Wer online bestellt, muss häufig sein Geburtsdatum angeben. Nach dem Urteil des Verwaltungsgerichts Hannover vom 9.11.2021 (Az: 10 A 502/19) dürfen Versandapotheken jedoch nicht bei allen Bestellungen die Geburtsdaten abfragen.
Der Inhalt im Überblick
Was ist passiert?
Wie der Pressemitteilung des Verwaltungsgerichts Hannover zu entnehmen ist, klagte die Betreiberin einer Online-Versandapotheke gegen einen Bescheid der Landesbeauftragten für den Datenschutz in Niedersachsen. Die Versandapotheke fragte die Geburtsdaten ihrer Kunden in jedem Bestellprozess ab. Dieses Verhalten war der niedersächsischen Aufsichtsbehörde ein Dorn im Auge. Sie forderte die Betreiberin dazu auf, die Erhebung der Geburtsdaten bei rezeptfreien Produkten zu unterlassen. Außerdem kritisierte die Aufsichtsbehörde, dass Kunden bei Bestellungen eine Angabe zu ihrer gewünschten Anrede machen sollten. Kunden konnten im Bestellformular zwischen den Anredeformen „Herr“ und „Frau“ wählen.
Apotheke passt Anreden an
Schon vor der mündlichen Verhandlung lenkte die Betreiberin der Apotheke ein. Im Bestellvorgang können Kunden bei der gewünschten Anrede nun auch die Option „ohne Angabe“ auswählen. Die Parteien erklärten das Verfahren in diesem Punkt für erledigt.
Müssen Versandapotheken über Geburtsdaten informiert sein?
Nach § 20 Abs. 1 der Apothekenbetriebsordnung (ApBetrO) müssen Apotheken ihre Kunden beim Kauf von verschreibungspflichtigen Medizinprodukten aktiv beraten. Die altersspezifische Beratung wird vor allem relevant, wenn die Dosierung der Arzneimittel von dem Alter des Anwenders abhängig ist. Die Betreiberin der Apotheke argumentierte, dass die Kenntnis über das Geburtsdatum zur Gewährleistung der Beratung notwendig sei.
Das VG Hannover überzeugte dieses Argument nicht. Im Onlineshop der Apotheke könne man auch Medikamente und Drogerieartikel erwerben, die keine altersspezifische Beratung erfordern. Für diese Produkte müsse eine Abfrage des Geburtsdatums unterbleiben.
Der Bescheid der niedersächsischen Aufsichtsbehörde stimmte mit der Auffassung des Gerichts überein. Die Rüge hatte sich ausschließlich auf rezeptfrei erhältliche Produkte bezogen.
Grundsatz der Datenminimierung
Die Klägerin machte außerdem geltend, dass das Geburtsdatum zur Überprüfung der Geschäftsfähigkeit der Kunden benötigt werde.
Auch diesem Argument folgte das zuständige Gericht nicht. Es berief sich stattdessen auf das datenschutzrechtliche Prinzip der Datenminimierung aus Art. 5 Abs. 1 lit. c) DSGVO. Daten, die nicht benötigt werden, dürfen auch nicht erhoben werden. Die Angabe von Geburtsdaten sei nicht notwendig, um sicherzustellen, dass Kunden volljährig und somit voll geschäftsfähig sind. Die Frage danach, ob ein Besteller volljährig ist, sei ausreichend.
Keine Einwilligung für die Datenverarbeitung
Eine Einwilligung der Kunden in die Verarbeitung ihrer Geburtsdaten wurde im Bestellprozess ebenfalls nicht eingeholt. Das VG Hannover kam somit zu dem Schluss, dass die Datenverarbeitung rechtswidrig erfolgt ist.
Bedeutung für die Praxis
Nach dem Urteil des Verwaltungsgerichts Hannover dürfen Versandapotheken, Geburtsdaten nicht bei allen Bestellungen abfragen. Wenn Kunden rezeptfreie Produkte bestellen und keine datenschutzrechtliche Einwilligung vorliegt, ist die Datenerhebung unzulässig.
Warum reicht nicht die Angabe des Alters bzw. Geburtsjahres aus um die Volljährigkeit bzw. Beratung durchführen zu können? Das Geburtsdatum kann eh nicht kontrolliert aber fremdgenutzt werden.
Danke
Das VG Hannover ist auch dieser Meinung. Nach dem Urteil reicht die Abfrage der Volljährigkeit aus. Das heißt die Angabe des Alters bzw. Geburtsjahres genügt, um die Geschäftsfähigkeit sicherzustellen. Das Gericht hat betont, dass das Risiko von Falschangaben sowohl bei dieser Art von Abfrage, als auch bei der Abfrage des vollständigen Geburtsdatums besteht. Die Apotheken Betreiberin hatte argumentiert, dass das Missbrauchsrisiko bei der Abfrage des vollständigen Geburtsdatums geringer ist. Diese Ansicht teilt das Gericht jedoch nicht.