. 1 Buchst. c DSGVO), etwa für einen gesetzlich gebotenen Altersnachweis, und dann nur die dafür tatsächlich erforderlichen Daten (Art. 6 Abs. 1 Buchst. c DSGVO). Für Deutschland: Altersprüfung im Onlineshop.
Konto-Passwort	Pflichtfeld nur bei gewähltem Konto	Ohne Konto gibt es keine Anmeldung zu sichern; die Kontoanlage ist ein eigener Zweck (Art. 5 Abs. 1 Buchst. c DSGVO).
Vorausgewähltes Häkchen für Newsletter oder Werbung	Als Einwilligung unwirksam	Eine Einwilligung braucht eine eindeutige bestätigende Handlung (Art. 4 Nr. 11 DSGVO); Erwägungsgrund 32 und die EDSA-Leitlinien 05/2020 (Rn. 79) nennen angekreuzte Kästchen ausdrücklich als keine Einwilligung.
Kontoanlage als Bedingung für die Bestellung	Als Bedingung unzulässig, wenn das Konto für den Kauf nicht erforderlich ist	Art. 5 Abs. 1 Buchst. c DSGVO; beruht die Kontoanlage auf einer Einwilligung, ist diese nach Art. 7 Abs. 4 DSGVO im Zweifel nicht freiwillig.
Werbeeinwilligung als Bedingung für das Konto oder die Bestellung	Als Bedingung grundsätzlich unzulässig	Art. 7 Abs. 4 DSGVO: Bei der Freiwilligkeitsprüfung ist der Bündelung größtmöglicher Rechnung zu tragen; der EDSA lässt nur einen sehr begrenzten Ausnahmeraum (Leitlinien 05/2020, Rn. 35). Für die Werbe-E-Mail kommen die nationalen Regeln hinzu, siehe E-Mail-Werbung an Shopkunden.
Angaben ohne Zweck im Kaufvertrag, etwa Beruf, Einkommen oder Familienstand	Als Pflichtfeld unzulässig	Art. 5 Abs. 1 Buchst. c DSGVO; für besondere Kategorien nach Art. 9 Abs. 1 DSGVO gilt zusätzlich ein strengerer Maßstab.
Weitergabe der E-Mail-Adresse an Dritte für deren Werbung	Nur mit eigener Rechtsgrundlage	Die Bestellung selbst ist keine Einwilligung; als Grundlage kommt Art. 6 Abs. 1 DSGVO in Betracht (siehe E-Mail-Werbung an Shopkunden).

Wie lange die Daten bleiben dürfen

Art. 5 Abs. 1 Buchst. e DSGVO lässt die Speicherung nur so lange zu, wie die Identifizierung der betroffenen Person für die Zwecke der Verarbeitung erforderlich ist; die Speicherfrist ist zugleich eine Dimension der Voreinstellung nach Art. 25 Abs. 2 DSGVO. Sind die Daten für die Zwecke nicht mehr notwendig, kann der Kunde ihre Löschung nach Art. 17 Abs. 1 Buchst. a DSGVO verlangen; das gilt nicht, soweit eine Ausnahme nach Art. 17 Abs. 3 DSGVO greift, etwa eine gesetzliche Aufbewahrungspflicht oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Ein Gastvorgang braucht kein Bestandsverhältnis: Der Shop führt ihn für die Abwicklung und legt fest, wann er ihn schließt; diese Frist oder ihre Kriterien muss er nach Art. 13 Abs. 2 Buchst. a DSGVO nennen. Bei einem Kundenkonto endet der Zweck, wenn der Kunde das Konto löscht; ein Löschverlangen greift jedoch nicht, soweit Art. 17 Abs. 3 DSGVO die Verarbeitung verlangt, etwa für eine gesetzliche Aufbewahrungspflicht oder für Rechtsansprüche. Ob Unterlagen aus anderen Gründen länger aufzubewahren sind, entscheidet nicht die DSGVO; das klären Sie mit Ihrer Steuerberatung.

Was bei einem Verstoß droht

Verstöße gegen die Grundsätze für die Verarbeitung einschließlich der Bedingungen für die Einwilligung nach den Artikeln 5, 6, 7 und 9 DSGVO ahndet die Aufsichtsbehörde mit einer Geldbuße bis zu 20.000.000 Euro oder im Fall eines Unternehmens bis zu 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 Buchst. a DSGVO). Für die Pflichten aus Art. 25 DSGVO liegt der Rahmen bei bis zu 10.000.000 Euro oder, im Fall eines Unternehmens, bis zu 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 Buchst. a DSGVO). Die Höhe richtet sich nach dem Einzelfall (Art. 83 Abs. 2 DSGVO).

Was für Shops mit Sitz in der Schweiz gilt

Für die Bearbeitung in der Schweiz gilt das Datenschutzgesetz (DSG, SR 235.1), zuletzt konsolidiert mit Stand 7. Juli 2025. Personendaten sind rechtmässig, nach Treu und Glauben und verhältnismässig zu bearbeiten (Art. 6 Abs. 2 DSG), und mit geeigneten Voreinstellungen muss die Bearbeitung auf das für den Verwendungszweck nötige Mindestmass beschränkt bleiben, soweit die betroffene Person nichts anderes bestimmt (Art. 7 Abs. 3 DSG).

Richtet sich der Shop an Kundinnen und Kunden in Deutschland oder Österreich, kann daneben die DSGVO gelten: Sie erfasst nach Art. 3 Abs. 2 DSGVO auch einen nicht in der Union niedergelassenen Verantwortlichen, der Personen in der Union Waren oder Dienstleistungen anbietet, unabhängig davon, ob diese dafür zahlen, oder ihr Verhalten in der Union beobachtet.

Checkliste für Ihren Checkout

• Zu jedem Feld steht in Ihrer Feldliste, welcher Zweck es trägt und welche Rechtsgrundlage greift.
• Pflichtfelder sind an der Abwicklung zu messen: Name, Anschrift (soweit geliefert oder eine Rechnungsanschrift gebraucht wird), ein Kontaktweg für die Bestellbestätigung und die Angaben der gewählten Zahlungsart; weitere Felder nur mit geprüftem Zweck.
• Freiwillige Felder sind als freiwillig erkennbar; die Folgen der Nichtangabe stehen in der Datenschutzerklärung (Art. 13 Abs. 2 Buchst. e DSGVO).
• Werbe-Häkchen stehen unvorausgewählt und sind von der AGB-Zustimmung getrennt.
• Konto und Bestellung sind entkoppelt: Die Bestellung gelingt auch als Gast.
• Die Speicherdauer des Gastvorgangs oder ihre Kriterien sind genannt.
• Jede Bonitäts- oder Adressprüfung im Checkout hat eine eigene Rechtsgrundlage, siehe Identität und Adresse prüfen.
• Ein Löschverlangen zum Konto führt zur Löschung der Kontodaten, soweit keine Ausnahme nach Art. 17 Abs. 3 DSGVO greift, etwa eine gesetzliche Aufbewahrungspflicht oder die Geltendmachung von Rechtsansprüchen (Art. 17 Abs. 1 und 3 DSGVO).