EuGH C-394/23 (Mousse ./. CNIL & SNCF Connect, VO 2016/679) – Pflichtfeld „Herr/Frau" im Onlineformular, Datenminimierung & Geschlechtsidentität

Kurzantwort

Mit Urteil vom 9. Januar 2025 in der Rechtssache C-394/23 (Mousse ./. Commission nationale de l'informatique et des libertés [CNIL] und SNCF Connect) hat der Gerichtshof der Europäischen Union (Erste Kammer) entschieden: Ein Unternehmen darf die Anrede „Herr" oder „Frau" nicht als Pflichtfeld abfragen, wenn der Zweck lediglich darin besteht, die geschäftliche Kommunikation anhand der daraus abgeleiteten Geschlechtsidentität zu personalisieren (EuGH-Pressemitteilung Nr. 2/25).

Die beiden tragenden Aussagen:

1. Kein Vertragserfordernis (Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO): Die Verarbeitung der Anrede zur personalisierten Ansprache ist für die ordnungsgemäße Vertragserfüllung weder objektiv unerlässlich noch wesentlich. Das Unternehmen kann stattdessen allgemeine und inklusive Höflichkeitsformeln verwenden – eine „praktikable und weniger einschneidende Lösung". Die Verarbeitung lässt sich daher nicht auf lit. b stützen.
2. Regelmäßig kein berechtigtes Interesse (Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO): Auf das berechtigte Interesse kann sich der Verantwortliche nicht berufen, wenn (a) das verfolgte berechtigte Interesse den Kunden bei der Erhebung nicht mitgeteilt wurde, oder (b) die Verarbeitung über das unbedingt Notwendige hinausgeht, oder (c) die Grundrechte der Kunden überwiegen – insbesondere wegen der Gefahr einer Diskriminierung aufgrund der Geschlechtsidentität.

Zusätzlich stellt der EuGH klar: Das Widerspruchsrecht nach Art. 21 DSGVO ist bei der Prüfung der Erforderlichkeit nach lit. f nicht zu berücksichtigen. Ein Verantwortlicher kann eine zu weitgehende Datenerhebung also nicht damit rechtfertigen, betroffene Personen könnten ja hinterher widersprechen.

Praktische Folge für jedes deutsche Online-Formular (Shop, Buchungsstrecke, Newsletter, Kundenkonto, Behörden-Portal): Das Anrede-Feld muss optional ausgestaltet oder gestrichen werden, sofern nicht ausnahmsweise ein konkreter, dokumentierter Zweck die Angabe erfordert. In Deutschland kommt neben der DSGVO das AGG hinzu: Das OLG Frankfurt am Main hat mit Urteil vom 21. Juni 2022 – 9 U 92/20 ein binäres Anrede-Pflichtfeld als unmittelbare Benachteiligung nach § 3 Abs. 1, § 19 Abs. 1 Nr. 1 AGG gewertet und 1.000 € Entschädigung zugesprochen.

Der vorlegende französische Conseil d'État hat das Ausgangsverfahren am 31. Juli 2025 entschieden (Nr. 452850, ECLI:FR:CECHR:2025:452850.20250731): Die abweisende CNIL-Entscheidung vom 23.03.2021 wurde aufgehoben; die CNIL muss über die Beschwerde neu befinden und dabei prüfen, ob sie Anordnungen oder ein Bußgeld verhängt.

Kernfakten

Geltungsbereich / Wer ist betroffen?

Das Urteil legt die DSGVO (VO 2016/679) aus. Als EU-Verordnung gilt sie unmittelbar in Deutschland; ein nationales Umsetzungsgesetz ist nicht erforderlich. Das BDSG enthält lediglich Regelungen auf Grundlage der Öffnungsklauseln. Die Auslegung des EuGH ist deshalb ohne Umsetzungsakt auch für deutsche Verantwortliche verbindlich.

Betroffen ist jede verantwortliche Stelle, die in einem Formular nach Anrede oder Geschlecht fragt:

• Online-Shops und Buchungsstrecken (Registrierung, Gastbestellung, Checkout),
• Verkehrs-, Reise- und Ticketunternehmen – der unmittelbare Anwendungsfall des Urteils,
• Banken, Versicherer, Energieversorger, Telekommunikationsanbieter mit Kundenportalen,
• Newsletter- und Marketing-Automation-Systeme, die auf „Sehr geehrter Herr …" / „Sehr geehrte Frau …" personalisieren,
• CRM-, ERP- und Ticketing-Systeme, in denen die Anrede als Pflichtattribut angelegt ist,
• öffentliche Stellen mit Online-Antragsstrecken (für diese ist lit. f nach Art. 6 Abs. 1 UAbs. 2 DSGVO in Erfüllung ihrer Aufgaben ohnehin gesperrt).

Zwei Pflichtenkreise ergeben sich unmittelbar:

• Feld-Design: Wo die Anrede nur der Ansprache dient, ist sie freiwillig auszugestalten (Conseil d'État: die Ansprache „hätte auch erreicht werden können, indem den Kunden angeboten wird, ihre Anrede fakultativ und nicht obligatorisch anzugeben") oder durch neutrale Formeln („Guten Tag <Vorname Nachname>") zu ersetzen.
• Zweckdokumentation: Wird die Angabe ausnahmsweise benötigt, muss der konkrete Zweck und die Rechtsgrundlage dokumentiert und nach Art. 13 DSGVO mitgeteilt werden – pauschale Verweise auf „Verkehrssitte" tragen nach dem Urteil ausdrücklich nicht.

Detail 1: Art. 6 Abs. 1 lit. b DSGVO – „objektiv unerlässlich" ist ein strenger Maßstab

Die CNIL hatte die Beschwerde 2021 mit der Begründung geschlossen, die Anrede sei zur Vertragserfüllung erforderlich, weil die Ansprache mit „Herr"/„Frau" der allgemeinen Verkehrssitte in der geschäftlichen Kommunikation entspreche. Der EuGH weist diesen Ansatz zurück.

Maßstab ist die gefestigte Rechtsprechung: Eine Verarbeitung ist nur dann „für die Erfüllung eines Vertrags erforderlich", wenn sie objektiv unerlässlich ist, um den Hauptgegenstand des Vertrags ordnungsgemäß zu erfüllen. Bei einem Schienentransportvertrag ist der Hauptgegenstand die Beförderung – die Personalisierung der Ansprache anhand einer angenommenen Geschlechtsidentität gehört nicht dazu. Der Gerichtshof benennt das mildere Mittel ausdrücklich: allgemeine und inklusive Höflichkeitsformeln, die in keinem Zusammenhang mit der angenommenen Geschlechtsidentität stehen.

Wichtig ist die Rolle der Verkehrssitte: Sie kann die Erforderlichkeit nicht begründen. Was branchenüblich ist, ist datenschutzrechtlich nicht automatisch notwendig – der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) ist Ausdruck des Verhältnismäßigkeitsgrundsatzes und wird nicht durch Gewohnheit relativiert.

Der Conseil d'État hat diese Linie am 31.07.2025 auf die Einzelfallargumente der SNCF angewandt: Weder die Identitätskontrolle bei personengebundenen Fahrkarten (Art. L. 2224-11 Code des transports) noch die Frauen-Schlafwagenabteile rechtfertigten es, die Anrede für sämtliche Leistungen verpflichtend zu erheben. Ein punktueller Sonderfall trägt keine flächendeckende Pflichtangabe.

Detail 2: Art. 6 Abs. 1 lit. f DSGVO – drei Ausschlussgründe

Der EuGH prüft das berechtigte Interesse entlang der bekannten drei kumulativen Voraussetzungen (Interesse – Erforderlichkeit – Abwägung) und formuliert daraus drei alternative Ausschlussgründe. Es genügt, dass einer vorliegt:

1. Transparenzdefizit: Das verfolgte berechtigte Interesse wurde den Kunden bei der Erhebung nicht mitgeteilt. Das koppelt lit. f unmittelbar an die Informationspflicht nach Art. 13 DSGVO – eine Datenschutzerklärung, die das Interesse nicht benennt, entzieht der Rechtsgrundlage die Basis.
2. Übermaß: Die Verarbeitung erfolgt nicht innerhalb der Grenzen dessen, was zur Verwirklichung des Interesses unbedingt notwendig ist. Genau hier scheitert die Pflichtabfrage: Eine fakultative Angabe hätte denselben Kommunikationszweck erreicht.
3. Überwiegende Grundrechte: Die Grundrechte und Grundfreiheiten der Kunden können überwiegen, insbesondere wegen der Gefahr einer Diskriminierung aufgrund der Geschlechtsidentität. Für nicht-binäre, trans- und intergeschlechtliche Personen erzwingt ein binäres Pflichtfeld eine unzutreffende Angabe.

Der Conseil d'État hat den zweiten Ausschlussgrund genügen lassen und die weiteren Voraussetzungen ausdrücklich offengelassen. Für die Praxis bedeutet das: Wer die Anrede über lit. f rechtfertigen will, muss alle drei Hürden nehmen – und scheitert bereits an der freiwilligen Alternative.

Detail 3: Art. 21 DSGVO ist kein Ausgleich für eine zu weite Erhebung

Die zweite Vorlagefrage zielte darauf, ob bei der Erforderlichkeitsprüfung berücksichtigt werden darf, dass betroffene Personen der Verarbeitung nachträglich nach Art. 21 DSGVO widersprechen könnten. Der EuGH verneint dies eindeutig: Das mögliche Bestehen eines Widerspruchsrechts ist nicht zu berücksichtigen.

Das ist die praktisch folgenreichste Aussage über den Anwendungsfall hinaus. Sie entkräftet ein verbreitetes Argumentationsmuster – „wir erheben erst einmal, wer nicht will, kann ja widersprechen". Die Rechtmäßigkeit der Verarbeitung wird zum Zeitpunkt der Erhebung beurteilt; nachgelagerte Betroffenenrechte sind eine zusätzliche Garantie, kein Kompensationsmechanismus für eine zu weit gefasste Datenerhebung.

Detail 4: Deutsche Anschlussfragen – AGG, Bußgeld, Entschädigung

In Deutschland treffen zwei Anspruchsgrundlagen zusammen:

Datenschutzrecht. Verstöße gegen Art. 5 und Art. 6 DSGVO unterfallen dem oberen Bußgeldrahmen des Art. 83 Abs. 5 lit. a DSGVO: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist. Hinzu kommt Art. 82 DSGVO (materieller und immaterieller Schadensersatz) sowie die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO: Der Verantwortliche muss die Rechtmäßigkeit nachweisen können.

Antidiskriminierungsrecht. Das OLG Frankfurt am Main hat mit Urteil vom 21.06.2022 – 9 U 92/20 entschieden, dass ein Onlineformular, das die Wahl zwischen „Herr" und „Frau" erzwingt, eine unmittelbare Benachteiligung wegen des Geschlechts im Sinne von § 3 Abs. 1 in Verbindung mit § 19 Abs. 1 Nr. 1 AGG darstellt, und dem klagenden nicht-binären Kläger 1.000 € Entschädigung zugesprochen (dejure.org).

Zwei Fristen sind dabei kritisch:

• § 21 Abs. 5 AGG: Ansprüche müssen binnen zwei Monaten ab Kenntnis der Benachteiligung geltend gemacht werden.
• § 22 AGG: Legt die benachteiligte Person Indizien dar, trägt der Anbieter die Beweislast dafür, dass kein Verstoß vorliegt. Für die Praxis heißt das: Ein Screenshot des Pflichtfelds genügt regelmäßig als Indiz.

Häufige Fehler

• „Die Anrede brauchen wir für den Vertrag." Der EuGH verlangt objektive Unerlässlichkeit für den Hauptgegenstand des Vertrags. Für Kaufabwicklung, Beförderung oder Lieferung ist die Anrede das nicht.
• „Das ist Verkehrssitte." Genau dieses Argument der CNIL hat der EuGH verworfen. Branchenüblichkeit ersetzt keine Rechtsgrundlage.
• „Wer nicht will, kann nach Art. 21 DSGVO widersprechen." Nach Tenor 2 ist das Widerspruchsrecht bei der Erforderlichkeitsprüfung nach lit. f nicht zu berücksichtigen.
• Berechtigtes Interesse nicht in der Datenschutzerklärung benannt. Fehlt die Information nach Art. 13 DSGVO bei der Erhebung, ist lit. f bereits aus diesem Grund gesperrt.
• Dritte Option „divers" als Pflichtfeld angeboten. Eine dritte Auswahl beseitigt zwar die AGG-Problematik teilweise, ändert aber nichts an der datenschutzrechtlichen Frage: Ohne Zweck bleibt auch ein dreigliedriges Pflichtfeld unzulässig. Die saubere Lösung ist Freiwilligkeit oder Verzicht.
• Einzelfall auf alle Prozesse hochgezogen. Dass für einzelne Leistungen (z. B. geschlechtsgetrennte Schlafwagenabteile) eine Angabe nötig sein kann, rechtfertigt keine flächendeckende Pflichtabfrage – so ausdrücklich der Conseil d'État.
• Nur die DSGVO geprüft. In Deutschland droht parallel eine AGG-Entschädigung nach § 21 Abs. 2 AGG; die Zwei-Monats-Frist des § 21 Abs. 5 AGG läuft unabhängig von datenschutzrechtlichen Verfahren.
• Altdaten im CRM belassen. Bereits erhobene Anredefelder, für die keine Rechtsgrundlage bestand, sind nach Art. 17 Abs. 1 lit. d DSGVO zu löschen – die Umstellung des Formulars allein genügt nicht.

Quellen

• **EuGH, Urteil vom 09.01.2025 – C-394/23 (Mousse ./. CNIL und SNCF Connect)**, Volltext (amtlich, EUR-Lex, CELEX:62023CJ0394): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62023CJ0394 A
• **EuGH-Pressemitteilung Nr. 2/25 vom 09.01.2025** (amtlich, curia, deutsch): https://curia.europa.eu/site/upload/docs/application/pdf/2025-01/cp250002de.pdf D
• **EuGH, C-394/23** – Verfahrensübersicht bei InfoCuria: https://curia.europa.eu/juris/liste.jsf?num=C-394%2F23 D
• **EuGH, Urteil vom 09.01.2025 – C-394/23**, dejure.org-Permalink: https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=09.01.2025&Aktenzeichen=C-394%2F23 D
• **DSGVO (VO 2016/679)** – Art. 5, Art. 6, Art. 13, Art. 21, Art. 82, Art. 83 (amtlich, EUR-Lex, CELEX:32016R0679): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 A
• **Conseil d'État (Frankreich), Entscheidung Nr. 452850 vom 31.07.2025** (ECLI:FR:CECHR:2025:452850.20250731) – Aufhebung der CNIL-Entscheidung, amtliche Fassung: https://www.conseil-etat.fr/fr/arianeweb/CE/decision/2025-07-31/452850 D
• **EDPB, Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR (legitimate interest)**: https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202401_legitimateinterest_en.pdf B
• **OLG Frankfurt am Main, Urteil vom 21.06.2022 – 9 U 92/20** (binäres Anrede-Pflichtfeld, § 19 Abs. 1 Nr. 1 AGG, 1.000 € Entschädigung), dejure.org-Permalink: https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=OLG+Frankfurt&Datum=21.06.2022&Aktenzeichen=9+U+92/20 D
• **Allgemeines Gleichbehandlungsgesetz (AGG)** – §§ 3, 19, 21, 22 (amtlich, gesetze-im-internet.de): https://www.gesetze-im-internet.de/agg/ A
• **§ 21 AGG** – Ansprüche bei zivilrechtlicher Benachteiligung, Entschädigung und Zwei-Monats-Frist (amtlich): https://www.gesetze-im-internet.de/agg/__21.html A
• **Bundesdatenschutzgesetz (BDSG)** – nationale Ergänzungsregelungen zur unmittelbar geltenden DSGVO (amtlich): https://www.gesetze-im-internet.de/bdsg_2018/ A

Änderungsverlauf

• 2026-09-03: Erstveröffentlichung der Themenseite zum EuGH-Urteil C-394/23 vom 09.01.2025. Sachverhalt, Tenor 1 (Art. 6 Abs. 1 lit. b und lit. f i. V. m. Art. 5 Abs. 1 lit. c DSGVO) und Tenor 2 (Art. 21 DSGVO nicht zu berücksichtigen) gegen den EuGH-Volltext (EUR-Lex, CELEX:62023CJ0394) und die amtliche deutsche EuGH-Pressemitteilung Nr. 2/25 verifiziert. Die nationale Folgeentscheidung wurde gegen die amtliche Fassung des Conseil d'État (Nr. 452850, ECLI:FR:CECHR:2025:452850.20250731) geprüft; die Angaben zu Kostenerstattung (3.000 €), Aufhebung des CNIL-Bescheids vom 23.03.2021 und Neubescheidung stammen daraus. factcheck_status: review_needed, weil zwei Nebenangaben nicht gegen eine Primärquelle verifiziert werden konnten: (1) die ECLI-Kennung des EuGH-Urteils C-394/23 – sie ist deshalb bewusst nicht angegeben; (2) die von Sekundärquellen berichtete Zurückweisung der Nichtzulassungsbeschwerde durch den BGH (X. Zivilsenat) im Verfahren zu OLG Frankfurt 9 U 92/20 – dieses Aktenzeichen und Datum sind daher nicht aufgeführt; zitiert wird ausschließlich die OLG-Entscheidung über einen dejure.org-Permalink. | change_type=initial_publication reviewed_by="nexvyra-eu-recht" field="topic_lifecycle" new="published"

Stand

Stand: 03.09.2026. Diese Seite gibt die Rechtslage nach dem EuGH-Urteil C-394/23 vom 09.01.2025 und der Folgeentscheidung des Conseil d'État vom 31.07.2025 wieder und ersetzt keine Rechtsberatung. Verbindlich sind die amtlichen Fassungen bei EUR-Lex und curia.europa.eu.