ZAP 19/2024, Internetreport / 15 Geburtsdatum als unzulässige Pflichtangabe im Onlineshop

Eine Online-Versandapotheke (spätere Klägerin) verlangte in ihren Online-Bestellformularen u.a. die – verpflichtende – Angabe des Geburtsdatums des Bestellers. Eine Datenschutzbehörde hatte nachfolgend die Online-Versandapotheke mit Bescheid v. 8.1.2019 angewiesen, es zu unterlassen, unabhängig von der Art des bestellten Medikamentes das Geburtsdatum und die Anrede des Bestellers abzufragen. Die Erhebung und Verarbeitung des Geburtsdatums unabhängig davon, welches Produkt bestellt werde, verstoße gegen das in Art. 5 Abs. 1 Buchst. c DSGVO normierte Prinzip der Rechtmäßigkeit der Datenverarbeitung; die Verarbeitung des Geburtsdatums könne ferner auf keine der in Art. 6 Abs. 1 DSGVO normierte Rechtsgrundlage gestützt werden. Die dagegen seitens der Klägerin erhobene Klage wies das VG Hannover (Urt. v. 9.11.2021 – 10 A 502/19) ab; die Berufung ließ es nicht zu. Den dagegen gerichteten Antrag der Klägerin auf Zulassung der Berufung lehnte das OVG Niedersachsen (Beschl. v. 23.1.2024 – 14 LA 1/24) ab. Es bestünden keine ernstlichen Zweifel an der Richtigkeit der angefochtenen Entscheidung der Datenschutzbehörde.

Die Apotheke hatte u.a. vorgetragen, dass für die Erfüllung der ihr obliegenden Beratungs- und Informationspflichten aus § 20 Abs. 1, 2 Apothekenbetriebsordnung notwendig sei, den Kunden bzw. Patienten zweifelsfrei zu identifizieren. Für eine einwandfreie Identifikation des Kunden und zur Verhinderung von Dubletten sei neben dem Vor- und Nachnamen des Kunden auch dessen Geburtsdatum erforderlich. Dieses Argument wies das Gericht zurück. Hierbei sei auch zu berücksichtigen, dass die Klägerin über die Anschrift sowie die Telefonnummer des Bestellers verfüge, sodass hierüber bereits eine hinreichend sichere Identifizierung möglich sei. Auch das weitere Argument der Klägerin, dass die Verarbeitung des Merkmals „Geburtsdatum” zur Feststellung der Geschäftsfähigkeit der Kunden erforderlich sei, sei nicht überzeugend. Zu diesem Zweck stelle die Abfrage der Volljährigkeit ein milderes Mittel dar. Es sei auch nicht ersichtlich, dass die Abfrage der Volljährigkeit zu dem Zweck, die Geschäftsfähigkeit des Kunden zu prüfen, weniger geeignet sei. Das weitere Argument der Klägerin, dass die Verarbeitung des Merkmals „Geburtsdatum” für die Erfüllung von Rückabwicklungs- und Gewährleistungsansprüchen Relevanz habe, sei bereits nicht hinreichend substantiiert. Es sei unklar, warum im Falle von Rückabwicklungs- und Gewährleistungsansprüchen ohne die Angabe eines Geburtsdatums der Kunde, dessen Name, Anschrift und Telefonnummer bereits bekannt seien, nicht hinreichend identifizierbar sei. Auch der Vortrag der Klägerin, dass die Verarbeitung des Geburtsdatums zur Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 S. 1 Buchst. c DSGVO) erforderlich sei, um Kunden, die Auskunftsansprüche i.S.d. Art. 15 DSGVO geltend machen würden, hinreichend klar zu identifizieren, sei nicht überzeugend. Art. 12 Abs. 6 DSGVO gestatte es dem Verantwortlichen zwar, zusätzliche Informationen anzufordern, die zur Bestätigung der Identität der betroffenen Person erforderlich seien, sofern begründete Zweifel an der Identität der natürlichen Person bestünden. Eine routinemäßige Identitätsprüfung sei hiervon jedoch nicht erfasst.