Das Geburtsdatum gehört sehr oft zu den Pflichtfeldern bei der Eröffnung eines Kundenkontos oder bei einer Online-Bestellung. Dennoch ist die Abfrage dieses Datums nur sehr eingeschränkt zulässig. Die Unzulässigkeit dieser Abfrage durch eine Online-Apotheke wurde vom Verwaltungsgericht Hannover mit Urteil vom 09.11.2021 (Az- 10 A 502/19) festgestellt. Diese Entscheidung gilt aber nicht nur für Apotheken oder die Gesundheitsbranche.

Das Geburtsdatum, seine Abfrage und der Kontext

Der Verwaltungsgericht Hannover sollte sich zur Zulässigkeit der Speicherung von Geburtsdaten durch eine Online Versand Apotheke äußern. In diesem Online-Shop wurden verschreibungspflichtige aber auch viele rezeptfreie Produkte und Drogerie-Artikel verkauft. Bei jeder Bestellung wurde nach dem Geburtsdatum gefragt.

Ohne eine vorab eingeholte Einwilligung sah das Gericht keine Rechtsgrundlage dafür, das Geburtsdatum in einem Verkaufsprozess einzuholen und zu verarbeiten. Die Speicherung dieser Daten ist also unzulässig, es sei denn, das Alter des Kunden ist entscheidend für die Erfüllung der Beratungspflichten durch den Apotheker.

Rechtsgrundlage zum Geburtsdatum

Das Gericht unterscheidet zwischen den verkauften Produkten:

  • Für die Produkte – egal ob rezeptpflichtig oder -frei –, die eine alterspezifische Beratung erfordern, geht das Verwaltungsgericht davon aus, dass die Apotheke einer Pflicht zur altersgerechten Beratung unterliegt und deswegen nach dem Geburtsdatum fragen darf. Für diese Artikel könnte die Erhebung des Geburtsdatums auf Grund der Erfüllung einer rechtlichen Verpflichtung der Beratung gemäß Art. 6 Abs. 1 S. 1 lit. c) DSGVO oder auf Grund des berechtigten Interesses gem. Art. 6 Abs. 1 S. 1 lit. f) DSGVO erfolgen.
  • Im Umkehrschluss fallen die weiteren verkauften Gegenstände nicht in diesen bestimmten Bereich der Beratungspflicht. In diesem Fall findet die Abfrage des Geburtsdatums keine Rechtsgrundlage und ist deswegen unzulässig.

Das Verbot für die Apotheke, das Geburtsdatum seiner Kunden zu erheben, kann somit als Grundsatz für alle freiverkäuflichen Produkte angewendet werden. Die Zulässigkeit beschränkt sich auf bestimmte Produkte und unter Berücksichtigung der Beratungspflicht des Verkäufers.

Und was ist mit der Geschäftsfähigkeit?

Auch das oft benutzte Argument, dass das Geburtsdatum die Geschäftsfähigkeit des Käufers nachweisen sollte, wurde vom Verwaltungsgericht Hannover verworfen. Die Gewährleistung, dass der Vertragspartner geschäftsfähig ist, könnte mit weniger Datenangaben erfolgen: die Abfrage der Volljährigkeit sollte hier ausreichen.

Datenminimierung

Mit dieser Entscheidung wurde wieder einmal das Prinzip der Datenminimierung nach Art. 5 Abs. 1 lit. c) DSGVO bestätigt. Die Daten dürfen nur eingeholt werden, wenn sie für den Zweck der Verarbeitung notwendig sind. Wenn der Prozess mit weniger Datenspeicherung erfolgen kann, ist die Abfrage weiterer Daten nicht zulässig bzw. ist hierfür eine Einwilligung einzuholen.

Vorsicht bei Mehrfach-Prozess

In diesem dem Urteil zu Grunde liegenden Fall konnten verschiedene Produkte in einem Bestellvorgang im Online-Shop gekauft werden. Dies betraf sowohl verschreibungspflichtige als auch nicht verschreibungspflichtige Medikamente sowie Drogerieartikel. Das Gericht hat aber nicht für jedes einzelne Produkt bzw. Kategorie die Zulässigkeit der Datenabfrage geprüft, sondern für den Bestellprozess im Ganzen.

Es reicht also nicht aus, dass die Eventualität besteht, das Geburtsdatum in bestimmten Fällen zu benötigen. Dieses Datum darf nicht von jedem Kunden unabhängig vom Warenkorb eingeholt und gespeichert werden. Wir raten daher dazu, die Abfrage von Daten im Rahmen von Bestellprozessen auf ihre Notwendigkeit zu überprüfen und ggfs. anzupassen.

Haben Sie Fragen zum Thema Datenschutz? Schreiben Sie uns gerne unter: info@sidit.de

Melden Sie sich an, um regelmäßig tolle Inhalte in Ihrem Postfach zu erhalten!

Kein Kommentar

Schreiben Sie einen Kommentar

Ihre E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Ihre personenbezogenen Daten werden für die Veröffentlichung Ihres Kommentars zum Blogbeitrages gem. unserer Datenschutzerklärung von uns verarbeitet.