Ein neues Urteil des Verwaltungsgerichts Hannover wurde gefällt (Az: 10 A 502/19): Versandapotheken dürfen nicht bei allen Bestellungen die Geburtsdaten abfragen.

Hintergrund des Urteils

Eine Betreiberin einer Online-Versandapotheke klagte gegen einen Bescheid der Landesbeauftragten für den Datenschutz in Niedersachsen. Anlass des Bescheids der Landesbeauftragten war, dass die Versandapotheke wohl bei jeder Bestellung die Geburtsdaten der Kund:innen abfragte. In dem genannten Schreiben wurde die Online-Versandapotheke dazu aufgefordert, bei rezeptfreien Bestellungen die Erhebung der Geburtsdaten zu unterlassen. Ein weiterer Kritikpunkt der Aufsichtsbehörde war zudem, dass Kund:innen bei Bestellungen eine Angabe zu ihrer gewünschten Anrede machen sollten. Unterschieden wurde dabei in die Kategorien “Frau” und “Herr”. Daraufhin wurde von der Betreiberin der betroffenen Apotheke die Anrede in dem Bestellformular angepasst. Bei der gewünschte Anrede konnten etwaige Kund:innen nun auch die Option “ohne Angabe” anklicken. 

Rechtslage

Fraglich ist, ob Apotheken über Geburtsdaten ihrer Kund:innen informiert sein müssen. Schließlich gibt es durchaus eine Vielzahl von Medikamenten, wonach die Dosierung der Arzneimittel entsprechend von dem Verwender abhängig ist. Gem. § 20 Abs. 1 der Apothekenbetriebsordnung (ApBetrO) sind  Apotheken dazu verpflichtet, ihre Kunden beim Kauf von verschreibungspflichtigen Medizinprodukten aktiv zu beraten. Demnach berief sich die Betreiberin der Apotheke darauf, dass die Kenntnis über das Geburtsdatum zur Gewährleistung der Beratung notwendig sei. Das Verwaltungsgericht Hannover argumentierte jedoch, dass der Erwerb von Medikamenten in dem betroffenen Versandhandel möglich war, welche keine altersspezifische Beratung erforderten. Genau für solche Produkte darf das jeweilige Geburtsdatum nicht abgefragt werden. 

Der Bescheid der niedersächsischen Aufsichtsbehörde stimmte mit der Auffassung des Gerichts überein. Die Rüge hatte sich ausschließlich auf rezeptfrei erhältliche Produkte bezogen.

Grundsatz der Datenminimierung

Auf ein weiteres Argument stützte sich die Betreiberin des Versandhandels: Das Geburtsdatum würde vor allem auch dafür benötigt, um die Geschäftsfähigkeit der Kund:innen sicherzustellen. Jedoch lehnte das VG Hannover diese Argumentation ebenfalls ab: Nach dem datenschutzrechtlichen Prinzip der Datenminimierung aus Art. 5 Abs. 1 lit. c) DSGVO dürfen Daten, die nicht benötigt werden, auch nicht erhoben werden. Das VG Hannover stellte fest, dass es an einer Notwendigkeit der Angabe des Geburtsdatums fehle. Die Frage danach, ob ein Besteller volljährig ist, sei ausreichend (Az: 10 A 502/19). 

Verstoß gegen die DSGVO

Zudem lag bei dem Bestellprozess der Online-Apotheke ein Verstoß gegen die Anforderungen der DSGVO vor, da die Einwilligung der Kunden in die Verarbeitung ihrer Geburtsdaten bei Bestellungen nicht gegeben war. Die Datenverarbeitung war nach dem VG Hannover folglich rechtswidrig.

Fazit

Basierend auf dem Urteil des VG Hannover ist festzuhalten, dass Versandapotheken Geburtsdaten nicht bei allen Bestellungen abfragen dürfen. Es kommt dabei darauf an, ob es sich bei der Bestellung um rezeptfreie Produkte handelt oder nicht. Wenn Kunden rezeptfreie Produkte bestellen und keine datenschutzrechtliche Einwilligung in die Erhebung der Geburtsdaten vorliegt, ist die Datenerhebung rechtswidrig und nicht DSGVO-konform.

Bildquelle: jniittyma0 von pixabay