(15.2.2024) Eine Online-Versandapotheke darf zwar Stammdaten, wie den Namen, die Anschrift und die Zahlungsinformationen verarbeiten. Daneben kann einzelfallbezogen auch das Geburtsdatum bzw. das Geburtsjahr verarbeitet werden, wenn dies im jeweiligen Fall erforderlich ist. Es ist einer Online-Versandapotheke aber aus Gründen des Datenschutzes untersagt, das Geburtsdatum und die Anrede bei allen Bestellvorgängen zu erfassen und zu verarbeiten, es sei denn, der Kunde hat dafür ausdrücklich seine Einwilligung erteilt (OVG Lüneburg, Beschluss vom 23. Januar 2024 – 14 LA 1/24).
Der Fall:
Eine Online-Versandapotheke erfasste neben Namen und Adresse sowie Telefonnummer ihrer Kunden auch standardmäßig deren Geburtsdatum. Dies mißfiel dem zuständigen Datenschutzbeauftragten und er untersagte dies, wogegen die Online-Versandapotheke klagte.
Die Entscheidung:
Ebenso wie die Vorinstanz war auch das Oberverwaltungsgericht Schleswig der Ansicht, dass die Speicherung des Namens bei jedem Bestellvorgang datenschutzwidrig sei.
Die Erhebung und Verarbeitung des Geburtsdatums unabhängig davon, welches Produkt bestellt werde, verstoße gegen das in Art. 5 Abs. 1 lit. a DSGVO normierte Prinzip der Rechtmäßigkeit und stehe somit im Widerspruch zur Datenschutzgrundverordnung. Die Erhebung und Verarbeitung des Geburtsdatums könne auf keine der in Art. 6 Abs. 1 DSGVO geregelten Rechtsgrundlagen gestützt werden.
Die Abfrage des Geburtsdatums sei insbesondere nicht nach Art. 6 Abs. 1 Satz 1 lit. b) DSGVO zur Durchführung vorvertraglicher Maßnahmen erforderlich. Dem Argument der klagenden Apothekenbetreiberin, sie benötige das Geburtsdatum zum einen, um die Geschäftsfähigkeit des Bestellers zu überprüfen und andererseits, um eine altersgerechte Beratung durchführen zu können, werde nicht gefolgt. Für die Überprüfung der Geschäftsfähigkeit genüge auch die einfache Abfrage der Volljährigkeit, das konkrete Geburtsdatum sei insoweit nicht erforderlich. Hinsichtlich der altersgerechten Beratung sei der Auffassung des beklagten Amtes zu folgen, dass dann konsequenterweise das Alter derjenigen Person abgefragt werden müsse, für die das Produkt zur Anwendung bzw. Einnahme bestimmt sei, welche nicht mit dem Besteller personenidentisch seien müsse. Außerdem würde die Klägerin auch eine Vielzahl an Produkten anbieten, die altersunabhängig konsumiert bzw. angewendet werden könnten und bei denen eine altersabhängige Beratung nicht notwendig sei. Somit müsse die Klägerin bei der Bestellung differenzieren, ob ein Medikament altersabhängig dosiert werden müsse. Soweit das Geburtsdatum bei Online-Bestellvorgängen in Einzelfällen als Identifizierungskriterium erforderlich sein könnte, habe die Klägerin schon nicht geltend gemacht, das Geburtsdatum für diesen Zweck zu benötigen.
Die Abfrage des Geburtsdatums könne auch nicht auf die Erfüllung einer gesetzlichen Pflicht nach Art. 6 Abs. 1 Satz 1 lit. c) DSGVO gestützt werden. Eine rechtliche Verpflichtung könne insbesondere nicht aus § 2 Abs. 1 Nr. 3 Arzneimittelverschreibungsverordnung hergeleitet werden, weil die Klägerin die Online-Bestellung nur für rezeptfreie Produkte auf ihrer Website anbiete. Eine Interessenabwägung nach Art. 6 Abs. 1 Satz 1 lit. f) DSGVO müsse schon nicht durchgeführt werden, weil es an der Erforderlichkeit der Datenerhebung scheitere, da statt der Abfrage des Geburtsdatums das mildere, gleich effiziente Mittel der Abfrage der Volljährigkeit zur Verfügung stehe.
Fazit:
Ein Apotheker sollte Identifizierungsdaten nicht allein zu dem Zweck speichern, auf mögliche Auskunftsersuchen reagieren zu können.
Eine Altersüberprüfung kann bei bestimmten Medikamenten notwendig sein - diese kann der Apotheker aber auch durch eine bloße Abfrage des Geburtsjahres des Kunden durchführen. Eine standardmäßige Abfrage und Speicherung des Geburtsdatum ist dem Apotheker aber nicht erlaubt.
Möchte der Apotheker neben Name, Adresse und Telefonnummer standardmäßig weitere Daten des potentiellen Kunden erheben wie z.B. das genaue Geburtsdatum, so bedarf er dazu einer gesonderten (schriftlichen) Einwilligung des Kunden.