Gastbestellung statt Pflichtkonto: Was der EDSA empfiehlt

Der Europäische Datenschutzausschuss (EDSA) hat im Dezember 2025 einen Entwurf veröffentlicht, der eine verbreitete Gewohnheit im Online-Handel infrage stellt: das Pflichtkonto vor dem Kauf. Nach den Empfehlungen 2/2025 sollen Kundinnen und Kunden in der Regel auch als Gast bestellen können, ein Konto soll eine freie Wahl sein (EDSA). Ein Pflichtkonto halten die Aufsichtsbehörden nur in wenigen Fällen für vertretbar, etwa bei einem Abonnement oder bei Angeboten für einen geschlossenen Kreis. Der Text ist ein Entwurf und rechtlich nicht bindend, er zeigt aber, wie die europäischen Aufsichtsbehörden die DSGVO an dieser Stelle lesen. In Deutschland vertritt die Datenschutzkonferenz dieselbe Linie bereits seit 2022 (DSK). Dieser Beitrag ordnet den Entwurf ein, zeigt die Fälle, in denen ein Pflichtkonto vertretbar bleibt, auch für geschlossene Nutzergruppen im B2B-Handel, und beschreibt, wie sich eine datensparsame Gastbestellung in einem Shopware-Shop umsetzen lässt.

Was der EDSA im Entwurf empfiehlt

Der EDSA hat die Empfehlungen 2/2025 zur Rechtsgrundlage für Pflichtkonten auf E-Commerce-Websites in seiner Plenarsitzung angenommen und am 4. Dezember 2025 bekannt gemacht (EDSA). Das Dokument trägt den Vermerk Version 1.0 und das Annahmedatum 3. Dezember 2025 (EDSA). Es richtet sich an Online-Shops und Marktplätze, auf denen Händler an Verbraucher verkaufen, und schließt Web-Anwendungen und mobile Apps ausdrücklich ein. Nicht erfasst sind unter anderem Plattformen für Verkäufe zwischen Privatleuten, soziale Netzwerke, Suchmaschinen und Nachrichtenseiten (EDSA).

Grundsätzlich sollten Nutzer die Möglichkeit haben, E-Commerce-Websites zu nutzen und dort auch einzukaufen, ohne ein Konto anzulegen.

Europäischer Datenschutzausschuss, Mitteilung zu den Empfehlungen 2/2025 (eigene Übersetzung)

Daraus leitet der Entwurf seine Grundregel ab: Shops sollen eine Wahl anbieten, entweder einen Gastmodus, in dem man ohne Konto bestellt, oder ein freiwilliges Konto (EDSA). Der EDSA stützt das auf den Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen nach Art. 25 DSGVO. Der Gastmodus sei im Grundsatz die datenschutzfreundlichste Option, um Käufe zu ermöglichen (EDSA). Ein Pflichtkonto lasse sich dagegen nur für eine sehr begrenzte, nicht abschließende Reihe von Zwecken rechtfertigen, etwa für ein Abonnement oder für den Zugang zu exklusiven Angeboten (EDSA).

Für Shopbetreiber ist das Thema nicht neu, der Blickwinkel schon. In unseren Beiträgen zu Kundenkonten und Registrierung und zur Checkout-Optimierung ging es um die Conversion: Ein Pflichtkonto kostet Abschlüsse. Hier geht es um die rechtliche Seite, also um Art. 25 DSGVO, um die Rechtsgrundlagen nach Art. 6 DSGVO und um die Frage, in welchen Fällen ein Pflichtkonto zulässig bleiben kann, einschließlich geschlossener Nutzergruppen im B2B-Handel.

Wie verbindlich der Entwurf ist

Der EDSA ist das Gremium, in dem die Datenschutzaufsichtsbehörden der Mitgliedstaaten zusammenarbeiten. Nach Art. 70 Abs. 1 Buchst. e DSGVO stellt er Leitlinien, Empfehlungen und bewährte Verfahren bereit, um eine einheitliche Anwendung der Verordnung sicherzustellen (DSGVO). Empfehlungen sind damit Auslegungshilfen und keine eigenen Rechtsnormen. Ob ein Pflichtkonto rechtswidrig ist, entscheiden im Streitfall die Gerichte. Gewicht haben solche Papiere trotzdem, denn sie zeigen, wie die Behörden prüfen, die auch Geldbußen verhängen.

In Deutschland ist die Richtung schon länger klar. Die Datenschutzkonferenz (DSK), das gemeinsame Gremium der deutschen Aufsichtsbehörden, hat ihre Hinweise zum datenschutzkonformen Online-Handel mittels Gastzugang mit Stand 24. März 2022 beschlossen (DSK). Danach müssen Online-Händler grundsätzlich einen Gastzugang für die Bestellung bereitstellen, unabhängig davon, ob sie daneben ein Kundenkonto anbieten (DSK). Über den Gastzugang dürfen nur die Daten erhoben werden, die zur Durchführung des Vertrags und zur Erfüllung gesetzlicher Pflichten erforderlich sind (DSK).

Ohne einen Gastzugang bzw. ohne eine gleichwertige Bestellmöglichkeit kann die Freiwilligkeit einer Einwilligung nicht gewährleistet werden.

Datenschutzkonferenz, Hinweise zum datenschutzkonformen Online-Handel mittels Gastzugang

Der EDSA-Entwurf hebt diese Linie auf die europäische Ebene. Wer heute ohne besonderen Grund ein Pflichtkonto verlangt, weicht damit schon von den veröffentlichten Hinweisen der deutschen Aufsichtsbehörden ab, nicht erst von einer möglichen Endfassung. Hinzu kommt der Bußgeldrahmen: Für Verstöße gegen die Grundsätze und Bedingungen der Verarbeitung nach Art. 5, 6 und 7 DSGVO sieht die Verordnung Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs vor, je nachdem, welcher Betrag höher ist (DSGVO). Das ist eine Obergrenze, kein Regelsatz.

Welche Risiken der EDSA im Pflichtkonto sieht

Der Entwurf begründet seine Haltung nicht allein mit Normen, sondern mit konkreten Risiken für die Betroffenen. Der wichtigste Punkt ist die Speicherdauer: Konten halten Daten in einer aktiven Datenbank, auch wenn sie lange nicht mehr genutzt werden. Solange niemand die Löschung verlangt, bleiben die Daten liegen, und das passt nach Auffassung des EDSA nicht zum Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 Buchst. e DSGVO (EDSA). Verwaiste Konten sind zudem stärker Angriffen ausgesetzt (EDSA).

• Wiederverwendete Passwörter: Wer zur Kontoanlage gezwungen wird, nimmt oft ein Passwort, das er schon anderswo nutzt. Sichere Verfahren wie Passkeys werden nach Beobachtung des EDSA selten angeboten (EDSA). Wie solche Zugangsdaten gegen Shops eingesetzt werden, zeigt unser Beitrag zur Abwehr von Kontoübernahmen.
• Profilbildung: Angemeldete Sitzungen erleichtern es, das Surfverhalten aufzuzeichnen und Daten aus verschiedenen Kaufkanälen zusammenzuführen. Ohne passende Rechtsgrundlage verstößt das gegen die DSGVO (EDSA).
• Einwilligung in letzter Minute: Wird das Konto zwischen Warenkorb und Zahlung verlangt, können Shops in diesem Moment Einwilligungen für weitere Zwecke abfragen, oft mit irreführender Gestaltung (EDSA).
• Druck nach dem Kauf: Auch nach der Bestellung beschreibt der EDSA solche Muster, etwa ein als „unvollständig“ markiertes Profil oder einen Knopf in der Bestellbestätigung, mit dem ein im Hintergrund schon angelegtes Konto nur noch bestätigt wird (EDSA).

Ein verbreitetes Argument weist der Entwurf ebenfalls zurück: Ein Konto schützt nicht vor Bots, die knappe Ware aufkaufen. Bremsen können eher begleitende Maßnahmen wie CAPTCHA-Tests, und die funktionieren auch ohne Konto; zudem legen Bots selbst Konten an (EDSA). Wie sich automatisierter Verkehr im Shop erkennen und aussteuern lässt, beschreibt unser Beitrag zum Umgang mit Bot-Traffic.

Die Kundschaft ist dabei nicht grundsätzlich gegen Konten. In einer repräsentativen Befragung im Auftrag des Bitkom gaben nur 27 Prozent der Online-Shopper an, ausschließlich Funktionen zu nutzen, für die sie keinen Account anlegen müssen (Bitkom). 62 Prozent vertrauen darauf, dass Händler nicht missbräuchlich mit ihren Daten umgehen (Bitkom). Befragt wurden 1.120 Internetnutzende in Deutschland ab 16 Jahren, darunter 1.072 Online-Shopper (Bitkom). Online einzukaufen ist ohnehin Alltag: 85 Prozent der 16- bis 74-jährigen Internetnutzenden in Deutschland kauften im Jahr 2025 innerhalb von zwölf Monaten online ein, im EU-Schnitt waren es 78 Prozent (Destatis).

Die drei Rechtsgrundlagen im Überblick

Ein Pflichtkonto ist eine Datenverarbeitung, die eine Rechtsgrundlage braucht. Der Entwurf prüft die drei, auf die sich Händler typischerweise berufen: die Erfüllung eines Vertrags nach Art. 6 Abs. 1 Buchst. b DSGVO, eine rechtliche Verpflichtung nach Buchst. c und berechtigte Interessen nach Buchst. f (EDSA). Die Einwilligung nach Buchst. a behandelt er für den Zwang selbst nicht, weil niemand frei einwilligen kann, wenn der Kauf davon abhängt (EDSA).

Bei allen drei Rechtsgrundlagen entscheidet die Erforderlichkeit: Der Händler muss zeigen können, dass sich der Zweck nicht ebenso wirksam mit einem milderen Mittel erreichen lässt. Daran scheitern die meisten Begründungen für ein Pflichtkonto.

Zwecke und Einschätzung im Entwurf

Der Entwurf formuliert vorsichtig: Die Prüfung der Erforderlichkeit werde in diesen Fällen „wahrscheinlich nicht“ bestanden. Nachweisen muss aber der Händler, dass die Verarbeitung rechtmäßig ist, und eine Begründung, die der EDSA als nicht tragfähig einstuft, ist gegenüber einer Aufsichtsbehörde schwer zu verteidigen.

Wann ein Pflichtkonto vertretbar bleibt

Am klarsten ist der Fall des Abonnements. Wer sich auf eine dauerhafte Lieferung einlässt, etwa eine monatliche Box mit Kosmetik, braucht laufend Zugriff, um Sendungen zu verfolgen, Lieferbedingungen zu ändern oder mit dem Händler zu kommunizieren. Hier kann das Konto zur Erfüllung des Abovertrags erforderlich sein (EDSA). Der Entwurf knüpft das an Bedingungen: Der Vertrag muss wiederkehrende, angemeldete Interaktionen erfordern, es muss tatsächlich ein Abovertrag bestehen, und die Rechtsgrundlage trägt nur für die Dauer der Vertragsbeziehung (EDSA). Endet das Abo, endet auch die Begründung für das Konto. Wie sich Abomodelle technisch abbilden lassen, beschreibt unser Beitrag zum Abo-Commerce in Shopware.

Schwieriger ist der Zugang zu exklusiven Angeboten. Der Entwurf unterscheidet zwei Situationen. Ein Rabatt für Mitglieder, die nichts weiter tun müssen, als ein Konto anzulegen, begründet keine geschlossene Gemeinschaft; das Konto ist dann nicht erforderlich (EDSA). Anders liegt es bei einem Verkaufsereignis, zu dem nur Stammkunden mit langer Geschäftsbeziehung eingeladen werden. Dort kann das Konto für den Vertrag mit den berechtigten Kunden erforderlich sein (EDSA). Maßgeblich ist, ob der Zugang an nachgewiesene Merkmale geknüpft ist und die Zugehörigkeit zu dieser Gemeinschaft zum eigentlichen Gegenstand des Vertrags wird.

Unberührt bleiben Vorschriften, die für bestimmte regulierte Produkte selbst ein Konto verlangen. Als Beispiele nennt der EDSA Alkohol, Glücksspiel und Arzneimittel (EDSA). Wer solche Sortimente führt, prüft die Pflicht anhand der jeweiligen Spezialvorschrift und nicht anhand des Entwurfs.

Geschlossene Nutzergruppen im B2B

Für den B2B-Handel ist ein Absatz des Entwurfs besonders wichtig. Als mögliches Kriterium für eine geschlossene Gemeinschaft nennt der EDSA neben Empfehlung, Einladung oder Auswahl der Mitglieder ausdrücklich die Prüfung eines beruflichen Status bei der Registrierung und während der gesamten Geschäftsbeziehung (EDSA). Die DSK nennt als Ausnahme, in der ein fortlaufendes Konto für die Vertragserfüllung erforderlich sein kann, Fachhändler bei bestimmten Berufsgruppen. Auch dann verlangt sie Datenminimierung, etwa indem das Konto bei Inaktivität nach einer kurzen Frist automatisch gelöscht wird (DSK).

Das heißt nicht, dass jeder B2B-Shop ein Pflichtkonto rechtfertigt. Der Entwurf grenzt den Fall des bedingten Kaufs ab: Ein Händler, der Medizin- und Laborbedarf nur an approbierte Ärzte und zertifizierte Labore verkauft, kann den Status über ein sicheres Formular im Bestellprozess prüfen, ohne ein dauerhaftes Konto anzulegen, und die Nachweise löschen, sobald sie nicht mehr gebraucht werden (EDSA). Eine einmalige Statusprüfung allein trägt das Pflichtkonto also nicht. Nach unserer Einschätzung liegt ein Konto dort näher, wo eine laufende Geschäftsbeziehung mit eigenen Konditionen besteht, etwa mit kundenspezifischen Preisen, Freigaben oder Kauf auf Rechnung, wie sie viele B2B-Shops prägen. Die rechtliche Bewertung im Einzelfall bleibt Sache Ihrer Datenschutzberatung.

• Ist der Zugang an geprüfte Merkmale gebunden, etwa einen Gewerbenachweis oder einen Händlervertrag?
• Besteht eine laufende Geschäftsbeziehung mit individuellen Preisen, Sortimenten oder Freigaben?
• Wird der Status während der Beziehung überprüft und nicht nur einmal bei der Anmeldung?
• Werden inaktive Konten nach einer festgelegten Frist gelöscht?
• Haben Gelegenheitskäufer einen Weg, ohne dauerhaftes Konto zu bestellen?

Wie sich die Prüfung neuer Geschäftskunden bei der Registrierung gestalten lässt, zeigt unser Beitrag zum Onboarding von B2B-Neukunden. Wer Preise hinter einer Anmeldung zeigt und trotzdem gefunden werden will, findet Hinweise im Beitrag zum Großhandelsshop mit Login-Preisen.

Gründe, die der Entwurf nicht gelten lässt

Die meisten Argumente für ein Pflichtkonto betreffen den Ablauf rund um die Bestellung. Der Entwurf geht sie einzeln durch und kommt jeweils zum selben Ergebnis: Der Zweck lässt sich ohne Konto erreichen.

Ein häufiges Missverständnis betrifft die Aufbewahrungspflichten. Rechnungen muss ein Unternehmer acht Jahre aufbewahren (§ 14b UStG), Bücher und Aufzeichnungen zehn Jahre und Buchungsbelege acht Jahre (§ 147 AO). Diese Pflichten bestehen unabhängig davon, ob der Kauf über ein Konto oder als Gast lief. Der EDSA weist darauf hin, dass sie sich in der Regel auf bestimmte Unterlagen wie Rechnungen beziehen und keine Speicherung im Kundenstamm verlangen; die Unterlagen gehören getrennt und mit beschränktem Zugriff archiviert (EDSA). Wie Fristen, Löschklassen und Sperrung zusammenspielen, beschreibt unser Beitrag zum Löschkonzept im Shop. Welche Rechnungen Shopware selbst im ZUGFeRD-Format erzeugt, steht im Beitrag zu ZUGFeRD direkt aus Shopware.

Auch Kundenbindung und bequemere Folgebestellungen rechtfertigen nach dem Entwurf keinen Zwang. Das Interesse daran sei zwar legitim, doch ob es eine weitere Bestellung gibt, entscheidet der Kunde, und beim Kauf rechnet er nicht damit, dass seine Daten länger als für die Vertragserfüllung gespeichert werden (EDSA). Für Personalisierung und das Verfolgen von Aktivitäten ist in vielen Fällen ohnehin eine Einwilligung nötig (EDSA).

Gastbestellung datenschutzgerecht umsetzen

Art. 25 Abs. 2 DSGVO verlangt, dass durch Voreinstellung grundsätzlich nur die Daten verarbeitet werden, die für den jeweiligen Zweck erforderlich sind; das gilt für die Menge der Daten, den Umfang der Verarbeitung, die Speicherfrist und die Zugänglichkeit (DSGVO). Der Gastmodus ist nach dem Entwurf ein geeigneter Weg, diese Pflicht im Checkout zu erfüllen (EDSA). Er wirkt aber nur, wenn er auch im Hintergrund datensparsam bleibt. Die DSK verlangt, nach der Vertragserfüllung nicht mehr benötigte Daten unverzüglich zu löschen und Daten, die nur noch wegen Aufbewahrungspflichten vorliegen, vom operativen Bestand zu trennen (DSK).

1. Gastbestellung als Voreinstellung: Die Option steht im Checkout gleichrangig neben der Anmeldung und nicht versteckt hinter einem kleinen Textlink.
2. Formular auf das Nötige beschränken: Liefer- und Rechnungsadresse, Zahlungsdaten und eine Kontaktadresse für die Bestellung. Weitere Pflichtfelder brauchen eine Begründung.
3. Einwilligungen trennen: Newsletter, Personalisierung oder das Speichern von Zahlungsmitteln sind eigene, freiwillige Entscheidungen neben dem Kauf und stehen nicht im letzten Schritt vor der Zahlung.
4. Konto nach dem Kauf nur anbieten: Ein Angebot auf der Bestätigungsseite ist möglich, wenn es klar vom Kauf getrennt ist und kein Konto im Hintergrund vorab angelegt wird.
5. Fristen festlegen: Gastdaten werden nach der Vertragserfüllung gelöscht oder gesperrt, inaktive Konten nach einer festgelegten Frist bereinigt und Rechnungen getrennt archiviert.
6. Transparent informieren: Die Datenschutzhinweise beschreiben beide Wege, Gastmodus und Konto, mit Zwecken und Speicherfristen.

Beim Speichern von Zahlungsdaten ist die Lage seit Längerem klar: Die DSK verlangt dafür eine informierte Einwilligung und verweist auf die Empfehlungen des EDSA zur Speicherung von Kreditkartendaten (DSK). Welche Zahlarten im Checkout sinnvoll sind und was sie den Shop kosten, beschreibt unser Beitrag Zahlarten kalkulieren.

Beim Kontoangebot nach dem Kauf lohnt ein genauer Blick. Der Entwurf beschreibt als irreführende Gestaltung den Fall, dass ein Konto technisch längst angelegt ist und der Kunde es mit dem Setzen eines Passworts nur noch bestätigt (EDSA). Wer nach dem Kauf ein Konto anbieten will, legt es erst an, wenn der Kunde das ausdrücklich wählt, und erklärt vorher, was das Konto bietet. Weitere Muster, die Aufsichtsbehörden und Verbraucherschützer kritisch sehen, haben wir im Beitrag zu Dark Patterns im Checkout zusammengestellt.

Was das in Shopware bedeutet

In Shopware 6 steuert die Einstellung „Standardmäßig ein Kundenkonto anlegen“ unter Anmeldung und Registrierung, welcher Weg im Checkout vorausgewählt ist. Ist sie inaktiv, wird der Kunde bei der Registrierung im Checkout zunächst als Gast behandelt und kann ein Konto per Checkbox wählen; ist sie aktiv, entsteht standardmäßig ein Konto, und für eine Gastbestellung muss der Kunde die Checkbox anhaken (Shopware-Dokumentation). Die Einstellung lässt sich global oder je Verkaufskanal setzen (Shopware-Dokumentation). Für einen Shop, der dem Entwurf folgen will, gehört sie in der Regel auf inaktiv, und zwar in jedem Verkaufskanal.

Technisch legt Shopware auch bei einer Gastbestellung einen Kundendatensatz an, der als Gast markiert ist. Für diese Datensätze gibt es eine einstellbare Ablaufzeit; die automatische Bereinigung erfasst laut Quelltext aber nur Gastkunden ohne Bestellung, und ist keine Ablaufzeit hinterlegt, wird gar nicht automatisch gelöscht (Shopware-Quelltext). Gastkunden mit Bestellungen bleiben also im Bestand, bis ein eigenes Lösch- oder Anonymisierungskonzept greift. Erst damit erfüllt die Gastbestellung den Anspruch der DSK, nicht mehr benötigte Daten zu löschen.

Was die Endfassung noch ändern kann

Die Konsultation hat gezeigt, wie umstritten der Entwurf in der Branche ist. Unter den auf der Konsultationsseite veröffentlichten Rückmeldungen finden sich Wirtschaftsverbände und Unternehmen aus mehreren Mitgliedstaaten (EDSA). Der Bundesverband E-Commerce und Versandhandel Deutschland (bevh) hat eine Stellungnahme eingereicht, die auf den 12. Februar 2026 datiert ist (bevh). Der Verband beruft sich darin auf unternehmerische Freiheit und Vertragsfreiheit und auf Sicherheitsvorteile von Konten, etwa durch Zwei-Faktor-Authentifizierung (bevh).

Gastbestellungen müssen freiwillige Gestaltungsoptionen bleiben und dürfen nicht als Verpflichtung angesehen werden.

Bundesverband E-Commerce und Versandhandel Deutschland (bevh), Stellungnahme zur Konsultation des EDSA

Ob und wie der EDSA den Text anpasst, ist offen. Für Händler in Deutschland ändert das an der Ausgangslage wenig, weil die DSK ihre Position unabhängig vom Entwurf vertritt. Sinnvoll ist deshalb, den Checkout jetzt zu prüfen und die Gastbestellung als Standard einzurichten, statt auf die Endfassung zu warten. Bei Pflichtkonten, die bewusst bleiben sollen, etwa im Abo oder im geschlossenen B2B-Kanal, lohnt es sich, die Begründung schriftlich festzuhalten.

So begleiten wir die Umstellung

Wir prüfen Checkout und Kundenkonto in Shopware und anderen Shopsystemen auf die Punkte dieses Beitrags: Voreinstellung je Verkaufskanal, Pflichtfelder, Einwilligungen im Bestellprozess, das Kontoangebot nach dem Kauf und die Löschroutinen für Gastdaten und inaktive Konten. Für geschlossene B2B-Kanäle setzen wir Anmeldung, Freigabe und Statusprüfung so um, dass die Begründung für das Konto im System nachvollziehbar bleibt. Die rechtliche Bewertung im Einzelfall bleibt bei Ihrer Datenschutzberatung; wir liefern Umsetzung und Dokumentation, auf Wunsch im Rahmen unserer E-Commerce-Beratung oder direkt über unsere Shopware-Agentur.