Im Januar 2019 wies die Niedersächsische Aufsichtsbehörde eine Online-Apotheke an, es zu unterlassen das Geburtsdatum der Besteller, unabhängig von der Art des bestellten Medikaments, zu erfassen.
Weiterhin wurde das Unternehmen angewiesen im Bestellprozess die Anrede (Mann/Frau) nicht mehr zu erheben, soweit in der Bestellung keine Medikamente enthalten sind, die geschlechtsspezifischen zu dosieren oder einzunehmen seien.
Gegen diesen Bescheid hatte das Unternehmen vor dem Verwaltungsgericht Hannover geklagt.
Das Unternehmen hatte vor der Verhandlung bekannt gegeben, dass bezüglich der Anrede „Mann/Frau“ auch noch eine Wahloption „keine Angabe“ hinzugefügt wurde. Daraufhin hatten die Aufsichtsbehörde und das Unternehmen diesen Punkt des Verfahrens übereinstimmend für erledigt erklärt.
Bezüglich der Abfrage des Geburtsdatums erklärte das Unternehmen, dass es der für Apotheker geltenden Berufsordnung unterliege und eine Pflicht zur altersgerechten Beratung bestehe. Zudem habe das Unternehmen das berechtigte Interesse zu erfahren, ob der Besteller volljährig und damit geschäftsfähig sei.
Das Verwaltungsgericht entschied, dass die Verarbeitung des Geburtsdatums für solch Produkte zu unterbleiben habe, die keine altersspezifische Beratung erforderten. Für diese Art von Produkten gebe es keine Rechtsgrundlage für die Verarbeitung des Geburtsdatums. Eine solche Rechtsgrundlage könnte eine Einwilligung darstellen, die das Unternehmen aber bis dahin noch nicht eingeholt hatte.
Zur Prüfung der Geschäftsfähigkeit reiche, unter dem datenschutzrechtlichen Prinzip der Datenminimierung, eine Abfrage der Volljährigkeit und nicht des genauen Geburtsdatums.
Bei der Aufnahme personenbezogener Daten sollte immer darauf geachtet werden, dass nur solche Daten aufgenommen werden, die notwendig sind, um die geplante Verarbeitung durchführen zu können.
