Die Verarbeitung personenbezogener Daten ist nach den datenschutzrechtlichen Vorgaben des BDSG und der DSGVO nur unter bestimmten Voraussetzungen erlaubt. Einzelheiten regeln etwa die Art. 5 ff. der DSGVO. Der Bundesgerichtshofs (BGH) hat in diesem Zusammenhang in seiner Entscheidung vom 27.03.2025, I ZR 223/19 – Arzneimittelbestelldaten II die Regelung des Art. 9 DSGVO über die Verarbeitung besonderer Kategorien personenbezogener Daten als Marktverhaltensregelungen im Sinne von § 3a UWG eingeordnet. Damit können Mitbewerber Datenschutzverstöße auch lauterkeitsrechtlich angreifen.
Im Kern geht es in der Entscheidung um die Frage, ob der Apotheker, der apothekenpflichtige Arzneimittel über Amazon vertreibt, ohne ausdrückliche Einwilligung der Kunden Gesundheitsdaten verarbeiten darf und ob ein solches Vorgehen zugleich wettbewerbsrechtlich relevant ist. In Betracht kommen etwa Verstöße gegen datenschutzrechtliche Vorgaben als geschäftsbezogene Marktverhaltensregelungen.
Der BGH bejaht dies seiner Entscheidung vom 27.03.2025, I ZR 223/19 – Arzneimittelbestelldaten II ausdrücklich: Art. 9 Abs. 2 lit. a DSGVO ist eine Marktverhaltensregelung nach § 3a UWG. Der Zweck dieser Normen liege nicht nur im Schutz der Privatsphäre, sondern auch darin, Verbraucher in die Lage zu versetzen, ihre Marktentscheidungen informiert und autonom treffen zu können. Wer durch Teilnahme am Markt gezwungen wird, besonders sensible Daten ohne ausreichende Transparenz preiszugeben, ist in seiner Entscheidungsfreiheit unmittelbar betroffen.
Damit folgt der BGH einer Einzelfallbetrachtung: Nicht jede datenschutzrechtliche Vorschrift ist eine Marktverhaltensregel. Doch im Bereich der Gesundheitsdaten – einer besonders sensiblen Kategorie – wird das Marktverhalten der Anbieter unmittelbar gesteuert, indem zwingende Einwilligungserfordernisse bestehen.
Der BGH-Entscheidung vorangegangen war eine Vorabentscheidung des EuGH, 04.10.2024, C-21/23 – Lindenapotheke, auf die der BGH mehrfach Bezug nimmt. Danach sind Bestelldaten wie Name, Anschrift und Angaben zur Individualisierung eines Arzneimittels Gesundheitsdaten im Sinne des Art. 9 Abs. 1 DSGVO – selbst dann, wenn das Medikament nicht verschreibungspflichtig ist.
Konsequenzen für die Praxis:
- Jede Verarbeitung besonderer Kategorien personenbezogener Daten im geschäftlichen Kontext ist wettbewerbsrechtlich relevant.
- Einwilligungserklärungen müssen ausdrücklich, transparent und eindeutig sein.
- Unternehmen haften auch für Plattformen und Dienstleister als „Beauftragte“ gemäß § 8 Abs. 2 UWG.
- Mitbewerber können ohne Einschaltung der Datenschutzaufsichtsbehörden unmittelbar vorgehen.
Damit stärkt der BGH die Durchsetzungswirkung des Datenschutzrechts erheblich, indem er es eng mit dem Lauterkeitsrecht verknüpft.
