Das Oberverwaltungsgericht Niedersachsen hat in seinem Urteil vom 23.03.2024 (14 LA 1/24) einer Versandapotheke untersagt, stets das Geburtsdatum als verpflichtende Angabe im Bestellprozess zu erfragen. Die niedersächsische Datenschutzbehörde hatte die Apotheke zuvor aufgefordert, unabhängig von der Art des bestellten Medikaments, das Geburtsdatum des Bestellers nicht mehr abzufragen.
Gegen diese Anweisung hatte sich die Apotheke bereits mit einer Klage vor dem Verwaltungsgericht (VG) Hannover gewehrt. Die Apotheke hatte argumentiert, dass sie das Geburtsdatum zwingend benötige, um die Geschäftsfähigkeit des jeweiligen Auftraggebers zu überprüfen und eine entsprechende pharmazeutische Beratung gewährleisten zu können. Die Klage wurde allerdings mit Urteil (10 A 502/19) vom Verwaltungsgericht Hannover am 09.11.2021 abgewiesen. Die Apotheke ging darauf in Berufung und reichte Klage beim Oberwaltungsgericht Niedersachsen ein, welches sich nun in seinem Urteil vom 23.03.2024 (14 LA 1/24) der Auffassung des Verwaltungsgerichts Hannover anschloss.
Urteil: Kein pauschales Abfragen des Geburtsdatums
Nach Auffassung der beide Gerichte könne sich die Apotheke bei der Erhebung und Verarbeitung des Geburtsdatums nicht auf einen der Erlaubnistatbestände gem. Art. 6 Abs. 1 DSGVO berufen.
Denn obwohl Art. 12 Abs. 6 DSGVO es dem Verantwortlichen gestatte, zusätzliche Informationen einer Person anzufordern, um die Identität einer betroffenen Person zu überprüfen, sofern diese einen Antrag gem. Art. 15-21 DSGVO stelle und der Verantwortliche begründete Zweifel an der Identität einer Person habe, so sei die dauerhafte Identitätsüberprüfung hiervon nicht erfasst. Die Apotheke könne nach Auffassung der Gerichte nicht alle Geburtsdaten ihrer Kunden erheben, um diese dann ggf. im Rahmen der Antragsbearbeitung gem. Art. 15-21 DSGVO zur erforderlichen Identitätsprüfung zu nutzen.
Die konkrete Abfrage des Geburtsdatums sei daher nicht erforderlich, insbesondere nicht zur Durchführung vorvertraglicher Maßnahmen gem. Art. 6 Abs. 1 Satz 1 lit. b DSGVO. Eine einfache Abfrage, z.B. mittels einer Checkbox, in der der der Auftraggeber bestätige, dass er volljährig sei, genüge nach Auffassung des Gerichts für die Überprüfung der Geschäftsfähigkeit. Zudem ließe sich die Richtigkeit des Geburtsdatums selbst bei Eingabe des Auftraggebers nicht auf Richtigkeit bzw. Echtheit prüfen. Des Weiteren wies das Gericht darauf hin, dass eine altersbezogene Beratung nicht immer notwendig sei, da die meisten der angebotenen Produkte altersunabhängig konsumiert bzw. angewendet werden können. Die Abfrage des Geburtsdatums könne sich daher auch nicht auf die Erfüllung einer gesetzlichen Pflicht gem. Art. 6 Abs. 1 Satz 1 lit. c DSGVO stützen, da die besagte Versandpotheke in ihrem Online-Shop ausschließlich rezeptfreie Produkte anbot.
Fazit und Ausnahmen
Versandapotheken bzw. Online-Händler sollten daher im Allgemeinen auf die Erhebung von Geburtsdaten im Rahmen der Bestellabwicklung verzichten und auf eine einfache Abfrage der Volljährigkeit ausweichen. Für den besonderen Fall, dass ein Online-Shop eine Zahlung auf Rechnung anbietet und somit ein mögliches Ausfallrisiko der Zahlung besteht, könnte im Einzelfall die Erhebung eines Geburtsdatums dennoch zulässig sein. Ein solches Risiko liegt allerdings nicht vor, sofern der Anbieter einen externen Zahlungsanbieter wie z.B. Paypal oder Klarna einsetzt. In diesem Fall übernehmen die externen Zahlungsdienstleister die Identifizierung der betroffenen Person und der Händler erhalt das Geld direkt vom Zahlungsdienstleister.
Quelle: Der Landesbeauftragte für den Datenschutz Niedersachsen, Pressemitteilung Nr. 6/2024 (https://www.lfd.niedersachsen.de/startseite/infothek/presseinformationen/geburtsdatum-als-pflichtfeld-in-webshops-oft-rechtswidrig-230666.html)