Mittlerweile gibt es viele Unternehmen, die Gutscheine anbieten, sowohl im stationären Einzelhandel als auch über Onlineshops. Während es sich dabei überwiegend um nicht-personalisierte Gutscheine handelt, gibt es auch solche, die personalisiert verkauft werden (müssen). Der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI) hat in seinem „3. Tätigkeitsbericht zum Datenschutz nach der DS-GVO“ für das Berichtsjahr 2020 personalisierte Reisegutscheine datenschutzrechtlich beleuchtet. Ein Reisebüro kann nämlich darauf angewiesen sein, bereits beim Verkauf den Empfänger des Gutscheins zu kennen.

Rechtmäßigkeit von personalisierten Reisegutscheinen

Bei personalisierten Reisegutscheinen bestellt der Schenker beim Reisebüro einen Gutschein, der für den Beschenkten gedacht ist. Dass der Gutschein auf den Beschenkten ausgestellt wird, ist erforderlich, damit nicht lediglich ein Wertgutschein, sondern eine konkrete Reise aus dem Kontingent gebucht werden kann.

In solchen Fällen, in denen der Schenker personenbezogene Daten des Beschenkten angibt, liegt i. d. R. keine Einwilligung des Beschenkten gem. Art. 6 Abs. 1 S. 1 lit. a DSGVO vor, da der Beschenkte meist keine Kenntnis vom Kauf hat und auch nicht vom Reisebüro um Einwilligung gebeten wird. Anderenfalls würde der Überraschungseffekt eines Geschenks zunichte gemacht.

Art. 6 Abs. 1 S. 1 lit. b DSGVO besagt, dass die Verarbeitung rechtmäßig ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist. Im Hinblick auf den Kaufvertrag eines Gutscheins ist die Vertragspartei des Reisebüros der Schenker. Dessen Daten dürfen somit nach Art. 6 Abs. 1 S. 1 lit. b DSGVO verarbeitet werden.

Rechtsgrundlage für die Verarbeitung der Daten des Beschenkten durch das Reisebüro ist aus Sicht des TLfDI das berechtigte Interesse gem. Art. 6 Abs. 1 S. 1 lit. f DSGVO. Das berechtigte Interesse des Reisebüros kann darin gesehen werden, den Vertrag mit dem Schenker zugunsten des Beschenkten aus finanziellem Eigeninteresse zu ermöglichen. Der Beschenkte dürfte i. d. R. keine Einwände haben, dass seine Daten an das Reisebüro weitergegeben werden; da er von dem Geschenk profitiert, ist es vertretbar anzunehmen, dass die Interessen des Beschenkten nicht überwiegen. Es dürfte den vernünftigen Erwartungen des Beschenkten entsprechen, dass seine Daten dabei verarbeitet werden müssen. Wenn der Beschenkte für die eigentliche Abwicklung der Reise weitere Daten angeben muss, erfolgt diese Verarbeitung dann zur Durchführung der Reise gem. Art. 6 Abs. 1 S. 1 lit. b DSGVO.

Das Reisebüro darf jedoch nur die zwingend erforderlichen Daten erheben und die Daten nicht für andere Zwecke – z. B. dem Versenden von Werbung – nutzen.

Informationspflicht des Reisebüros

Gem. Art. 13 DSGVO hat das Reisebüro den Betroffenen über die Datenverarbeitung zu informieren. Dies gilt jedoch nur für solche Fälle, in denen die Daten direkt beim Betroffenen erhoben werden. Nur der Schenker (dessen Daten bei ihm erhoben werden) ist nach Art. 13 DSGVO zu informieren.

Doch die DSGVO sieht in Art. 14 DSGVO auch vor, dass das Reisebüro den Beschenkten informiert, da dessen Daten nicht beim Beschenkten selbst erhoben, sondern vom Schenker an das Reisebüro übermittelt wurden. Denn diese Vorschrift soll transparent aufzeigen, wer Daten von einem selbst aus welcher Quelle erhalten hat und warum sie verarbeitet werden.

Dies führt dazu, dass die Beschenkten so ggf. schon vor der Geschenkübergabe erfahren könnten, dass sie beschenkt werden. Art. 14 DSGVO sieht drei Fälle vor, wann die Information erfolgen muss:

  • Spätestens nach einem Monat,
  • falls die Offenlegung an einen anderen Empfänger beabsichtigt ist (z. B., wenn ein Versanddienstleister die Adressdaten erhält), spätestens zum Zeitpunkt der ersten Offenlegung oder
  • falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an diese.

Wenn der Gutschein mehr als einen Monat vor der Übergabe (z. B. zum Geburtstag) gekauft wird, würde der Beschenkte also durch das Reisebüro von seinem Geschenk erfahren. Gleiches gilt, wenn ein Versanddienstleister die Daten vor Ablauf eines Monats und noch vor dem Geburtstag des Beschenkten erhält. Auch dann würde der Beschenkte vorab informiert werden. Nur wenn das Reisebüro den Gutschein selbst innerhalb eines Monats und ohne Offenlegung an weitere Stellen am Geburtstag übermittelt, erfährt der Beschenkte nicht vorher vom Gutschein.

Fazit

Da die Informationspflicht gem. Art. 14 DSGVO ggf. vor der Geschenkübergabe erfüllt werden muss, sollte ein personalisierter Gutschein nur dann in Erwägung gezogen werden, wenn der Schenker davon ausgeht, der Beschenkte könne auf eine Überraschung verzichten. Anderenfalls kann es nur bei nicht-personalisierten Gutscheinen bei einer Überraschung bleiben.