Zeig mir deine Kaufhistorie und ich sag dir, wer du bist.

Bei der Vorbereitung für einen Schnorchelurlaub und der Suche nach UV-Schutzkleidung fand ich mich in einem Online-Shop für Burkinis wieder. Berufsbedingt überlegte ich, was es datenschutzrechtlich bedeuten würde, wenn ich das Produkt in meinen Warenkorb lege. Könnte der Betreiber des Online-Shops davon ausgehen, dass ich eine bestimmte religiöse Überzeugung teile? Wenn es nach der bisherigen Rechtsprechung des EuGH ginge, wäre dies der Fall.

Die sehr weite Auslegung des Art. 9 Absatz 1 DSGVO des EuGH (wir berichteten) sorgt in der datenschutzrechtlichen Praxis oft für Diskussionen, Unsicherheit und Ratlosigkeit. Mit dem Urteil vom 01.08.2022 (Rs. C-184/20) hatte der Europäische Gerichtshof (EuGH) entschieden, dass aus dem Datum des Namens des Partners mittels „gedanklicher Kombination oder Ableitung“ auf die sexuelle Orientierung einer Person geschlossen werden kann und der Name des Partners unter diesen Umständen unter die besonderen Kategorien der personenbezogenen Daten nach Art. 9 DSGVO fällt.

Bestellung von Medikamenten – Gesundheitsdaten?

Ein ähnliches Dilemma betrifft den sogenannten „Lindenapothekenfall“.

Ein Münchner Apotheker verklagte bereits 2017 zwei andere Apotheker, weil diese ihre Arzneimittel über Amazon-Marketplace vertrieben. Der Kläger machte wettbewerbsrechtliche Unterlassungsansprüche geltend, weil der Vertrieb über Amazon seiner Ansicht nach gegen Marktverhaltensregeln verstoße. Zudem verstoße dies gegen Datenschutzrecht. Es würden Daten an ein Unternehmen übermittelt, welches nicht den beruflichen Geheimhaltungspflichten eines Apothekers unterliegen und es fehle an der Einwilligung durch die Patienten hierfür.

Beide Verfahren landeten in der Berufung am Oberlandesgericht Naumburg, welches dem Münchner Apotheker in beiden Fällen recht gab. Die beklagten Apotheker legten Revision ein. Seit 2019 beschäftigt sich der Bundesgerichtshof mit den beiden Verfahren, die dort noch immer anhängig sind. Der BGH hat dem Europäischen Gerichtshof im Jahr 2023 zwei Vorlagefragen vorgelegt. Die Antwort auf die erste Frage soll klären, ob ein Mitbewerber wettbewerbsrechtlich gegen einen Kollegen vorgehen darf, wenn dieser gegen Vorgaben der Datenschutzgrundverordnung (DSGVO) verstößt. Dem würde die Auffassung entgegenstehen, dass die DSGVO ein abschließendes Sanktionssystem enthalte, das Wettbewerber nicht einschließe.

Die zweite Vorlagefrage beschäftigt sich mit einem datenschutzrechtlich interessanteren Thema: Sind die Daten, die Kunden bei der Bestellung von zwar apothekenpflichtigen, nicht aber verschreibungspflichtigen Medikamenten auf der Verkaufsplattform von sich preisgeben (Name des Kunden, Lieferadresse und für die Individualisierung des Medikaments notwendige Informationen), Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO?

Auf der Suche nach der Rechtsgrundlage

Jetzt nehmen wir einmal an, der EuGH folgt seiner bisherigen Rechtsprechung und stuft die Bestelldaten für Medikamente als Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO ein. Was soll das Drama? Wir brauchen nur eine Rechtsgrundlage, dann ist alles fein. Da wird sich doch eine finden…oder nicht? Genau hier liegt das Problem. Während zuvor auf die Rechtsgrundlage zur Durchführung des Vertrags gemäß Art. 6 Abs. 1 S. 1 lit. b DSGVO abgestellt werden konnte, sucht man für die Verarbeitung von Gesundheitsdaten eine entsprechende Rechtsgrundlage im Art. 9 Abs. 2 DSGVO vergebens. Die Durchführung des Vertrags mit einem Angehörigen eines Gesundheitsberufs wie z.B. der Behandlungsvertrag mit Ärzten passt genauso wenig wie die übrigen Rechtsgrundlagen aus Art. 9 Abs. 2 lit. b-j DSGVO. Mangels Alternativen bleibt nur die Einwilligung als mögliche Rechtsgrundlage. Spinnt man den Faden weiter, merkt man schnell, wie absurd dies in der Praxis aussieht. Wenn ich ein Medikament bestelle, muss ich also meine Einwilligung zur Verarbeitung meiner Daten erteilen. Ist meine Einwilligung überhaupt freiwillig, wenn ich sie erteilen muss, um das Medikament bestellen zu können? Was passiert, wenn ich meine Einwilligung widerrufe? Solche unsauberen „Lösungen“ sind frustrierend. Es bleibt also zu hoffen, dass der EuGH eine Kehrtwende von der weiten Auslegung macht.

Ausblick – spannende Entscheidung ausstehend

Der EuGH-Generalanwalt Maciej Szpunar hat am 25. April 2024 seine Schlussanträge vorgelegt. Er vertritt die Auffassung, dass die Bestelldaten von apothekenpflichtigen, aber nicht verschreibungspflichtigen Arzneimitteln in diesem Fall keine Gesundheitsdaten darstellen. Bei verschreibungspflichtigen Medikamenten würde aus der Verschreibung die Identität der Person und das benötigte Medikament eindeutig hervorgehen. Aus der Bestellung von apothekenpflichtigen aber nicht verschreibungspflichtigen Arzneimitteln können zugegebenermaßen bestimmte Informationen über die Gesundheit abgeleitet werden, diese Rückschlüsse seien nach Ansicht des EuGH-Generalanwalts jedoch hypothetisch und ungenau. Arzneimittel können für andere Personen als den Käufer selbst, in Vorbereitung auf Reisen oder zur Behandlung von Alltagsbeschwerden vorsorglich gekauft werden. Der Kauf von Paracetamol ließe keine Rückschlüsse auf den Gesundheitszustand des Käufers zu. Der Wirkstoff wird vielseitig eingesetzt und ist in jeder guten Haushaltsapotheke vorhanden.

Der EuGH-Generalanwalt vergleicht die Situation mit dem Kauf von Büchern einer politischen Persönlichkeit, bestimmten Kleidungsstücken oder Erotikartikeln. Der Erwerb dieser Produkte kann Rückschlüsse auf eine politische Meinung, religiöse Überzeugung oder sexuelle Orientierung geben. Er weist darauf hin, dass bei einer derart engen Auslegung des Begriffs der besonderen Kategorien von Daten große Teile des Onlinehandels unter die Regelung des Art. 9 Abs. 2 DSGVO fallen würde. Man müsse daher prüfen, ob die Daten nur potentiell Daten besonderer Kategorien sind oder ein Mindestmaß an Gewissheit für diese Qualifizierung aufweisen. Es hänge vom Kontext der Datenerhebung und der Art und Weise der Datenverarbeitung ab, ob diese Qualifizierung vorliege oder nicht. Zuletzt warnt Szpunar, dass eine enge Auslegung des Begriffs „Gesundheitsdaten“ dazu führen kann, dass sogar mehr sensible Daten offengelegt werden. Bei dem Erfordernis einer Einwilligung könnte es dazu führen, dass der Käufer die Identität des Endnutzers des Produkts offenbaren müsste. Damit wären klare Rückschlüsse auf den Gesundheitszustand dieser Person möglich als wie bisher nur hypothetische.

Die Urteile des EuGH und des BGH bleiben abzuwarten. Wir werden über die höchst relevante Entscheidung selbstverständlich berichten.