Geburtsdatum als Pflichtfeld in Webshops oft unzulässig

Beim Einkaufen in Online-Shops im Rahmen eines Bestellprozesses darf nicht ohne Weiteres das Geburtsdatum als zwingende Angabe abgefragt werden. Darüber informierte jetzt der Landesdatenschutzbeauftragte Denis Lehmkemper. Danach wurde die von der Datenschutzaufsicht Niedersachsen vertretene Rechtsauffassung vom Niedersächsischen Oberverwaltungsgericht (OVG) durch Beschluss vom 23. Januar 2024 (AZ: 14 LA 1/24) bestätigt. In dieser Entscheidung drückt sich der Grundsatz der Datenminimierung aus, nach dem die Verarbeitung auf das notwendige Maß zu beschränken ist.
Hintergrund des gerichtlichen Verfahrens ist eine Unterlassungsanordnung der niedersächsischen Datenschutzaufsicht gegenüber einer Online-Apotheke, die das Geburtsdatum im Bestellprozess erhoben hatte. Die Abfrage erfolgte unabhängig von der Art der bestellten Ware, also nicht nur bei Medikamenten, sondern auch bei allgemeinen Drogerieprodukten.
Aus Sicht des Datenschutzbeauftragten stellt sich die Situation für Online-Shops so dar: Die Verarbeitung des Geburtsdatums ist datenschutzrechtlich üblicherweise nicht zur Erfüllung eines Vertrags erforderlich. Selbst für eine Prüfung, ob Minderjährige im Webshop bestellen und der Vertrag daher schwebend unwirksam sein könnte, können die Betreiberinnen und Betreiber lediglich die Volljährigkeit abfragen und benötigt nicht das genaue Geburtsdatum.
Weiter ist es in dieser Lesart auch nicht erforderlich, das Geburtsdatum zu erheben, um einen Kunden oder eine Kundin eindeutig zu identifizieren. Man könne sich auch nicht darauf berufen, dass man die eindeutige Identifizierung benötigt, um Kundinnen und Kunden zu ermöglichen, ihre Betroffenenrechte gegenüber einem Webshop geltend zu machen. Ganz im Gegenteil, so der Datenschutzbeauftrage, sollen ausdrücklich keine zusätzlichen Daten allein für die Erfüllung etwa von Auskunftspflichten gespeichert werden.
Schließlich kann der Verantwortliche das standardmäßige Erheben und Verarbeiten des Geburtsdatums nicht auf seine berechtigten Interessen stützen. Zwar kann die Vorsorge für ein gegebenenfalls notwendiges Eintreiben offener Zahlungen ein berechtigtes Interesse darstellen, jedoch nur, wenn überhaupt ein Ausfallrisiko hinsichtlich der Zahlung besteht. Ein solches Risiko liegt jedoch beispielsweise nicht bei der Bezahlung per Vorkasse vor.
All dies gilt auch für den Sonderfall einer Online-Apotheke. Zwar sind Apotheken in besonderem Maße verpflichtet, den Käufer zu beraten, zu informieren und aufzuklären. Doch diese Pflichten gelten nur für bestimmte Produktkategorien. Eine Sonderreglung nach der Arzneimittelverschreibungsordnung für rezeptpflichtige Medikamente ist für die sonstigen Vertriebsprodukte der Online-Apotheke nicht anwendbar.
Ein Argument gegen die verpflichtende Angabe des Geburtsdatums war im aktuellen Fall zudem, dass der Bestellprozess dieses zwar für den Käufer abfragte, nicht jedoch für die Person, die das Produkt später verwenden sollte.
„Während sich eine Anschrift durch einen Umzug verändern kann, ist das Geburtsdatum ein besonders dauerhaftes Datum. Ich begrüße daher die Klarheit, mit der die Gerichte die Argumente der Beklagten zurückgewiesen haben", so der Landesdatenschutzbeauftragte Lehmkemper.
Betreiber von Webshops sollten daher überprüfen, ob sie im Bestellprozess das Geburtsdatum als zwingende Angabe abfragen, und zu welchen Zwecken und auf welcher Rechtsgrundlage es verarbeitet wird. Sollte die Abfrage nur auf die Einwilligung als Rechtsgrundlage gestützt werden können, ist das entsprechende Eingabefeld im Bestellformular eindeutig als „freiwillig" zu kennzeichnen und die Kundinnen und Kunden sind über die Verwendung dieses Datums umfassend zu informieren. Geben diese kein Geburtsdatum an, muss der Bestellprozess fortgesetzt werden können.
Weiterführende Informationen:
Stand: 21.03.2024