- Auch beim Verkauf von rezeptfreien, aber apothekenpflichtigen Medikamenten werden Gesundheitsdaten erhoben.
- Gesundheitsdaten werden in der DSGVO besonders geschützt.
- Beim Vorliegen einer ausdrücklichen Einwilligung dürfen Gesundheitsdaten verarbeitet werden.
- Versandapotheken, die bei Amazon Arzneimittel verkaufen, sollten deshalb stets eine solche Einwilligung einholen.
EuGH-Urteil: Arzneimittel-Verkauf bei Amazon
Laut eines Urteils des Europäischen Gerichtshofs (EuGH) vom 4. Oktober 2024 darf der Vertrieb von apothekenpflichtigen Arzneimitteln über Amazon nur bei Vorliegen einer ausdrücklichen Einwilligung der Kunden zur Verarbeitung ihrer Daten erfolgen.
Der Fall: Medikamenten-Verkauf über Amazon
Gegenstand des Verfahrens war eine Klage vor dem Bundesgerichtshof (BGH). Der Kläger, Betreiber einer Apotheke aus München, ging gegen die konkurrierende Lindenapotheke vor, die unter anderem seit 2017 apothekenpflichtige Medikamente über Amazon anbot. Zu den verkauften Medikamenten zählen beispielsweise Aspirin und Canesten. Der Kläger forderte von der Versandapotheke, dieses Vorgehen zu unterlassen, da es seiner Ansicht nach wettbewerbswidrig sei.
Der Vorwurf bezieht sich insbesondere auf die Verletzung des Datenschutzrechts. Im Rahmen des Bestellvorgangs mussten Kunden persönliche Informationen angeben. Der Kläger bemängelte, dass die Apotheke für den Verkauf Gesundheitsdaten ohne die nach der Datenschutzgrundverordnung (DSGVO) erforderliche Einwilligung verarbeite.
Datenschutzrechtliche Einordnung
Die DSGVO schützt die Rechte und Freiheiten von Personen in Bezug auf die Verarbeitung ihrer personenbezogenen Daten. Personenbezogene Daten sind alle Informationen, die sich auf natürliche Personen beziehen, wie etwa Name, Adresse oder Telefonnummern. Personenbezogene Daten können sich aber auch auf die Gesundheit beziehen. Um Gesundheitsdaten handelt es sich nach Art. 4 Nr. 15 DSGVO, wenn sie sich auf die körperliche oder geistige Gesundheit einer natürlichen Person beziehen und Informationen über den Gesundheitszustand geben. Gemäß Art. 9 DSGVO ist die Verarbeitung von Gesundheitsdaten grundsätzlich untersagt. Eine Ausnahme hiervon gilt jedoch, wenn die betroffene Person in die Verarbeitung ausdrücklich eingewilligt hat.
Fragen des BGH an den Europäischen Gerichtshof
Das Landgericht Dessau-Roßlau gab dem Kläger in erster Instanz Recht, und auch das Oberlandesgericht Naumburg schloss sich dieser Ansicht an. Beide Gerichte sahen im Vertrieb von apothekenpflichtigen Arzneimitteln ohne ausdrückliche Einwilligung der Kunden in die Verarbeitung ihrer Gesundheitsdaten einen Verstoß gegen die DSGVO. Der Bundesgerichtshof (BGH) legte den Fall im Januar 2023 dem Europäischen Gerichtshof (EuGH) zur Vorabentscheidung vor (C-21/23). Dabei wollte er unter anderem wissen, ob beim Verkauf von apothekenpflichtigen, aber nicht verschreibungspflichtigen Medikamenten trotzdem Gesundheitsdaten verarbeitet werden.
Entscheidung des EuGH
Der EuGH entschied, dass die im Bestellvorgang erhobenen Informationen Gesundheitsdaten darstellen, auch wenn es sich um nicht rezeptpflichtige, sondern lediglich apothekenpflichtige Medikamente handelt. Der EuGH begründet das damit, dass anhand der Daten Rückschlüsse auf den Gesundheitszustand der Kunden oder auf Dritte, für die die Arzneimittel bestellt wurden, gezogen werden könnten. Es kommt insofern nicht darauf an, dass die bestellende Person die Produkte gar nicht zwangsläufig für sich selbst bestellt hat. Andernfalls würde das Ziel, einen hohen Datenschutzstandard zu gewährleisten, nicht effektiv erreicht. Daraus folgt, dass bei einem solchen Vertrieb eine ausdrückliche und informierte Einwilligung der Kunden eingeholt werden muss. Den Kunden müssen dabei die spezifischen Umstände sowie die Zwecke der Datenverarbeitung bekannt sein.
Fazit: Auswirkungen auf den Online-Handel und den BGH
Der EuGH hat klargestellt, dass der Schutz von Gesundheitsdaten nicht vernachlässigt werden darf und dass der Verkauf apothekenpflichtiger Medikamente ohne ausdrückliche Einwilligung zur Verarbeitung dieser Daten gegen die DSGVO verstößt. Online-Händler müssen deshalb sicherstellen, dass sie die Datenschutzvorgaben strikt einhalten, um potenzielle Datenschutzverletzungen und entsprechende rechtliche Konsequenzen, wie Bußgelder oder Schadensersatzansprüche, zu vermeiden. Die Feststellungen des EuGH sind für den BGH bindend. Unter Berücksichtigung dieser Vorgaben muss nun der BGH den konkreten Einzelfall noch abschließend bewerten.
Wichtige Punkte im Überblick:
