Im Urteil des Europäischen Gerichtshofs (EuGH) vom 5. Oktober 2024 geht es um zwei Kernfragen: erstens um die Frage, ob im Rahmen einer Bestellung nicht rezeptpflichtiger, aber apothekenpflichtiger Arzneimittel erhobene Daten Gesundheitsdaten im Sinne der Datenschutzgrundverordnung (DSGVO) sind; zweitens um die Frage, ob gegen Mitbewerber gerichtete wettbewerbsrechtliche Klagen wegen DSGVO-Verstößen zulässig sind.

Ausgangslage

Ein Apotheker mit Sitz in Deutschland klagte gegen einen Wettbewerber, der apothekenpflichtige Medikamente unter anderem online über seine Webseite und über den Amazon-Marketplace verkaufte. Der Vorwurf lautete, dass der Wettbewerber Gesundheitsdaten der Kunden unzulässig verarbeite, was unlauteren Wettbewerb darstelle. Die deutschen Gerichte gaben dem Kläger zunächst recht, der Bundesgerichtshof (BGH) wandte sich jedoch mit den beiden genannten Eingangsfragen an den EuGH.

Frage 1: Sind die erhobenen Daten Gesundheitsdaten?

Der EuGH entschied, dass auch bei apothekenpflichtigen, aber nicht verschreibungspflichtigen Medikamenten die eingegebenen Kundendaten (zB Name, Lieferadresse und die für die konkrete Auswahl der Präparate notwendigen Informationen) als Gesundheitsdaten gelten. Hintergrund ist, dass auch die Bestellung nicht verschreibungspflichtiger Arzneimittel Rückschlüsse auf den Gesundheitszustand der betroffenen Person zulassen kann. Da Gesundheitsdaten besondere Kategorien von Daten im Sinne des Art 9 DSGVO sind, gilt somit ein strengerer Datenschutz als für “normale” personenbezogene Daten.

Für Apotheker bedeutet dies, dass die DSGVO-konforme Datenverarbeitung einen sehr hohen Stellenwert hat, insbesondere im Online-Handel. Verkäufer müssen die Kunden klar, vollständig und leicht verständlich über die Datenverarbeitung informieren und deren ausdrückliche Einwilligung einholen. Die Entscheidung des EuGH in diesem Punkt hat weitreichende Folgen für die gesamte Branche, weil sie den Schutz von Gesundheitsdaten auch bei rezeptfreien, aber apothekenpflichtigen Medikamenten unterstreicht.

Frage 2: Wettbewerbsrechtliche Klagen wegen DSGVO-Verstößen zulässig?

Auch die Frage, ob Mitbewerber berechtigt sind, Datenschutzverstöße zu verfolgen, wurde vom EuGH bejaht. Laut EuGH können Mitbewerber im Rahmen des Wettbewerbsrechts Klage erheben, wenn Datenschutzbestimmungen missachtet werden, weil dies Wettbewerbsverzerrungen hervorrufen könnte. Dies stärkt die Rechtsdurchsetzung von Datenschutzverstößen und gewährt Mitbewerbern eine stärkere Rolle im Schutz besonderer Kategorien personenbezogener Daten.

Relevanz für Unternehmer

Dieses Urteil hat weitreichende Auswirkungen auf Unternehmer, die besondere Datenkategorien (umgangssprachlich “sensible Daten”) verarbeiten, insbesondere im Gesundheitsbereich. Es betont die Notwendigkeit, Datenschutzprozesse zu überprüfen und sicherzustellen, dass alle Anforderungen der DSGVO erfüllt werden, insbesondere bei der Verarbeitung von Gesundheitsinformationen. Dasselbe gilt auch für andere besondere Kategorien personenbezogener Daten (zB biometrische oder genetische Daten, politische oder religiöse Meinungen, etc).

Halten sich Unternehmer nicht an die strengeren Datenschutz-Anforderungen, laufen sie nicht nur Gefahr, dass Datenschutzbehörden Strafen verhängen und betroffene Personen Schadenersatz verlangen, sondern auch, dass Mitbewerber wettbewerbsrechtlich dagegen vorgehen. All das zusammen kann letztlich sehr teuer werden.

In unserem Blog haben wir noch Handlungsempfehlungen für betroffene Unternehmen zusammengefasst.