Apotheker haften für Amazon

Der Bundesgerichtshof (BGH) hat entschieden, dass auch bei der Bestellung von OTC-Medikamenten eine Einverständniserklärung der Kundinnen und Kunden zur Verarbeitung ihrer persönlichen Gesundheitsdaten vorliegen muss. Damit hatten die Richter in Karlsruhe entsprechenden Klagen des Münchner Apothekers Hermann Vogel stattgegeben, der gegen seine Kollegen Michael Spiegel und Holger Neubert aus Sachsen-Anhalt vorgegangen war.

Wie aus der Begründung hervorgeht, hält der BGH eine „ausdrücklich erklärte Einwilligung der Kunden“ für erforderlich; eine konkludente Einwilligung sei gemäß Datenschutz-Grundverordnung (DSGVO) nicht ausreichend. „Eine wirksame Einwilligung erfordert, dass die fraglichen Daten konkret benannt werden und der Betroffene über die gesamte beabsichtigte Verwendung der Daten informiert und so in die Lage versetzt wird, eine rationale Entscheidung zu treffen, ob er seine Daten für diese Zwecke zur Verfügung stellen möchte. Handelt es sich bei den erhobenen Daten um Gesundheitsdaten, ist darüber hinaus ein ausdrücklicher Hinweis auf das Vorliegen von Gesundheitsdaten erforderlich.“

Durch diesen besonderen Hinweis auf die Schutzwürdigkeit der erhobenen Daten solle ein Warneffekt erreicht werden, so der BGH. „Dieser Schutzzweck würde verfehlt, würde man allein in der Bestellung eines Medikaments auf der Handelsplattform ‚Amazon-Marketplace‘ ein Einverständnis mit der Verarbeitung gesundheitsbezogener Daten sehen.“

Keine Kontrolle bei Amazon

Auf die für Gesundheitspersonal gedachte Ausnahme könne man sich im Zusammenhang mit Amazon nicht berufen, da es keine Anhaltspunkte dafür gebe, dass die Datenverarbeitung bei Amazon durch dem Berufsgeheimnis unterliegendes Fachpersonal vorgenommen werde.

Und auch von einer Tätigkeit „unter Verantwortung“ der beiden Apotheker könne keine Rede sein: Da es um einen besonders sensiblen Bereich gehe, müssten sie die Einhaltung sämtlicher Datenschutzvorgaben – eben beispielsweise der erforderlichen Einwilligung – bei der Verarbeitung durch externes Personal sicherstellen können. Es sei aber gerade nicht so, dass die mit dem Bestellvorgang befassten Mitarbeiter von Amazon zur Einhaltung der besonderen datenschutzrechtlichen Anforderungen für die Verarbeitung von Gesundheitsdaten verpflichtet seien und die Einhaltung dieser Bestimmungen durch angemessene Maßnahmen überwacht werde.

Vergebens hatten die beiden beklagten Apotheker noch argumentiert, dass eventuelle Datenschutzverstöße durch Amazon gar nicht Teil des Rechtsstreits seien. „Diesem Vorbringen kann nicht entnommen werden, die in der Einflusssphäre von Amazon stattfindenden Vorgänge seien vom Kläger generell und damit auch mit Blick auf die von ihm gerade geltend gemachte wettbewerbswidrige Verantwortlichkeit des Beklagten für den Vertrieb von apothekenpflichtigen Medikamenten über den ‚Amazon-Marketplace‘ für die Begründetheit des Klageantrags außer Betracht zu lassen.“

Auskunft und Schadenersatz

Da Vogel einen Teil seiner ursprünglichen Klage bereits in den Vorinstanzen aufgeben musste, muss er im Streit mit Neubert 60 Prozent der Kosten übernehmen. Dafür kann er aber Schadenersatzansprüche geltend machen und Auskunft verlangen, in welchem Umfang die Bodfeld-Apotheke Geschäfte über Amazon gemacht hat – „wobei die Angaben insbesondere nach Umsätzen und Bundesländern und Orten aufzuschlüsseln sind“.