Geburtsdatum, Datenminimierung und Jugendschutz – Altersangabe im Bestellformular: Wer online einkauft, kennt es – im Bestellprozess taucht ein Pflichtfeld auf, das Geburtsdatum. Viele Webshops erheben diese Angabe standardmäßig, ohne dass Kunden wissen, warum. Doch ist das überhaupt erlaubt?

Die Antwort ist nicht pauschal mit Ja oder Nein zu beantworten. Es kommt auf den konkreten Zweck an. Genau hier liegt der Kern des Problems – und genau hier setzt das Datenschutzrecht an.

Dieser Beitrag erklärt, wann die Abfrage des Geburtsdatums zulässig ist, wann sie gegen geltendes Recht verstößt und was Verbraucher sowie Unternehmer konkret beachten müssen.

Rechtliche Grundlage: DSGVO und Datenminimierung

Zentrales Regelwerk ist die Datenschutz-Grundverordnung (DSGVO). Sie gilt unmittelbar in allen EU-Mitgliedstaaten – also auch in Deutschland – und bedarf insoweit keiner gesonderten nationalen Umsetzung.

Der entscheidende Grundsatz findet sich in Art. 5 Abs. 1 lit. c DSGVO: der Grundsatz der Datenminimierung. Danach dürfen personenbezogene Daten nur erhoben werden, wenn sie für den konkreten Verarbeitungszweck tatsächlich erforderlich sind. Daten „auf Vorrat“ zu sammeln ist ausdrücklich unzulässig.

Ergänzend verlangt Art. 6 DSGVO für jede Datenerhebung eine Rechtsgrundlage. In Betracht kommen insbesondere

• die Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO),
• eine rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) oder
• eine ausdrückliche Einwilligung des Betroffenen (Art. 6 Abs. 1 lit. a DSGVO).

Fehlt eine dieser Grundlagen, ist die Datenerhebung rechtswidrig – unabhängig davon, ob der Händler einen nachvollziehbaren wirtschaftlichen Grund sieht.

Aktuelle Rechtsprechung aus Niedersachsen

Das Niedersächsische Oberverwaltungsgericht in Lüneburg bestätigte mit Beschluss vom 23.01.2024, Az. 14 LA 1/24, das Verwaltungsgericht Hannover und dessen vorangegangenes Urteil vom 09.11.2021, Az. 10 A 502/19, dass eine Online-Versandapotheke im Bestellvorgang das Geburtsdatum und die Anrede nicht bei jedem Produkt verarbeiten darf.

• Streitgegenstand: Ein Online-Händler hatte als Pflichtfeld im Bestellprozess unter anderem die Anrede mit den Auswahloptionen „Frau“ oder „Herr“ und das Geburtsdatum eingerichtet. Die Begründung: Man wolle sich für mögliche spätere Mahnverfahren absichern und Minderjährige identifizieren können.
• Kernaussage: Das Gericht wies diese Begründung zurück. Hypothetische künftige Szenarien – wie ein möglicher Rechtsstreit – rechtfertigen keine präventive Datenerhebung bei sämtlichen Kunden. Für eine Identifizierung im Ernstfall genügen Name und Anschrift. Das Pflichtfeld verstößt gegen den Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO.

Diese Entscheidung macht deutlich: Pauschale wirtschaftliche Interessen des Händlers ersetzen keine konkrete Rechtsgrundlage.

Auswirkungen auf die Praxis

Wann darf – oder muss – das Geburtsdatum abgefragt werden?

Es gibt Situationen, in denen die Abfrage nicht nur erlaubt, sondern gesetzlich vorgeschrieben ist.

_ Jugendschutz: Wer Waren verkauft, die dem Jugendschutzgesetz (JuSchG) unterliegen – etwa Tabakwaren, hochprozentigen Alkohol oder Medien mit FSK-18-Kennzeichnung – ist zur Altersprüfung verpflichtet. Hier besteht eine rechtliche Verpflichtung im Sinne von Art. 6 Abs. 1 lit. c DSGVO.

Aber Achtung: Ein einfaches Pflichtfeld im Bestellformular genügt rechtlich nicht. Das Jugendschutzgesetz verlangt eine zuverlässige Altersverifikation – die bloße Selbstauskunft des Kunden erfüllt diese Anforderung in der Regel nicht.

_ Bestimmte Zahlungsarten: Wählt ein Kunde den Rechnungskauf und ist der eingebundene Zahlungsdienstleister für seine Bonitätsprüfung zwingend auf das Geburtsdatum angewiesen, kann die Abfrage zulässig sein. Entscheidend: Das Pflichtfeld darf dann erst erscheinen, wenn der Kunde diese Zahlungsart aktiv auswählt – nicht pauschal für alle Kunden.

Was müssen Verbraucher beachten?

Auch in Bezug auf die abgefragten Einzelangaben gilt: Erst prüfen, dann klicken.

• Hinterfragen Sie Pflichtfelder. Wenn ein Shop das Geburtsdatum verlangt, ohne dass ein erkennbarer Grund vorliegt, ist das ein Warnsignal.
• Sie haben das Recht auf Auskunft. Nach Art. 15 DSGVO können Sie jederzeit erfragen, welche Daten ein Unternehmen über Sie gespeichert hat und zu welchem Zweck.
• Sie können Löschung verlangen. Wurden Daten ohne Rechtsgrundlage erhoben, haben Sie nach Art. 17 DSGVO einen Anspruch auf Löschung.
• Beschwerderecht: Bei Verstößen können Sie sich an die zuständige Datenschutzaufsichtsbehörde Ihres Bundeslandes wenden. Diese kann Bußgelder verhängen.

Was müssen Unternehmer beachten?

Das Datenschutzrecht erteilt Schubladendenken eine Absage: Eine Datenverarbeitung, die in einem Fall rechtmäßig erfolgt, kann in einem anderen Fall rechtswidrig sein. Es kommt immer auf die Umstände des konkreten Einzelfalls an. Daher:

• Überprüfen Sie jeden Datenpunkt im Bestellprozess. Für jedes Pflichtfeld brauchen Sie eine konkrete Rechtsgrundlage nach Art. 6 DSGVO.
• Pauschale Begründungen reichen nicht. „Wir könnten das Datum später brauchen“ ist keine ausreichende Rechtsgrundlage für eine Datenerhebung.
• Jugendschutz erfordert mehr als ein Formularfeld. Wer jugendschutzrelevante Waren verkauft, muss ein rechtssicheres Altersverifikationssystem einsetzen.
• Zahlungsart-abhängige Felder nur situativ einblenden. Das Geburtsdatum darf bei Rechnungskauf erst nach aktiver Auswahl dieser Zahlungsart abgefragt werden.
• Dokumentieren Sie Ihre Entscheidungen. Die DSGVO verlangt Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO). Halten Sie schriftlich fest, warum Sie welche Daten erheben.

Allgemeine Empfehlungen

• Führen Sie regelmäßige Datenschutz-Audits Ihres Bestellprozesses durch.
• Streichen Sie alle Pflichtfelder, für die keine klare Rechtsgrundlage besteht.
• Nutzen Sie freiwillige Felder mit transparenter Erklärung, wenn Sie Daten aus legitimen Gründen erheben möchten.
• Holen Sie bei Unsicherheiten rechtlichen Rat ein – bevor die Aufsichtsbehörde tätig wird.

Fazit

Das Geburtsdatum ist kein harmloses Formularfeld. Wer es ohne Rechtsgrundlage als Pflichtangabe einfordert, verstößt gegen die DSGVO und riskiert Bußgelder sowie Abmahnungen. Die Rechtsprechung hat hier eine klare Linie gezogen: Datenerhebung auf Vorrat ist unzulässig. Jäger und Sammler mögen in der Anthropologie und Ethnologie ihren Platz haben – im Datenschutzrecht haben sie keinen Platz.

Für Verbraucher bedeutet das: Sie müssen nicht jede Dateneingabe widerspruchslos hinnehmen. Für Unternehmer bedeutet es: Jedes Pflichtfeld im Bestellprozess braucht eine saubere rechtliche Grundlage.

 

© RA Stefan Loebisch | Kontakt