OVG Niedersachsen: Pauschale Abfrage des Geburtsdatums unzulässig
Bei der Abfrage von Kundendaten im Rahmen des Online-Handels kommt es regelmäßig zu Verletzungen von Datenschutzrecht. In einer Entscheidung vom 23.03.2024 hat das Oberverwaltungsgericht (OVG) Niedersachsen die pauschale Abfrage des Geburtsdatums durch eine Online-Apotheke für unzulässig erklärt.
Der zugrundeliegende Fall
Die Klägerin ist eine Online-Apotheke. Diese fragt im Rahmen des Bestellvorgangs verpflichtend das Geburtsdatum ab. Das tat sie unabhängig von der Art des bestellten Produkts, also auch bei nicht verschreibungspflichtigen Drogerieprodukten. Die zuständige Datenschutzbehörde stellte daraufhin einen Verstoß gegen die Datenschutzgrundverordnung (DSGVO) fest. Sie ordnete infolgedessen die Unterlassung der pauschalen Erhebung und Verarbeitung des Geburtsdatums an.
Die Klage der Web-Apotheke
Hiergegen wehrt sich die Versandapotheke mit einer Klage vor dem Verwaltungsgericht (VG) Hannover. Diese begründet sie damit, dass sie das Geburtsdatum benötige, um die Geschäftsfähigkeit des Bestellers zu überprüfen und eine altersgerechte Beratung zu gewährleisten. Nur durch eine eindeutige Identifikation mittels des Geburtsdatums sei eine Fehl- oder Doppelmedikation vermeidbar. Im Übrigen könne sie nur so ihre vertraglichen Beratungs- und Informationspflichten gemäß der Apothekenbetriebsordnung erfüllen. Hierfür lege man ein Arzneimitteldossier an. Die Klage wies das VG Hannover mit Urteil (10 A 502/19) vom 09.11.2021 ab. Die Klägerin hat hiergegen einen Antrag zur Zulassung der Berufung eingereicht.
Das Urteil des OVG: Kein pauschales Abfragen des Geburtsdatums
Das OVG Niedersachsen schließt sich in seinem Urteil (14 LA 1/24) dem VG Hannover an und entscheidet, dass eine pauschale Abfrage des Geburtsdatums durch die Online-Apotheke unzulässig sei.
Die einfache Abfrage der Volljährigkeit reiche, um die Geschäftsfähigkeit zu überprüfen. Zudem gewähre eine einfache Kontrolle anhand der selbstständigen Eingabe des Geburtsdatums ohnehin keine Richtigkeit der Angabe.
Außerdem sei das Geburtsdatum für eine altersgerechte Beratung nicht zwingend erforderlich, da nicht alle Produkte altersabhängig sind. Weiterhin brauche eine Apotheke ein Arzneimitteldossier nicht zwangsläufig, um ihre Beratungspflichten zu erfüllen. Dessen Zulässigkeit ist ohnehin noch nicht abschließend geklärt. Im Übrigen dürfe eine Abfrage allenfalls auch nur zur Person erfolgen, die die Medikamente am Ende einnimmt, nicht aber zu der bestellenden Person.
Auch für Rückabwicklungs- und Gewährleistungsansprüche brauche man diese Information nicht. Vielmehr reiche für eine eindeutige Identifizierung schon der Name in Verbindung mit der Anschrift und der Telefonnummer. Bei dem Geburtsdatum handle es sich hingegen um ein fest mit den Betroffenen verbundenes Datum, das einen besonderen Schutz rechtfertige. Im Übrigen sei auch nicht ersichtlich, weshalb ein Ausfallrisiko bezüglich der Zahlung bestehen soll. Außerdem komme es auf etwaige gesetzliche Vorschriften nicht an, da die Online-Bestellung nur für rezeptfreie Produkte angeboten wird.
Fazit
Online-Apotheken dürfen also auch nicht bei verschreibungspflichtigen Medikamenten pauschal das Geburtsdatum erheben. In diesem Fall reicht eine einfache Abfrage der Volljährigkeit aus. Das Urteil bringt aber auch insgesamt Klarheit zur Abfrage des Geburtsdatums durch Online-Shops. Es bestätigt die Auffassung des Landesbeauftragten für den Datenschutz Niedersachsen, Denis Lehmkemper, dass eine Abfrage dieses Datums nicht grundsätzlich erlaubt ist. Infolge des Grundsatzes der Datenminimierung dürfen solche Informationen nur unter bestimmten Bedingungen und mit Einwilligung des Kunden erhoben werden. Deshalb empfiehlt er, bei der Abfrage das Feld zum Geburtsdatum eindeutig als „freiwillig“ zu markieren.
