In einer aktuellen Entscheidung hat das Niedersächsische Oberverwaltungsgericht klargestellt, dass das Erfassen des Geburtsdatums während des Bestellprozesses in Online-Shops nicht ohne Weiteres zulässig ist. Diese Auffassung, vertreten von der Datenschutzaufsicht Niedersachsen, beruht auf dem Prinzip der Datenminimierung, das besagt, dass die Verarbeitung von Daten auf das notwendige Minimum beschränkt sein sollte.
Hintergrund dieses Rechtsstreits ist eine Anordnung der Datenschutzaufsicht gegenüber einer Online-Apotheke, die das Geburtsdatum als obligatorisches Feld im Bestellprozess erhoben hatte, unabhängig von der Art der bestellten Produkte.
Gemäß den neuen Richtlinien ist die Erfassung des Geburtsdatums üblicherweise nicht zur Vertragserfüllung erforderlich. Selbst zur Identifizierung von Minderjährigen im Bestellprozess genügt es, die Volljährigkeit zu überprüfen, ohne das genaue Geburtsdatum abzufragen.
Auch rechtliche Verpflichtungen oder berechtigte Interessen des Shop-Betreibers rechtfertigen in der Regel nicht die Erfassung des Geburtsdatums. Insbesondere ist es nicht gestattet, zusätzliche Daten ausschließlich zur Erfüllung von Auskunftspflichten zu speichern. Diese Richtlinien gelten auch für Online-Apotheken, obwohl diese besondere Beratungs- und Informationspflichten haben. Eine Ausnahme besteht lediglich für rezeptpflichtige Medikamente, für die spezielle gesetzliche Regelungen gelten.
Der Landesbeauftragte für den Datenschutz Niedersachsen, betont die Bedeutung dieser Entscheidung und fordert Webshop-Betreiber auf, ihre Datenabfragen im Bestellprozess zu überprüfen und klar zu kennzeichnen, insbesondere wenn die Verarbeitung nur auf Einwilligung basiert.
Bedeutung auch für andere Branchen:
Als Fazit lässt sich festhalten, dass dieses Urteil nicht nur für Online-Apotheken relevant ist, sondern auch für Onlineshops aller Branchen oder Websites, die Altersabfragen durchführen, z.B. im Rahmen von Mitgliedschaften, Abonnements oder Bewerbungen. In solchen Fällen ist eine individuelle Prüfung erforderlich, um zu bestimmen, ob die Abfrage des Geburtsdatums zwingend notwendig ist oder ob mildere Methoden zur Altersverifikation verwendet werden können. So genügt es meist, nur das Geburtsjahr zu erfragen oder die Geschäftsfähigkeit mittels Checkbox zu bestätigen.
Gerne stehen unsere Datenschutzberater zur Verfügung, um Ihre Webseiten zu prüfen und sicherzustellen, dass die Abfrage des Geburtsdatums im Einklang mit den geltenden Datenschutzbestimmungen steht.
