Apothekenwebseiten und Datenschutz

1. Datenschutzinformationen

Eine Apothekenwebseite ohne Verarbeitung personenbezogener Daten ist kaum vorstellbar. Regelmäßig wird bei dem Aufruf einer Webseite jedenfalls die IP-Adresse des Besuchers der Webseite neben anderen Nutzungsdaten übermittelt. Die IP-Adresse gilt nach der Rechtsprechung des Europäischen Gerichtshofs als personenbezogenes Datum. Auch bei minimalistisch gehaltenen, rein informatorischen Apothekenwebseiten findet daher eine Datenverarbeitung statt und es sind die Vorgaben der Datenschutz-Grundverordnung (DSGVO) einzuhalten. Insbeson­dere sind die Besucher der Web­seite über die Datenverarbeitung zu informieren. Die Datenschutzinformationen müssen die nach Art. 13 DSGVO erforderlichen Angaben enthalten, u. a. die Kontaktdaten der Apotheke und ggf. des Datenschutzbeauftragten, die Zwecke der Datenverarbeitung und Rechtsgrundlagen, die Speicherdauer und die Rechte der Betroffenen. Diese Datenschutzinformationen sollten von jeder Unterseite der Apothekenwebseite mit einem Klick zu erreichen sein, beispielsweise über einen aussagekräftig betitelten Link im Footer oder Header der Webseite (z. B. Datenschutz, Datenschutzinformationen, Datenschutzhinweise). Es ist darauf zu achten, dass ein eventuell auf der Webseite enthaltenes Cookie-Banner (dazu sogleich) den Link nicht verdeckt.

Werden auf der Webseite Formulare eingesetzt, über die personenbezogene Daten erhoben werden (z. B. Newsletteranmeldung, Kontaktformular, Bestellformular), kann es sinnvoll sein, dort besonders auf die Datenschutzinformationen hinzuweisen. Keinesfalls sollte jedoch eine Einwilligung in die Datenschutzinformationen eingeholt, deren Akzeptanz oder Bestätigung der Kenntnisnahme gefordert werden. Denn damit können einerseits die Datenschutzinformationen als vertragliche Regelungen ausgelegt und einer (strengen) AGB-Kontrolle unterworfen werden. Andererseits geht aus einer jüngeren Entscheidung der Europäischen Datenschutzaufsichtsbehörden hervor, dass dies auch als Verstoß gegen den datenschutzrechtlichen Grundsatz von Treu und Glauben (Art. 5 Abs. 1 lit. a DSGVO) angesehen werden kann. Es sollte auf Datenschutzinformationen also immer nur hingewiesen werden, ohne dass der Besucher der Webseite diese in irgendeiner Form aktiv bestätigen muss.

Alle anderen technisch nicht erforderlichen Cookies dürfen erst gesetzt werden, wenn der Besucher der Webseite seine Einwilligung erteilt hat. Diese wird regelmäßig über sogenannte Cookie-Banner eingeholt, die auftauchen, wenn der Besucher die Webseite erstmals aufruft. Die Gestaltung der Cookie-Banner unterliegt hohen rechtlichen Anforderungen, die im Einzelnen allerdings noch umstritten sind. Wichtig ist, dass eine aktive Einwilligung des Besuchers erfolgt, bevor Cookies aktiviert werden. Dies kann durch einen deutlich beschrifteten Button (bspw. „Cookies akzeptieren“) geschehen, den der Besucher anklicken kann. Formulierungen, wonach mit dem bloßen Weiter­surfen auf der Webseite die Cookies akzeptiert werden, sind dagegen ein No-Go.

Für den Besucher der Webseite muss das Ablehnen der Cookies genauso einfach sein wie die Annahme der Cookies. Findet sich die Möglichkeit zum Ablehnen erst in den tieferen Ebenen des Cookie-Banners, nachdem der Besucher Einstellungsmöglichkeiten durchgeklickt hat, sind die recht­lichen Anforderungen an eine freiwillige Einwilligung nicht erfüllt. Neben einem Akzeptieren-Button sollte das Cookie-Banner daher auf gleicher Ebene einen Ablehnen-Button enthalten. Inwiefern es zulässig sein kann, den Besucher bspw. durch farbliche Gestaltung der Buttons in Richtung des Akzeptieren-Buttons zu stupsen (sog. Nudging), ist noch nicht abschließend gerichtlich entschieden. Die Auffassungen der Datenschutzaufsichtsbehörden sind jedoch streng, sodass die rechtssichere Variante ist, Akzeptieren- und Ablehnen-Button grafisch gleichwertig zu gestalten.

Eine wirksame Einwilligung kann der Besucher der Webseite nur erteilen, wenn er ausreichend informiert ist. Es ist daher darauf zu achten, dass das Cookie-Banner alle relevanten Informationen zu den eingesetzten Cookies enthält, insbesondere zu den Zwecken der Verarbeitung, der Speicher­dauer, ggf. eingesetzten Drittdiensten und Drittstaatentransfers. Widersprüche zwischen den Datenschutzinformationen und dem Cookie-Banner sind zu vermeiden. Das gilt vor allem, wenn Cookie-Banner von Dienstleistern auf der Apothekenwebseite ein­gebunden werden.

3. Einbindung von Drittdiensten

Werden Drittdienste in Webseiten eingebunden, geht dies häufig mit der Übermittlung von personen­bezogenen Daten an diese Drittdienste einher; sei es, dass die Drittdienste Cookies setzen oder die IP-Adresse an die eingebundenen Drittdienste übermittelt wird. In diesem Fall bedarf es für die Datenübermittlung einer Rechtsgrundlage, die Datenschutzinformationen und ggf. das Cookie-Banner müssen hinsichtlich des Drittdienstes ergänzt werden und es ist zu prüfen, ob mit dem Einsatz ein Drittstaatentransfer einhergeht und dieser ausreichend rechtlich abgesichert ist.

Kalt erwischt haben Abmahner diverse Webseitenbetreiber im vergangenen Jahr wegen der Einbindung von Google Fonts als Drittdienste. Es handelt sich dabei um Schriftarten, die Google anbietet. Diese können lokal heruntergeladen und in die Webseite ein­gebunden werden. Das ist datenschutzrechtlich unkritisch, da dann keine Datenübermittlung an Google erfolgt. Viele Webseiten­betreiber hatten die Schriftarten – oftmals aus Unkenntnis – jedoch über die Server von Google auf der Webseite eingebunden. Dann werden mit jedem Aufruf der Webseite durch einen Besucher dessen Daten (insbesondere seine IP-Adresse) an Google übertragen. Dies erfolgt regelmäßig ohne Rechtsgrundlage und ohne entsprechende Information der Besucher. Zudem geht dies mit einer datenschutzrechtlich derzeit ebenfalls problematischen Datenübermittlung in die USA einher, weshalb das Landgericht München in einem Einzelfall einem Besucher einer Webseite mit Google Fonts ein Schmerzensgeld in Höhe von 100 Euro zugesprochen hatte (Urt. v. 20.01.2022, Az. 3 O 17493/20). Abmahner versuchten, Ende des vergangenen Jahres daraus eine Einnahmequelle zu generieren. Mit sogenannten Web-Crawlern konnten Webseiten mit Google Fonts automatisiert im Internet aufgefunden und dazu massenhaft Abmahnungen ausgesprochen werden. Auch wenn viel dafür spricht, dass der automatisierte Aufruf von Webseiten mit Google Fonts keinen Datenschutzverstoß darstellt und dass dieses Vorgehen rechtsmissbräuchlich war (vgl. AG Berlin-Charlottenburg, Urt. v. 20.12.2022, Az. 217 C 64/22; LG Baden-Baden, Beschl. v. 11.10.2022, Az. 3 O 277/22), und mittlerweile straf- und berufsrechtliche Verfahren gegen die abmahnenden Anwälte eingeleitet sind, zeigt dies, dass bei der Einbindung von Drittdiensten besondere Vorsicht geboten ist. |