DSGVO-Einwilligung bei Online-Verkauf von Medikamenten erforderlich?

Der Online-Verkauf von Medikamenten ist streng reguliert. Doch setzt er auch die Einwilligung des Käufers voraus? Dazu entschied nun der BGH.

Rechtlicher Hintergrund

Gemäß Art. 9 DSGVO ist die Verarbeitung von Gesundheitsdaten untersagt, es sei denn, die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt oder es liegt ein sonstiger gesetzlicher Rechtfertigungsgrund vor.

Zu den personenbezogenen Gesundheitsdaten sollten nach Erwägungsgrund 35 zur DSGVO alle Daten zählen, die sich auf den Gesundheitszustand einer betroffenen Person beziehen und aus denen Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand der betroffenen Person hervorgehen.

Somit kann es sich auch bei personenbezogenen Angaben wie dem Namen, der Lieferadresse oder auch bei Informationen zur Individualisierung von Arzneimitteln um Gesundheitsdaten im Sinne der DSGVO handeln, wenn diese Angaben im Zusammenhang mit einer Bestellung von Medikamenten stehen.

Sachverhalt

In beiden vom BGH entschiedenen Verfahren handelte es sich bei den Parteien jeweils um Apotheker. Die beklagten Apotheker boten jeweils apothekenpflichtige Medikamente über den Online-Marktplatz Amazon Marketplace an.

Der Kaufprozess ging dabei wie folgt von statten:

Wenn der Kunde sich für einen Kauf bei dem Beklagten entschieden hatte, legte er das Medikament in den Warenkorb und bezahlte. Anschließend erhielt der Beklagte eine Nachricht über das bestellte Medikament und den Namen nebst Anschrift des Kunden (Bestelldaten). Der Beklagte gab sodann die Bestellung frei, verpackte das Medikament und versendete es.

Bei Amazon wurden Kundendaten gespeichert. Eine Einwilligung zur Speicherung und Verarbeitung von gesundheitsbezogenen Daten gaben die Kunden nicht ab. Die Daten wurden von Amazon auch an Dritte, wie zum Beispiel verbundene Unternehmen, Partnerunternehmen und Dienstleister, weitergegeben.

Die Mitbewerber warfen den Beklagten jeweils vor, gegen die für Gesundheitsdaten geltenden strengeren datenschutzrechtlichen Bestimmungen zu verstoßen, weil die von Kunden bei der Bestellung eingegebenen Daten ohne ausdrückliche Einwilligung erhoben, verarbeitet und genutzt werden. Hierin sei auch ein Wettbewerbsverstoß zu sehen, da es sich bei den Vorschriften der DSGVO um Marktverhaltensregelungen handele.

Die Kläger nahmen die Beklagten jeweils u. a. auf Unterlassung in Anspruch.

Bisheriger Verfahrensverlauf

Die Berufungsgerichte haben die Beklagten jeweils wegen Verstoßes gegen datenschutzrechtliche Bestimmungen zur Unterlassung verurteilt.

Auf die Revision der Beklagten hat der BGH das Verfahren I ZR 223/19 mit Beschluss vom 12. Januar 2023 ausgesetzt und dem EuGH unterschiedliche Fragen zur Auslegung der DSGVO zur Vorabentscheidung vorgelegt. Das Verfahren I ZR 222/19 hat der BGH bis zur Entscheidung über das Vorabentscheidungsersuchen in der Sache I ZR 223/19 ausgesetzt. Der EuGH hat die ihm vorgelegten Fragen mit Urteil vom 4. Oktober 2024 - C-21/23 beantwortet.

Entscheidung des BGH

Der BGH bestätigte die vorinstanzlichen Gerichtsentscheidungen, soweit die Beklagten zur Unterlassung verurteilt wurden.

Im Verfahren I ZR 222/19 verurteilte der BGH den Beklagten unter Abänderung des erstinstanzlichen Urteils u. a. wie folgt:

Der Beklagte wird verurteilt, es zu unterlassen, im geschäftlichen Verkehr zu Wettbewerbszwecken apothekenpflichtige Medikamente über die Internethandelsplattform Amazon zu vertreiben, solange bei dem Anmelde- bzw. Kaufprozess über diese Internethandelsplattform nicht sichergestellt ist, dass der Kunde vorab seine Einwilligung mit einer Erhebung, Verarbeitung und Nutzung seiner Gesundheitsdaten (als besondere Daten im Sinne des Art. 9 DSGVO) gegenüber dem Beklagten erteilt hat.

1. Prozessführungsbefugnis

Die Prozessführungsbefugnis sah der BGH jeweils als gegeben an.

Der Kläger sei als Mitbewerber gemäß § 8 Abs. 3 Nr. 1 UWG befugt, den auf einen Rechtsbruch durch Verstoß gegen datenschutzrechtliche Bestimmungen zum Schutz von Gesundheitsdaten gestützten Unterlassungsantrag im Wege der Klage vor den Zivilgerichten unter dem Gesichtspunkt des Verbots der Vornahme unlauterer Geschäftspraktiken gemäß § 3 Abs. 1, § 3a UWG geltend zu machen.

Der Gerichtshof der Europäischen Union hat entschieden, dass auch die in Kapitel VIII der Datenschutz-Grundverordnung enthaltenen Regelungen zur Durchsetzung der datenschutzrechtlichen Bestimmungen der Verordnung nicht abschließend sind. Sie stehen den Vorschriften des deutschen Rechts nicht entgegen, die - neben den Eingriffsbefugnissen der zur Überwachung und Durchsetzung der Verordnung zuständigen Aufsichtsbehörden und den Rechtsschutzmöglichkeiten der betroffenen Personen - dem Mitbewerber des mutmaßlichen Verletzers von Vorschriften zum Schutz personenbezogener Daten die Befugnis einräumen, wegen Verstößen gegen die Datenschutz-Grundverordnung gegen den Verletzer im Wege einer Klage vor den Zivilgerichten unter dem Gesichtspunkt des Verbots der Vornahme unlauterer Geschäftspraktiken vorzugehen (EuGH, GRUR 2024, 1721 [juris Rn. 73] - Lindenapotheke).

2. Wettbewerbsverstoß

Der BGH sah auch einen Wettbewerbsverstoß als gegeben an.

Die Verarbeitung und Nutzung der von Kunden der Beklagten bei der Onlinebestellung eines Arzneimittels über den Account eines Apothekers beim Amazon-Marketplace eingegebenen Daten verstoße gegen Art. 9 Abs. 1 DSGVO.

Das in Art. 9 Abs. 1 DSGVO im Hinblick auf Gesundheitsdaten angeordnete Verarbeitungsverbot gelte gemäß Art. 9 Abs. 2 Buchst. a DSGVO nicht, soweit die betroffene Person in die Verarbeitung der Gesundheitsdaten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt hat. Eine solche Einwilligung liege aber nicht vor.

So fehle es an einer vor oder im Rahmen des Bestellvorgangs ausdrücklich erklärten Einwilligung der Kunden. Eine konkludente Einwilligung sei hingegen nicht ausreichend. Art. 9 Abs. 2 Buchst. a DSGVO fordere - abweichend von Art. 6 Abs. 1 Buchst. a DSGVO - eine ausdrückliche Einwilligung. Damit genüge eine konkludente Einwilligung nicht den Anforderungen des Art. 9 Abs. 2 Buchst. a DSGVO.

Ein Einverständnis mit der Verarbeitung gesundheitsbezogener Daten kann auch nicht allein aus der Bestellung eines Medikaments auf der Handelsplattform "Amazon-Marketplace" abgeleitet werden. Eine wirksame Einwilligung erfordert, dass die fraglichen Daten konkret benannt werden und der Betroffene über die gesamte beabsichtigte Verwendung der Daten informiert und so in die Lage versetzt wird, eine rationale Entscheidung zu treffen, ob er seine Daten für diese Zwecke zur Verfügung stellen möchte (vgl. Frenzel in Paal/Pauly, DSGVO BDSG, 3. Aufl., Art. 9 DSGVO Rn. 23; Schiff in Ehmann/Selmayr aaO Art. 9 Rn. 34; Weichert in Kühling/Buchner aaO Art. 9 Rn. 47). Handelt es sich bei den erhobenen Daten um Gesundheitsdaten, ist darüber hinaus ein ausdrücklicher Hinweis auf das Vorliegen von Gesundheitsdaten erforderlich (Schulz in Gola/ Heckmann aaO Art. 9 Rn. 23; Weichert in Kühling/Buchner aaO Art. 9 Rn. 47; BeckOK.IT-Recht/Borges aaO Art. 9 DSGVO Rn. 9). Durch diesen besonderen Hinweis auf die Schutzwürdigkeit der erhobenen Daten soll ein Warneffekt erreicht werden (Weichert, DuD 2017, 538). Dieser Schutzzweck würde verfehlt, würde man allein in der Bestellung eines Medikaments auf der Handelsplattform "Amazon-Marketplace" ein Einverständnis mit der Verarbeitung gesundheitsbezogener Daten sehen.

Art. 9 Abs. 1 DSGVO sei eine Marktverhaltensregelung im Sinne von § 3a UWG, so dass der Verstoß gegen diese Vorschrift von einem Mitbewerber gemäß § 8 Abs. 3 Nr. 1 UWG im Wege einer wettbewerbsrechtlichen Klage vor den Zivilgerichten verfolgt werden kann.

Die Bestimmungen zum Einwilligungserfordernis in Bezug auf die Verarbeitung von personenbezogenen Daten gemäß §§ 4a und 28 Abs. 7 BDSG aF sowie Art. 9 DSGVO sind danach Marktverhaltensregelungen im Interesse der Verbraucher und sonstiger Marktteilnehmer (BGH, Urteil vom 27. März 2025 - I ZR 223/19 [juris Rn. 72 bis 75] - Arzneimittelbestelldaten II, mwN).

Ein Verstoß gegen § 4a Abs. 1 und 3 BDSG aF sowie Art. 9 Abs. 1 DSGVO sei außerdem geeignet, die Interessen von Verbrauchern im Sinne von § 3a UWG spürbar zu beeinträchtigen (vgl. BGH, Urteil vom 27. März 2025 - I ZR 223/19 [juris Rn. 76 bis 78] - Arzneimittelbestelldaten II).

Fazit

Der BGH hat mit den vorgenannten Entscheidungen klargestellt, dass der Online-Verkauf von (nicht verschreibungspflichtigen) Medikamenten aus datenschutzrechtlichen Erwägungen grundsätzlich nur dann zulässig ist, wenn der Betroffene zuvor ausdrücklich in die Verarbeitung seiner Gesundheitsdaten eingewilligt hat.

Fehlt es an einer solchen Einwilligung und sind auch keine anderen gesetzlichen Rechtfertigungsgründe einschlägig, handelt es sich um einen Datenschutzverstoß. Dieser kann auch von Mitbewerbern mit wettbewerbsrechtlichen Mitteln verfolgt werden, da es sich bei den einschlägigen Vorschriften der DSGVO um Marktverhaltensregelungen handelt.

Online-Händler, die auch nicht verschreibungspflichtige Medikamente vertreiben, sollten daher genau prüfen, ob der von Ihnen gewählte Vertriebskanal die Einholung einer solchen Einwilligung technisch ermöglicht, und dies entsprechend umsetzen.

Tipp: Fragen zum Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook .