Datenschutzanforderungen beim Online-Vertrieb von Arzneimitteln – Analyse eines aktuellen Urteils
Das Oberverwaltungsgericht Lüneburg hat am 1. März 2024 in der Rechtssache 14 LA 124/23 eine Entscheidung mit weitreichenden Konsequenzen für Betreiber von Online-Apotheken und vergleichbare Online-Shops gefällt. Im Zentrum der gerichtlichen Auseinandersetzung stand die verpflichtende Abfrage des Geburtsdatums im Rahmen des Bestellprozesses für Arzneimittel, die ohne Rezept bezogen werden können. Die Tragweite dieses Urteils illustriert zentrale Grundsätze des Datenschutzrechts und betont die Anforderungen an die Datenminimierung nach der Datenschutz-Grundverordnung (DSGVO).
Kontext und Ausgangslage
Wie viele Online-Anbieter verlangt eine beträchtliche Anzahl von Apotheken im Internet bei der Registrierung oder Bestellung die Angabe des Geburtsdatums. Dies erfolgt häufig mit dem Argument der Sicherheit, Altersüberprüfung oder zur Abwicklung der Bestellung. Im vorliegenden Fall wurde die Bestellung auch für solche Arzneimittel, die nicht verschreibungspflichtig sind, an die verpflichtende Eingabe des Geburtsdatums geknüpft.
Ein Verbraucher wandte sich an die Datenschutzaufsicht mit der Beanstandung, er sehe in dieser Praxis einen Verstoß gegen die DSGVO. Die Datenschutzbehörde stellte sich im Anschluss der Sichtweise des Bestellers an und forderte die Online-Apotheke unter Verweis auf den Grundsatz der Datenminimierung zur Änderung des Verfahrens auf. Zu klären war insbesondere, ob und inwiefern das Geburtsdatum für den Vertrieb apothekenpflichtiger, nicht aber verschreibungspflichtiger Arzneimittel erforderlich ist.
Entscheidungsgründe des OVG Lüneburg
Datenminimierung als zentrales Element der DSGVO
Kern des Urteils ist die Würdigung des sogenannten Erforderlichkeitsgrundsatzes, der sich aus Art. 5 Abs. 1 lit. c DSGVO ergibt. Die Verarbeitung personenbezogener Daten ist demnach nur zulässig, soweit sie zur Erreichung des verfolgten Zwecks notwendig ist. Das Oberverwaltungsgericht stellte klar, dass für den Versand apothekenpflichtiger, nicht verschreibungspflichtiger Arzneimittel die Verpflichtung zur Angabe des Geburtsdatums nicht grundsätzlich gegeben ist. Die Altersüberprüfung könne, sofern sie zur Einhaltung von Jugendschutzbestimmungen notwendig sei, auch mit weniger invasiven Mitteln erfolgen, etwa durch einfache Altersangaben in Form von Kontrollkästchen („Ich bin mindestens 18 Jahre alt”).
Zweckbindung und Verhältnismäßigkeit
Das Gericht prüfte weiterhin, ob das Erheben des Geburtsdatums für die Vertragsabwicklung oder gesetzliche Dokumentationspflichten im Einzelfall unerlässlich sein könnte. Es verneinte diese Frage explizit für „Apothekenpflichtige, aber nicht verschreibungspflichtige” Präparate. Die Erhebung des Geburtsdatums sei in diesen Fällen nicht mehr vom Zweck der Bestellung gedeckt und stelle einen unverhältnismäßigen Eingriff in den Schutz personenbezogener Daten dar.
Grenzen der Einwilligung und Auswirkungen auf die Praxis
Nicht zuletzt wurde die Rolle einer möglichen Einwilligung der Kunden beleuchtet. Das OVG Lüneburg stellte fest, dass auch eine ausdrücklich abgegebene Einwilligung die Bezifferung des Geburtsdatums nicht rechtfertige, sofern sie als zwingende Voraussetzung für die Bestellung ausgestaltet ist. Die Wahlfreiheit des Nutzers wird dadurch faktisch aufgehoben, ein willentlicher Verzicht auf Datenschutz lässt sich daraus gerade nicht ableiten.
Bedeutung für den Online-Arzneimittelhandel und die Unternehmenspraxis
Das Urteil illustriert die Notwendigkeit einer sorgfältigen Abwägung bei der Verarbeitung personenbezogener Daten im E-Commerce, insbesondere im hochsensiblen Bereich des Gesundheitswesens. Betreiber von Online-Apotheken sind angehalten, sowohl Umfang als auch Zweckbindung von Datenabfragen regelmäßig zu überprüfen und gegebenenfalls anzupassen. Die Entscheidung hat zudem Signalwirkung über das konkrete Fallkonstellation hinaus, etwa für andere digitale Dienstleister, die ebenfalls sensible Daten erheben.
Rechtliche Implikationen im Überblick
- Die Erhebung des Geburtsdatums ist bei Bestellungen apothekenpflichtiger, nicht verschreibungspflichtiger Arzneimittel nur dann zulässig, wenn hierfür eine eindeutige und gesetzlich normierte Notwendigkeit besteht.
- Als milderes Mittel zur Altersverifikation bietet sich die Einholung einer altersbezogenen Selbstauskunft an.
- Verstöße gegen das Gebot der Datenminimierung nach DSGVO können von der Datenschutzaufsicht unterbunden werden. Bei Zuwiderhandlungen drohen aufsichtsrechtliche Anordnungen und im Einzelfall empfindliche Sanktionen.
Ausblick auf das weitere Verfahren
Es sei darauf hingewiesen, dass weitere Instanzen und künftige gerichtliche Entscheidungen Differenzierungen vornehmen und neue Aspekte beleuchten können. Die vorliegende Entscheidung basiert auf den konkreten Umständen des Einzelfalls und beansprucht keine abschließende Gültigkeit für sämtliche Geschäftsmodelle oder Produktkategorien. Die Entwicklung der Rechtsprechung und etwaige gesetzgeberische Änderungen sind zu beobachten.
Quellenhinweis
Die Entscheidung des OVG Lüneburg vom 1. März 2024, Az. 14 LA 124/23, ist auf urteile.news veröffentlicht und bildet die Grundlage dieses Beitrags.
Subtiler Hinweis
Bei rechtlichen Fragestellungen im Zusammenhang mit Anforderungen des Datenschutzes im Online-Handel, insbesondere auch im Kontext der Abfrage und Verarbeitung sensibler personenbezogener Daten, besteht die Möglichkeit, sich an die Rechtsanwälte von MTR Legal zu wenden. Die Kanzlei begleitet Unternehmen, Investoren und vermögende Privatpersonen bei komplexen rechtlichen Herausforderungen auf nationaler und internationaler Ebene.
