Wenn die Kamera des Nachbarn dich oder dein Auto außerhalb seines eigenen Grundstücks mitfilmt, ist das in Deutschland meist unzulässig – und du kannst verlangen, dass die Erfass...
Dürfen Unternehmen Vollständiger Name, Geburtsdatum und -ort, Geschlecht, Staatsangehörigkeit, Adresse, Telefon- und Handynummer sowie E-Mail-Adresse abfragen und speichern?
Antwort vom**Ja – aber nicht pauschal. Unternehmen dürfen diese Daten nur abfragen und speichern, wenn sie dafür einen konkreten, rechtmäßigen Zweck haben und nur die Daten erheben, die dafür wirklich nötig sind.** Die entscheidenden Regeln sind Zweckbindung, Erforderlichkeit und Datenminimierung nach der DSGVO. ([eur-lex.europa.eu](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62021CJ0252)) ## Was in der Praxis erlaubt ist Name, Adresse, Telefonnummer und E‑Mail sind oft zulässig, wenn sie für Vertrag, Lieferung, Kontakt oder Rechnungsstellung gebraucht werden. Dafür reicht je nach Fall meist die Vertragsdurchführung oder ein berechtigtes Interesse als Rechtsgrundlage. ([eur-lex.europa.eu](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62021CJ0252)) Geburtsdatum kann zulässig sein, wenn das Unternehmen dein Alter prüfen muss, Verwechslungen vermeiden will oder eine eindeutige Identifizierung nötig ist. Ohne solchen Zweck ist die Abfrage schnell zu viel. ([eur-lex.europa.eu](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62021CJ0252)) Geburtsort, Geschlecht und Staatsangehörigkeit sind deutlich heikler. Diese Angaben sind für normale Käufe, Newsletter, Kundenkonten oder einfache Dienstleistungen meistens **nicht erforderlich**. Dann dürfen sie in der Regel auch nicht verpflichtend abgefragt oder dauerhaft gespeichert werden. ([eur-lex.europa.eu](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62021CJ0252)) ## Der entscheidende Unterschied Erlaubt ist nicht „weil Unternehmen das gern hätten“, sondern nur „weil sie es für einen klaren Zweck brauchen“. Genau daran scheitern viele Formulare. Ein einfaches Beispiel: Ein Onlineshop darf Name, Lieferadresse, E‑Mail und oft auch Telefonnummer für Zustellung oder Rückfragen brauchen. Er braucht aber normalerweise **keinen** Geburtsort und **keine** Staatsangehörigkeit. Ein Arbeitgeber, eine Bank, ein Mobilfunkanbieter oder ein Unternehmen mit gesetzlicher Identifikationspflicht darf dagegen je nach Rechtslage mehr Daten verlangen. ([bfdi.bund.de](https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Telefon-Internet/Datenschutzpraxis/ChecklisteKundenbestandsdaten.html)) ## Was Unternehmen nicht einfach dürfen Sie dürfen solche Daten nicht „auf Vorrat“ sammeln. Die DSGVO verlangt, dass Daten dem Zweck angemessen und auf das notwendige Maß beschränkt sind. ([eur-lex.europa.eu](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62021CJ0252)) Sie dürfen Daten auch nicht unbegrenzt speichern. Sobald der Zweck entfällt und keine Aufbewahrungspflicht mehr besteht, müssen die Daten gelöscht werden. Das folgt aus dem Grundsatz der Speicherbegrenzung. ([eur-lex.europa.eu](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62021CJ0252)) Eine Einwilligung macht übrigens nicht automatisch alles rechtmäßig. Wenn die Einwilligung faktisch erzwungen wird oder das Unternehmen die Daten für die Leistung gar nicht braucht, ist das datenschutzrechtlich angreifbar. Das ist der Punkt, den viele Standardantworten zu oberflächlich behandeln. ## Klare Einordnung deiner Liste - **Vollständiger Name:** meist zulässig - **Adresse:** oft zulässig - **Telefon/Handy:** nur wenn wirklich nötig oder freiwillig - **E‑Mail-Adresse:** oft zulässig - **Geburtsdatum:** nur bei nachvollziehbarem Bedarf - **Geburtsort:** meist nur in Sonderfällen zulässig - **Geschlecht:** oft entbehrlich, daher häufig nicht nötig - **Staatsangehörigkeit:** meist nur bei gesetzlicher Pflicht oder besonderem Sachgrund zulässig ([eur-lex.europa.eu](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62021CJ0252)) ## Was das konkret für dich bedeutet Wenn ein Unternehmen Geburtsort, Geschlecht oder Staatsangehörigkeit verlangt, ist die richtige Gegenfrage nicht „Dürfen die das?“, sondern: **Wofür genau ist das erforderlich?** Kann das Unternehmen keinen klaren Zweck nennen, ist die Abfrage sehr wahrscheinlich unzulässig oder zumindest nicht verpflichtend. ([eur-lex.europa.eu](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A62021CJ0252)) Du hast außerdem Anspruch auf Information über Zweck, Rechtsgrundlage und Speicherdauer der Datenverarbeitung. ([bfdi.bund.de](https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Broschueren/INFO1.pdf?__blob=publicationFile&v=27))
Verwandte Fragen
Kann eine datenschutzrechtliche Einwilligung nach Art. 7 Abs. 3 DSGVO grundsätzlich für die Zukunft widerrufen werden?
Ja. Eine Einwilligung nach Art. 7 Abs. 3 DSGVO ist grundsätzlich jederzeit mit Wirkung für die Zukunft widerrufbar; die bis zum Widerruf erfolgte Verarbeitung bleibt aber rechtmäß...
Ist Mystery Shopping Auftragsverarbeitung?
Nicht automatisch. Mystery Shopping ist nur dann Auftragsverarbeitung, wenn der Dienstleister personenbezogene Daten ausschließlich weisungsgebunden für dein Unternehmen verarbeitet; bewert...
Sind Laden und Smartphone-Hersteller gemeinsame Verantwortliche, wenn ich im Geschäft Push-Angebote erhalte?
Nicht automatisch. Gemeinsame Verantwortlichkeit liegt nur vor, wenn Laden und Hersteller die konkrete Datenverarbeitung für die Push-Angebote gemeinsam über Zweck und wesentliche Mittel bes...
Darf der Vermieter persönliche Daten von Notfall-Schlüsselinhabern verlangen?
Nein. Der Vermieter darf nicht pauschal „vollständige persönliche Informationen“ über Dritte verlangen, die nur für einen Notfall einen Ersatzschlüssel haben solle...
Kann Fremdpersonal, das über einen Dienstvertrag beim Kunden eingesetzt wird, datenschutzrechtlich als nicht Dritter gelten?
Ja – Fremdpersonal kann datenschutzrechtlich „nicht Dritter“ sein, aber nicht schon deshalb, weil es per Dienstvertrag beim Kunden arbeitet. Entscheidend ist, ob die Personen persone...
Wie entsteht das Spannungsfeld zwischen Datenschutz und Scheinselbstständigkeit beim Einsatz von Fremdpersonal im Unternehmen?
Das Spannungsfeld ist real: Unternehmen wollen Fremdpersonal datenschutzrechtlich eng steuern, dürfen es aber arbeitsorganisatorisch nicht so einbinden, dass aus dem „Selbstständigen&l...
Hat eine Impfhelferin nur Datenschutzpflicht oder auch gesetzliche Schweigepflicht?
Nein. Eine Impfhelferin hat nicht nur Datenschutzpflicht; sie kann je nach Rolle auch einer gesetzlichen Schweigepflicht unterliegen. Entscheidend ist nicht die Bezeichnung „Impfhelferin“,...
Welche Eskalationsinstanzen braucht es bei einer Verfahrensverzeichnisprüfung, wenn das Datenschutzteam den Prozess an einen Rechtsdienstleister ausgelagert hat?
Die Eskalation darf nicht beim externen Rechtsdienstleister enden: Verantwortlich bleibt immer die auslagernde Stelle, deshalb braucht die Verfahrensverzeichnisprüfung mindestens eine fachliche,...
