在网上商店要求输入出生日期的合法性

fabiha01

特别是在蓬勃发展的网上购物行业中，有很多情况下需要检查客户的年龄：这些信息或年龄验证当然可以基于合同，并且也符合卖方的合法利益，不是吗？

出生日期是网上药店订购过程中的必填信息
在下萨克森州数据保护监督局针对一家网上邮购药店提起的诉讼中，一审法院（VG Hannover）和二审法院（OVG Niedersachsen）必须具体解决一个问题：网上商店的运营商是否通常被允许在订购过程中要求提供准确的出生日期。

二审法院，下萨克森州高等行政法院（2024 年 1 月 23 日判决，案件编号：14 LA 1/24）于年初裁定，无论订购哪种产品，收集和处理出生日期均违反了《欧盟数据保护条例》第 31 条规定的合法性原则。 5（1）（a） GDPR，因此与通用数据保护条例相冲突，因为出生日期的收集和处理不能基于第 5（1）（a）条规定的任何法律依据。 GDPR 第 6（1）条。

下萨克森州数据保护专员在新闻稿中对这一决定表示欢迎。

GDPR 的法律依据
原则上，在使用网上商店或访问网站上的某些内容时，可以考虑多种法律依据来处理生日。

二审法院以示范的方式解释了该判决为何值得详细考量：

实施合同前措施/履行合同
最明显的论点是，在订购过程中对出生日期的请求应以执行合同前措施的法律依据为依据（​​GDPR 第 6（1）（b）条）。这可能就是那些责任人试图反射性地为其辩解的方式。

然而，这要求用户在商店下订单时也是实际的合同方，这可能已经值得怀疑了，因为第三方（例如亲戚或孩子）的订单也是可以想象的。仅此一点就可能注定这一进程失败。

但进一步说：出生日期是否可能用于识别个人身份，例如，如果姓名与其他顾客的姓名相同，英国商业传真列表 以便能够遵守药房的特殊法定咨询服务（第 17 条第 2a 款第 1 句第 7 号 ApBetrO）？

法院指出：

“履行提供建议的义务所需的并非购买者的明确身份，而是对将使用或服用所订购产品的人员的了解。因此，为购买者创建药品档案似乎并不适合履行提供建议和信息的义务。”

法院还补充道：

除此之外，投诉也没有解释，为什么在客户姓名相同的情况下，需要通过出生日期来识别客户。原告还掌握了客户的地址和电话号码；投诉没有解释，也没有明确说明，为什么这些数据还不足以可靠地识别同名客户。

因此，任何建议的提供并不意味着要求提供出生日期的义务，因为建议必须提供给客户，而不一定提供给下订单的人，然后必须通过其他方式提供：

此外，需要指出的是，为了履行提供咨询的义务，邮购药房必须要求顾客提供一个电话号码，以便顾客可以通过电话免费获得药房药剂人员的咨询（《ApBetrO》第17条第2a款第1句第7项）。这样，邮购药房就可以通过该电话号码联系顾客，并在此背景下索取具体咨询所需的数据。

法律行为能力的确定
然而，公司可能认为此查询是为了确定客户的业务能力。这很可能成为这场法律纠纷的核心论点，其答案将对整个网络市场产生深远的影响。

这一论点也遭到了法院有力的驳斥：

行政法院表示，作为一种较为温和的措施，简单地询问成年年龄就足以达到此目的。[..] 询问成年年龄显然不适合用于验证客户的法律行为能力。原告没有提出任何迹象表明，此类询问对提供虚假信息的抑制门槛低于要求提供完整出生日期的情况，也没有任何证据表明这一点。无论如何，基于出生日期或复选框的年龄验证并不能保证信息的准确性。因此，该询问的适用性值得怀疑。

即使在从网上药店订购产品后履行撤销和保修索赔时，出生日期信息也不应该具有相关性，因为法院严格评估：

“目前尚不清楚为什么在撤销和保修索赔的情况下，如果不提供出生日期就无法充分识别合同伙伴（其姓名、地址和电话号码已知）的身份。”