Eine Onlineapotheke darf nicht regelmäßig das Geburtsdatum von Käufer*innen abfragen und diese Abfrage als Pflichtfeld so ausgestalten, dass anders kein Kauf möglich ist. Dies entschied das VG Hannover mit einem Urteil vom 9.11.2021 (Az. 10 A 502/19).
Abfrage Geburtsdatum nicht per se statthaft
Beklagte war in diesem Fall die niedersächsische Landesbeauftragte für den Datenschutz. Sie hatte die Klägerin, eine Onlineapotheke, mit einem Bescheid angewiesen, die Abfrage des Geburtsdatums von Käufer*innen bei rezeptfrei käuflichen Medikamenten zu unterlassen.
Die Onlineapotheke fragte das Geburtstdatum bei jedem Bestellvorgang ab und gestaltete die Abfrage als Pflichtangabe, ohne die ein Kauf unmöglich wurde.
Nach Auffassung der Datenschutzbeauftragen und am Ende auch der niedersächsischen Richter ist aber diese Angabe bei Privatpersonen ein schützenswertes Datum. Seine Abfrage ist im Onlinehandel ausnahmsweise erlaubt und in sehr seltenen Fällen sogar vorgeschrieben, wenn damit der Vertrieb von Waren wie Tabak oder Alkohol kontrolliert werden soll, die einer Altersbeschränkung unterliegen. Dies sah die Datenschutzbeauftragte im Fall von rezeptfreien Medikamenten nicht als gegeben an. Sie war vielmehr der Auffassung, dass die pauschale Abfrage gegen den DSGVO-Grundsatz der Datenminimierung verstoße (Artikel 5 Absatz 1 lit. c DSGVO). Das Geburtsdatum ist zumindest für einen Kaufvertrag über unbeschränkt erwerbliche (weil rezeptfreie) Medikamente nicht erforderlich. Die Onlineapotheke sammle damit unberechtigt zu viele Daten von ihren Kunden. Diese würde sie für ihre gesetzeskonforme Vertragserfüllung nicht benötigen.
Datenschutzbeauftragte können grundsätzlich gewerblichen Unternehmen die Anweisung erteilen, auf eine bestimmte Datenerhebung zu verzichten. Den Betroffenen steht dagegen der Klageweg offen, den die Onlineapotheke in diesem Fall auch beschritt. Sie rechtfertigte ihr Vorgehen mit der Pflicht zu einer altersgerechten Beratung der Kund*innen. Diese Beratungsobliegenheit resultiere wiederum aus der geltenden Berufsordnung für Apotheker. Weiter führte die Onlineapotheke aus, dass ihr Interesse berechtigt sei, die Volljährigkeit und somit Geschäftsfähigkeit ihrer Kunden festzustellen.
Entscheidung des Gerichts
Die Richter in Hannover folgten der Argumentation der Klägerin nicht und wiesen die Klage ab. Sie vertraten in ihrer Urteilsbegründung die Ansicht, dass die pflichtgemäße Angabe des Geburtsdatums in einem Bestellvorgang auf jeden Fall im Regelfall nicht verlangt werden dürfe, wenn es für das betreffende Medikament keine Altersbeschränkung gibt und auch keine altersspezifische Beratung nötig ist.
Mit Blick auf das Sortiment der Klägerin stellten die Richter fest, dass dieses größtenteils aus Medikamenten und Drogerieartikeln ohne altersspezifische Dosierung besteht. Für solche Produkte gebe es keine Rechtsgrundlage für die Verarbeitung des Geburtsdatums. Es wird nicht für die Vertragserfüllung benötigt (Artikel 6 Absatz 1 lit. b DSGVO), auch gebe es keine überwiegend berechtigten Interessen der Apotheke an dieser Angabe (Artikel 6 Absatz 1 lit. f DSGVO).
Zwar könne die Feststellung der Geschäftsfähigkeit von Kunden so ein Interesse darstellen. Jedoch sei es hierfür nicht erforderlich, das konkrete Geburtsdatum abzufragen. Es genüge vielmehr die bloße Abfrage, ob Interessenten volljährig sind. Selbst Onlineshops für Alkoholika gehen fast ausschließlich so vor und verhalten sich damit rechtskonform.
Fazit
Die Abfrage des Geburtsdatums als Pflichtangabe muss im Onlinehandel eine absolute und gut zu begründende Ausnahme bleiben und ist daher grds. unzulässig. Ansonsten steht ihr die Pflicht zur Datenminimierung nach DSGVO entgegen.
