Eine Online-Versandapotheke darf im Bestellvorgang nicht bei jedem Produkt das Geburtsdatum abfragen

Verwaltungsgericht Hannover

Urteil vom 09.11.2021

Az.: 10 A 502/19

Tenor

Das Verfahren wird eingestellt, soweit die Beteiligten den Rechtsstreit hinsichtlich der Ziffern 2 und 3 des Bescheides der Beklagten vom 08.01.2019 übereinstimmend für erledigt erklärt haben.

Im Übrigen wird die Klage abgewiesen.

Die Klägerin trägt die Kosten des Verfahrens.

Die Entscheidung ist wegen der Kosten vorläufig vollstreckbar. Die Vollstreckungsschuldnerin darf die Vollstreckung durch Sicherheitsleistung in Höhe von 110 % des vollstreckbaren Betrags abwenden, wenn nicht die Vollstreckungsgläubigerin vor der Vollstreckung Sicherheit in Höhe von 110 % des zu vollstreckenden Betrags leistet.

Tatbestand

Die Klägerin wendet sich gegen eine datenschutzrechtliche Anordnung, die unter anderem auf die Unterlassung der Erhebung und Verarbeitung bestimmter Daten im Bestellprozess auf ihrer Webseite gerichtet ist.

Die Klägerin ist eine Firma mit Sitz in D.. Sie betreibt eine Online-Versandapotheke unter der Marke „E.“, welche unter „https://www.E..de“ abrufbar ist.

Am 06.10.2018 gab eine Privatperson bei dem Bayerischen Landesamt für Datenschutzaufsicht (im Folgenden: BayLDA) eine Online-Beschwerde hinsichtlich der von der Klägerin betriebenen Online-Versandapotheke ein und rügte die Art und den Umfang der Datenerhebung während des Bestellprozesses. Das BayLDA leitete diese Beschwerde mit E-Mail vom 15.10.2021 zur Bearbeitung in eigener Zuständigkeit an die Beklagte weiter.

Die Beklagte stellte am 01.11.2018 fest, dass die Klägerin auf der Webseite „www.E..de“ im Rahmen des Bestellvorgangs, wenn sich der Kunde für die Option „Bestellung ohne Registrierung“ entscheidet und sodann das Feld „weiter ohne Kundenkonto“ auswählt, ein Bestellformular angezeigt bekommt, welches als verpflichtende Angaben (gekennzeichnet durch ein *) unter anderem die Anrede (mit den Auswahloptionen „Frau“ oder „Herr“) und das Geburtsdatum abfragt. Daraufhin wandte sich die Beklagte im Rahmen eines aufsichtsbehördliches Prüfungsverfahren nach Art. 57 Abs. 1 lit. a) und lit. f) und Art. 58 Abs. 1 lit b) Datenschutzgrundverordnung (im Folgenden: DSGVO) mit einem Anhörungsschreiben vom 02.11.2018 an die Klägerin. Die Erhebung und Verarbeitung von Anrede und Geburtsdatum verstoße gegen die datenschutzrechtlichen Prinzipien der Rechtmäßigkeit und Datenminimierung.

Mit Schreiben vom 14.11.2018 teilte die Klägerin der Aufsichtsbehörde mit, dass nach ihrer Auffassung die Erhebung der Anrede und des Geburtsdatums der Kunden zur Erfüllung des Vertrages mit den Kunden sowie aufgrund gesetzlicher Vorgaben zwingend erforderlich sei. Die Erhebung und Verarbeitung des Geburtsdatums diene unter anderem dazu zu erfahren, ob der Vertragspartner eingeschränkt oder voll geschäftsfähig sei, weil im Falle einer eingeschränkten Geschäftsfähigkeit die Sorgeberechtigten des Bestellers den Vertrag genehmigen müssten. Die Erhebung dieser personenbezogenen Daten sei auch aufgrund einer Interessenabwägung für den Verantwortlichen zulässig, weil mit der Einnahme von Medikamenten in der Regel gesundheitliche Risiken/Nebenwirkungen verbunden seien. Vor diesem Hintergrund sei die Altersabfrage unumgänglich. Der Apotheker müsse soweit erforderlich, Medikamente altersgerecht dosieren bzw. entsprechende Altersempfehlungen der Hersteller berücksichtigen können. Unterließen Apotheker eine solche Prüfung, liefen sie Gefahr, nicht altersgerecht dosierte Medikamente an Kunden abzugeben und damit Pflichten aus dem Vertragsverhältnis erheblich zu verletzen. Die Abfrage der Anrede diene einer freundlichen und kundenangemessenen Ansprache und begründe daher ein überwiegendes berechtigtes Interesse der Klägerin an der Datenverarbeitung.

Mit Schreiben vom 06.12.2018 wies die Beklagte die Klägerin darauf hin, dass auch unter Berücksichtigung der erfolgten Stellungnahme noch Datenschutzrechtsverstöße festzustellen seien. Die Erhebung des Geburtsdatums sei nicht in jedem Fall erforderlich. So müsse die entsprechende Abfrage unterbleiben, soweit sie für eine altersgerechte Dosierung oder zur Berücksichtigung von Altersempfehlungen des Herstellers nicht notwendig sei. Auch die pauschale Erhebung der Anrede unabhängig davon, ob das bestellte Medikament im Einzelfall einen geschlechtsspezifischen Anwendungsbereich habe, verstoße gegen die datenschutzrechtlichen Prinzipien der Rechtmäßigkeit und Datensparsamkeit. Zudem liege ein Verstoß gegen das Transparenzgebot vor, soweit die Erhebung der Anrede auf ein berechtigtes Interesse zur freundlichen Ansprache gestützt werde. Dieses berechtigte Interesse werde als Rechtsgrundlage weder in der Datenschutzerklärung noch im Bestellformular genannt.

Die Klägerin reagierte hierauf mit Schreiben vom 28.12.2018 und vertiefte ihren Vortrag aus dem Anhörungsverfahren.

Mit Bescheid vom 08.01.2019 wies die Beklagte die Klägerin an, es ab dem 23.01.2019 zu unterlassen, auf der Webseite mit der URL https://www.E..de im Bestellprozess unabhängig von der Art des bestellten Medikaments das Geburtsdatum des Bestellers bzw. der Bestellerin zu erheben und/oder erheben zu lassen und zu verarbeiten und/oder verarbeiten zu lassen (Ziffer 1 des Bescheides). Außerdem wies die Beklagte die Klägerin an, es ab dem 23.01.2019 zu unterlassen, die Anrede, die auf der Webseite mit der URL https://www.E..de im Bestellprozess erhoben worden ist, zur Vertragserfüllung zu verwenden, wenn und soweit Gegenstand der Bestellung Medikamente sind, die nicht geschlechtsspezifisch zu dosieren und/oder einzunehmen sind (Ziffer 2 des Bescheides). Schließlich wies die Beklagte die Klägerin an, ab dem 23.01.2019 die Rechtsgrundlage für die Erhebung und Verarbeitung der Anrede im Bestellprozess, eine freundliche und kundenangemessene Ansprache und Kommunikation zu ermöglichen, auf der Webseite mit der URL https://www.E..de zu nennen (Ziffer 3 des Bescheides). Zur Begründung führte die Beklagte aus: Die Gestaltung des Bestellprozesses widerspreche der DSGVO. Es liege eine Verletzung des Prinzips der Datensparsamkeit vor. So sei die Erhebung und Verarbeitung des Geburtsdatums ohne Rücksicht darauf, ob es sich im Einzelfall um ein Medikament handele, das altersgerecht zu dosieren sei, datenschutzrechtlich unzulässig. Soweit ein Medikament unabhängig vom Alter einzunehmen sei, sei die Erhebung des Geburtsdatums nicht erforderlich, um den Kaufvertrag mit dem Besteller ordnungsgemäß zu erfüllen. Die Erhebung und Verarbeitung des Geburtsdatums könne auch nicht auf die Wahrung eines berechtigten Interesses gestützt werden. Die Gewissheit darüber, ob jemand beschränkt geschäftsfähig sei oder nicht und damit die Einwilligung oder Genehmigung der Eltern bzw. sonstiger Inhaber der Vermögenssorge abzufragen sei, sei zwar ein berechtigtes Interesse. Hierfür sei es aber ausreichend, die Volljährigkeit als solche abzufragen. Die Verarbeitung der Anrede sei nicht in jedem Fall zur Vertragserfüllung notwendig. Soweit ein Medikament unabhängig vom Geschlecht einzunehmen sei, sei die Verarbeitung der Anrede nicht erforderlich. Eine freundliche und kundenangemessene Ansprache und Kommunikation sei zwar ein ideelles Interesse an Selbstdarstellung und damit bestünde für die Klägerin grundsätzlich ein berechtigtes Interesse im Sinne der DSGVO. Dieses werde aber weder in der Datenschutzerklärung und im Bestellformular noch im Übrigen auf der klägerischen Webseite genannt, sodass ein Verstoß gegen das Transparenzgebot vorliege.

Die Klägerin hat zwischenzeitlich in ihrem Bestellformular hinsichtlich der Anrede „Herr/Frau“ die Auswahloption „ohne Angabe“ eingefügt und ihre Datenschutzerklärung dahingehend ergänzt, dass die Abfrage dieses Datums zum Zweck einer freundlichen und kundenangemessenen Ansprache und Kommunikation sowie auf Grundlage von Art. 6 Abs. 1 Satz 1 lit. f) DSGVO erfolge.

Die Klägerin hat gegen diesen Bescheid am 22.01.2019 Klage erhoben. Zur Begründung wiederholt und vertieft sie ihre Darlegung aus dem Verwaltungsverfahren. Ergänzend trägt sie im Wesentlichen noch vor, dass sich die Rechtmäßigkeit der Erhebung und Verwendung des Geburtsdatums auch aus § 2 Abs. 1 Nr. 3 der Verordnung über die Verschreibungspflicht von Arzneimitteln (im Folgenden: AMVV) ergebe. Hiernach dürften Apotheker gemäß einer ärztlichen Verschreibung Arzneimittel nur dann an Besteller abgeben, wenn die entsprechende Verschreibung bestimmte Daten enthalte. Hierzu gehöre auch das Geburtsdatum. Die Erhebung und Verarbeitung des Geburtsdatums folge aus dieser Regelung verpflichtend. Zudem ergebe sich aus § 1 der Berufsordnung der Apothekerkammer Niedersachsen eine Beratungsplicht zur altersgerechten Dosierung von Medikamenten, sodass auch hiernach die Erhebung und Verarbeitung des Geburtsdatums erforderlich sei und keinen datenschutzrechtlichen Verstoß darstelle. Hierfür sei es auch nicht ausreichend, lediglich eine Altersspanne abzufragen. Zudem sei grundsätzlich davon auszugehen, dass die das Medikament erwerbende Person auch die Person sei, die es später konsumieren werde. Anders als in der Apotheke könne der Onlinehändler aber nicht an den Äußerlichkeiten der Person abschätzen, wie alt die das Medikament bestellende Person sei und welcher Beratungsumfang gegebenenfalls erforderlich sei. Dem werde durch die Abfrage des Geburtsdatums entgegengewirkt. Die Entscheidung eines Apothekers, welche Daten aus seiner Sicht für eine qualitativ hochwertige, sorgfältige und umfassende Beratung notwendig seien, sei Teil seines durch Art. 12 GG geschützten Berufsrechts. Die Klägerin habe auch ein berechtigtes Interesse daran, das Geburtsdatum abzufragen, um die Volljährigkeit des Kunden abzufragen und damit die Wirksamkeit des Vertrages beurteilen zu können. Dies sei über die Abfrage des konkreten Geburtsdatums zuverlässiger möglich. Denn die Hemmschwelle hier gleich drei falsche Daten (Tag, Monat und Jahr) anzugeben, sei geringer, als wenn man einfach nur ein Häkchen zur Bestätigung der Volljährigkeit setzen müsste. Im Hinblick auf die Erhebung des Geschlechts/der Anrede benenne die Klägerin in ihrer Datenschutzerklärung nunmehr, dass die Verarbeitung der geschlechtsspezifischen Angaben zum Zwecke einer freundlichen und kundenangemessenen Kommunikation diene. Da dies aber für Besteller offensichtlich sei, habe hierzu rechtlich keine Pflicht bestanden. Darüber hinaus müssten Apotheker nach § 20 Apothekenbetriebsordnung (ApBetrO) bei der Information und Beratung über Arzneimittel insbesondere die Aspekte der Arzneimittelsicherheit berücksichtigen. Hierzu gehöre auch, über etwaige Neben- und Wechselwirkungen mit anderen Medikamenten zu beraten. Unabhängig davon, ob das bestellte Medikament eine Geschlechtsbezogenheit aufweise, könne die Geeignetheit eines Medikamentes nur dann zutreffend beurteilt werden, wenn der Apotheker das Geschlecht kenne und demnach abschätzen könne, welche anderen Medikamente der Patient unter Umständen einnehme, um gegebenenfalls entsprechende Rückfragen stellen zu können. Die Anordnungen der Beklagten seien schließlich auch unverhältnismäßig. Der Klägerin werde in unzumutbarer Weise die Änderung ihrer Bestellabläufe auferlegt.

Die Klägerin begehrte ursprünglich die vollständige Aufhebung des Bescheides der Beklagten vom 08.01.2019. Nachdem die Beteiligten den Rechtsstreit hinsichtlich der Ziffern 2 und 3 des Bescheides in der mündlichen Verhandlung übereinstimmend für erledigt erklärt haben, beantragt die Klägerin noch,

die Ziffer 1 des Bescheides der Beklagten vom 08.01.2019 aufzuheben.

Die Beklagte beantragt, die Klage abzuweisen.

Zur Begründung vertieft sie ihren Vortrag aus dem Vorverfahren und verweist auf die Begründung des streitgegenständlichen Bescheides. Ergänzend trägt sie vor: Bestellungen von verschreibungspflichtigen Medikamenten über das von der Klägerin bereitgestellte Webformular seien nicht möglich. Der Bestellprozess solcher Medikamente erfolge – dies ist unstreitig – ausschließlich auf analogem Wege per Briefpost. Hier sei ein eigenes Bestellformular vorgesehen. Die Klägerin könne sich demnach, was die generelle Abfrage des Geburtsdatums angehe, auch nicht auf § 2 Abs. 1 Nr. 3 AMVV berufen. Eine Notwendigkeit der Abfrage des Geburtsdatums und des Geschlechts folge nicht aus dem gesetzlich verankerten Informations- und Beratungsauftrag von Apothekern. Um diesen tatsächlich erfüllen zu können, müsse der beratende Apotheker wissen, wer das Medikament einnehmen werde. Es entspreche aber gerade nicht der Lebenswirklichkeit, dass das Medikament immer für die Person gedacht sei, die es in der Apotheke tatsächlich erwerbe oder aber im Internet bestelle. Darüber hinaus sei die Geeignetheit der Verarbeitung der Anrede zur Ermittlung des weiteren Beratungsbedarfs in den Fällen zweifelhaft, in denen das biologische und das gelebte Geschlecht eines Menschen auseinanderfielen. Im Hinblick auf das Prinzip der Datenminimierung dürfte es zudem in einer Vielzahl der Fälle ausreichend sein, die Altersspanne abzufragen, z.B. ob jemand zwischen 18 und 35 Jahren alt oder ob das Medikament zur Anwendung bei einem Säugling oder einem Kind bestimmt sei. Sollte im Einzelfall die Kenntnis über das genaue Alter zur Beratung erforderlich sein, so könne diese Information im Rahmen einer telefonischen Rückfrage/Beratung abgefragt werden. Für eine solche Handhabung spreche auch § 17 Abs. 2a Nr. 7 ApBetrO, wonach der Apothekenleiter sicherzustellen habe, dass die behandelte Person darauf hingewiesen werde, dass sie als Voraussetzung für die Arzneimittelbelieferung mit ihrer Bestellung eine Telefonnummer anzugeben habe, um eine telefonische Beratung zu ermöglichen. Zudem habe der Gesetzgeber als verpflichtende Regelung zum Versand bestellter Medikamente lediglich die Abfrage der Telefonnummer vorgesehen. Hätte der Gesetzgeber es auch zur Bedingung machen wollen, dass das Geburtsdatum vorab mitgeteilt werde, hätte er es – wie bei der Telefonnummernangabe auch – ausdrücklich geregelt. Die Abfrage des Geburtsdatums sei auch nicht zur Erfüllung vertraglicher Haupt- oder Nebenpflichten erforderlich. Entgegen der Rechtsauffassung der Klägerin sei es nicht entbehrlich, die Rechtsgrundlage für die Erhebung und Verarbeitung der Anrede im Bestellprozess zu nennen. Es liege nicht auf der Hand, dass diese Erhebung zur kundenfreundlichen und kundenangemessenen Ansprache erfolge. Schließlich seien die streitgegenständlichen Anordnungen auch verhältnismäßig. Es handele sich nicht um die Auferlegung unzumutbarer Änderungen der Geschäftsprozesse. Mildere Mittel – wie etwa eine Verwarnung – hätten nicht zur Verfügung gestanden, um eine rechtmäßige Datenverarbeitung durch die Klägerin herbeizuführen.

Wegen der weiteren Einzelheiten des Sachverhalts wird auf den Inhalt der Gerichtsakte und des beigezogenen Verwaltungsvorgangs Bezug genommen.

Gründe

I. Soweit die Beteiligten den Rechtsstreit bezüglich der Ziffern 2 und 3 des Bescheides der Beklagten vom 08.01.2019 übereinstimmend für erledigt erklärt haben, ist das Verfahren in entsprechender Anwendung des § 92 Abs. 3 Satz 1 VwGO einzustellen.

II. Im Übrigen bleibt die zulässige Klage ohne Erfolg. Der Bescheid der Beklagten vom 08.01.2019 ist hinsichtlich der unter Ziffer 1 tenorierten Untersagungsverfügung rechtmäßig und verletzt die Klägerin nicht in ihren Rechten (§ 113 Abs. 1 Satz 1 VwGO).

1. Rechtsgrundlage für die noch streitgegenständliche Anordnung ist Art. 58 Abs. 2 lit. d) der Datenschutzgrundverordnung (DSGVO), Verordnung Nr. 2016/679 des Europäischen Parlaments und Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zum freien Datenverkehr und zur Aufhebung der RL 95/46/EG (Abl. L 119) i.V.m. § 20 Abs. 1 Niedersächsisches Datenschutzgesetz (NDSG). Hiernach verfügt jede Aufsichtsbehörde über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen.

2. Die Anordnung in Ziffer 1 des Bescheides der Beklagten vom 08.01.2019 ist formell rechtmäßig. Die Beklagte ist insbesondere aufgrund von Art. 51 Abs. 1 DSGVO i.V.m. § 40 Abs. 1 Bundesdatenschutzgesetz (BDSG), § 22 Abs. 1 Nr. 1 NDSG zuständige Aufsichtsbehörde für die Überwachung von nichtöffentlichen Stellen, die personenbezogene Daten erheben, verarbeiten oder nutzen. Insoweit weist Art. 51 Abs. 1 DSGVO die Mitgliedstaaten der Europäischen Union an, eine unabhängige Behörde für die Überwachung der Anwendung der Verordnung zu schaffen. Aufgrund dieser Regelung hat der Bundesgesetzgeber mit Wirkung zum 25.05.2018 § 40 Abs. 1 BDSG neu gefasst und den Ländern die Überwachung des Anwendungsbereiches der DSGVO für nichtöffentliche Stellen übertragen (vgl. Art. 1 und Art. 8 Datenschutz-Anpassungs- und Umsetzungsgesetz EU vom 30.06.2017; BGBl. I 2017, S. 2097). Der niedersächsische Gesetzgeber hat die Wahrnehmung dieser Aufgaben in § 22 Abs. 1 Nr. 1 NDSG der Landesbeauftragten für den Datenschutz überantwortet.

3. Die Anordnungen sind auch materiell rechtmäßig.

a) Die Anordnung der Beklagten in Ziffer 1 des Bescheides vom 08.01.2019 zur Verarbeitung des Geburtsdatums genügt dem aus dem Rechtsstaatsprinzip folgenden Bestimmtheitsgebot. Der Bestimmtheitsgrundsatz verlangt, dass der Inhalt der behördlichen Entscheidung für den Adressaten verständlich ist. Der Adressat muss erkennen können, was von ihm gefordert wird. Der Wille der Behörde muss vollständig und eindeutig zum Ausdruck kommen. Allerdings genügt es, wenn sich der Inhalt des Verwaltungsakts anhand seiner Begründung und unter Heranziehung von Umständen, die den Beteiligten bekannt sind, durch Auslegung bestimmen lässt (vgl. Bayerischer VGH, Beschl. v. 26.02.2007 – 1 ZB 06.2296 -, juris m.w.N.). In der streitgegenständlichen Anordnung heißt es zwar nur, dass angeordnet werde, es zu unterlassen,

im Bestellprozess „unabhängig von der Art des bestellten Medikaments“ das Geburtsdatum zu erheben und zu verarbeiten. Im Zusammenhang mit der Begründung des Bescheides ergibt sich aber eindeutig, dass eine Unterlassung der Datenerhebung nur für diejenigen Produkte angeordnet wird, die auf der Webseite der Klägerin bestellbar sind und keine altersabhängige Dosierung erfordern. So heißt es in der Begründung zu dieser Ziffer im Bescheid wörtlich: „Die pauschale Erhebung und Verarbeitung des Geburtsdatums ohne Rücksicht darauf, ob es sich im Einzelfall um ein Medikament handelt, das altersgerecht zu dosieren ist, ist datenschutzrechtlich unzulässig.“

b) Das Geburtsdatum als allgemeines Personendatum stellt ein personenbezogenes Datum im Sinne des Art. 4 Nr. 1 DSGVO dar. Bei der Abfrage dieses Datums im Bestellformular auf der klägerischen Homepage handelt es sich auch um einen Verarbeitungsvorgang im Sinne der DSGVO. Denn nach der in Art. 4 Nr. 2 DSGVO enthaltenen Begriffsbestimmung bezeichnet der Ausdruck „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

c) Die Erhebung und Verarbeitung des Geburtsdatums unabhängig davon, welches Produkt bestellt wird, verstößt gegen das in Art. 5 Abs. 1 lit. a DSGVO normierte Prinzip der Rechtmäßigkeit und steht somit im Widerspruch zur DSGVO.

Nach Art. 5 Abs. 1 lit. a DSGVO müssen personenbezogene Daten auf rechtmäßige Weise verarbeitet werden. Dies entspricht der Vorgabe von Art. 8 Abs. 2 Satz 1 Grundrechtecharta der EU (GRC), wonach personenbezogene Daten nur mit Einwilligung der betroffenen Person oder auf Basis sonstiger gesetzlich geregelter legitimer Grundlagen verarbeitet werden dürfen. Diesen Grundsatz nimmt Art. 6 Abs. 1 DSGVO durch die Anforderung auf, dass eine der dort geregelten Rechtsgrundlagen zur Datenverarbeitung vorliegen muss (vgl. Schantz, in: BeckOK Datenschutzrecht, 37. Ed., Stand 01.05.2020, Art. 5 DSGVO, Rn. 5).

Die Erhebung und Verarbeitung des Geburtsdatums im Bestellprozess auf der streitgegenständlichen Homepage der Klägerin – auch für solche Produkte, die altersunabhängig zu dosieren sind – kann auf keine der in Art. 6 DSGVO genannten Rechtsgrundlagen gestützt werden.

aa) Nachdem die Klägerin sich im Bestellprozess unstreitig keine Einwilligung des Bestellers zur Datenverarbeitung einholt, kann die Verarbeitung des Geburtsdatums nicht auf Art. 6 Abs. 1 lit. a) DSGVO gestützt werden.

bb) Die Abfrage des Geburtsdatums kann nicht auf Art. 6 Abs. 1 lit. b) DSGVO gestützt werden. Hiernach ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn sie zur Erfüllung eines Vertrages oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. Dies ist vorliegend nicht der Fall. Die Formulierung „zur Erfüllung eines Vertrages“ darf nicht im rechtstechnischen Sinne zu eng verstanden werden. Neben der „Erfüllung“ im engeren Sinne sind die Vorbereitung und Anbahnung des Vertrages, dessen Durchführung sowie auch dessen Abwicklung insbesondere zur Erfüllung von Gewährleistungspflichten oder sekundären Leistungspflichten erfasst (vgl. Plath, in: Plath, DSGVO/BDSG, 3. Aufl. 2018, Artikel 6 DSGVO, Rn. 11). Auch vorvertragliche Maßnahmen können eine Verarbeitung legitimieren, allerdings nur, wenn sie „auf Anfrage der betroffenen Person erfolgen“. Liegt ein Vertrag i.S.d. Art. 6 Abs. 1 lit. b) DSGVO vor, so muss die Verarbeitung zur Durchführung des Vertrages bzw. der Vertragsanbahnung objektiv erforderlich sein, damit der Erlaubnistatbestand zur Anwendung kommen kann. Ist dies der Fall, ist eine weitere Interessenabwägung grundsätzlich entbehrlich (Plath, in: Plath, DSGVO/BDSG, 3. Aufl. 2018, Artikel 6 DSGVO, Rn. 16). Die DSGVO definiert den Begriff der Erforderlichkeit nicht ausdrücklich. Einen Anhaltspunkt gibt aber der Erwägungsgrund 39. Hier heißt es: „Personenbezogene Daten sollten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann.“ Die Verwendung des Begriffs „Zumutbarkeit“, lässt den Rückschluss zu, dass für die Feststellung der Erforderlichkeit grundsätzlich keine übermäßig strengen Maßstäbe angesetzt werden dürfen. Demnach wird vertreten, dass die Datenverarbeitung bereits dann erforderlich ist, wenn kein milderes, wirtschaftlich gleich effizientes Mittel zur Verfügung steht, um den entsprechenden Zweck mit gleicher Sicherheit zu verwirklichen (Plath, in: Plath, DSGVO/BDSG, 3. Aufl. 2018, Art. 6 DSGVO, Rn. 18). Eine Verarbeitung von personenbezogenen Daten wird auch dann als erforderlich angesehen, wenn sie zwar nicht unumgänglich für den Vertragsschluss ist, jedoch für die Erreichung des Geschäftszwecks als förderlich angesehen werden kann. Demnach gilt, dass die Erforderlichkeit auch dann anzunehmen ist, wenn zwar ein milderes Mittel zur Verfügung steht, also das Rechtsgeschäft auch ohne die konkrete Verwendung der Daten durchgeführt werden könnte, die Wahl eines solchen Mittels jedoch mit Nachteilen für den Verantwortlichen und/oder die betroffenen Personen verbunden wäre. Dies gilt umso mehr, wenn die Verwendung der Daten auch im Interesse der betroffenen Person geschieht, etwa um einen besseren Service oder eine schnellere Abwicklung zu ermöglichen. Neben der Verarbeitung der sogenannten „Stammdaten“, wie den Namen, die Anschrift und der Zahlungsinformationen, können grundsätzlich je nach Einzelfall zusätzlich die Verarbeitung von „weiteren Daten“, etwa die Verarbeitung des Geburtsdatums, zumindest des Geburtsjahrs, zur Verifizierung der Geschäftsfähigkeit bzw. eines Mindestalters oder zur Unterscheidung mehrerer gleichnamiger Kunden zulässig sein. Im Rahmen dieser Einzelfallentscheidung ist mit dem Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO abzuwägen (Plath, in: Plath, DSGVO/BDSG, 3. Aufl. 2018, Artikel 6 DSGVO, Rn. 21).

Legt man diesen Maßstab zugrunde, ist die Erhebung und Verarbeitung des genauen Geburtsdatums, welches sich aus Tag, Monat und Jahr zusammensetzt, nicht zur Erfüllung des Vertrages über altersunabhängig zu dosierende Produkte erforderlich. Typischerweise schließen die Klägerin und die von ihrer Webseite bestellenden Personen einen Kaufvertrag über das bestellte Produkt ab. Die Klägerin ist zur Erfüllung dieses Vertrages dazu verpflichtet, dem Besteller das Produkt zu übergeben und das Eigentum daran zu verschaffen, während der Besteller dazu verpflichtet ist das bestellte Produkt zu bezahlen. Hierfür ist die Abfrage des Geburtsdatums grundsätzlich nicht erforderlich. Der Klägerin ist zwar darin zuzustimmen, dass ihr als Apothekenversandhandel besondere Beratungs-, Informations- und Aufklärungspflichten zukommen und diese (wohl) auch als vertragliche Nebenpflichten zu qualifizieren sind. So hat der Apotheker Patienten und andere Kunden sowie die zur Ausübung der Heilkunde, Tierheilkunde oder Zahnheilkunde berechtigten Personen über Arzneimittel und apothekenpflichtige Medizinprodukte hinreichend zu beraten und zu informieren. Die Information und Beratung über Arzneimittel muss insbesondere Aspekte der Arzneimittelsicherheit berücksichtigen sowie die sachgerechte Anwendung des Arzneimittels umfassen. Der Apotheker hat auch über eventuelle Nebenwirkungen oder Wechselwirkungen, die sich aus den Angaben auf der Verschreibung und den Angaben des Patienten oder Kunden ergeben sowie über die sachgerechte Aufbewahrung oder Entsorgung des Arzneimittels zu informieren und zu beraten, soweit dies erforderlich ist. Er hat bei Patienten und anderen Kunden gewissenhaft zu ermitteln, inwieweit diese gegebenenfalls weiteren Informations- und Beratungsbedarf haben, und ihnen eine entsprechende Beratung anzubieten. Im Falle der Selbstmedikation ist auch festzustellen, ob das gewünschte Arzneimittel zur Anwendung bei der vorgesehenen Person geeignet erscheint oder in welchen Fällen anzuraten ist, gegebenenfalls einen Arzt aufzusuchen (vgl. § 20 ApBetrO, entsprechende Regelungen enthalten auch die Berufsordnungen der verschiedenen Apothekerkammern, vgl. für Niedersachsen § 9 Berufsordnung der Apothekerkammer Niedersachsen).

Die Kammer zweifelt nicht daran, dass im Rahmen dessen auch eine Beratung zur altersgerechten Dosierung erforderlich sein kann. Unabhängig davon, ob zum Zwecke einer altersgerechten Beratung die Abfrage des Geburtsdatums des Bestellers tatsächlich das richtige Mittel ist – insoweit teilt die Kammer die Ansicht der Beklagten, dass konsequenterweise das Alter derjenigen Person abgefragt werden müsste, für die das bestellte Produkt zur Anwendung/Einnahme bestimmt ist, welche nicht unbedingt mit der des Bestellers personengleich sein muss – zeigt ein Blick in die klägerische Produktpalette, dass auf der streitgegenständlichen Webseite ein großes Sortiment an Waren angeboten wird, welche offensichtlich altersunabhängig angewendet oder konsumiert werden. Die entsprechenden Produkte können dementsprechend klassischerweise auch in einer Drogerie, in der grundsätzlich nicht die Möglichkeit einer Beratung durch einen Apotheker besteht, erworben werden. Beispielhaft seien hier nur die folgenden Produktfelder genannt: Pflaster, Verbandsmaterial, Gesichts- und Körperpflegecremes, Fußbäder, Einlegesohlen, Parfums, Raumdüfte, Hand- und Nagelpflegeprodukte sowie Haarpflegeprodukte. Ein besonderer altersabhängiger Beratungsbedarf ist bei diesen Produkten nicht erkennbar, besondere altersbedingte Nebenpflichten wie eine Beratungsobliegenheit zum Vertrag lassen sich für diese Produkte demnach nicht konzipieren.

Im Übrigen spricht einiges dafür, dass die Klägerin das Argument der altersgerechten Beratung nur vorschiebt. Sollte die Abfrage des Geburtsdatums tatsächlich einer altersgerechten Beratung dienen, leuchtet nicht ein, weshalb andere Daten, die für eine adäquate Beratung erforderlich sind – wie etwa Fragen nach einer Schwangerschaft/Einnahme anderer Medikamente –, nicht abgefragt werden.

Die Klägerin dringt auch nicht mit dem Argument durch, sie müsse zur Überprüfung der Geschäftsfähigkeit des Bestellers das Geburtsdatum abfragen. Dem Risiko einer Rückabwicklung bei schwebend-unwirksamen Verträgen kann mit der einfachen Abfrage der Volljährigkeit gleichermaßen begegnet werden. Soweit die Klägerin meint, die Hemmschwelle, unwahre Angaben zu machen, sei bei dieser Abfrageart geringer als wenn das gesamte Geburtsdatum abgefragt wird, folgt die Kammer dem nicht. Es ist vielmehr davon auszugehen, dass Personen, die die Anonymität des „Online-Shoppens“ missbräuchlich ausnutzen wollen, hiervon auch nicht dadurch abgehalten werden, dass sie ein volles Geburtsdatum angeben müssen. Zudem ist darauf hinzuweisen, dass die Abfrage des Geburtsdatums zumindest in den Fällen, in denen sich die Geschäftsunfähigkeit nicht aus dem Alter, sondern aus dem Gesundheitszustand des Bestellers ergibt, auch nicht dazu geeignet ist, die Klägerin vor (schwebend) unwirksamen Vertragsabschlüssen zu schützen.

Soweit das Geburtsdatum bei Online-Bestellvorgängen in Einzelfällen als Identifizierungskriterium erforderlich sein könnte, hat die Klägerin schon nicht geltend gemacht, das Geburtsdatum für diesen Zweck zu benötigen.

cc) Die Abfrage des Geburtsdatums kann nicht auf Art. 6 Abs. 1 lit. c) DSGVO gestützt werden. Hiernach ist die Datenverarbeitung zulässig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt, erforderlich ist. In Abgrenzung zu Art. 6 Abs. 1 lit. b DSGVO meint Art. 6 Abs. 1 lit. c DSGVO mit „rechtlicher Verpflichtung“ nicht eine auf einer privatautonomen Entscheidung beruhende vertragliche Obligation, sondern eine Verpflichtung kraft Rechts der Union oder eines Mitgliedstaates. Eine solche rechtliche Verpflichtung ist für die Produktpalette der Klägerin, die eine altersabhängige Dosierung nicht erfordern, nicht ersichtlich.

Insbesondere ergibt sie sich nicht aus § 2 Abs. 1 Nr. 3 Arzneimittelverschreibungsordnung. Nach dieser Norm muss eine Verschreibung den Namen und das Geburtsdatum der Person, für die das Arzneimittel bestimmt ist, enthalten.

Die Klägerin kann sich auf diese Vorschrift bereits nicht berufen, weil vorliegend streitgegenständlich nur der Bestellprozess über rezeptfreie Produkte auf der Webseite der Klägerin ist. Schließlich können nur solche über den von der Beklagten geschilderten Bestellprozess ohne Registrierung geordert werden. Die Bestellung von rezeptpflichtigen Medikamenten über die Webseite der Klägerin erfolgt auf gesondertem Wege und erfordert die Einsendung des Rezepts auf dem postalischen Weg.

Sollte man die bereits benannten Informations- und Beratungspflichten von Apothekern nicht als vertragliche Neben- sondern als gesetzliche Pflichten qualifizieren, so ist für diejenigen von der Klägerin angebotenen Produkte, die altersunabhängig zu dosieren/anzuwenden sind, auf die unter bb) dargelegten Ausführungen zu verweisen.

dd) Die Abfrage des Geburtsdatums für altersunabhängig zu dosierende Produkte kann schließlich auch nicht auf Art. 6 Abs. 1 lit. f) DSGVO gestützt werden. Hiernach ist die Datenverarbeitung rechtmäßig, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Die Erforderlichkeit der Verarbeitung wird auch hier wie unter lit. b) dann angenommen, wenn kein milderes, wirtschaftlich gleich effizientes Mittel zur Verfügung steht, den entsprechenden Zweck mit gleicher Sicherheit zu verwirklichen (Plath, in: Plath, DSGVO/BDSG, 3. Aufl. 2018, Artikel 6 DSGVO, Rn. 56).

Soweit die Klägerin vorträgt, ein berechtigtes Interesse daran zu haben, in Erfahrung bringen zu können, ob der Besteller aufgrund seines Alters (beschränkt) geschäftsfähig ist, so bedarf es einer Abwägung zu dem diesem Interesse gegenüberstehenden Recht auf informationelle Selbstbestimmung des jeweiligen Bestellers aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG vorliegend schon nicht, weil es bereits an der Erforderlichkeit der Datenerhebung zu diesem Zweck scheitert. Die Klägerin muss sich diesbezüglich – wie bereits dargelegt – auf das mildere gleich effiziente Mittel der Abfrage der Volljährigkeit verweisen lassen.

d) Die getroffene Anordnung stellt sich auch nicht als unverhältnismäßig dar. Sie ist geeignet, den Widerspruch zur DSGVO zu unterbinden. Es ist auch kein milderes gleicheffizientes Mittel zur Beseitigung des rechtswidrigen Zustandes ersichtlich – insbesondere musste die Beklagte sich nicht auf das Mittel der Verwarnung beschränken, nachdem die Klägerin im behördlichen Anhörungsverfahren schon zu erkennen gegeben hatte, dass sie einen Datenrechtsverstoß hinsichtlich der Verarbeitung des Geburtsdatums nicht anerkenne. Es ist auch nicht erkennbar, dass es der Klägerin unzumutbar wäre bzw. sie unverhältnismäßig stark belasten würde, technisch ihre Webseite so zu konzipieren, dass das Geburtsdatum nur bei denjenigen Produkten abgefragt wird, bei denen eine altersabhängige Beratung erforderlich ist. Dies ist der Kammer auch von anderen Online-Händlern bekannt, die beispielsweise Videospiele mit einer Altersbeschränkung oder Spirituosen anbieten und auf deren Webseite für nur diese Produkte eine besondere Abfrage erfolgt. Die Kammer geht auch nicht davon aus, dass eine entsprechende Umstellung der Webseite mit erheblichen wirtschaftlichen Einbußen – wenngleich mit einem gewissen Arbeitsaufwand – einhergeht, den die Klägerin aber zugunsten des informationellen Selbstbestimmungsrechts ihrer Kunden aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG hinzunehmen hat.

III. Die Kostenentscheidung ergibt sich als gemischte Kostenentscheidung (§ 155 Abs. 1 Satz 1 VwGO) zum einen aus § 154 Abs. 1 VwGO, soweit die Klage aufrechterhalten wurde und die Klägerin unterlegen ist, und zum anderen aus § 161 Abs. 2 VwGO als Entscheidung des Gerichts unter Berücksichtigung des bisherigen Sach- und Streitstandes nach billigem Ermessen, soweit die Beteiligten das Verfahren für erledigt erklärt haben. Billigem Ermessen entspricht es, wenn die Klägerin auch für diesen Teil die Kosten trägt.

Die Klägerin hat den Rechtsstreit hinsichtlich der Ziffern 2 und 3 des streitgegenständlichen Bescheides für erledigt erklärt, nachdem sie selbst ihr Bestellformular und ihre Datenschutzerklärung angepasst hat. So besteht hinsichtlich der Anrede im Bestellformular nunmehr neben den Auswahloptionen „Herr/Frau“ auch die Möglichkeit, „keine Angabe“ zu tätigen. Zudem hat die Klägerin ihre Datenschutzerklärung um die Information ergänzt, dass die Anrede zum Zweck einer freundlichen und kundenangemessenen Ansprache und Kommunikation verarbeitet wird und die Verarbeitung auf Grundlage von Art. 6 Abs. 1 Satz 1 lit. f) DSGVO erfolgt. Dementsprechend ist davon auszugehen, dass sie den Bescheid der Beklagten diesbezüglich faktisch akzeptiert hat und aus diesem Grund die Klage nicht mehr weiterverfolgt. Dies kommt einer versteckten Klagerücknahme gleich.

Ihre Klage hätte diesbezüglich aber auch keine Aussicht auf Erfolg gehabt. Die Erhebung und Verarbeitung des Geschlechts/der Anrede zur Vertragserfüllung im Bestellprozess auf der streitgegenständlichen Homepage der Klägerin – auch für solche Produkte, die geschlechtsunabhängig zu dosieren bzw. einzunehmen/anzuwenden sind – kann nicht auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden.

Auch diesbezüglich gilt, dass die Kammer grundsätzlich anerkennt, dass Apothekern besondere Informations- und Beratungspflichten als vertragliche Nebenpflichten zu erfüllen haben. Bei bestimmten Produkten wird Apothekern auch eine geschlechtsspezifische Beratungsobliegenheit zukommen. Allerdings gilt auch hier, dass ein Blick auf die streitgegenständliche Webseite der Klägerin zeigt, dass eine Vielzahl der von ihr angebotenen Produkte eine besondere geschlechtsspezifische Beratung nicht erfordern. Hinsichtlich dieser Produkte kann die Datenverarbeitung demnach auch nicht auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden. Wie bei den altersunabhängig zu dosierenden Produkten gilt auch hier, dass es der Klägerin zuzumuten ist, den Bestellprozess so auszugestalten, dass eine Abfrage des Geschlechts/der Anrede nur für solche Produkte erfolgt, die eine geschlechtsspezifische Beratung erfordern. Ein solches Vorgehen hätte zudem den Vorteil, dass dem Besteller bzw. der Bestellerin auch deutlich werden dürfte, dass es zum einen auf das biologische Geschlecht und zum anderen auf das Geschlecht derjenigen Person ankommt, für die das Produkt in der späteren Anwendung auch tatsächlich gedacht ist.

Soweit die Anrede zur Wahrung eines berechtigten Interesses der Klägerin im Sinne des Art. 6 Abs. 1 Satz 1 lit. f DSGVO im Bestellprozess auf der klägerischen Webseite erhoben und verarbeitet werden darf, verstieß die Nichtnennung der Rechtsgrundlage für diese Datenverarbeitung gegen das in Art. 5 Abs. 1 lit. a i.V.m. Art. 12 Abs.1 und Art. 13 Abs. 1 lit. c DSGVO normierte Transparenzprinzip. Art. 5 Abs. 1 Satz 1 lit. a DSGVO verlangt, dass die betroffene Person die Datenverarbeitung nachvollziehen können muss. Erwägungsgrund 39 Satz 2 stellt dahingehend klar, dass die betroffene Person bereits prospektiv über zukünftige Datenverarbeitungen Klarheit haben muss, denn nur so wird der betroffenen Person ermöglicht, die Kontrolle über ihre personenbezogenen Daten (vgl. Erwägungsgrund 7 Satz 2) zu behalten (Schantz, in: BeckOK Datenschutzrecht, 37. Ed., Stand 01.05.2020). Eine Konkretisierung findet dieses Prinzip in Art. 12 DSGVO, der wiederum auf Art. 13, 14 und 15-22 sowie Art. 34 DSGVO verweist. Art. 13 Abs. 1 DSGVO sieht in lit. c dahingehend vor, dass die Zwecke der beabsichtigten Datenverarbeitung sowie die Rechtsgrundlage hierfür anzugeben sind. Hierfür ist es ausreichend, wenn im Hinblick auf den Zweck ein entsprechendes Schlagwort genannt und im Hinblick auf die Rechtsgrundlage eine oder gegebenenfalls mehrere der in Art. 6 Abs. 1 genannten Fallgruppen zitiert wird (Kamlah, in: Plath, DSGVO/BDSG, 3. Aufl. 2018, Artikel 13 DSGVO, Rn. 11). Zum maßgeblichen Entscheidungszeitpunkt des Erlasses des Bescheides vom 08.01.2019 wurde weder in der Datenschutzerklärung der Klägerin noch in dem Bestellformular selbst darauf hingewiesen, dass die Abfrage der Anrede zur Ermöglichung einer freundlichen und kundenangemessenen Ansprache sowie Kommunikation erhoben und verarbeitet wird und damit einem berechtigten Interesse der Klägerin i.S.d. Rechtsgrundlage des Art. 6 Abs. 1 lit. f DSGVO dient.

Die Klägerin kann sich desbezüglich auch nicht auf Art. 13 Abs. 4 DSGVO berufen. Hiernach bedarf es der Benennung des Zwecks und der Rechtsgrundlage der Datenverarbeitung nicht, wenn und soweit die betroffene Person bereits über die Informationen verfügt. Die bereits vorhandene Kenntnis kann grundsätzlich auch dadurch begründet sein, dass es sich um offensichtliche Umstände handelt (vgl. Kamlah, in: Plath, DSGVO/BDSG, 3. Aufl. 2018, Artikel 13 DSGVO, Rn. 31d). Im Hinblick darauf, dass Kunden in Bestellbestätigungen regelmäßig auch ohne besondere oder mittels geschlechtsneutraler Ansprache adressiert werden (beispielsweise „Sehr geehrter Kunde, sehr geehrte Kundin“) und die Erhebung der Anrede/des Geschlechts auch noch andere Gründe – wie die von der Klägerin selbst benannte geschlechtsspezifische Beratung – haben kann, drängt es sich vorliegend gerade nicht auf, dass der Zweck der entsprechenden Datenverarbeitung die kundenfreundliche und angemessene Ansprache ist, welche auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann.

IV. Die Entscheidung über die vorläufige Vollstreckbarkeit beruht auf § 167 VwGO in Verbindung mit § 708 Nr. 11 und § 711 Satz 1 und 2 ZPO.