Eine Online-Versandapotheke darf das Geburtsdatum von Kunden nicht einfach abfragen. Versandapotheken müssen unterscheiden: Sie können für Produkte Daten erheben und verarbeiten, die eine altersspezifische Beratung erfordern. Die pauschale Abfrage des Alters bei jedem Bestellvorgang ist datenschutzwidrig.
In einem Urteil kommt das Verwaltungsgericht Hannover zu dem Schluss: „Die pauschale Erhebung und Verarbeitung des Geburtsdatums ohne Rücksicht darauf, ob es sich im Einzelfall um ein Medikament handelt, das altersgerecht zu dosieren ist, ist datenschutzrechtlich unzulässig.“ (Verwaltungsgericht Hannover, Urteil vom 9. November 2021, 10 A 502/19)
Datensparsamkeit als Gebot
Das Geburtsdatum ist laut Datenschutzgrundverordnung (DSGVO) ein personenbezogenes Datum (Art. 4 Nr. 1 DSGVO). Es handelt sich somit bei dessen Abfrage im Bestellformular auf einer Homepage um einen Verarbeitungsvorgang im Sinne der DSGVO. Eine rechtmäßige Verarbeitung personenbezogener Daten kann nur mit Einwilligung der betroffenen Person oder auf Basis sonstiger gesetzlich geregelter legitimer Grundlagen erfolgen. Das ist etwa der Fall, wenn sie zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. Im Onlinehandel einer Versandapotheke ist die Erhebung und Verarbeitung des genauen Geburtsdatums, das sich aus Tag, Monat und Jahr zusammensetzt, nicht zur Erfüllung des Vertrags über altersunabhängig zu dosierende Produkte erforderlich. Soweit die Geschäftsfähigkeit der Kunden zu überprüfen ist, erfordert das Prinzip der Datenminimierung, dass lediglich die Volljährigkeit (und nicht das genaue Geburtsdatum) abgefragt wird.
Wie können Versandapotheken rechtssicher das Alter der Kunden abfragen?
Die Richter führen aus, dass es technisch zumutbar und möglich ist, dass Versandapotheken das Geburtsdatum nur bei denjenigen Produkten abfragen, bei denen eine altersabhängige Beratung erforderlich ist. Dies ist im Onlinehandel üblich, beispielsweise bei Händlern, die Videospiele mit einer Altersbeschränkung oder Spirituosen anbieten und auf deren Webseite für nur diese Produkte eine besondere Abfrage erfolgt. Möchte ein Onlinehändler darüber hinaus dennoch das ausführliche Geburtsdatum seiner Kunden abfragen, ist dies nur über eine Einwilligung der betroffenen Person möglich.
Keine verpflichtende Frage nach dem Geschlecht
Ein weiterer Kritikpunkt der Aufsichtsbehörde befasste sich mit der verpflichtend auszuwählenden Anrede im Bestellformular. Hier hatte der Kunde ursprünglich nur die Auswahl zwischen „Frau“ oder „Herr“. Die beklagte Versandapotheke hat bereits vor Einreichung der Klage ein weiteres Feld „ohne Angabe“ eingefügt.
Das sollten Sie beachten
„Das Urteil sagt nicht, dass es unrechtmäßig ist, das Geburtsdatum von Kunden zu erheben, sondern lediglich, dass dies handwerklich korrekt erfolgen muss“, sagt Datenschutz-Expertin Larissa von Paulgerg bei Ecovis in München. In einzelnen Fällen müsse eine Apotheke im Rahmen ihrer Beratung sicher auch auf das Alter und Geschlecht ihrer Kundschaft eingehen, so das Gericht. „Dann muss sich die Abfrage aber ausdrücklich auf die Person beziehen, die ein bestimmtes Medikament einnehmen soll“, sagt von Paulgerg. Die Angaben der Bestellenden generell zu ermitteln, sei in diesem Zusammenhang weder sinnvoll noch erforderlich.
In einem Urteil kommt das Verwaltungsgericht Hannover zu dem Schluss: „Die pauschale Erhebung und Verarbeitung des Geburtsdatums ohne Rücksicht darauf, ob es sich im Einzelfall um ein Medikament handelt, das altersgerecht zu dosieren ist, ist datenschutzrechtlich unzulässig.“ (Verwaltungsgericht Hannover, Urteil vom 9. November 2021, 10 A 502/19)
Datensparsamkeit als Gebot
Das Geburtsdatum ist laut Datenschutzgrundverordnung (DSGVO) ein personenbezogenes Datum (Art. 4 Nr. 1 DSGVO). Es handelt sich somit bei dessen Abfrage im Bestellformular auf einer Homepage um einen Verarbeitungsvorgang im Sinne der DSGVO. Eine rechtmäßige Verarbeitung personenbezogener Daten kann nur mit Einwilligung der betroffenen Person oder auf Basis sonstiger gesetzlich geregelter legitimer Grundlagen erfolgen. Das ist etwa der Fall, wenn sie zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. Im Onlinehandel einer Versandapotheke ist die Erhebung und Verarbeitung des genauen Geburtsdatums, das sich aus Tag, Monat und Jahr zusammensetzt, nicht zur Erfüllung des Vertrags über altersunabhängig zu dosierende Produkte erforderlich. Soweit die Geschäftsfähigkeit der Kunden zu überprüfen ist, erfordert das Prinzip der Datenminimierung, dass lediglich die Volljährigkeit (und nicht das genaue Geburtsdatum) abgefragt wird.
Wie können Versandapotheken rechtssicher das Alter der Kunden abfragen?
Die Richter führen aus, dass es technisch zumutbar und möglich ist, dass Versandapotheken das Geburtsdatum nur bei denjenigen Produkten abfragen, bei denen eine altersabhängige Beratung erforderlich ist. Dies ist im Onlinehandel üblich, beispielsweise bei Händlern, die Videospiele mit einer Altersbeschränkung oder Spirituosen anbieten und auf deren Webseite für nur diese Produkte eine besondere Abfrage erfolgt. Möchte ein Onlinehändler darüber hinaus dennoch das ausführliche Geburtsdatum seiner Kunden abfragen, ist dies nur über eine Einwilligung der betroffenen Person möglich.
Keine verpflichtende Frage nach dem Geschlecht
Ein weiterer Kritikpunkt der Aufsichtsbehörde befasste sich mit der verpflichtend auszuwählenden Anrede im Bestellformular. Hier hatte der Kunde ursprünglich nur die Auswahl zwischen „Frau“ oder „Herr“. Die beklagte Versandapotheke hat bereits vor Einreichung der Klage ein weiteres Feld „ohne Angabe“ eingefügt.
Das sollten Sie beachten
„Das Urteil sagt nicht, dass es unrechtmäßig ist, das Geburtsdatum von Kunden zu erheben, sondern lediglich, dass dies handwerklich korrekt erfolgen muss“, sagt Datenschutz-Expertin Larissa von Paulgerg bei Ecovis in München. In einzelnen Fällen müsse eine Apotheke im Rahmen ihrer Beratung sicher auch auf das Alter und Geschlecht ihrer Kundschaft eingehen, so das Gericht. „Dann muss sich die Abfrage aber ausdrücklich auf die Person beziehen, die ein bestimmtes Medikament einnehmen soll“, sagt von Paulgerg. Die Angaben der Bestellenden generell zu ermitteln, sei in diesem Zusammenhang weder sinnvoll noch erforderlich.
