11.02.2025 | Datenschutz & IT | ID: 1193318

DSGVO-Verstöße: Klage durch Mitbewerber

Dürfen Unternehmen ihre Konkurrenten bei DSGVO-Verstößen abmahnen? Mit dieser Frage hat sich der EuGH befasst und mit seiner Entscheidung verdeutlicht, dass Mitbewerber gegen mangelnde DSGVO-Konformität vorgehen können.

Mit der Datenschutz-Grundverordnung (DSGVO) hat die Europäische Union ein einheitliches Regelwerk zum Schutz personenbezogener Daten geschaffen. Die Durchsetzung dieser Regelungen obliegt primär den Datenschutzbehörden der einzelnen Mitgliedstaaten und den betroffenen Personen. Inwieweit nun auch Mitbewerber im Markt DSGVO-Verstöße geltend machen können, ist Gegenstand des EuGH-Urteils in der Rechtssache C-21/23.

Ausgangslage zum EuGH-Urteil

Der Ausgangsfall handelt von einem Apothekenbetreiber in Deutschland, der seit 2017 apothekenpflichtige Arzneimittel über eine Onlineplattform vertreibt. Bei der Onlinebestellung dieser Arzneimittel müssen Kunden Angaben wie ihren Namen, ihre Lieferadresse und die für die Individualisierung der Arzneimittel notwendigen Informationen eingeben.

Ein Mitbewerber, der ebenfalls eine Apotheke betreibt, erhob bei einem deutschen Landgericht Klage mit dem Antrag, seinem Mitbewerber unter Androhung von Ordnungsmitteln zu verbieten, apothekenpflichtige Arzneimittel über die Onlineplattform zu vertreiben, solange nicht sichergestellt sei, dass Kunden vorab die Möglichkeit hätten, in die Verarbeitung von Gesundheitsdaten einzuwilligen. Die Klage wird damit begründet, dass der Vertrieb apothekenpflichtiger Arzneimittel über eine Onlineplattform wegen Verstoßes gegen gesetzliche Anforderungen an die gemäß den Rechtsvorschriften über den Schutz personenbezogener Daten erforderliche Einholung einer Einwilligung der Kunden unlauter sei.

Der Fall gelang bis zum Bundesgerichtshof in Deutschland, der ein Vorabentscheidungsverfahren beim EuGH einleitete. Damit sollten folgende Fragen geklärt werden:

• Stehen die Regelungen in Kapitel VIII DSGVO nationalen Vorschriften entgegen, die es Mitbewerbern ermöglichen, Datenschutzverstöße als unlautere Geschäftspraktiken vor Zivilgerichten zu verfolgen, zusätzlich zu den Befugnissen der Aufsichtsbehörden und den Rechtsmitteln der Betroffenen?
• Stellen die bei der Bestellung apothekenpflichtiger, aber nicht verschreibungspflichtiger Medikamente auf einer Verkaufsplattform angegebenen Kundendaten (Name, Lieferadresse, für die Individualisierung des bestellten apothekenpflichtigen Medikaments notwendige Informationen) Gesundheitsdaten iSd Art 9 Abs 1 DSGVO und Art 8 Abs 1 der Datenschutz-Richtlinie dar?

Rechtsverfolgung durch Mitbewerber bei DSGVO-Verstößen

Die DSGVO legt zwar ein einheitliches Schutzniveau für personenbezogene Daten fest und überträgt primär den Datenschutzbehörden der Mitgliedstaaten und betroffenen Personen die Rechtsdurchsetzung. Betroffene Personen können gemäß Art 77 bis 80 DSGVO Rechtsmittel einlegen. Art 80 DSGVO eröffnet den Mitgliedstaaten einen Ermessensspielraum, durch den Verbänden und Dritten unabhängig von individuellen Beschwerden zivilrechtliche Klagen ermöglicht werden können.

Außerdem ergibt sich aus Art 1 Abs 1 DSGVO im Licht insbesondere der Erwägungsgründe 9 und 13 der Verordnung, dass diese eine grundsätzlich vollständige Harmonisierung der nationalen Rechtsvorschriften zum Schutz personenbezogener Daten sicherstellen soll. Mehrere ihrer Bestimmungen eröffnen den Mitgliedstaaten aber ausdrücklich die Möglichkeit, zusätzliche – strengere oder einschränkende – nationale Vorschriften vorzusehen, die ihnen einen Ermessensspielraum hinsichtlich der Art und Weise ihrer Durchführung lassen („Öffnungsklauseln“).

Eine Unterlassungsklage von Mitbewerbern dient nicht dem Datenschutz direkt, sondern zielt auf lauteren Wettbewerb ab; dennoch fördert sie indirekt die Einhaltung der DSGVO und gewährleistet somit ein höheres Datenschutzniveau. Wettbewerbsrechtliche Klagen stehen daher im Einklang mit den Zielen der DSGVO, wie dem Datenschutz und der Gewährleistung eines freien und einheitlichen Datenverkehrs innerhalb der EU.

Der EuGH entschied daher, dass die Bestimmungen der DSGVO, insbesondere Kapitel VIII, einer Klagebefugnis eines Mitbewerbers unter dem Gesichtspunkt des Verbots der Vornahme unlauterer Geschäftspraktiken nicht entgegenstehen, sofern nationale Regelungen dies zulassen. Der EuGH betonte, dass die DSGVO eine Harmonisierung des Datenschutzes bezweckt, dabei jedoch Raum für ergänzende nationale Vorschriften im Bereich des Wettbewerbsrechts lässt.

Gesundheitsdaten

Die andere Frage, die an den EuGH herangetragen wurde:

• Sind personenbezogene Daten, die Kunden beim Kauf apothekenpflichtiger, aber nicht verschreibungspflichtiger Arzneimittel auf einer Onlineplattform angeben (Name, Adresse, für die Individualisierung der Arzneimittel notwendige Informationen), als „Gesundheitsdaten“ im Sinne von Art 8 Abs 1 der Datenschutz-Richtlinie und Art 9 Abs 1 DSGVO einzustufen?

Der EuGH hat entschieden, dass diese Informationen Gesundheitsdaten darstellen, da sie Aufschluss über den Gesundheitszustand einer Person geben können, auch wenn die Arzneimittel keine ärztliche Verschreibung erfordern.

Art 8 der Datenschutz-Richtlinie und Art 9 DSGVO schützen besonders sensible Daten wie Gesundheitsdaten, da ihre Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten der Betroffenen birgt. Nach der weiten Auslegung des EuGH umfassen Gesundheitsdaten sämtliche Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand einer natürlichen Person, einschließlich Daten betreffend die Erbringung von Gesundheitsdienstleistungen an diese Person.

Auch wenn die Arzneimittel möglicherweise nicht für die bestellende Person, sondern für eine andere Person bestimmt sind, bleibt die Klassifizierung als Gesundheitsdaten bestehen, da die Bestellinformationen trotzdem eine Verbindung zwischen der Person und der Behandlung herstellen können. Diese Verbindung entsteht durch die Angaben zur Art des Medikaments und zur bestellenden Person, was potenziell eine Identifizierung und Ableitung des Gesundheitszustands ermöglicht.

Daher wurde vom EuGH ausgesprochen, dass Art 8 Abs 1 der Datenschutz-Richtlinie und Art 9 Abs 1 DSGVO so auszulegen sind, dass in einem Fall, in dem der Betreiber einer Apotheke über eine Onlineplattform apothekenpflichtige Arzneimittel vertreibt, Daten, die seine Kunden bei der Onlinebestellung dieser Arzneimittel eingeben müssen (wie zB Name, Lieferadresse und für die Individualisierung der Arzneimittel notwendige Informationen), Gesundheitsdaten im Sinne dieser Bestimmungen darstellen, auch wenn der Verkauf dieser Arzneimittel keiner ärztlichen Verschreibung bedarf.

Der EuGH erörtert, dass das grundsätzliche Verbot der Verarbeitung solcher Daten unabhängig vom Verschreibungsstatus der Medikamente gilt und darauf abzielt, einen umfassenden Schutz der Daten und der Privatsphäre der Betroffenen zu gewährleisten. Etwa die Einwilligung der betroffenen Person iSd Art 9 Abs 2 lit a DSGVO ist für eine rechtmäßige Verarbeitung erforderlich, nachdem die spezifischen Umstände und Zwecke klar, vollständig und in leicht verständlicher Weise dargelegt wurden. Zudem kann eine Verarbeitung nach Art 9 Abs 2 lit h DSGVO zulässig sein, wenn sie für Zwecke der Versorgung im Gesundheitsbereich auf der Grundlage des Unionsrechts, des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs erforderlich ist.

Fazit

Mit dieser Entscheidung hat der EuGH den Weg eröffnet, DSGVO-Verstöße auch unter dem Aspekt unlauterer Geschäftspraktiken durch Mitbewerber gerichtlich geltend zu machen. Damit wird die weitreichende Schutzfunktion der DSGVO und die Bedeutung der konsequenten Einhaltung datenschutzrechtlicher Bestimmungen in der Praxis betont.