Medikamentenkauf auf Amazon: Gesundheitsdaten „im weiteren Sinne“

Bestelldaten von Kunden auf Online-Plattformen sind Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO. Das befand das OLG Naumburg (OLG Naumburg, Urteil v. 07.11.2019 , Az.: 9 U 6/19) in einem wettbewerbsrechtlichen Streit mit mehreren datenschutzrechtlichen Aspekten.

Zentrale Fragen des Prozesses waren bisher in Literatur und Rechtsprechung nicht abschließend geklärt worden, weshalb das Gericht rechtliches Neuland betrat.

Da die rechtlichen Interpretationen des Gerichts im Hinblick auf die DSGVO in einigen Punkten umstritten sind, erwarten wir möglicherweise abweichende Rechtsprechung.

Jedenfalls gibt die Entscheidung Anstoß zur weiteren Auseinandersetzung mit dem Zusammenspiel von Datenschutz- und Wettbewerbsrecht.

Klage aus dem UWG wegen Verkaufs von Medikamenten auf Amazon

Der Beklagte und Apothekenbetreiber hat apothekenpflichtige rezeptfreie Medikamente auf der Internethandelsplattform „Amazon-Marketplace“ vertrieben. Bekanntlich verarbeitet Amazon dann die Kundendaten – wenn auch anonym – um zu werben. Der Kläger, ebenfalls Apothekenbetreiber, ging gegen seinen Konkurrenten wegen dieser Datenverarbeitung vor und forderte Unterlassung, Auskunft und Schadensersatz, basierend auf § 8 Abs. 1 S. 1 i. V. m. § 3a UWG. Nach § 3a UWG betreibt eine unzulässige geschäftliche Handlung, „wer einer gesetzlichen Vorschrift zuwiderhandelt, die auch dazu bestimmt ist, im Interesse der Marktteilnehmer das Marktverhalten zu regeln, und der Verstoß geeignet ist, die Interessen von Verbrauchern, sonstigen Marktteilnehmern oder Mitbewerbern spürbar zu beeinträchtigen“. Knackpunkt der Entscheidung war, ob die DSGVO das vorgenannte Marktverhalten reglementiert. Konkret ging es um einen Verstoß gegen Art. 9 Abs. 1 DSGVO, wonach die Verarbeitung von u.a. Gesundheitsdaten grundsätzlich unzulässig ist.

Normen der DSGVO können  Marktverhaltensregel begründen

Das OLG war der Auffassung, dass Art. 9 DSGVO zumindest in der aktuellen Konstellation eine Marktverhaltensregel im Sinne des UWG aufstelle. Dabei betonte es, dass die Frage, ob Datenschutzbestimmungen nach Anwendbarkeit der DSGVO Marktverhaltensregeln darstellen, noch nicht abschließend geklärt ist. So zitierte es ein Urteil des OLG Hamburg (OLG Hamburg, Urteil vom 25. Oktober 2018 – 3 U 66/17), das auf das alte Datenschutzrecht Bezug nahm: hiernach bedarf es bei jeder datenschutzrechtlichen Norm einer Einzelprüfung, ob sie das Marktverhalten zum Gegenstand hat. Weil der Beklagte hier Amazon aufgrund seiner Popularität als Werbeträger eingesetzt hat, bejahte das OLG Naumburg die Relevanz des Art. 9 zum Marktverhaltensrecht.

Bestelldaten der Kunden als Gesundheitsdaten?

Weiterhin – noch interessanter – stufte das OLG die Bestelldaten der Kunden des Beklagten als Gesundheitsdaten im Sinne der DSGVO ein, weil „aus den Bestelldaten Rückschlüsse auf die Gesundheit des Bestellers gezogen werden können“. Zwar seien diese keine Gesundheitsdaten im engeren Sinne, wie etwa ärztliche Befunde. Dennoch würde man das Schutzniveau der DSGVO zu sehr absenken, klammere man solche Datenverarbeitungskonstellationen aus dem Tatbestand heraus. Der Einwand, der jeweilige Kunde könne auch Medikamente für ihm nagestehende oder andere Dritte bestellen, greift unserer Meinung nach zu kurz. In diesem Fall mögen zwar keine Daten zu der eigenen Gesundheit vorliegen. Dennoch findet gleichwohl ein Eingriff in das Datenschutzrecht statt. Auch die Bestellung für einen Dritten lässt nämlich eine Art Rückschluss auf die persönlichen Verhältnisse des Bestellers zu. Jedenfalls wird ersichtlich, dass der Besteller in seinem – wie es am naheliegendsten ist – nahen Umfeld Personen hat, die die betreffenden Medikamente brauchen. Außerdem dürften die Fälle des Bestellens für Dritte – zumindest in normalen Zeiten – eher die Ausnahme darstellen, denn die Online-Käufe tätigt in der Regel der Kunde in ihrer Mehrheit für sich selbst.

Die Verarbeitung von Gesundheitsdaten bedarf der ausdrücklichen Einwilligung der Betroffenen

Schließlich befasste sich das OLG mit der Art der Datenverarbeitung durch den Beklagten. Dabei berücksichtigte er von dem Ausnahmenkatalog des Absatzes 2 nur Art. 9 Abs. 2 lit. a DSGVO. Dieser besagt, dass die Verarbeitung personenbezogener Daten ausnahmsweise erlaubt ist, wenn der Betroffene ausdrücklich eingewilligt hat. Eine ausdrückliche Einwilligung fehlte hier; das war die zwingende Folge der Subsumtion von Bestelldaten unter Art. 9 Abs. 1 DSGVO. Denn für die Verarbeitung von Gesundheitsdaten ist eine ausdrückliche Einwilligung zwingend erforderlich; diese liegt aber selten vor.

Das Gericht sah vom weiteren Ausnahmekatalog der DSGVO ab und ließ andere Zulässigkeitsvarianten unberücksichtigt

Bei diesem Punkt der Entscheidung kann man auf Art. 9 Abs. 2 lit. h DSGVO verweisen: dort heißt es, eine Ausnahme vom Verarbeitungsverbot ist auch dann gegeben, wenn sie unter anderem zum Zwecke der Versorgung oder Behandlung im Gesundheits- oder Sozialbereich erfolgt. Das Gericht hat sich mit dieser Variante nicht befasst. Hätte es dies getan, hätte es Klarheit darüber geschafft, ob und gegebenenfalls unter welche der Tatbestandsvarianten der Online-Vertrieb von Medikamenten durch Apotheker darunter fällt.