Darf die Abfrage des Geburtsdatums im Online-Shop verpflichtend sein?

von

In vielen Online-Shops müssen Kunden ihre Geburtsdaten eingeben. Aber ist dies rechtens? Das OVG Niedersachsen hat nun bestätigt, dass eine Online-Apotheke das Geburtsdatum der Kunden nicht verpflichtend abfragen darf. Kann dies auch für andere Online-Shops gelten?

Online-Apotheke kämpft gegen Datenschutzbehörde

Die Betreiberin einer Online-Apotheke wollte gerichtlich die Aufhebung einer Verfügung der Datenschutzbehörde erreichen.

Die Behörde hatte der Versandapotheke untersagt, im Rahmen des Bestellprozesses das Geburtsdatum der Kunden als Pflichtfeld abzufragen. Nachdem die Klage in erster Instanz abgewiesen worden war, musste sich das OVG Niedersachsen (Beschl. v. 23.01.2024, 14 LA 1/24) damit befassen.

Wofür wird das Geburtsdatum benötigt?

Im Verfahren trug die Betreiberin der Online-Apotheke vor, sie benötige das Geburtsdatum zu den Bestellungen, weil sie so die Kunden zweifelsfrei identifizieren könne. Für jeden Kunden werde ein Arzneimitteldossier angelegt. So sei es möglich, die Kunden hinsichtlich der Medikamenteneinnahme und in Bezug auf Wechselwirkungen mit anderen Medikamenten zu beraten.

Dieses Argument ließ das Gericht nicht gelten. Es hielt die gesamte Maßnahme bereits für ungeeignet, da für die Erfüllung evtl. Beratungspflichten keine Detailkenntnis über den Besteller notwendig sei, sondern vielmehr über die Person, für die die Medikamente bestimmt seien:

„Nicht die eindeutige Identifizierung des Bestellers ist zur Erfüllung von Beratungspflichten notwendig, sondern die Kenntnis von derjenigen Person, die das bestellte Produkt anwenden bzw. einnehmen wird. Die Anlage eines Arzneimitteldossiers für den Besteller erscheint daher zur Erfüllung von Beratungs- und Informationspflichten bereits nicht geeignet.“

Das Gericht wies außerdem darauf hin, dass die datenschutzrechtliche Zulässigkeit der Anlegung eines Medikamentendossiers zu jedem Kunden nicht Gegenstand des Verfahrens war. Dies kann wohl als Hinweis darauf verstanden werden, dass das Gericht dies als unzulässig ansah.

Eindeutige Identifikation der Besteller?

Auch das Argument, dass das Geburtsdatum zur eindeutigen Identifikation der Besteller benötigt werde, griff nicht durch.

In seiner Payback-Entscheidung aus dem Jahr 2008 sah der BGH (Urt. v. 16.07.2008, VIII ZR 348/06) die Erhebung des Geburtsdatums als Mittel der eindeutigen Identifizierung als gerechtfertigt an. Häufig wird diese Entscheidung als Begründung noch heute herangezogen. Dabei muss man aber beachten, dass die damalige Entscheidung im „offline-Kontext“ spielte und dass man für eine Person namens „Max Müller“ tatsächlich eine zusätzliche Angabe benötigte, um diesen bei vielen Millionen Kunden eindeutig zu identifizieren.

In Online-Shops benötigt man hierzu in der Regel das Geburtsdatum aber nicht, da für die eindeutige Identifizierbarkeit bereits die E-Mail-Adresse erhoben wird. Die Unterscheidung der Kunden wird regelmäßig anhand dieses Datums vorgenommen.

Dies sah auch das OVG Niedersachsen so:

Davon abgesehen legt die Beschwerde auch nicht dar, warum das Geburtsdatum zur Identifizierung des Bestellers bei Namensgleichheit erforderlich sein soll. Die Klägerin verfügt auch über die Anschrift sowie die Telefonnummer des Bestellers, es wird nicht erläutert und ist auch nicht ersichtlich, warum mit diesen Daten nicht bereits eine hinreichend sichere Identifizierung namensgleicher Kunden möglich sein soll.

Etwas anderes ergibt sich auch nicht aus der von der Klägerin zitierten Entscheidung des OLG München (Urt. v. 28.9.2006 – 29 U 2769/06). Die Entscheidung, die noch zum alten Recht erging, betraf ein Unternehmen, das ein Kundenbindungs- und Rabattsystem mit über 30 Millionen Kunden betrieb. Ein solches Unternehmen ist mit einer Versandapotheke bereits nicht vergleichbar; es verfügt schon nicht zwingend über die aktuelle Anschrift und Telefonnummer seiner Kunden.

(Die erwähnte Entscheidung des OLG München war die Vorinstanz zum BGH-Urteil in Sachen Payback)

Versand-Apotheken müssen Telefonnummer erheben

Bei Versand-Apotheken kommt noch eine Besonderheit im Vergleich zu anderen Online-Shops hinzu: Gemäß § 17 Abs. 2a Nr. 7 ApBetrO müssen Versand-Apotheken bei der Bestellung die Telefonnummer der Kunden abfragen, unter der sie durch pharmazeutisches Personal der Apotheke mit Erlaubnis zum Versand apothekenpflichtiger Arzneimittel gemäß § 11a des Apothekengesetzes auch mittels Einrichtungen der Telekommunikation ohne zusätzliche Gebühren beraten wird.

Auch über diese Telefonnummer kann also eine eindeutige Identifizierbarkeit erreicht werden.

Geburtsdatum zur Feststellung der Volljährigkeit?

Ein weiteres Argument der Versand-Apotheke war, dass sie über die Angabe des Geburtsdatums die Volljährigkeit und damit die Geschäftsfähigkeit ihrer Kunden feststellen wollte.

Auch damit drang die Versand-Apotheke nicht durch.

Nach Auffassung des Gerichts genüge hierzu zum einen die einfache Abfrage der Volljährigkeit mittels Checkbox und zum anderen hätte die Angabe ohnehin keine rechtliche Wirkung:

„Das Verwaltungsgericht hat dazu ausgeführt, dass für diesen Zweck als milderes Mittel die einfache Abfrage der Volljährigkeit genüge. Damit setzt sich das Beschwerdevorbringen nicht hinreichend auseinander.

Es ist auch nicht ersichtlich, dass die Abfrage der Volljährigkeit zu dem Zweck, die Geschäftsfähigkeit des Kunden zu prüfen, weniger geeignet ist. Anhaltspunkte dafür, dass bei dieser Abfrageart die Hemmschwelle, unwahre Angaben zu machen, geringer ist, als wenn das gesamte Geburtsdatum abgefragt wird, trägt die Klägerin weiterhin nicht vor und sind auch nicht ersichtlich.

Eine Altersprüfung über die Angabe des Geburtsdatums bzw. eine Checkbox bietet im Übrigen ohnedies nicht die Gewähr der Richtigkeit der Angaben. Die Eignung der Abfrage ist daher ohnehin zweifelhaft.“

Ist der Besteller minderjährig und gibt ein falsches Datum an, wird man als Unternehmer daraus nur schwer irgendwelche Konsequenzen ableiten können. Hier greift der gesetzlich sehr hoch angelegte Minderjährigenschutz. Dabei kommt es nicht darauf an, was ein Minderjähriger bezüglich seines Alters sagt, sondern wie alt er tatsächlich ist.

Verträge mit Minderjährigen sind grundsätzlich schwebend unwirksam, bis die Eltern die Verträge genehmigen.

Geburtsdatum notwendig für die Rückabwicklung?

Weiter trug die Versand-Apotheke vor, dass das Geburtsdatum für die Rückabwicklung und für Gewährleistungsfälle notwendig sei.

Hierzu führte das Gericht nur kurz aus:

„Es bleibt unklar, warum im Falle von Rückabwicklungs- und Gewährleistungsansprüchen ohne die Angabe eines Geburtsdatums der Vertragspartner, von dem Name, Anschrift und Telefonnummer bekannt sind, nicht hinreichend identifizierbar sein soll.“

Geburtsdatum notwendig für DSGVO-Auskunftsansprüche?

Die Versand-Apotheke war dann der Meinung, dass das Geburtsdatum notwendig sei, um im Falle der Geltendmachung von Auskunftsansprüchen die Kunden eindeutig identifizieren zu können.

Auch damit drang sie vor Gericht nicht durch. Das OVG Niedersachsen führte hierzu aus:

„Art. 12 Abs. 6 DSGVO gestattet dem Verantwortlichen, sofern er begründete Zweifel an der Identität der natürlichen Person hat, die den Antrag gemäß den Artikeln 15 bis 21 stellt, zusätzliche Informationen anzufordern, die zur Bestätigung der Identität der betroffenen Person erforderlich sind. Eine routinemäßige Identitätsprüfung, die es dem Verantwortlichen ermöglicht, generell die Vorlage eines Identitätsnachweises zu verlangen, ist hiervon nicht erfasst.

Ein Verantwortlicher sollte Identifizierungsdaten daher nicht allein zu dem Zweck speichern, auf mögliche Auskunftsersuchen reagieren zu können. Die Klägerin kann daher nicht das Geburtsdatum sämtlicher Kunden erheben, um dieses im Falle eines Auskunftsersuchens zur im Einzelfall erforderlichen Identitätsprüfung nutzen zu können.“

Geburtsdatum zur Bonitätsprüfung notwendig?

Und schließlich trug die Versand-Apotheke vor, dass die Erhebung des Geburtsdatums nach Art. 6 Abs. 1 lit. f DSGVO aufgrund berechtigter Interessen erforderlich sei. Das berechtigte Interesse ergebe sich aus der Notwendigkeit, das Geburtsdatum im Rahmen der Durchsetzung offener Forderungen gegen säumige Kunden verarbeiten zu müssen.

Online-Händler dürften in dem Zusammenhang sofort an die Stichworte „Kauf auf Rechnung“ und „Bonitätsprüfung“ denken. Allerdings – so scheint es, wenn man die Entscheidung des OVG Niedersachsen liest – machte die Versand-Apotheke im Prozess wohl einen entscheidenden Fehler: Sie trug nicht vor, welche Zahlungsarten sie in ihrem Shop anbot. Das Gericht dazu:

„Die Klägerin legt bereits nicht dar, welche Zahlungsmöglichkeiten sie anbietet und warum insoweit aus ihrer Sicht ein Ausfallrisiko bestehen soll. Ein Ausfallrisiko kann allenfalls beim Kauf auf Rechnung bestehen, weil hier die Klägerin gegenüber dem Kunden in Vorleistung geht. Der Kauf auf Rechnung ist beim Online-Handel aber nur eine von zahlreichen Varianten der Zahlungsabwicklung. Der Verkäufer kann die Versendung der Ware ebenso gut auch von einer vorherigen Zahlung des Kunden mittels Kreditkarte, Vorabüberweisung oder Ähnliches abhängig machen.“

Aus Sicht des Gerichts verständlich: Wenn z.B. nur Vorkasse angeboten wird, warum braucht man dann das Geburtsdatum zur Durchsetzung von Zahlungsansprüchen?

Aber selbst wenn Kauf auf Rechnung (oder Lastschrift) angeboten wird und bei diesen Zahlungsarten ein berechtigtes Interesse an einer Bonitätsprüfung besteht, dürfte das Geburtsdatum dann nicht bei allen Kunden als Pflichtfeld abgefragt werden, sondern nur bei denen, die sich für diese Zahlungsarten entscheiden.

Fazit

Ob man das Geburtsdatum im Rahmen des Bestellprozesses abfragen darf, muss im Einzelfall geprüft werden. Eine pauschale, verpflichtende Abfrage von allen Kunden dürfte regelmäßig gegen die DSGVO verstoßen. Gegen eine freiwillige Abfrage spricht dagegen nicht. Aber auch in diesem Fall sollte in der Datenschutzerklärung beschrieben werden, zu welchen Zwecken man dieses Datum verarbeitet. (mr)

Martin Rätze
Letzte Artikel von Martin Rätze (Alle anzeigen)