Mit Beschluss vom 23. Januar 2024 hat das Oberverwaltungsgericht Niedersachsen einer Versandapotheke endgültig untersagt, im Bestellprozess pauschal das Geburtsdatum als Pflichtfeld zu verlangen (14 LA 1/24). Die Entscheidung betrifft auf den ersten Blick einen Einzelfall, ihre tragenden Gründe reichen jedoch weit darüber hinaus: Sie bestätigen eine Linie der Aufsichtsbehörden, die für nahezu jeden Online-Shop gilt. Wer im Webshop ein Pflichtfeld für das Geburtsdatum vorsieht, sollte daher prüfen, ob er sich auf eine tragfähige Rechtsgrundlage stützen kann. In den meisten Fällen ist das nicht so.
Der Maßstab: Datenminimierung
Am Anfang jeder Bewertung steht ein Grundsatz, der die gesamte DSGVO durchzieht und im Bestellprozess oft unter den Tisch fällt.
Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO)
Personenbezogene Daten dürfen nur in dem Umfang erhoben werden, der für den jeweiligen Zweck wirklich erforderlich ist. Nicht alles, was nützlich sein könnte, darf auch verlangt werden. Maßstab ist das mildeste Mittel, mit dem sich der Zweck erreichen lässt. Wo eine schlichtere Lösung genügt, ist die weitergehende Abfrage unzulässig.
Das Geburtsdatum ist ein personenbezogenes Datum, weil es zur Identifizierung beiträgt. Seine Erhebung als Pflichtfeld braucht daher zweierlei: einen legitimen Zweck und eine Rechtsgrundlage nach Art. 6 DSGVO. Fehlt eines von beiden, ist die Pflichtangabe rechtswidrig. Und genau das ist bei der pauschalen Abfrage im Bestellprozess regelmäßig der Fall.
Warum keine Rechtsgrundlage die Pflichtabfrage trägt
Shop-Betreiber führen für die Geburtsdatum-Abfrage verschiedene Begründungen an. Geht man sie der Reihe nach durch, trägt keine die pauschale Pflichtangabe bei gewöhnlichen Waren.
Vertragserfüllung (Art. 6 Abs. 1 lit. b): „Wir brauchen es zur Abwicklung des Kaufvertrags“
Geschäftsfähigkeit prüfen: „Verträge mit Minderjährigen sind schwebend unwirksam“
Gesetzliche Pflicht (Art. 6 Abs. 1 lit. c): „Wir müssen das Alter erheben“
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): „Vorsorglich für ein späteres Mahn- oder Inkassoverfahren“
Einwilligung (Art. 6 Abs. 1 lit. a): „Der Kunde gibt es doch freiwillig ein“
Der niedersächsische Fall im Detail
OVG Niedersachsen, Beschluss vom 23.01.2024
Eine Versandapotheke verlangte im Bestellprozess unabhängig vom bestellten Produkt das Geburtsdatum als Pflichtfeld. Die niedersächsische Datenschutzaufsicht untersagte das. Das Verwaltungsgericht Hannover (10 A 502/19) wies die Klage der Apotheke ab, das Oberverwaltungsgericht Niedersachsen bestätigte das mit Beschluss vom 23. Januar 2024 (14 LA 1/24). Selbst eine Apotheke mit Beratungspflichten dürfe das Geburtsdatum nicht pauschal erheben, solange sie nur rezeptfreie und altersunabhängige Produkte anbiete. Zur Prüfung der Geschäftsfähigkeit genüge die Abfrage der Volljährigkeit, und für eine etwaige spätere Forderungsdurchsetzung stünden Name und Anschrift zur Verfügung.
Die tragenden Gründe der Entscheidung sind allgemein und nicht auf Apotheken beschränkt. Wenn schon eine Apotheke mit gesetzlichen Beratungspflichten das Geburtsdatum nicht pauschal verlangen darf, gilt das erst recht für gewöhnliche Online-Shops ohne solche Pflichten. Das Argument, man benötige das Datum „vorsorglich“ für den Fall eines Zahlungsausfalls, ließ das Gericht ausdrücklich nicht gelten, weil solche Szenarien Ausnahmefälle bleiben und keine Erhebung bei sämtlichen Bestellungen rechtfertigen.
Wann die Abfrage ausnahmsweise zulässig ist
Es gibt Konstellationen, in denen das Geburtsdatum tatsächlich erforderlich ist. Entscheidend ist, dass die Abfrage dann an den konkreten Anlass gebunden bleibt und nicht pauschal für jede Bestellung erfolgt.
- Kauf auf Rechnung mit Bonitätsprüfung, bei dem der Händler in Vorleistung geht, und zwar nur für diese Zahlungsart
- Waren mit gesetzlicher Altersbeschränkung nach dem Jugendschutzgesetz, etwa Alkohol, Tabak und E-Zigaretten oder Medien mit Kennzeichnung „keine Jugendfreigabe“
- Konkrete gesetzliche Pflicht, die das Alter zwingend voraussetzt
- Pauschale Pflichtabfrage bei jeder Bestellung, unabhängig vom Produkt
- Begründung allein mit der Prüfung der Geschäftsfähigkeit
- Begründung mit hypothetischen Mahn- oder Inkassofällen
- Zahlung über externe Dienstleister wie PayPal oder Klarna, die die Identifizierung selbst übernehmen
Wichtig ist gerade bei den jugendschutzrelevanten Waren ein verbreitetes Missverständnis: Wo das Jugendschutzgesetz eine Altersprüfung verlangt, genügt das bloße Eingabefeld für das Geburtsdatum gerade nicht. Erforderlich ist dort ein wirksames, in der Regel zweistufiges Verfahren, also eine verlässliche Identitäts- und Altersprüfung im Bestellprozess und eine Alterskontrolle bei der Zustellung. Ein selbst eingetragenes Geburtsdatum lässt sich weder auf Richtigkeit noch auf Echtheit prüfen und schützt deshalb weder vor Falschangaben noch erfüllt es die Jugendschutzpflichten.
Was auch für andere Pflichtfelder gilt
Dieselbe Logik trifft weitere Felder, die in Bestellformularen häufig als Pflichtangabe erscheinen. Eine zwingend abgefragte Telefonnummer ist für die Vertragsabwicklung meist nicht erforderlich, wenn bereits eine E-Mail-Adresse vorliegt und es nicht um Speditionsware, eine Terminabstimmung oder Ähnliches geht. Auch die verpflichtende Anrede „Herr“ oder „Frau“ lässt sich selten begründen. Wer das Bestellformular auf die wirklich nötigen Pflichtfelder beschränkt, reduziert nicht nur das rechtliche Risiko, sondern senkt erfahrungsgemäß auch die Abbruchquote im Bestellprozess.
Was Shop-Betreiber jetzt tun sollten
- Den Bestellprozess prüfen: Welche Felder sind Pflicht, und lässt sich für jedes ein konkreter Zweck benennen?
- Das Geburtsdatum aus den Pflichtfeldern entfernen, wo keine altersbeschränkte Ware und keine bonitätsabhängige Zahlungsart betroffen ist
- Zur Prüfung der Geschäftsfähigkeit auf eine schlichte Volljährigkeits-Bestätigung ausweichen
- Das Geburtsdatum, wo es erforderlich ist, nur für den konkreten Anlass abfragen, etwa nur bei der Zahlungsart Rechnungskauf
- Bei jugendschutzrelevanten Waren ein echtes Altersverifikationsverfahren einsetzen statt eines bloßen Eingabefelds
- Verbleibende freiwillige Felder klar als freiwillig kennzeichnen und über den Verwendungszweck informieren
Unsere Empfehlung: Erheben Sie als Pflichtangabe nur das, was für die Vertragsabwicklung zwingend nötig ist, also im Kern Name, Lieferanschrift und Zahlungsdaten. Das Geburtsdatum gehört dort nur hin, wo es wirklich gebraucht wird, und dann gebunden an den konkreten Anlass. Wir prüfen Ihren Bestellprozess auf datenschutzrechtliche Erforderlichkeit, ordnen jedes Pflichtfeld einer tragfähigen Rechtsgrundlage zu und zeigen, wo eine schlankere Lösung sowohl das Bußgeldrisiko senkt als auch die Bestellabbrüche verringert. Die Verantwortung für den Shop bleibt bei Ihnen; wir sorgen für die saubere datenschutzrechtliche Grundlage.
Häufige Fragen
Dürfen wir das Geburtsdatum im Bestellprozess als Pflichtfeld verlangen?
Bei gewöhnlichen Waren ohne Altersbeschränkung in aller Regel nicht. Die pauschale Pflichtabfrage verstößt gegen den Grundsatz der Datenminimierung, weil keine Rechtsgrundlage sie trägt. Das Oberverwaltungsgericht Niedersachsen hat das 2024 bestätigt. Zulässig bleibt die Abfrage nur, wenn sie an einen konkreten Anlass gebunden ist, etwa an einen Rechnungskauf mit Bonitätsprüfung oder an den Versand altersbeschränkter Waren.
Brauchen wir das Geburtsdatum nicht zur Prüfung der Geschäftsfähigkeit?
Nein. Zwar sind Verträge mit Minderjährigen ohne Zustimmung der Eltern schwebend unwirksam, doch dem lässt sich mit einer einfachen Volljährigkeits-Bestätigung begegnen. Diese ist das mildere Mittel. Ein selbst eingetragenes Geburtsdatum bietet ohnehin keine Gewähr für die Richtigkeit, weil es sich nicht auf Echtheit prüfen lässt, und verbessert die Rechtsstellung des Händlers daher nicht.
Wir bieten Kauf auf Rechnung an. Dürfen wir dann das Geburtsdatum erheben?
In diesem Fall kann die Abfrage zulässig sein, weil der Händler in Vorleistung geht und für eine Bonitätsprüfung oder eine spätere Forderungsdurchsetzung ein berechtigtes Interesse bestehen kann. Wichtig ist, dass die Abfrage dann auf diese Zahlungsart beschränkt bleibt und nicht pauschal bei allen Bestellungen erfolgt. Wird über einen externen Dienst wie PayPal oder Klarna gezahlt, entfällt das Ausfallrisiko und damit auch dieser Grund.
Gilt das auch beim Verkauf von Alkohol, Tabak oder FSK-18-Medien?
Dort ist eine Altersprüfung sogar zwingend, weil das Jugendschutzgesetz die Abgabe an Minderjährige verbietet. Allerdings genügt das bloße Geburtsdatum-Feld dann gerade nicht. Erforderlich ist ein wirksames, meist zweistufiges Verfahren mit verlässlicher Identitätsprüfung im Bestellprozess und einer Alterskontrolle bei der Zustellung, etwa über ein Ident-Verfahren und eine Aushändigung nur an volljährige Empfänger.
Welche Folgen hat eine unzulässige Pflichtabfrage?
Ein Verstoß gegen die Datenminimierung kann von den Aufsichtsbehörden mit einem Bußgeld geahndet werden, wie der niedersächsische Fall zeigt, der mit einer behördlichen Anordnung begann. Hinzu kommt ein Abmahnrisiko. Und nicht zuletzt schadet jedes überflüssige Pflichtfeld der Kundenzufriedenheit und erhöht die Zahl der abgebrochenen Bestellungen.
Was ist mit der Telefonnummer als Pflichtfeld?
Für die Telefonnummer gilt dieselbe Logik. Liegt bereits eine E-Mail-Adresse vor und handelt es sich nicht um Speditionsware oder einen Fall mit Terminabstimmung, ist die Telefonnummer für die Vertragsabwicklung meist nicht erforderlich. Sie sollte dann nur als freiwillige Angabe erhoben und klar als solche gekennzeichnet werden.
Einordnung
Die Geburtsdatum-Abfrage im Online-Shop ist ein gutes Beispiel dafür, dass datenschutzrechtliche Sorgfalt und ein schlanker Bestellprozess in dieselbe Richtung wirken. Wer nur die wirklich erforderlichen Daten verlangt, erfüllt den Grundsatz der Datenminimierung und macht es seinen Kunden zugleich leichter, die Bestellung abzuschließen. Das Geburtsdatum gehört dabei in den allermeisten Fällen nicht in die Pflichtfelder, sondern höchstens als anlassbezogene Abfrage an die Stellen, an denen es tatsächlich gebraucht wird.
