Das „Rechtsgutachten über die datenschutzrechtlichen Voraussetzungen eines Verkaufs von Arzneimitteln über die Internetplattform ‘Amazon’” hat Wolff im Auftrag des Münchener Apothekers Dr. Hermann Vogel erstellt. Dieser geht bereits juristisch gegen Kollegen vor, die apothekenpflichtige Medikamente über die Plattform vertreiben.

Um endlich auch die Behörden auf die aus seiner Sicht bestehenden Missstände aufmerksam zu machen, hat Vogel sich den Beistand des renommierten Juristen gesichert. Wolff ist Inhaber des Lehrstuhls für Öffentliches Recht, Recht der Umwelt, Technik und Information an der Rechts- und Wirtschaftswissenschaftlichen Fakultät der Universität Bayreuth.

Wolff kommt zu dem Schluss, dass der Verkauf apothekenpflichtiger Medikamente über Amazon auf der Grundlage der gegenwärtigen Allgemeinen Geschäftsbedingungen (AGB) datenschutzrechtlich nicht zulässig ist, sofern der Kunde nicht in jedem Einzelfall eingewilligt hat, dass seine sensiblen personenbezogenen Daten verarbeitet werden. Zudem müsse der Verwendungszweck klar beschrieben und überschaubar sein und die sogenannte ermächtigte Person bestimmt sein.

Beim Verkauf über Amazon sei für den Kunden zwar klar, dass die angeschlossene Apotheke die Arzneimittel anbiete und nicht der Versandriese selbst, stellt Wolff den Sachverhalt dar. Für die Bestellung über Amazon als Vertreter der Apotheke gelten demnach die Allgemeinen Geschäftsbedingungen (AGB) des Konzerns, die jeweilige Apotheken stelle wiederum ihre AGB zur Verfügung. Der Datenfluss erfolgt dabei nach Wolffs Auffassung so, „dass die Willenserklärung für den Vertragsschluss online zwischen dem Kunden und Amazon in Vertretung für die Apotheke geschlossen werden und Amazon danach die Daten der jeweiligen Apotheke weiterleitet“.

Datenschutzrechtlich sind die Aufnahme, Speicherung und Weiterleitung der Daten bei Amazon bereits eine „Verarbeitung“. Da der Kunde für den Versand seine Adresse angibt, bleibt er auch nicht anonym. Die Verarbeitung personenbezogener Daten erfordert daher eine rechtliche Grundlage, so das Zwischenfazit des Gutachters.

Angaben über die Gesundheit sind Wolff zufolge weit gefasst. Je nach bestelltem Medikament könnten dabei relativ konkrete Rückschlüsse auf den aktuellen Gesundheitszustand der geschlossen werden – bei einem Kopfschmerzmittel etwa weniger als bei einer Creme gegen Vaginalpilz. Datenschutzrechtlich sei jedenfalls davon auszugehen, dass von dem Kauf eines Medikaments auf das Vorliegen einer Krankheit gegen dieses entsprechende Leiden zu schließen ist.

Wolff hat Zweifel an der Reichweite der Einwilligungserklärung. Kaufe ein Kunde Arzneimittel bei Amazon, willige er zwar in die Verarbeitung personenbezogener Daten ein. Die Einwilligungserklärung beziehe sich In der Regel aber nicht explizit auf Gesundheitsdaten. Und diese sind nach dem Datenschutzrecht eben ganz besonders sensibel. In den AGB von Amazon werde darauf nicht verwiesen. Das Bundesdatenschutzgesetz (BDSG) in alter Fassung fordere aber ausdrücklich, dass der Betroffene weiß, was mit seinen Daten passiert. Mit der Novellierung Ende Mai werden die Vorgaben eher noch verschärft. Wolff hat in seinem Gutachten beide Versionen geprüft.

Selbst wenn die vom Apotheker bereitgestellten AGB dem BDSG genügen, wäre die Verarbeitung laut Gutachten nur dann zulässig, wenn sich auch Amazon an die AGB der Apotheke halten würde und nicht an die eigenen. Der Gutachter kann das nicht mit Sicherheit sagen, hält es aber für unwahrscheinlich.

Wolff ist auch der Frage nachgegangen, „ob die rechtswidrige Verarbeitung durch Amazon auf die Verarbeitung des Apothekers durchschlägt“. Inwiefern der Konzern tatsächlich Auftragsverarbeiter der Apotheke ist, weiß niemand, da die Verträge nicht bekannt sind. Jedenfalls zähle die Plattform nicht zu den Beschäftigten der Apotheke und daher nicht in deren Organisationsbereich.

Fest steht aber auch: Ohne die Apotheke wäre Amazon nicht an die Daten gekommen. „Amazon erhält als Vertreter des Apothekers die mittelbaren Gesundheitsdaten des Käufers“, heißt es im Gutachten. Und die Apotheke könne sich auch nicht als „Einzelkämpfer“ hinter dem „wirtschaftlichen Riesen“ verstecken. Der Apotheker vertrete nämlich selbst ein Geschäftsmodell, „bei dem rechtswidrig erhobene Daten seines ‘verlängerten Arms’ in Kenntnis der Rechtswidrigkeit weiterverarbeitet. Ergebnis: Die Apotheke schließe den Kaufvertrag nicht datenschutzkonform ab, da die Einwilligung dem BDSG nicht genüge.

Juristisch ist Amazon gegenüber der Apotheke laut Wolff eine selbstständige Person mit eigenen Interessen und weder organisatorisch, noch räumlich oder geschäftlich mit der Apotheke verbunden. Die Datenverarbeitung finde also weder vom Geheimnisträger – dem Apotheker – noch seinen Gehilfen statt. Die Rechtswidrigkeit der Datenverarbeitung habe der Apotheker dabei sogar selbst initiiert.

Das von ihm in Auftrag gegebene Rechtsgutachten hat Apotheker Vogel den zuständigen Aufsichtsbehörden zur Verfügung gestellt. Inwiefern diese aktiv werden, ist noch nicht bekannt. Vogel hat noch keine Antwort erhalten.