Der Vertrieb apothekenpflichtiger Medikamente über Amazon (Amazon.com, Inc.) ist unzulässig und wettbewerbswidrig, wenn der Kunde vor dem Kauf keine Einwilligung hinsichtlich der Verarbeitung seiner Gesundheitsdaten erteilt hat. Das hat das Landgericht Dessau-Roßlau mit Urteil vom 28.03.2018 (Az. 3 O 29/17) entschieden. Die generelle Einwilligung in die Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch die Akzeptanz der Allgemeinen Geschäftsbedingungen (AGB) von Amazon bei der Einrichtung eines Kundenkontos sei für einen Verkauf von Arzneimitteln nicht ausreichend. Die Erhebung, Verarbeitung und Nutzung sensibler Gesundheitsdaten durch eine Handelsplattform wie Amazon, welche nicht einer Geheimhaltungspflicht hinsichtlich solcher Daten unterliegt, erfordert eine konkrete Einwilligung des Kunden in die Verwendung dieser Daten.
Worum geht es?
Der Beklagte, ein Apotheker, vertrieb apothekenpflichtige Medikamente auf Amazon. Dabei verlangte er vor dem Kaufprozess keine spezielle Einwilligung von den Kunden in die Erhebung, Speicherung und Verarbeitung ihrer gesundheitsbezogenen Daten.
Der Kläger (ebenfalls ein Apotheker) war der Ansicht, dass ein derartiger Verkauf apothekenpflichtiger Arzneimittel auf Amazon gegen die §§ 4, 4a Abs. 3, 28 Bundesdatenschutzgesetz (BDSG) und gegen die Berufsordnung der Apotheker verstoße. Dies begründete er mit der Sensibilität der betroffenen Gesundheitsdaten. Derartige Gesundheitsdaten sind als besondere Arten personenbezogene Daten im Sinne von § 3 Absatz 9 BDSG zu qualifizieren, die besonders hohe Datenschutzstandards verlangen. Das Gesetz gestattet die Verarbeitung dieser besonders schutzwürdigen Gesundheitsdaten nur unter zusätzlichen Anforderungen, wozu beispielsweise auch die Verarbeitung durch Personengruppen zählt, die einer Schweigepflicht unterliegen, wie ärztliches Personal und Mitarbeiter von Apotheken. In dem hier zugrunde liegenden Rechtsstreit konnte Amazon aber nicht argumentieren zu einer derartigen Berufsgruppe zu gehören. Dementsprechend benötigte Amazon für die Verarbeitung der sensiblen Daten eine vorherige explizit erteilte Einwilligung der Kunden in die Verwendung dieser Daten gemäß § 4a Absatz 3 BDSG innerhalb des Bestellprozesses.
Der Kläger beantragte mit seiner Klage, dass der Beklagte zur Unterlassung des Vertriebs von apothekenpflichtigen Medikamenten verurteilt wird, solange bei dem Kaufprozess nicht sichergestellt sei, dass vorab eine Einwilligung mit einer Erhebung, Verarbeitung und Nutzung von Gesundheitsdaten durch den Kunden erteilt werden könne und stützte sich dabei auf die §§ 3, 3a, 7 UWG. Der Beklagte beantragte, die Klage abzuweisen.
Bedarf es einer ausdrücklichen Einwilligung in die Datenerhebung?
Es stellte sich im Prozess die Frage, ob eine solche ausdrückliche Einwilligung überhaupt notwendig ist. Nach Ansicht des Beklagten stimme der Käufer schon bei Errichtung eines Benutzerkontos auf Amazon einer Übermittlung und Verarbeitung seiner Daten an entsprechende andere Unternehmen – hier Versandapotheken – zu. Einer weiteren ausdrücklichen Erklärung bedürfe es daher nach seiner Auffassung nicht. Er trug vor, dass schon die Einstufung dieser Daten als besondere Arten personenbezogene Daten verfehlt sei, da ohnehin nur die relevanten Bestelldaten weitergereicht würden. Sofern man jedoch trotzdem annehmen würde, es seien besondere Arten personenbezogener Daten, so würden dann jedenfalls die Ausnahmeregelungen der §§ 28 Abs. 6 und 7 BDSG greifen.
Das Gericht teilte die Auffassung des Beklagten nicht und verurteilte ihn antragsgemäß zur Unterlassung gemäß der §§ 3, 3a, 7 UWG. Die durch eine Bestellung von Medikamenten möglichen und typischen Hinweise auf eventuell dahinterstehende Krankheiten oder gesundheitliche Situationen der betroffenen Kunden sind als besondere Arten personenbezogener Daten im Sinne von § 3 Abs. 9 BDSG einzustufen. Alle Angaben, die unmittelbar oder mittelbar Informationen zu den in § 3 Abs. 9 BDSG angesprochenen besonderen Arten personenbezogener Daten vermitteln können, gehören zu diesen besonders schutzwürdigen Daten – es kommt nicht darauf an, ob die Schlüsse, die sie nahelegen, korrekt sind, stellte das Gericht fest. Deshalb bedurfte und bedarf es im Bestellprozess einer ausdrücklichen Einwilligungserklärung seitens des Kunden und diese müsse sich auch explizit auf Gesundheitsdaten beziehen (vgl. § 4a Abs. 3 BDSG).
Eine Rechtfertigung nach § 28 Abs. 6 BDSG, wegen besonderer Situationen, die es gebieten, Bedenken wegen der Verwendung sensibler Daten zurückzustellen, kommt nach Auffassung des Gerichts hier nicht in Betracht, da weder eine lebenswichtige Situation noch eine offenkundige Öffentlichmachung vorliege und auch sonst keine der Tatbestandsvoraussetzungen erfüllt sei. Die Ausnahmeregelung des § 28 Abs. 7 BDSG greife hier auch nicht, weil es bei der Frage der Geheimhaltungspflicht gerade nicht auf die Person des Beklagten ankomme, sondern auf die der Handelsplattform Amazon, da diese die sensiblen Daten durch den Bestellvorgang als erstes erhält. Amazon unterliege aber keinen Geheimhaltungspflichten, sodass die Rechtfertigung nach § 28 Abs. 7 BDSG ebenfalls ausscheidet.
Das Urteil verdeutlicht, dass somit auch Informationen, die nur mittelbar einen Rückschluss auf Krankheiten oder den Gesundheitszustand einer Person geben, zu den besonderen Arten personenbezogener Daten gehören.
Konsequenzen für die Praxis: muss ich bald überall eine Einwilligung einholen?
Die Auslegung der hier angesprochenen Daten als besondere Arten personenbezogene Daten im Sinne des § 3 Abs. 9 BDSG könnte weitere Kreise ziehen. Man muss sich fragen, wo hier die Grenze zu ziehen ist. Gilt dies nur für apothekenpflichtige Arzneimittel oder muss man zukünftig auch schon dann, wenn man zum Beispiel online glutenfreie Produkte verkauft, darauf achten, dass der Kunde in die Verwendung seiner Daten eingewilligt hat. Dies möglicherweise deshalb, weil man durch den Bezug der Produkte eventuell davon ausgehen könnte, dass der Kunde unter einer Glutenunverträglichkeit (Zöliakie) leidet und dies ja eine Krankheit darstellt? Hier ist zu klären, wann mittelbare Informationen als sensibel und damit besonders schutzwürdig anzusehen sind.
Weitere wichtige Aspekte des Urteils
Das Gericht entschied weiter, dass die hier gegenständlichen datenschutzrechtlichen Vorschriften (§§ 4, 4a, 28 Abs. 7 BDSG), als marktregulierende Vorschriften im Sinne des § 3a UWG zu qualifizieren seien. Diese Beurteilung dürfte ebenso für die ab dem 25.05.2018 geltenden entsprechenden Bestimmungen der Datenschutz-Grundverordnung (Art. 5, 6, 7 und Art. 9 Abs. 1, 2 lit. a DSGVO) zutreffen. Marktverhaltensregelungen liegen vor, „wenn Daten zu Zwecken der Werbung, der Markt- und Meinungsforschung, des Adresshandels oder zu vergleichbaren kommerziellen Zwecken erhoben, verarbeitet oder genutzt werden (§ 2 Abs. 2 Satz 1 Nr. 11 UKlaG)“, so das Gericht in seinem Urteil. Weiter heißt es: „Wenn Daten als wirtschaftliches Gut wie eine Ware gespeichert bzw. verwendet werden sollen, ist eine Marktrelevanz gegeben“. Das ist nach Auffassung des Gerichts gerade bei Einschaltung einer Plattform wie Amazon für den Vertrieb von Arzneimittel der Fall, denn dort werden erhobene Daten als wirtschaftliches Gut wie eine Ware verwendet und gespeichert. Die Marktrelevanz ergibt sich aus der Möglichkeit der Verwendung der Daten für Werbe- und andere kommerzielle Zwecke. Damit liegt eine kommerzielle Datenverwendung vor.
Wichtig war dies für das Urteil, weil die Annahme unlauterer geschäftlicher Handlungen oder unzumutbarer Belästigungen gemäß der §§ 3, 7 UWG von dieser Voraussetzung abhängig ist – denn eine geschäftliche Handlung ist nur dann unlauter, wenn einer gesetzlichen Vorschrift zuwidergehandelt wird, die dazu bestimmt ist, das Marktverhalten zu regeln (§ 3a UWG).
Hinweis zur DSGVO
Auch die in Kürze wirksam werdende DSGVO schützt sensible Daten (zukünftig: besondere Kategorien personenbezogener Daten) durch hohe gesetzliche Verarbeitungsvorschriften. Zukünftig sind die abschließenden Erlaubnistatbestände, auf die eine Verarbeitung dieser Kategorien gestützt werden kann, in Art. 9 Abs. 2 DSGVO enthalten. Gesundheitsdaten fallen gemäß Art. 9 Abs. 1 DSGVO unter diese besonders schutzwürdigen Daten. Eine explizit erteilte Einwilligung ist auch nach Art. 9 Abs. 2 lit. a DSGVO notwendig, wenn kein anderer der abschließenden und engen Erlaubnistatbestände des Art. 9 DSGVO vorliegt.. Die vom Klänger angeführten Rechtfertigungstatbestände aus den §§ 28 Abs. 6 und 7 BDSG finden sich zukünftig in Art. 9 Abs. 2 lit. c, e, f und § 27 Abs. 1 S. 1 BDSG (neu) sowie Art. 9 Abs. 2 lit. h, Abs. 3 DSGVO. Eine Bewertung nach der DSGVO dürfte nicht zu einem anderen Ergebnis führen.
Haben Sie Fragen? Unser Team berät Sie gerne zu Fragen des Datenschutzes und des Wettbewerbsrechts.