Abfrage des Geburtsdatums beim Online-Shopping nicht immer zulässig

Mit der Rechtmäßigkeit einer datenschutzrechtlichen Anordnung hat sich das OVG Niedersachsen befasst. Im Ergebnis hat das OVG einer Online-Apotheke untersagt, als verpflichtende Angabe im Bestellprozess stets das Geburtsdatum abzufragen.

Die niedersächsische Datenschutzbehörde hatte die Apotheke aufgefordert, unabhängig von der Art des bestellten Medikaments das Geburtsdatum und die Anrede des Bestellers nicht mehr abzufragen.

Die Apotheke argumentierte, dass sie das Geburtsdatum benötige, um die Geschäftsfähigkeit des Bestellers zu überprüfen und eine altersgerechte Beratung durchführen zu können. Sowohl die erhobene Klage gegen diese Anweisung als auch die Berufung der Apotheke wurden von den Gerichten abgewiesen. Die Erhebung und Verarbeitung des Geburtsdatums konnte auf keine der Erlaubnistatbestände des Art. 6 Absatz 1 DS-GVO gestützt werden.

– Es wurde festgestellt, dass die Abfrage des Geburtsdatums nicht erforderlich ist, insbesondere nicht zur Durchführung vorvertraglicher Maßnahmen gemäß Art. 6 Abs. 1 Satz 1 Buchstabe b) DS-GVO. Eine einfache Abfrage der Volljährigkeit genüge für die Überprüfung der Geschäftsfähigkeit, ohne dass das konkrete Geburtsdatum erforderlich wäre. Auch wurde betont, dass eine altersabhängige Beratung nicht immer notwendig ist, da viele der angebotenen Produkte altersunabhängig konsumiert oder angewendet werden können.

– Die Abfrage des Geburtsdatums konnte auch nicht auf die Erfüllung einer gesetzlichen Pflicht gem. Art. 6 Abs. 1 Satz 1 Buchstabe c) DSGVO) gestützt werden, insbesondere da die Apotheke nur rezeptfreie Produkte auf ihrer Website anbietet.

– Art. 12 Abs. 6 DS-GVO gestatte dem Verantwortlichen, sofern er begründete Zweifel an der Identität der natürlichen Person hat, die den Antrag gemäß den Artikeln 15 bis 21 stellt, zusätzliche Informationen anzufordern, die zur Bestätigung der Identität der betroffenen Person erforderlich seien. Eine routinemäßige Identitätsprüfung, die es dem Verantwortlichen ermöglicht, generell die Vorlage eines Identitätsnachweises zu verlangen, sei hiervon nicht erfasst. Die Klägerin könne daher nicht das Geburtsdatum sämtlicher Kunden erheben, um dieses im Falle eines Auskunftsersuchens zur im Einzelfall erforderlichen Identitätsprüfung nutzen zu können.

– Es wurde festgestellt, dass zur Identifizierung des Bestellers bei Namensgleichheit die Anschrift sowie die Telefonnummer des Bestellers ausreichend sind. Als milderes Mittel zur Feststellung der Geschäftsfähigkeit wurde die einfache Abfrage der Volljährigkeit vorgeschlagen, da weder eine Altersprüfung über die Angabe des Geburtsdatums noch eine Checkbox die Richtigkeit der Angaben gewährleistet.

OVG Niedersachsen

(Foto: vegefox.com – stock.adobe.com)

Letztes Update:15.05.24

  • Cover Podcast Folge 63: Datenschutz in der Onlinewirtschaft – Datennutzungsrecht und Einwilligungsverwaltung

    Episode 63: Datenschutz in der Onlinewirtschaft – Datennutzungsrecht und Einwilligungsverwaltung

    Dirk Freytag (BVDW und Content Pass) und Uli Hegge (netID) sind gestandene Digitalunternehmer. Sie setzen sich für die Umsetzung eines fairen, effizienten und in der Praxis lebbaren Datenschutz in der Onlinewirtschaft ein. Im Podcast geht es um die Idee eines Datennutzungsrechts und das Verständnis des Datenschutzbeauftragten im Sinne eines Datennutzungsbeauftragten, um Einwilligungsverwaltungsdienste und Single-Sign-On-Angebote sowie

    Mehr erfahren
  • Mindesstandard zur Protokollierung von Cyberangriffen

    Aktualisierung: Mindeststandard zur Protokollierung und Detektion von Cyber-Angriffen

    Immer häufiger werden Cyber-Angriffe auf Unternehmen und Regierungen bekannt, die folgenschwere Konsequenzen für die Betroffenen auslösen. Die meisten IT-Systeme in Organisationen verfügen über Möglichkeiten, um ein Audit-Logging zu aktivieren. Bereits mit den Standardeinstellungen werden dabei in der Regel alle wichtigen Ereignisse aufgezeichnet. Damit dabei aber keine gigantischen Datenmengen entstehen, die nur mit hohem Aufwand zu verarbeiten

    Mehr erfahren
  • MItarbeiterexzess durch unzulässige Datenbankabfrage

    Klassiker: Mitarbeiterexzess durch unzulässige Datenbankabrufe

    Regel: Unternehmen haften für Datenschutzverstöße ihrer BeschäftigtenNach Auffassung der Datenschutzkonferenz (DSK) als Gremium der deutschen Datenschutzaufsichtsbehörden sollen Unternehmen im Rahmen von Art. 83 DS-GVO für Datenschutzverstöße eines jeden Beschäftigten haften, wenn der Mitarbeiter nicht im Exzess (für eigene Zwecke) gehandelt hat. Dabei sei nicht erforderlich, dass für die Handlung ein gesetzlicher Vertreter oder eine Leitungsperson verantwortlich ist.

    Mehr erfahren
WordPress Cookie Hinweis von Real Cookie Banner