Abfrage des Geburtsdatums beim Online-Shopping nicht immer zulässig

Mit der Rechtmäßigkeit einer datenschutzrechtlichen Anordnung hat sich das OVG Niedersachsen befasst. Im Ergebnis hat das OVG einer Online-Apotheke untersagt, als verpflichtende Angabe im Bestellprozess stets das Geburtsdatum abzufragen.

Die niedersächsische Datenschutzbehörde hatte die Apotheke aufgefordert, unabhängig von der Art des bestellten Medikaments das Geburtsdatum und die Anrede des Bestellers nicht mehr abzufragen.

Die Apotheke argumentierte, dass sie das Geburtsdatum benötige, um die Geschäftsfähigkeit des Bestellers zu überprüfen und eine altersgerechte Beratung durchführen zu können. Sowohl die erhobene Klage gegen diese Anweisung als auch die Berufung der Apotheke wurden von den Gerichten abgewiesen. Die Erhebung und Verarbeitung des Geburtsdatums konnte auf keine der Erlaubnistatbestände des Art. 6 Absatz 1 DS-GVO gestützt werden.

– Es wurde festgestellt, dass die Abfrage des Geburtsdatums nicht erforderlich ist, insbesondere nicht zur Durchführung vorvertraglicher Maßnahmen gemäß Art. 6 Abs. 1 Satz 1 Buchstabe b) DS-GVO. Eine einfache Abfrage der Volljährigkeit genüge für die Überprüfung der Geschäftsfähigkeit, ohne dass das konkrete Geburtsdatum erforderlich wäre. Auch wurde betont, dass eine altersabhängige Beratung nicht immer notwendig ist, da viele der angebotenen Produkte altersunabhängig konsumiert oder angewendet werden können.

– Die Abfrage des Geburtsdatums konnte auch nicht auf die Erfüllung einer gesetzlichen Pflicht gem. Art. 6 Abs. 1 Satz 1 Buchstabe c) DSGVO) gestützt werden, insbesondere da die Apotheke nur rezeptfreie Produkte auf ihrer Website anbietet.

– Art. 12 Abs. 6 DS-GVO gestatte dem Verantwortlichen, sofern er begründete Zweifel an der Identität der natürlichen Person hat, die den Antrag gemäß den Artikeln 15 bis 21 stellt, zusätzliche Informationen anzufordern, die zur Bestätigung der Identität der betroffenen Person erforderlich seien. Eine routinemäßige Identitätsprüfung, die es dem Verantwortlichen ermöglicht, generell die Vorlage eines Identitätsnachweises zu verlangen, sei hiervon nicht erfasst. Die Klägerin könne daher nicht das Geburtsdatum sämtlicher Kunden erheben, um dieses im Falle eines Auskunftsersuchens zur im Einzelfall erforderlichen Identitätsprüfung nutzen zu können.

– Es wurde festgestellt, dass zur Identifizierung des Bestellers bei Namensgleichheit die Anschrift sowie die Telefonnummer des Bestellers ausreichend sind. Als milderes Mittel zur Feststellung der Geschäftsfähigkeit wurde die einfache Abfrage der Volljährigkeit vorgeschlagen, da weder eine Altersprüfung über die Angabe des Geburtsdatums noch eine Checkbox die Richtigkeit der Angaben gewährleistet.

OVG Niedersachsen

(Foto: vegefox.com – stock.adobe.com)

Letztes Update:15.05.24

  • EU Datenstrategie

    Der DSB im Dickicht der Europäischen Datenstrategie

    Die EU-Datenstrategie ist eine umfassende Initiative der Europäischen Union, die darauf abzielt, den digitalen Binnenmarkt zu stärken und Europa weltweit wettbewerbsfähiger zu machen, indem die Nutzung von Daten gefördert und reguliert wird. Diese Strategie ist ein zentraler Bestandteil der digitalen Transformation Europas und umfasst verschiedene Maßnahmen und Gesetzgebungen, die den rechtlichen Rahmen für den Umgang

    Mehr erfahren
  • Folge 57: KI-Kompetenz Pflichten und Chancen für Unternehmen

    Am 12. Juli 2024 wird die KI-Verordnung im Amtsblatt der EU veröffentlicht und tritt am 1. August 2024 in Kraft. Was ist ein KI-System und was bedeutet es, dass es autonom agiert? Warum kann KI nicht denken und trotzdem sinnvoll in menschlicher Sprache antworten und Fragen stellen? Welche Nutzung von KI-Systemen ist gefahrlos möglich? Wo

    Mehr erfahren
  • Audit Messenger

    Standardisierte Prüfung von Messengern

    Der Europäische Datenschutzausschus (EDSA) hatte bereits auf den Vorschlag des BfDI die Umsetzung des Auskunfsrechts durch die für die Verarbeitung Verantwortlichen gemäß Art. 15 DS-GVO als Thema für seine dritte koordinierte Durchsetzungsmaßnahme in 2024 beschlossen. Die koordinierten Maßnahmen erfolgen auf Basis des Beschlusses des EDSA aus Oktober 2020, einen koordinierten Durchsetzungsrahmen (Coordinated Enforcement Framework –

    Mehr erfahren