Personal data shall be: adequate, relevant and limited to what is necessary in relation to the purposes for which they are processed (‘data minimisation’);
https://gdpr-info.eu/art-5-gdpr/
比如，由中国某电商巨头投资运营的欧洲大型线上购物商城，以价优质美的特点受到欧洲华人圈的广泛推崇，
然而，在用户选择商品准备结账时，网站要求用户登陆账号，如果是新用户，则要求注册账号用于邮寄以及支付，且没有其他选项。
而在类似的消费场景中，用户在Ebay平台上完成了商品选择后，网站弹出的弹框提示用户选择登陆账号进行支付还是仅仅作为“访客”进行购买。
用户点击“访客模式”后
在线商店必须为客户提供访客购物模式，即交易订单无需创建账户。
在线上购物的过程中，注册账户是运营购物网站一种常见的做法。通过给用户分配登录凭证（如用户名/密码）来创建账户，以便能够准确地识别出用户身份。通过该账户体系，客户可以自主访问自己的账户，并随时更改身份数据、邮寄地址或检查订单。同时，用户账号体系在首次交易完成后仍会被保留在活动数据中，可以简化该客户的重复订单操作，避免每次重新输入所有个人数据。此外，持续客户账户可能包含订单或交易记录，允许控制者进行分析和创建用户画像并用于营销目的。
根据《通用数据保护条例》（DS-GVO）第6条第1款第1句b项的规定，只有那些为履行单个合同所必需的个人数据处理是合法的。用户在首次购买时，控制者不能默认将未来不确定的交易可能性作为目的来储存客户数据。
因此，创建会员账户体系需要用户明确的同意。对于不希望建立长期业务关系或拒绝处理非业务履行所需数据的用户，通常应提供“访客订单”选项而不要求用户进行注册或使用登录凭证（如用户名/密码）进行重复使用。
“访客订单”的方式只能收集履行合同和满足法定义务所需的客户个人数据和信息，而合同履行后不再需要的数据，必须依据《通用数据保护条例》第17条第1款a项的规定立即删除。如果数据仍需要根据特定法律的保存义务（如商业法或税法）进行处理，必须采取技术和组织措施，将这些数据与日常操作数据分离。在访客订单模式下，客户无法访问这些数据，控制者也不能将其他数据存储到此类账户中。
在某些职业群体的专业零售商等特殊情况下，控制者可以依据《通用数据保护条例》第6条第1款b项的规定将建立会员账户体系视为合同履行所必需的合法性要件，且因此不需要客户同意，但该情况也必须遵守数据最小化原则，控制者应当在客户账户不活跃的情况下自动删除该账户。
通过会员账户数据分析用于用于营销，需要客户的知情同意。
德国数据安全委员会进一步指出，如果在处理账户会员体系中超出联系信息范围的个人数据（包括订单的合同数据）用于广告目的（如客户历史的分析、将其与其他来源的数据结合等处理手段），则必须依照《通用数据保护条例》第6条第1款第1句a项的规定获取客户的明确同意。因为这类处理超出了单纯创建和维护会员账户的目的范围，不能仅凭创建和维护账户的隐私政策的同意进行数据处理。
选择访客账户的客户通常表示他们拒绝接受广告联系，因此没有其他合法依据来使用其数据进行广告分析。对此，同样适用于存储支付信息（如信用卡）。关于仅为方便进一步在线交易而存储信用卡信息的法律依据，可参见欧洲数据保护委员会（EDSA）2021年第02号建议。
责任方处理的数据必须以对客户透明的方式进行。
无论是在设置访客账户时，还是在设置持续客户账户时，责任方都必须在首次收集数据时履行其信息义务。根据《通用数据保护条例》（DS-GVO）第6条第1款第1句a项，通过同意设置持续客户账户的前提是同意必须是在客户知情的情况下做出的。
无论是依据《通用数据保护条例》第7条获得的同意，还是为履行合同所需的合法数据处理，客户都必须以易于理解的语言被告知数据处理的详细信息（《通用数据保护条例》第7条第2款及第12至14条）。
