Datensparsamkeit beim Betrieb eines Online-Shops

Jeder Online-Shop erhebt beim Kauf personenbezogene Daten des kaufenden Kunden. Den wenigsten Shop-Betreibern ist bewusst, dass Sie nur sehr wenige Daten verpflichtend abfragen dürfen. Dies beruht auf dem Grundsatz der Datensparsamkeit gemäß Art. 5 DSGVO.

Dass das Geburtsdatum in vielen Fällen nicht zwingend notwendig ist, wurde nun vom Oberverwaltungsgericht Niedersachsen (Beschl. v. 23.01.2024, Az.: 14 LA 1/24 ) noch einmal ausdrücklich bestätigt.

Worum ging es?

Die Klägerin, eine Online-Versandapotheke, hat gegen eine datenschutzrechtliche Anordnung geklagt, die sie dazu aufforderte, die Erhebung und Verarbeitung bestimmter Daten, einschließlich des Geburtsdatums, in ihren Online-Bestellformularen zu unterlassen. Der Beklagte hatte argumentiert, dass die Abfrage des Geburtsdatums unabhängig vom bestellten Produkt gegen das Prinzip der Rechtmäßigkeit der Datenschutzgrundverordnung (DSGVO) verstoße.

Das Verwaltungsgericht Hannover wies die Klage der Klägerin ab und stellte fest, dass die Erhebung und Verarbeitung des Geburtsdatums auf keine der in Art. 6 Abs. 1 DSGVO geregelten Rechtsgrundlagen gestützt werden könne. Es wurde argumentiert, dass die Abfrage des Geburtsdatums nicht zur Durchführung vorvertraglicher Maßnahmen erforderlich sei und dass die einfache Abfrage der Volljährigkeit zur Überprüfung der Geschäftsfähigkeit ausreiche. Darüber hinaus wurde festgestellt, dass die Abfrage des Geburtsdatums nicht auf die Erfüllung einer gesetzlichen Pflicht gestützt werden könne.

Die Klägerin hat gegen diese Entscheidung einen Zulassungsantrag gestellt.

Wie sieht das Oberverwaltungsgericht dies?

Das Oberverwaltungsgericht schließt sich generell dem Verwaltungsgericht an.

Generell ist nach Ansicht des OVG das Geburtsdatum weder relevant für die Durchführung und Anbahnung des Vertrages, da sich aus den weiteren vorliegenden Informationen, wie z.B. dem Namen und der Adresse eine eindeutige Unterscheidbarkeit des potentiellen Kunden ergibt. Versandapotheken können zudem die gesetzlich vorgeschriebene Beratungspflicht den Kunden zur Angabe einer Telefonnummer auffordern, unter der er durch pharmazeutisches Personal der Apotheke telefonisch und ohne zusätzliche Gebühren beraten werden kann (§ 17 Abs. 2a Satz 1 Nr. 7 ApBetrO).

Im Hinblick auf die Angabe der Volljährigkeit geht das Gericht davon aus, dass eine bloße Abfrage der Volljährigkeit ausreichend ist.

Auch weitere Rechtsgründe, wie z.B. die Erfüllung rechtlicher Verpflichtungen oder berechtigter Interessen scheiterte vor dem OVG, da die Daten ohne konkrete Not erhoben werden und diese durch andere Instrumente wie z.B. eine datenschutzrechtliche Einwilligung abgefangen werden können.

Was bedeutet dies für die Praxis?

Dieses Urteil unterstreicht die Notwendigkeit für Unternehmen, ihre Datenverarbeitungspraktiken regelmäßig zu überprüfen und sicherzustellen, dass sie die datenschutzrechtlichen Anforderungen erfüllen.

Generell sollte bei der Abfrage von personenbezogenen Daten immer darauf geachtet werden, ob man die erhobenen personenbezogenen Daten wirklich zwingend benötigt.

Im Zweifel sollte man für Daten, die nicht wirklich zwingend notwendig sind, eine Einwilligung der Nutzer einholen oder die Angabe für den Nutzer freiwillig machen.

Autor: Diplomjurist Benjamin Schmidt - externer Datenschutzbeauftragter (TÜV)

Bildquelle: Bild von Adrian auf Pixabay

Autor

Benjamin Schmidt

Counsel - Dipl. Jur. - Externer Datenschutzbeauftragter (TÜV)

Herr Schmidt gehört der DURY GRUPPE bereits seit Juni 2015 an und ist seit Januar 2016 Mitarbeiter bei DURY LEGAL. Neben seiner juristischen Ausbildung ist Herr Schmidt auch zertifizierter externer Datenschutzbeauftragter (TÜV). In dieser Funktion betreut er unsere Mandanten im Bereich E-Commerce, Datenschutz und IT-Recht.