Das vorliegende Urteil vom 4. Oktober 2024 (C‑21/23 i.S. Lindenapotheke) betrifft den Betreiber der Linden-Apotheke, der über Amazon apothekenpflichtige Arzneimittel vertreibt. Eine Konkurrentin hatte ein Verbot beantragt, sofern Kunden in die Verarbeitung der entsprechenden Daten nicht einwilligen. Der deutsche BGH hatte dem EuGH im entsprechenden Verfahren Fragen vorgelegt.
Der EuGH bestätigt zunächst, die DSGVO den Mitgliedstaaten nicht verbietet, wettbewerbsrechtlich begründete Konkurrentenbeschwerden zuzulassen:
- Die Verarbeitung von Personendaten hat hohe wirtschaftliche Bedeutung. Es kann daher sein, dass die Einhaltung des Datenschutzrechts wettbewerbsrelevant ist (was der EuCH in der Sache Bundeskartellamt schon bestätigt hat, Rs. C‑252/21).
- Art. 80 Abs. 2 DSGVO (Mitgliedstaaten können das Beschwerderecht bestimmter Organisationen regeln) ist eine Öffnungsklausel. Auch wenn hier nicht von Konkurrentenbeschwerden die Rede ist, ist hier keine Vollharmonisierung beabsichtigt. Konkurrentenbeschwerden können die Wirksamkeit der DSGVO ferner verstärken. Deshalb und aus weiteren Überlegungen erlaubt die DSGVO den Mitgliedstaaten wettbewerbsrechtlich begründete Konkurrentenbeschwerden.
Praktisch viel relevanter ist der zweite Punkt, die Reichweite des Begriffs der Gesundheitsdaten. Der BGH hatte gefragt, ob Daten aus der Onlinebestellung von Arzneimitteln (wie z. B. Name oder Lieferadresse ) Gesundheitsdaten sind. Das sei der Fall, wenn aus Daten Rückschlüsse auf den Gesundheitszustand “gezogen werden können”. Dazu genügt es aber schon, wenn sich solche Rückschlüsse indirekt ergeben:
82 Diese Bestimmungen [insbesondere Art. 9 Abs. 1 DSGVO] können insbesondere nicht dahin ausgelegt werden, dass die Verarbeitung personenbezogener Daten, die indirekt sensible Informationen über eine natürliche Person offenbaren können, von der in diesen Bestimmungen vorgesehenen verstärkten Schutzregelung ausgenommen ist […].
83 Damit personenbezogene Daten als Gesundheitsdaten im Sinne von Art. 8 Abs. 1 der Richtlinie 95/46 und Art. 9 Abs. 1 DSGVO eingestuft werden können, genügt folglich, dass aus diesen Daten mittels gedanklicher Kombination oder Ableitung auf den Gesundheitszustand der betroffenen Person geschlossen werden kann […].
Das soll prima vista für Bestelldaten gelten:
84 Aus den Daten, die ein Kunde bei der Bestellung von apothekenpflichtigen Arzneimitteln über eine Onlineplattform eingibt, kann mittels gedanklicher Kombination oder Ableitung auf den Gesundheitszustand der betroffenen Person […] geschlossen werden, da die Bestellung eine Verbindung zwischen einem Arzneimittel, seinen therapeutischen Indikationen und Anwendungen und einer identifizierten oder durch Angaben wie den Namen oder die Lieferadresse identifizierbaren natürlichen Person herstellt.
Der BGH war hier aber unsicher, weil Bestellungen ja auch für Dritte getätigt werden können. Der EuGH folgt dem nicht:
88 Demnach ist, wenn ein Nutzer einer Onlineplattform bei der Bestellung von apothekenpflichtigen, aber nicht verschreibungspflichtigen Arzneimitteln personenbezogene Daten übermittelt, die Verarbeitung dieser Daten durch den Betreiber einer Apotheke, der diese Arzneimittel über die Onlineplattform vertreibt, als eine Verarbeitung von Gesundheitsdaten […] anzusehen, da durch die Verarbeitung dieser Daten Informationen über den Gesundheitszustand einer natürlichen Person offengelegt werden können, und zwar unabhängig davon, ob diese Informationen den Nutzer oder eine andere Person betreffen, für die diese Bestellung getätigt wird […].
Zur Begründung wendet der EuGH die datenschutzrechtliche Allzweckwaffe an:
89 Eine Auslegung dieser Bestimmungen, bei der nach der Art der betreffenden Arzneimittel und danach differenziert würde, ob ihr Verkauf einer ärztlichen Verschreibung bedarf, stünde nämlich nicht im Einklang mit dem in Rn. 81 des vorliegenden Urteils genannten Ziel eines hohen Schutzniveaus. […]
Deshalb:
90 Folglich stellen die Angaben, die die Kunden eines Apothekenbetreibers bei der Onlinebestellung apothekenpflichtiger, aber nicht verschreibungspflichtiger Arzneimittel eingeben, Gesundheitsdaten […] dar […].