Auf vielen Websites werden Nutzer:innen entweder beim Öffnen oder spätestens im Bestellprozess nach dem kompletten Geburtsdatum gefragt. Das ist nach einem neuen Urteil des Verwaltungsgerichts Hannover aus Gründen der Datenminimierung nicht zulässig.
Websites fragen Geburtsdatum der Besucher ab
Es ist mit Sicherheit jedem von uns beim Surfen im Internet schon einmal passiert, dass er sein Geburtsdatum auf einer Website angeben musste.
Dafür gibt es in der Regel zwei Szenarien. Entweder erfolgt die Altersabfrage schon bevor die Website oder der Online-Shop überhaupt lädt. Wer zu jung ist, muss also draußen bleiben. Oder die Altersabfrage erfolgt im Bestellprozess.
Neues Urteil: Online-Shops dürfen genaues Geburtsdatum nicht abfragen
Genau das ist jedoch rechtlich nicht erlaubt. Zu diesem Urteil (Az.: 10 A 502/19) kommen die Richter:innen der 10. Kammer des Verwaltungsgerichts Hannover. Konkret ist also nicht die Abfrage des exakten Geburtsdatums, sondern lediglich die Abfrage der Volljährigkeit eines Users erlaubt.
Soweit die Klägerin die Geschäftsfähigkeit ihrer Kunden überprüfen wolle, so erfordere das datenschutzrechtliche Prinzip der Datenminimierung, dass lediglich die Volljährigkeit und nicht das genaue Geburtsdatum abgefragt werde.
Um die Volljährigkeit eines Users abzufragen, können Betreiber:innen von Online-Shops beispielsweise auf eine Checkbox mit einem Haken oder einen entsprechenden Button im Bestellprozess setzen.
Altersgerechte Beratung in Online-Apotheken genügt nicht
Geklagt hatte schon im Jahr 2019 eine Online-Apotheke aus Niedersachsen. Zuvor hatte die zuständige Landesbeauftragte für den Datenschutz Niedersachsen (LfD) für die Betreiber:innen der Online-Apotheke angeordnet, das Geburtsdatum der Nutzer:innen zu erheben und zu verarbeiten.
Als Grund, warum die Online-Apotheke dieser Unterlassung nicht nachgekommen ist, führten die Betroffenen an, dass die Berufsordnung der Apotheker:innen eine altersgerechte Beratung vorsieht. Dies sei nur mit der Abfrage des Geburtsdatums möglich. Zudem gebe es ein berechtigtes Interesse an der Volljährigkeit und somit Geschäftsfähigkeit eines Users.
Dieser Argumentation sind die Richter:innen am Verwaltungsgericht Hannover allerdings nicht gefolgt. Demnach habe die Verarbeitung des Geburtsdatums „für solche Produkte zu unterbleiben, die keine altersspezifische Beratung erforderten.“
Für eben jene Produkte, die zudem noch den Großteil des Angebots der Online-Apotheke ausmachen, gibt es nach Ansicht des Gerichts keine Rechtsgrundlage zur Verarbeitung der Daten durch die europäische Datenschutz-Grundverordnung (DSGVO).
Keine Einwilligung abgeholt, geschlechterneutrale Ansprache ermöglicht
Kurios mutet bei der Klage zudem an, dass „die Klägerin bislang von ihren Kunden im Bestellprozess keine Einwilligung zur Datenverarbeitung“ eingeholt hat.
Die ungefragte Verarbeitung von persönlichen Informationen ist mit Blick auf die Regelungen der DSGVO an sich schon rechtlich fragwürdig. Einen entsprechenden Fall noch selbst vor Gericht zu bringen, wirft zumindest Zweifel auf.
Immerhin in einem Punkt konnten sich die beiden Parteien bereits vorab und ohne Urteil einigen. Die Versandapotheke hatte im Bestellprozess des Online-Shops nur die Optionen „Mann“ und „Frau“ angeboten.
Da dies jedoch diskriminierend sei, hatte der LfD den Online-Shop schon vor dem Verfahren aufgefordert, eine dritte Option anzubieten. Mit „ohne Angabe“ ist die spätere Klägerin zumindest einem Wunsch der Datenschutzbeauftragten des Landes Niedersachsen schon nachgekommen.
Auch interessant:
