Das Urteil des EuGH vom 4. Oktober 2024, mit dem Aktenzeichen C-21/23, befasst sich mit der Frage, ob Wettbewerber Verstöße gegen die DSGVO abmahnen und gerichtlich verfolgen dürfen. Der Fall betrifft eine Online-Apotheke, die Gesundheitsdaten ihrer Kunden im Rahmen von Bestellungen verarbeitete, ohne deren ausdrückliche Einwilligung einzuholen.
Im Mittelpunkt des Verfahrens stand ein Streit zwischen zwei deutschen Online-Apotheken. Eine Apotheke (ND) vertrieb apothekenpflichtige, aber nicht verschreibungspflichtige Arzneimittel über die Plattform Amazon. Dabei verarbeitete sie personenbezogene Daten der Kunden, die aufgrund der bestellten Produkte als sensible Gesundheitsdaten eingestuft wurden. Ein Mitbewerber (DR) klagte, weil ND keine ausdrückliche Einwilligung der Kunden zur Verarbeitung dieser Daten eingeholt hatte. Der Mitbewerber sah dies als Verstoß gegen die DSGVO und somit auch als wettbewerbswidrig an.
Zunächst entschieden deutsche Gerichte zugunsten des Klägers, wobei der Fall schließlich vor dem Bundesgerichtshof (BGH) landete, der ihn dem EuGH zur Klärung vorlegte.
Der EuGH musste zwei zentrale Fragen beantworten:
- Dürfen Mitbewerber DSGVO-Verstöße abmahnen? Die DSGVO sieht primär vor, dass Verstöße von betroffenen Personen oder Aufsichtsbehörden geahndet werden können. Die Frage war, ob auch Mitbewerber im Rahmen des Wettbewerbsrechts Verstöße gegen die DSGVO gerichtlich verfolgen können.
- Sind Bestelldaten von apothekenpflichtigen, aber nicht verschreibungspflichtigen Arzneimitteln als Gesundheitsdaten anzusehen? Dies ist entscheidend, da die DSGVO einen besonders strengen Schutz für Gesundheitsdaten vorschreibt.
Der EuGH stellte in seinem Urteil fest, dass die DSGVO keine Sperrwirkung hat, die es verhindern würde, dass Wettbewerber Verstöße abmahnen und gerichtlich verfolgen. Diese Entscheidung eröffnet den Mitbewerbern die Möglichkeit, Datenschutzverstöße auch im Rahmen des Wettbewerbsrechts zu verfolgen. Der Gerichtshof argumentierte, dass dies dem Ziel der DSGVO, nämlich einem hohen Schutzniveau für personenbezogene Daten, dienlich sei.
Zusätzlich entschied der EuGH, dass Bestelldaten von Arzneimitteln als Gesundheitsdaten einzustufen sind. Dies gilt auch für rezeptfreie, aber apothekenpflichtige Produkte. Der Grund dafür ist, dass aus der Art der bestellten Arzneimittel Rückschlüsse auf den Gesundheitszustand der Kunden gezogen werden können. Daher unterliegen diese Daten den besonders strengen Anforderungen der DSGVO.
Das Urteil stärkt die Rechte von Verbrauchern und Konkurrenten im Bereich des Datenschutzes. Unternehmen im Online-Gesundheitsbereich, insbesondere Apotheken und ähnliche Anbieter, müssen sicherstellen, dass sie die strengen Anforderungen der DSGVO erfüllen. Dies betrifft insbesondere den Umgang mit Gesundheitsdaten, die nur mit ausdrücklicher Einwilligung der betroffenen Personen verarbeitet werden dürfen.
