Online-Versandapotheke darf im Bestellvorgang das Geburtsdatum nicht bei jedem Produkt abfragenKeine Rechtsgrundlage zur Daten­ver­a­r­beitung für rezeptfrei erwerbbare Produkte

Die Klägerin ist eine Firma mit Sitz in Niedersachsen und Betreiberin einer Online-Versandapotheke. Die beklagte Landes­be­auftrage für den Datenschutz Niedersachsen (LfD) wies die Klägerin mit Bescheid vom 08. Januar 2019 an, es zu unterlassen, unabhängig von der Art des bestellten Medikamentes das Geburtsdatum des Bestellers/der Bestellerin zu erheben und zu verarbeiten. Zudem wies sie die Klägerin zur Unterlassung der Verwendung der im Bestellprozess erhobenen Anrede (Herr/Frau) an, soweit Gegenstand der Bestellung Medikamente seien, die nicht geschlechts­s­pe­zifisch zu dosieren und/oder einzunehmen seien.

Apotheker verweist Pflicht auf zur altersgerechten Beratung

Gegen diesen Bescheid hat die Klägerin Klage vor dem Verwal­tungs­gericht Hannover erhoben. Die Klägerin hatte bereits vor dem Termin zur mündlichen Verhandlung hinsichtlich der Anrede "Herr/Frau" die Auswahloption "ohne Angabe" in ihrem Bestellformular eingefügt. Die Parteien haben diesbezüglich übereinstimmend das Verfahren für erledigt erklärt. Bezüglich der Abfrage des Geburtsdatums trug die Klägerin vor, aufgrund der für Apotheker geltenden Berufsordnung bestimmten Beratungs­ob­lie­gen­heiten zu unterfallen. Hierzu gehöre auch die Pflicht zur altersgerechten Beratung. Um diese Verpflichtung erfüllen zu können, müsse eine entsprechende Abfrage im Bestellprozess erfolgen. Zudem habe sie ein berechtigtes Interesse daran zu erfahren, ob der Besteller bzw. die Bestellerin volljährig und damit voll geschäftsfähig sei.

Geburtsdatum für rezeptfrei erwerbbare Produkte nicht erforderlich

Dem ist das Gericht nicht gefolgt. Die Kammer hat zunächst klargestellt, dass der von der LfD gerügte Bestellvorgang sich nur auf rezeptfrei erwerbbare Produkte beziehe. Die Verarbeitung des Geburtsdatums in diesem Bestellvorgang habe nach Ansicht der Kammer zumindest für solche Produkte zu unterbleiben, die keine alter­ss­pe­zi­fische Beratung erforderten.

Keine Rechtsgrundlage zur Daten­ver­a­r­beitung

Ein Blick auf die von der Klägerin auf ihrer Webseite angebotenen Produktpalette zeige, dass sie eine große Zahl von Droge­rie­ar­tikeln aber auch apothe­ken­pflichtigen Medikamenten anbiete, die nicht alter­ss­pe­zifisch zu dosieren seien. Für diese Produkte könne in der Daten­schutz­grund­ver­ordnung - nachdem sich die Klägerin bislang von ihren Kunden im Bestellprozess auch keine Einwilligung zur Datenverarbeitung einhole - keine Rechtsgrundlage zur Daten­ver­a­r­beitung gefunden werden. Soweit die Klägerin die Geschäfts­fä­higkeit ihrer Kunden überprüfen wolle, so erfordere das daten­schutz­rechtliche Prinzip der Daten­mi­ni­mierung, dass lediglich die Volljährigkeit und nicht das genaue Geburtsdatum abgefragt werde.