Online-Versand-Apotheke darf nicht bei jeder Bestellung das Geburtsdatum erfassen

Die Landesbeauftragte für den Datenschutz Niedersachsen (LfD) wies den Betreiber einer Online-Versandapotheke mit Sitz in Niedersachsen unter anderem an, es zu unterlassen, unabhängig von der Art des bestellten Medikamentes das Geburtsdatum des Bestellers zu erheben und zu verarbeiten.

Bezüglich der Abfrage des Geburtsdatums argumentierte der Betreiber der Online-Apotheke, die Berufsordnung für Apotheker normiere die Pflicht zur altersgerechten Beratung. Um diese Verpflichtung erfüllen zu können, müsse eine entsprechende Abfrage im Bestellprozess erfolgen. Zudem habe sie ein berechtigtes Interesse daran, zu erfahren, ob der Kunde geschäftsfähig sei.

Das Verwaltungsgericht Hannover folgte dieser Auffassung nicht. Die Rüge der LfD bezieht sich nur auf rezeptfrei erwerbbare Produkte. Die Verarbeitung des Geburtsdatums in diesem Bestellvorgang hat folglich zumindest für solche Produkte zu unterbleiben, die keine altersspezifische Beratung erforderten (z.B. auf der Homepage angebotene Drogerieartikel sowie apothekenpflichtige Medikamente, die nicht altersspezifisch zu dosieren sind).

Für diese Produkte bietet die DSGVO keine Rechtsgrundlage zur Datenverarbeitung. Zudem hat der Betreiber der Online-Apotheke von seinen Kunden im Bestellprozess auch keine Einwilligung zur Datenverarbeitung eingeholt.

Für die Überprüfung der Geschäftsfähigkeit der Kunden folgt es dem datenschutzrechtlichen Prinzip der sogenannten »Datenminimierung«, wenn lediglich die Volljährigkeit und nicht das genaue Geburtsdatum abgefragt wird.

VG Hannover, Urteil vom 9.11.2021, 10 A 502/19; n. rk.