在线商店的访客访问：没有访客访问可以吗？

fabiha01

也许您以前遇到过这种情况：在一个新的网上商店，您将一件或多件商品放入购物车，然后必须去结账。

但哎呀？！该网店要求顾客注册、创建顾客账户并输入各种个人数据，然后才能订购商品。但是，没有以访客身份完成订单的选项。

问题出现了：网店的经营者是否根本不允许通过访客账户提供订购服务？

今年 2 月，汉堡地区法院 (LG) 就此问题做出了裁决（2024 年 2 月 22 日，案件编号 327 O 250/22），裁定在特殊情况下确实可以省略从网店创建访客账户的步骤。

事实
在上述诉讼中，原告向被告（一家网店的经营者）提起了禁令等诉讼。他认为，被告违反了数据经济原则，因为被告要求客户注册，从而大量处理个人数据——特别是出生日期和电话号码，而这些数据对于履行合同并非必要。与访客访问相比，这具有更高的滥用风险。此外，注册要求以及一次性购买后无法自动删除客户帐户中存储的数据，违反了设置数据保护友好型默认设置的义务（GDPR 第 25（2）条）以及问责和合规义务（GDPR 第 5（2）条和第 24 条）——未经同意。

在诉讼程序和汉堡地区法院的判决中，既考虑了联邦政府和各州独立数据保护监督机构会议（DSK）的决议，加拿大商业传真列表 也考虑了被告从汉堡数据保护和信息自由专员办公室（HmbBfDI）获得的官方信息。

决定的理由
因此，汉堡地区法院同意HmbBfDI的评估。法院表示，一方面，被告的网店与普通的网上交易存在显著差异；另一方面，由于采取了其他预防措施，充分考虑到了数据最小化原则。因此，法院还认为，在本案中，完全允许例外对待访客访问，因为存在特殊情况，可以为了履行合同和强制创建永久账户而放弃访客访问。

HmbBfDI 的论点和法院判决的依据也是 DSK 于 2022 年 3 月 24 日做出的上述判决，该判决提供了有关“通过访客访问进行符合数据保护规定的在线交易”的信息（我们已报道）。

DSK 通常假设提供访客访问权限，但也允许例外，“只要在个别情况下存在特殊情况，持续的客户帐户可以被视为履行合同所必需的[...] ” 。

法院认为，本案中这些特殊情况是由于被告网店的设计所致，该网店既是其自有商品的交易市场，也是大量第三方商品的交易市场。

在此背景下，由于业务需要，有必要通过帐户向客户提供有关其订单的信息，以确保与零售商的沟通，并能够通过帐户行使担保、保修和退货权利。这确保了被告网上市场的有效运作。然而，如果没有这个账户，当被问及订单问题时，客户首先必须通过提供各种个人数据来识别，这从数据保护的角度来看是不利的。由于这些原因，可以省去不提供所有这些交互的访客访问。

最后，法院补充说，顾客可以自由选择是从被告订购商品，还是从其他也提供通过访客访问订购服务的网店订购商品，因此并不违反GDPR 第 7（4）条所谓的禁止搭售的规定。

永久客户帐户收集的唯一附加数据是访问密码。此外，还会收集订单所需的数据（主要是姓名、地址、联系方式、出生日期、电话号码），这些数据对于履行合同关系是必要的。这也适用于原告特别强调的出生日期和电话号码的处理。被告解释说，这些数据是必要的，其中包括为了防止身份欺诈/欺诈企图（出生日期），以及运输公司送货或有关订单的问题（电话号码）。法院同意收集和存储这些数据的必要性，并在此背景下提到了GDPR 第 47 条，其中承认预防欺诈是数据控制者的合法利益。

据被告称，收集密码也是为了确保买家可以访问和查看与订单相关的个人数据。法院也接受了这一解释，并认为必须使用密码保护该访问保护区域，以防止第三方未经授权访问这些数据。因此，数据收集和处理对于所追求的目的（订单处理）具有重要意义，并且仅限于必要的范围，并且无法通过其他方式同样有效地实现该目的，从而遵守数据经济和最小化原则。

然而，可以通过允许客户请求被告删除其帐户访问权限来应对第三方访问（知道密码）的潜在风险，这样所下的订单将被视为具有客户帐户的访客订单。

此外，如果客户账户在三年民法诉讼时效内处于非活动状态，则该账户将根据该期限自动删除（德国民法典第 195、199 条）。

最终，订单数据将按照法定保留期进行存储，无论订单是通过访客访问还是客户帐户下达。