Dürfen Online-Apotheken das Geburtsdatum standardmäßig abfragen?
Nein, sagt das Oberverwaltungsgericht (OVG) Niedersachsen (OVG Niedersachsen, Beschl. v. 23.01.2024 – 14 LA 1/24).
Die Praxis einer Online-Apotheke, im Bestellprozess stets das Geburtsdatum als Pflichtangabe abzufragen, ist in Ermangelung einer Rechtsgrundlage unzulässig. Die Erhebung und Verarbeitung des Geburtsdatums kann nicht auf Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO gestützt werden.
Die Abfrage des Geburtsdatums ist nicht zur Durchführung vorvertraglicher Maßnahmen gemäß Art. 6 Abs. 1 S. 1 lit. b) DSGVO erforderlich, etwa um die Geschäftsfähigkeit der bzw. des Bestellenden zu überprüfen und eine altersgerechte Beratung durchführen zu können. Eine einfache Abfrage der Volljährigkeit genügt für die Überprüfung der Geschäftsfähigkeit – zumal eine altersabhängige Beratung nicht immer notwendig ist, da viele Apotheken-Produkte altersunabhängig konsumiert oder angewendet werden können.
Die Abfrage des Geburtsdatums kann auch nicht auf die Erfüllung einer gesetzlichen Pflicht gestützt werden, wenn die Apotheke nur rezeptfreie Produkte auf ihrer Website anbietet. Bei begründeten Zweifeln an der Identität der natürlichen Person gestattet Art. 12 Abs. 6 DSGVO den Verantwortlichen, im Einzelfall zusätzliche, zur Bestätigung der Identität der bestellenden Person erforderliche Informationen einzuholen.
Bei Namensgleichheit ist zur Authentifikation der oder des Bestellers die Abfrage der Anschrift sowie der Telefonnummer ausreichend.
