Die Bereitstellung der Daten – ein unterschätztes Pflichtfeld in der Datenschutzinformation
Ein Unternehmen bietet auf seiner Webseite an, einen Beratungstermin anzufragen. Das Formular verlangt Name, Firma, E-Mail-Adresse, Telefonnummer, Anschrift und Geburtsdatum – alles mit Sternchen als Pflichtfeld markiert. Auf die Frage, weshalb für eine einfache Terminanfrage auch Anschrift und Geburtsdatum nötig seien, lautet die Antwort häufig schlicht: „Das sind bei uns eben Pflichtfelder.“
Genau hier liegt ein weit verbreitetes Missverständnis. Ein Datenfeld wird nicht deshalb datenschutzrechtlich erforderlich, weil eine Software es als Pflichtfeld konfiguriert oder ein Unternehmen es intern so vorgibt. Entscheidend ist allein, weshalb die konkrete Information tatsächlich benötigt wird – und was geschieht, wenn die betroffene Person sie nicht bereitstellt.
Was Art. 13 Abs. 2 lit. e) DSGVO wirklich verlangt
Die zentrale Vorschrift dazu ist Art. 13 Abs. 2 lit. e) DSGVO. Bei einer direkten Erhebung personenbezogener Daten muss der Verantwortliche darüber informieren, ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person zur Bereitstellung verpflichtet ist und welche Folgen eine Nichtbereitstellung hätte. Diese Information muss bereits zum Zeitpunkt der Erhebung vorliegen – eine Aufklärung, die erst nach dem Absenden eines Formulars erscheint, kommt zu spät.
Wichtig dabei: Der Begriff „Bereitstellung“ hat nichts mit der Übermittlung von Daten an Dienstleister oder dem Recht auf Datenübertragbarkeit nach Art. 20 DSGVO zu tun. Und die Pflicht ist auch nicht auf klassische Formulare beschränkt. Der EuGH hat mit Urteil vom 18. Dezember 2025 (C‑422/24) klargestellt, dass Art. 13 DSGVO selbst dann greifen kann, wenn Daten durch Beobachtung erhoben werden – im entschiedenen Fall ging es um Bodycams von Fahrkartenkontrolleuren. Maßgeblich für die Abgrenzung zu Art. 14 DSGVO ist danach allein die Quelle der Daten, nicht die Aktivität der betroffenen Person.
Drei Wege zur „Erforderlichkeit“ – und eine vierte Frage
In der Praxis lässt sich die Vorschrift auf wenige Fragen herunterbrechen: Ist die Bereitstellung gesetzlich vorgeschrieben? Ist sie vertraglich vorgeschrieben? Ist sie für einen Vertragsabschluss objektiv erforderlich? Und, falls keiner dieser drei Fälle zutrifft: Was geschieht tatsächlich bei Nichtbereitstellung?
Gesetzlich vorgeschrieben ist eine Angabe, wenn sich die Pflicht unmittelbar aus einer Rechtsvorschrift ergibt. Ein Arbeitnehmer muss seinem Arbeitgeber nach § 39e Abs. 4 EStG etwa die steuerliche Identifikationsnummer und das Geburtsdatum mitteilen, § 28o Abs. 1 SGB IV verpflichtet ihn zu weiteren Angaben für das Sozialversicherungsrecht. Besonders anschaulich ist das Geldwäschegesetz: Nach § 11 Abs. 6 GwG müssen Vertragspartner eines Verpflichteten die zur Identifizierung erforderlichen Informationen bereitstellen. Fehlen sie, darf nach § 10 Abs. 9 GwG grundsätzlich keine Geschäftsbeziehung begründet werden. Wichtig ist dabei: Nicht jede Angabe in einem Personalstammbogen ist automatisch „gesetzlich vorgeschrieben“. Private Mobiltelefonnummer, Konfession außerhalb steuerlicher Zusammenhänge oder der Familienstand werden nicht allein dadurch zur gesetzlichen Pflichtangabe, dass ein Formular danach fragt.
Vertraglich vorgeschrieben ist eine Bereitstellung, wenn sich eine entsprechende Pflicht aus einem konkreten Vertragsverhältnis ergibt, etwa der Mitteilung von Adressänderungen im Rahmen eines Wartungsvertrags. Hier ist allerdings Vorsicht geboten: Eine Formulierung in den AGB macht eine Datenverarbeitung nicht automatisch datenschutzrechtlich zulässig. Andernfalls könnte jedes Unternehmen praktisch jede gewünschte Datenerhebung einfach zur „vertraglichen Pflicht“ erklären. Die vertragliche Regelung und die datenschutzrechtliche Zulässigkeit – insbesondere Zweckbindung, Datenminimierung und eine tragfähige Rechtsgrundlage nach Art. 6 DSGVO – müssen getrennt geprüft werden.
Für einen Vertragsabschluss erforderlich sind Daten, ohne die der Vertrag objektiv nicht geschlossen oder erfüllt werden kann – etwa Name und Lieferanschrift beim Versand einer Ware. Der EuGH hat im Urteil vom 4. Juli 2023 (C‑252/21) sehr streng entschieden: Eine Verarbeitung ist nur dann nach Art. 6 Abs. 1 lit. b) DSGVO gerechtfertigt, wenn sie objektiv unerlässlich ist, um einen notwendigen Bestandteil der Vertragsleistung zu erreichen. Dass eine Angabe im Vertrag erwähnt wird oder dem Unternehmen lediglich nützlich ist, genügt ausdrücklich nicht. Ein einfacher Praxistest hilft: Man denkt sich das Datenfeld weg und fragt, ob der Vorgang trotzdem sinnvoll durchgeführt werden kann. Fällt die Lieferadresse weg, kann nicht geliefert werden. Fällt die Telefonnummer weg, kann die Bestellung meist trotzdem angenommen, bezahlt und versandt werden – sie mag nützlich sein, ist aber nicht erforderlich.
Prüfschema zur Datenbereitstellung nach Art. 13 Abs. 2 lit. e DSGVO: Ob eine Angabe wirklich erforderlich ist, hängt nicht von der Kennzeichnung als Pflichtfeld ab, sondern von ihrer gesetzlichen, vertraglichen oder objektiven Notwendigkeit und den Folgen einer Nichtbereitstellung.
„Pflichtfeld“ ist kein datenschutzrechtlicher Begriff
In vielen Unternehmen werden drei unterschiedliche Dinge vermischt: das technische Pflichtfeld, das eine Software zwingend ausgefüllt haben möchte; das betrieblich gewünschte Feld, das die Bearbeitung lediglich erleichtert; und das rechtlich oder tatsächlich erforderliche Feld, ohne das eine Pflicht oder Leistung nicht erfüllt werden kann. Nur die dritte Kategorie rechtfertigt die Aussage, Daten seien zwingend nötig. Verlangt ein CRM-System zwingend eine Telefonnummer, obwohl ausschließlich per E-Mail kommuniziert wird, spricht vieles dafür, dass nicht die Telefonnummer erforderlich ist, sondern die Softwarekonfiguration geändert werden muss.
Die Folgen der Nichtbereitstellung konkret benennen
Der letzte Baustein der Information ist für Betroffene oft der wichtigste: Was passiert, wenn die Daten fehlen? Pauschale Formulierungen wie „Es kann zu Einschränkungen kommen“ sagen praktisch nichts aus. Besser ist es, die reale Konsequenz zu benennen: keine Zustellung, keine Begründung der Geschäftsbeziehung, keine telefonische Rückmeldung. Gerade bei freiwilligen Angaben verhindert eine klare Formulierung, dass Betroffene den falschen Eindruck gewinnen, mehr Daten preisgeben zu müssen, als tatsächlich nötig ist. Und: Wer behauptet, eine Angabe sei freiwillig, während sich ein Formular technisch erst nach vollständigem Ausfüllen absenden lässt, produziert einen Widerspruch, den eine freundliche Formulierung nicht reparieren kann – Datenschutzinformation und tatsächlicher Prozess müssen zusammenpassen.
Konkrete Folgen statt pauschaler Hinweise: Nach Art. 13 Abs. 2 lit. e) DSGVO sollte verständlich benannt werden, was tatsächlich passiert, wenn eine betroffene Person bestimmte Daten nicht bereitstellt.
Warum sich der Blick auf die Bereitstellung lohnt
Die Prüfung der Datenbereitstellung ist zugleich eine ausgezeichnete Gelegenheit, die gewählte Rechtsgrundlage zu hinterfragen. Wird eine Telefonnummer auf Art. 6 Abs. 1 lit. b) DSGVO gestützt, obwohl in der Datenschutzinformation gleichzeitig steht, die Angabe sei freiwillig, passen beide Aussagen nicht zusammen – dann kommt möglicherweise ein berechtigtes Interesse oder eine Einwilligung in Betracht, vielleicht sollte die Angabe aber auch gar nicht erst erhoben werden. Umgekehrt gilt: Wo eine echte Pflicht besteht, ist eine Einwilligung als Rechtsgrundlage regelmäßig unpassend, weil ihr die notwendige Freiwilligkeit fehlt.
Wie ernst Aufsichtsbehörden Transparenzverstöße nehmen, zeigt das Verfahren gegen WhatsApp Ireland: Die irische Aufsichtsbehörde verhängte 2021 nach einem verbindlichen Beschluss des Europäischen Datenschutzausschusses ein Bußgeld von 225 Millionen Euro. Der Rechtsstreit ist auch 2026 noch nicht abgeschlossen – der EuGH entschied am 10. Februar 2026 (C‑97/23 P), dass WhatsApp den zugrunde liegenden Beschluss des Datenschutzausschusses direkt vor den Unionsgerichten angreifen kann. Über die materiellen Transparenzfragen ist damit noch nicht abschließend entschieden. Verstöße gegen Informationspflichten fallen zudem grundsätzlich in die höhere Bußgeldkategorie des Art. 83 Abs. 5 DSGVO.
Ein einfacher Kontrollsatz für die Praxis
Bei jeder Datenerhebung lohnt sich eine einzige Frage: Was passiert, wenn die betroffene Person genau dieses Datum nicht angibt? Lautet die Antwort „Dann können wir eine gesetzliche Pflicht nicht erfüllen“, gehört die konkrete Vorschrift dokumentiert. Lautet sie „Dann können wir die vereinbarte Leistung objektiv nicht erbringen“, spricht viel für echte Erforderlichkeit. Lautet sie „Dann wird es unbequemer“, reicht das für eine vertragliche Erforderlichkeit meist nicht aus. Und lautet die ehrliche Antwort „Eigentlich nichts“, ist das ein deutlicher Hinweis, dass die Erhebung selbst überprüft werden sollte.
Zusammenfassung
Die „Bereitstellung der Daten“ wirkt zunächst wie eine unscheinbare Pflichtangabe innerhalb einer Datenschutzinformation. Tatsächlich berührt sie zentrale Grundprinzipien der DSGVO. Für Unternehmen reicht es nicht aus, sämtliche Formularfelder pauschal als Pflichtangaben zu bezeichnen – jedes Datenfeld muss entsprechend seinem tatsächlichen Zweck bewertet werden. Wer Pflicht- und freiwillige Angaben bereits bei der Gestaltung des Geschäftsprozesses sauber trennt, gewinnt mehr als nur eine korrekte Datenschutzinformation: Er erkennt, welche Daten wirklich benötigt werden, welche Rechtsgrundlage trägt – und welche Felder vielleicht schon seit Jahren ohne guten Grund abgefragt werden.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
