EuGH: Auch OTC-Bestelldaten sind sensible Gesundheitsdaten

Der Europäische Gerichtshof (EuGH) hat an diesem Freitag eine wegweisende Entscheidung getroffen: Zum einen stellt er fest, dass auch Mitbewerber eines mutmaßlichen Verletzers von Vorschriften zum Schutz personenbezogener Daten diesen Verstoß als verbotene unlautere Geschäftspraxis gerichtlich beanstanden können. Im konkreten Fall heißt das: Ein Apotheker kann einen anderen Apotheker, der beim Arzneimittelverkauf über den Amazon-Marktplatz gegen Vorgaben der Datenschutzgrundverordnung (DSGVO) verstößt, wegen eines Wettbewerbsverstoßes vor den Zivilgerichten in Anspruch nehmen. Bislang war nur klar, dass Aufsichtsbehörden oder betroffene Verbraucher solche Rechte ausüben dürfen – dass es Verbraucherschutzverbände dürfen, hat der EuGH zwischenzeitlich ebenfalls festgestellt.

Ja, es sind Gesundheitsdaten!

Des Weiteren stellt der EuGH fest: Die Bestelldaten, die beim Arzneimittelkauf übers Internet übermittelt werden, sind als Gesundheitsdaten im Sinne der DSGVO einzustufen. Wer sie verarbeitet, muss also zuvor eine ausdrückliche Einwilligung des Kunden eingeholt haben. Und zwar auch dann, wenn es sich um nicht verschreibungspflichtige Arzneimittel handelt.

Mit dieser Segelanweisung muss nun der Bundesgerichtshof zwei bei ihm seit dem Jahr 2019 anhängige Verfahren entscheiden. Beide hat der Münchener Apotheker Hermann Vogel jr. bereits 2017 angestoßen. Vogel wollte nicht länger mitansehen, wie Kollegen über den Amazon Marktplatz apothekenpflichtige Arzneimittel verkaufen. Denn er ist überzeugt, dass sie damit eine ganze Reihe von Vorschriften, die auch das Marktverhalten regeln, verletzen, sodass ihm ein wettbewerbsrechtlicher Unterlassungsanspruch zusteht. Dazu zählen verschiedene apotheken- und arzneimittelrechtliche Normen, aber eben auch Vorgaben der DSGVO: Solange nicht gewährleistet sei, dass die Kunden vorab in die Verarbeitung von Gesundheitsdaten einwilligen können, dürfe der Vertrieb über Amazon nicht erfolgen.

Mit dieser Überzeugung erhob Vogel Klage gegen zwei Apothekeninhaber in Sachsen-Anhalt, die diesen Vertriebsweg nutzten. Während die beiden erstinstanzlichen Gerichte noch unterschiedlich urteilten, bejahte das gemeinsame Berufungsgericht, das Oberlandesgericht Naumburg, mit Blick auf den Datenschutz den Unterlassungsanspruch: Die beklagten Apotheker verarbeiteten im Rahmen der Bestellungen Gesundheitsdaten ihrer Kunden (Art. 9 Abs. 1 DSGVO). Und wer derart sensible Daten verarbeitet, muss dafür zuvor eine Einwilligung einholen. Dies war jedoch nicht geschehen. Arzneimittel- oder apothekenrechtliche Vorschriften sah das Oberlandesgericht hingegen nicht in unlauterer Weise verletzt.

Die Verfahren landeten vor dem Bundesgerichtshof, wo sie zunächst ausgesetzt wurden, um eine EuGH-Entscheidung abzuwarten, die aber nicht die erhoffte Klärung brachte. Daher riefen die Karlsruher Richter selbst ihre Kollegen in Luxemburg an, um zu klären, wie es mit dem Klagerecht eines Mitbewerbers in DSGVO-Fällen aussieht und wie die Bestelldaten – speziell, wenn apothekenpflichtige, aber nicht verschreibungspflichtige Arzneimittel geordert werden – in diesem Rechtsrahmen einzuordnen sind.

Im Januar dieses Jahres wurde vor dem EuGH verhandelt, im April stellte der rechtsinteressierten Apotheker*innen bekannte Generalanwalt Maciej Szpunar seine Schlussanträge. Letztere sorgten für eine gewisse Ernüchterung: Szpunar befand, dass es sich hier nicht um „Gesundheitsdaten“ im Sinne der DSGVO handele – aus ihnen ließen sich nur hypothetische oder ungenaue Rückschlüsse ziehen. Zudem sei nicht gesagt, dass die bestellende auch die anwendende Person ist.

Entscheidung gegen das Votum des Generalanwalts

Doch die Große Kammer des EuGH machte sich ihre eigenen Gedanken und entschied anders. Was die Frage zum Klagerecht eines Mitbewerbers angeht, so ist sie überzeugt, dass ein solches unbestreitbar dazu beiträgt, die Rechte der betroffenen Personen zu stärken und ihnen ein hohes Schutzniveau zu gewährleisten. Es könne sich auch als besonders wirksam erweisen, da so zahlreiche Verstöße gegen die DSGVO verhindert werden könnten.

Was die Einordnung der Bestelldaten als Gesundheitsdaten betrifft, so führt der Gerichtshof aus, dass aus diesen Daten „mittels gedanklicher Kombination oder Ableitung“ auf den Gesundheitszustand einer identifizierten oder identifizierbaren natürlichen Person geschlossen werden könne. Dabei sei auch nicht ausschlaggebend, ob möglicherweise für eine dritte Person bestellt wurde. Es reiche, wenn die Arzneimittel nur mit einer gewissen Wahrscheinlichkeit und nicht mit absoluter Sicherheit für die Kunden bestimmt sind, die sie bestellt haben. Eine andere Handhabung liefe dem mit der DSGVO verfolgten Ziel eines hohen Schutzniveaus zuwider. Daher müsse der Verkäufer seine Kunden klar, vollständig und in leicht verständlicher Weise über die spezifischen Umstände und Zwecke der Verarbeitung dieser Daten informieren und ihre ausdrückliche Einwilligung in diese Verarbeitung einholen.

Nun ist also der Bundesgerichtshof wieder am Zug. Erst wenn hier das Urteil vorliegt, wird klar sein, welche datenschutzrechtlichen Pflichten es mit sich bringt, wenn Apotheken Arzneimittel über Online-Marktplätze verkaufen wollen. Hermann Vogel zeigte sich gegenüber der DAZ erst einmal erleichtert: „Es war ein langer Weg durch die Instanzen, doch ich bin sehr froh, dass das höchste europäische Gericht die Apotheken in Ihrer Vertrauensposition gestärkt und bestätigt hat“.

Urteil des Europäischen Gerichtshofs vom 4. Oktober 2024, Rs. C-21/23