BGH, Urt. 27.3.2025 - I ZR 222/19 und ZR 223/19
DSGVO-Verstoß bei Arzneimittelvertrieb über Amazon
Autor: RA Dr. Ingemar Kartheuser, LL.M. (Canterbury)Dipl.-Jur. Tarmio Frei, LL.B., Norton Rose Fulbright LLP, Hamburg
Aus: IT-Rechtsberater, Heft 06/2025
Aus: IT-Rechtsberater, Heft 06/2025
Der Vertrieb von Arzneimitteln über eine E-Commerce-Plattform ohne ausdrückliche Einwilligung der Kunden in die Verarbeitung ihrer Gesundheitsdaten verstößt gegen Art. 9 DSGVO. Verstöße gegen Art. 9 DSGVO können von Mitbewerbern wettbewerbsrechtlich verfolgt werden.
DSGVO Art. 9, 80; UWG § 3a
Der BGH musste nun in zwei Verfahren entscheiden, ob die Verarbeitung dieser Daten im Rahmen des Arzneimittelvertriebs auf Amazon tatsächlich gegen Art. 9 DSGVO verstieß und den klagenden Apothekern deswegen wettbewerbsrechtliche Ansprüche zustehen.
Keine ausdrückliche Einwilligung:Da der EuGH die Bestelldaten als Gesundheitsdaten eingeordnet hatte (EuGH v. 4.10.2024 – C-21/23, Lindenapotheke, ITRB 2025, 5 [Trost] = CR 2024, 798), hätten die Apotheker diese grds. nur auf Basis einer ausdrücklichen Einwilligung verarbeiten dürfen (Art. 9 Abs. 1 lit. a DSGVO). Eine solche habe gefehlt, da bei der Medikamentenbestellung nicht explizit darauf hingewiesen worden sei, dass Gesundheitsdaten verarbeitet würden.
Keine Entbehrlichkeit der Einwilligung:Die Einwilligung sei auch nicht nach Art. 9 Abs. 2 lit. h, Abs. 3 DSGVO entbehrlich gewesen. Hiernach könnten Gesundheitsdaten zwar im Gesundheitsbereich ohne Einwilligung verarbeitet werden. Aber die Voraussetzungen des Art. 9 Abs. 3 DSGVO seien nicht erfüllt: Die Verarbeitung durch Amazon sei weder durch dem Berufsgeheimnis unterliegendes Fachpersonal vorgenommen worden, noch handle es sich bei Amazon um eine „andere Person“. Nach Sinn und Zweck der Vorschrift sei die Ausnahme vom Einwilligungserfordernis eng auszulegen. Zudem treffe sie keine abschließende Regelung, sondern lasse mitgliedstaatliche Vorgaben zu, die auch zusätzliche Beschränkungen statuieren könnten. Die deutsche Umsetzung dieser Öffnungsklausel in § 22 Abs. 1 Nr. 1 lit. b BDSG stelle klar, dass andere Person nur sein könne, wer einer dem Berufsgeheimnis entsprechenden und nicht nur irgendeiner Geheimhaltungspflicht unterliege. § 22 Abs. 1 Nr. 1 lit. b BDSG begrenze die Ausnahme vom Einwilligungserfordernis somit klar auf Personen aus Gesundheits- und Heilberufen.
Marktverhaltensregelung:Art. 9 DSGVO stelle eine Marktverhaltensregelung i.S.d. § 3a UWG dar, so dass die Mitbewerber die Verstöße gegen Art. 9 DSGVO als unlautere geschäftliche Handlung verfolgen könnten. Das sei zuvor von Teilen der Literatur und Rechtsprechung bestritten worden, da das Datenschutzrecht nur Persönlichkeitsrechte und die informationelle Selbstbestimmung schütze und nicht die wirtschaftliche Entscheidungsfreiheit. Der durch Art. 9 DSGVO bezweckte Persönlichkeitsschutz solle den Verbraucher aber auch im Zusammenhang mit seiner Marktteilnahme schützen.
DSGVO Art. 9, 80; UWG § 3a
Das Problem
Apotheker wandten sich dagegen, dass andere Apotheker Arzneimittel über die E-Commerce-Plattform Amazon Marketplace vertrieben. Sie rügten vor allem, dass der Vertrieb gegen die DSGVO verstieß, da Gesundheitsdaten der Kunden ohne ausdrückliche Einwilligung verarbeitet wurden. Dabei ging es um die vom Kunden angegebenen Bestelldaten wie Name, Lieferadresse und Informationen zur Individualisierung des bestellten Medikaments.Der BGH musste nun in zwei Verfahren entscheiden, ob die Verarbeitung dieser Daten im Rahmen des Arzneimittelvertriebs auf Amazon tatsächlich gegen Art. 9 DSGVO verstieß und den klagenden Apothekern deswegen wettbewerbsrechtliche Ansprüche zustehen.
Die Entscheidung des Gerichts
Der BGH bejahte die geltend gemachten Ansprüche.Keine ausdrückliche Einwilligung:Da der EuGH die Bestelldaten als Gesundheitsdaten eingeordnet hatte (EuGH v. 4.10.2024 – C-21/23, Lindenapotheke, ITRB 2025, 5 [Trost] = CR 2024, 798), hätten die Apotheker diese grds. nur auf Basis einer ausdrücklichen Einwilligung verarbeiten dürfen (Art. 9 Abs. 1 lit. a DSGVO). Eine solche habe gefehlt, da bei der Medikamentenbestellung nicht explizit darauf hingewiesen worden sei, dass Gesundheitsdaten verarbeitet würden.
Keine Entbehrlichkeit der Einwilligung:Die Einwilligung sei auch nicht nach Art. 9 Abs. 2 lit. h, Abs. 3 DSGVO entbehrlich gewesen. Hiernach könnten Gesundheitsdaten zwar im Gesundheitsbereich ohne Einwilligung verarbeitet werden. Aber die Voraussetzungen des Art. 9 Abs. 3 DSGVO seien nicht erfüllt: Die Verarbeitung durch Amazon sei weder durch dem Berufsgeheimnis unterliegendes Fachpersonal vorgenommen worden, noch handle es sich bei Amazon um eine „andere Person“. Nach Sinn und Zweck der Vorschrift sei die Ausnahme vom Einwilligungserfordernis eng auszulegen. Zudem treffe sie keine abschließende Regelung, sondern lasse mitgliedstaatliche Vorgaben zu, die auch zusätzliche Beschränkungen statuieren könnten. Die deutsche Umsetzung dieser Öffnungsklausel in § 22 Abs. 1 Nr. 1 lit. b BDSG stelle klar, dass andere Person nur sein könne, wer einer dem Berufsgeheimnis entsprechenden und nicht nur irgendeiner Geheimhaltungspflicht unterliege. § 22 Abs. 1 Nr. 1 lit. b BDSG begrenze die Ausnahme vom Einwilligungserfordernis somit klar auf Personen aus Gesundheits- und Heilberufen.
Marktverhaltensregelung:Art. 9 DSGVO stelle eine Marktverhaltensregelung i.S.d. § 3a UWG dar, so dass die Mitbewerber die Verstöße gegen Art. 9 DSGVO als unlautere geschäftliche Handlung verfolgen könnten. Das sei zuvor von Teilen der Literatur und Rechtsprechung bestritten worden, da das Datenschutzrecht nur Persönlichkeitsrechte und die informationelle Selbstbestimmung schütze und nicht die wirtschaftliche Entscheidungsfreiheit. Der durch Art. 9 DSGVO bezweckte Persönlichkeitsschutz solle den Verbraucher aber auch im Zusammenhang mit seiner Marktteilnahme schützen.