VG Hannover mahnt: Zurückhaltung bei Pflichtangaben in Formularen

Formulare ausfüllen gehört ebenso zum Alltag im Internet wie Cookie-Banner wegklicken. Wer wurde hierbei nicht schon mal am Aufruf der nächsten Seite gehindert, weil ein „Pflichtfeld“ nicht ausgefüllt worden ist? Eben solche Pflichtfelder in Onlineformularen waren jetzt Gegenstand einer datenschutzrechtlichen Entscheidung des Verwaltungsgerichts Hannover (Urteil vom 09.11.2021, Az. 10 A 502/19 – nicht rechtskräftig). Das Urteil hat Auswirkungen für alle Unternehmen und sonstigen Verantwortlichen, die personenbezogene Daten, z. B. von (potentiellen) Kunden, elektronisch über Formulare mit Pflichtfeldern erheben.

Was war geschehen?

Auf eine Beschwerde hin hatte die niedersächsische Landesbeauftrage für Datenschutz (LfD Niedersachsen) die Verarbeitung personenbezogener Daten auf der Webseite einer Online-Apotheke beanstandet. Im Rahmen des Bestellprozesses „als Gast“ wurden dort von allen Kunden neben deren Namen und Anschrift auch das Geburtsdatum sowie eine Anrede (Herr/Frau) als verpflichtend abgefragt. Wer diese Daten nicht preisgab, konnte nicht bestellen. Diese Praxis verstößt nach Ansicht der LfD Niedersachsen gegen Datenschutzrecht. Das VG Hannover hat diese Ansicht jetzt bestätigt.

Wer personenbezogene Daten verarbeiten will, hat unter anderem die von der Datenschutz-Grundverordnung (DS-GVO) aufgestellten Grundsätze für deren Verarbeitung nach Art. 5 DS-GVO zu beachten. Das, so die niedersächsische Datenschutzaufsicht, habe die Online-Apotheke nicht getan. Konkret habe der Online-Apotheke eine Rechtsgrundlage gefehlt, die verpflichtend abgefragten Informationen zu Geburtsdatum und Anrede zu verarbeiten. Zudem widerspreche die verpflichtende Erhebung dieser – so die Behörde – eigentlich nicht benötigten Angaben dem Grundsatz der Datenminimierung.

Die LfD Niedersachsen forderte die Online-Apotheke daraufhin nach Anhörung förmlich auf, ihre Bestellformulare zu ändern. Hiergegen wehrte sich diese und klagte vor dem VG Hannover.

Die Entscheidung des Gerichts

Im Kern ging es um die Frage, ob die Online-Apotheke diese Angaben brauchte oder nicht. Die Antwort der Behörde und nun auch des Gerichts: Nein, brauchte sie nicht.

Das Geburtsdatum werde – so das Gericht – auch speziell beim Verkauf von Arzneimitteln nicht immer und nicht bei jeder Bestellung gebraucht, sondern nur, wenn es für die konkrete Bestellung in besonderem Maße auf das Alter ankommt. Das könne z. B. der Fall sein, wenn ein Medikament altersabhängig dosiert werden muss. Das Bestellformular der Online-Apotheke differenzierte hier aber nicht. Auch zur Überprüfung der Volljährigkeit sei die Preisgabe des Geburtsdatums nicht erforderlich. Hierzu genüge es, wenn sich der Händler durch den jeweiligen Kunden die Volljährigkeit bestätigen lasse.

Die Abfrage der Anrede hingegen sollte dazu dienen, E-Mails an den Kunden besser personalisieren und somit kundenfreundlicher gestalten zu können. Auch dieser Grund genügte dem Gericht nicht, um eine verpflichtende Preisgabe der Anrede zu rechtfertigen. Hinzu kam, dass die Online-Apotheke über diesen Zweck der Erhebung in ihrer Datenschutzerklärung nicht ausreichend informiert hatte.

Auswirkungen

So gut wie jedes Unternehmen, das Leistungen über seine Website verkauft, setzt zur Erhebung der Daten seiner potentiellen Kunden interaktive Formulare ein. Die Wertungen lassen sich auch auf Formulare zur Kontaktaufnahme oder für das Abonnement eines Newsletters übertragen. Die Entscheidung des VG Hannover ist daher ein guter Anlass, die Formulare auf der eigenen Website einmal genauer unter die Lupe zu nehmen. Welche Angaben werden hier verpflichtend erhoben? Werden diese Angaben tatsächlich zwingend benötigt, oder geht es auch ohne?

Keineswegs jedoch ist aus der Entscheidung abzuleiten, dass die Abfrage von Geburtsdatum und Anrede als Pflichtangabe in jedem Fall unzulässig ist. Erforderlich sind stets eine Einzelfallentscheidung und im Zweifelsfall eine sorgfältige rechtliche Abwägung.

Im Lichte der Entscheidung ist verstärkt mit Beschwerden betroffener Personen zu solchen Pflichtfeldern zu rechnen. Auch werden die Datenschutzbehörden das Thema absehbar strenger verfolgen. Nicht immer muss es hierbei wie im Fall der Online-Apotheke bei einer – vergleichsweise kostengünstigen – behördlichen Anordnung bleiben. Auch empfindliche Bußgelder können verhängt werden.

Ansprechpartner*innen: Nils Langeloh/Alexander Bartsch/Dr. Maximilian Festl-Wietek/Thomas Schmeding/Nicolas Höbel