Die Entscheidung des Europäischen Gerichtshofs (EuGH) klärt unter anderem, inwieweit Mitbewerber eines Unternehmens Datenschutzverstöße im Zivilrecht geltend machen können und wie die Verarbeitung personenbezogener Gesundheitsdaten im Online-Handel zu bewerten ist.
Rechtsstreit zwischen zwei konkurrierenden Apothekern landet vor BGH
Gegenstand des Verfahrens C-21/23 war eine Auseinandersetzung zwischen zwei Apothekern über den Verkauf von apothekenpflichtigen, aber nicht verschreibungspflichtigen Arzneimitteln über die Plattform Amazon. Die Lindenapotheke vertrieb ihre Produkte über Amazon, wobei die Kundinnen und Kunden personenbezogene Daten wie Name und Lieferanschrift sowie zur Individualisierung erforderliche Informationen angeben mussten. Ein Mitbewerber klagte gegen diesen Vertrieb auf Unterlassung. Der Apotheker machte geltend, dass die Einwilligung der Kunden in die Verarbeitung ihrer Gesundheitsdaten nicht ausreichend eingeholt worden sei, was einen Verstoß gegen Art. 9 DSGVO darstelle.
Das Landgericht und das Oberlandesgericht Naumburg gaben dem Mitbewerber in den Vorinstanzen Recht. Sie sahen in dem Vertrieb eine unzulässige geschäftliche Handlung nach dem Gesetz gegen den unlauteren Wettbewerb (UWG). Die Lindenapotheke ging daraufhin in Revision und der Fall landete vor dem Bundesgerichtshof (BGH). Dieser ersuchte schließlich den EuGH um eine Vorabentscheidung.
Im Mittelpunkt des Verfahrens standen zwei Rechtsfragen des BGH, die vom EuGH beantwortet wurden:
- Die Klagebefugnis von Mitbewerbern bei Datenschutzverstößen: Erlaubt es die DSGVO, dass Mitbewerber eines Unternehmens Verstöße gegen die Verordnung zivilrechtlich geltend machen?
- Einordnung von Daten bei der Online-Bestellung von apothekenpflichtigen Arzneimitteln: Sind die vom Kunden im Rahmen einer Online-Bestellung eingegebenen Daten (wie Name, Anschrift und Angaben zur Individualisierung des Arzneimittels) als Gesundheitsdaten im Sinne von Art. 9 Abs. 1 Urteil des EuGH?
EuGH legt Gesundheitsdaten weit aus
Der EuGH stellte in der Rechtssache C-21/23 | Lindenapotheke fest:
- Klagebefugnis von Mitbewerbern bei Datenschutzverstößen
Der EuGH hat klargestellt, dass die Bestimmungen des Kapitels VIII der DSGVO einer nationalen Regelung nicht entgegenstehen, die es Mitbewerbern ermöglicht, Verstöße gegen die DSGVO unter dem Gesichtspunkt unlauterer Geschäftspraktiken vor den Zivilgerichten geltend zu machen. Damit wird Mitbewerbern eine Klagebefugnis eingeräumt, auch wenn sie nicht unmittelbar Betroffene im Sinne der DSGVO sind.Diese Entscheidung ist insbesondere für den Bereich des Wettbewerbsrechts von Bedeutung, da Datenschutzverstöße nun auch von Mitbewerbern als wettbewerbswidriges Verhalten eingestuft und gerichtlich verfolgt werden können. Dies trägt nach Ansicht des EuGH dazu bei, die Rechte der Betroffenen zu stärken und ihnen ein hohes Schutzniveau zu gewährleisten. „Außerdem kann sich dies als besonders wirksam erweisen, da auf diese Weise zahlreiche Verstöße gegen die Datenschutz-Grundverordnung verhindert werden können“, so der EuGH weiter.
- Einstufung von Daten bei der Online-Bestellung von apothekenpflichtigen Arzneimitteln
Zur zweiten Frage hat der EuGH entschieden, dass Daten, die bei der Bestellung von apothekenpflichtigen, aber nicht verschreibungspflichtigen Arzneimitteln eingegeben werden, als Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO zu qualifizieren sind. Es spiele dabei keine Rolle, ob ein Medikament verschreibungspflichtig ist oder nicht. Dies gilt unabhängig davon, ob die Arzneimittel für den Besteller selbst oder für Dritte bestimmt sind.
Dabei stellte der EuGH klar, dass Gesundheitsdaten nicht nur unmittelbar vorliegen müssen, sondern auch mittelbar aus den eingegebenen Informationen abgeleitet werden können. Die Eingabe von Namen, Adressen und Arzneimittelinformationen lasse Rückschlüsse auf den Gesundheitszustand einer Person zu, was diese Daten als besonders schutzwürdig im Sinne der DSGVO einstufe.
Lese-Tipp: EuGH legt „berechtigtes Interesse“ nach Art. 6 Abs. 1 lit. f DSGVO aus
Unternehmen aufgepasst: Auch Mitbewerber können Datenschutzverstöße ahnden
Das Urteil des EuGH hat insbesondere wesentliche Auswirkungen für Online-Apotheken und andere Unternehmen, die sensible Gesundheitsdaten verarbeiten:
- Verstärkte Haftung durch Klagebefugnis von Mitbewerbern
Unternehmen müssen sich darauf einstellen, dass Datenschutzverstöße nicht nur von betroffenen Personen oder Datenschutzbehörden, sondern auch von Mitbewerbern verfolgt werden können. Dies führt zu einem erhöhten Haftungsrisiko, da Verstöße gegen die Datenschutz-Grundverordnung zunehmend als unlautere Geschäftspraktiken angesehen werden können.Für Unternehmen bedeutet dies eine verstärkte Überprüfung und Einhaltung datenschutzrechtlicher Vorgaben, da auch wirtschaftliche Konkurrenten die Einhaltung der DSGVO zivilrechtlich durchsetzen können. Dies kann insbesondere in wettbewerbsintensiven Märkten wie dem Apothekensektor zu einer Zunahme von Rechtsstreitigkeiten führen.
- Sensibilisierung für Gesundheitsdaten
Die Entscheidung macht deutlich, dass Unternehmen, die im Rahmen ihrer Geschäftstätigkeit personenbezogene Daten verarbeiten, die mittelbar Rückschlüsse auf den Gesundheitszustand zulassen, besonders sorgfältig mit diesen Daten umgehen müssen. Die Verarbeitung solcher Gesundheitsdaten bedarf nach Art. 9 DSGVO entweder der ausdrücklichen Einwilligung der betroffenen Person oder muss auf einer der in Art. 9 Abs. 2 DSGVO genannten Ausnahmen beruhen, wie z.B. der Erbringung von Gesundheitsdienstleistungen.Für Online-Apotheken bedeutet dies, dass sie bei der Erhebung von Bestelldaten sicherstellen müssen, dass eine wirksame Einwilligung in die Verarbeitung dieser Daten eingeholt wird. Es reicht nicht aus, allgemeine Einwilligungserklärungen einzuholen. Die Einwilligung muss sich ausdrücklich auf die Verarbeitung von Gesundheitsdaten beziehen.
Das EuGH-Urteil unterstreicht die Bedeutung eines umfassenden Datenschutzmanagements in Unternehmen. Datenschutzverstöße können nicht nur zu hohen Bußgeldern führen, sondern auch zu Unterlassungsklagen durch Mitbewerber. Unternehmen müssen daher ihre internen Prozesse, insbesondere im Hinblick auf Einwilligungen und die Verarbeitung von Gesundheitsdaten, genau überprüfen und gegebenenfalls anpassen.
Quelle: Urteil des Gerichtshofs in der Rechtssache C-21/23 | Lindenapotheke
German 
English 
Italian 
French