62023CJ0021_RES
Rechtssache C‑21/23
ND
gegen
DR
(Vorabentscheidungsersuchen des Bundesgerichtshofs)
Urteil des Gerichtshofs (Große Kammer) vom 4. Oktober 2024
„Vorlage zur Vorabentscheidung – Schutz personenbezogener Daten – Verordnung (EU) 2016/679 – Kapitel VIII – Rechtsbehelfe – Vertrieb von Arzneimitteln durch einen Apotheker über eine Onlineplattform – Unter dem Gesichtspunkt des Verbots unlauterer Geschäftspraktiken bei den Zivilgerichten erhobene Klage eines Mitbewerbers des Apothekers wegen dessen Verstoßes gegen die in dieser Verordnung vorgesehenen Pflichten – Klagebefugnis – Art. 4 Nr. 15 und Art. 9 Abs. 1 und 2 – Richtlinie 95/46/EG – Art. 8 Abs. 1 und 2 – Begriff ‚Gesundheitsdaten‘ – Voraussetzungen für die Verarbeitung dieser Daten“
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Rechtsbehelfe – Nicht erschöpfender Charakter – Nationale Regelung, die es Mitbewerbern des mutmaßlichen Verletzers von in dieser Verordnung vorgesehenen Verpflichtungen ermöglicht, unter dem Gesichtspunkt des Verbots unlauterer Geschäftspraktiken bei den Zivilgerichten Klage zu erheben – Zulässigkeit
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 77 bis 80)
(vgl. Rn. 53-57, 60, 62-73, Tenor 1)
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Begriff der Gesundheitsdaten – Im Rahmen einer Onlinebestellung eingegebene Daten betreffend Kunden eines Apothekenbetreibers, der über eine Onlineplattform Arzneimittel verkauft – Informationen über den Namen dieser Kunden, die Lieferadresse und die für die Individualisierung der Arzneimittel notwendigen Informationen – Einbeziehung – Verkauf nicht verschreibungspflichtiger Medikamente – Keine Auswirkung
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, Art. 4 Nrn. 1 und 15, Art. 9 Abs. 1; Richtlinie 95/46 des Europäischen Parlaments und des Rates, Art. 8 Abs. 1)
(vgl. Rn. 84, 88-91, Tenor 2)
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten – Verordnung 2016/679 – Verarbeitung besonderer Kategorien personenbezogener Daten – Verbot – Ausnahmen
(Verordnung 2016/679 des Europäischen Parlaments und des Rates, 53. Erwägungsgrund, Art. 9 Abs. 1 und 2; Richtlinie 95/46 des Europäischen Parlaments und des Rates, Art. 8 Abs. 1 und 2)
(vgl. Rn. 86, 87, 92, 93)
Zusammenfassung
Die Große Kammer des Gerichtshofs, der vom Bundesgerichtshof (Deutschland) um Vorabentscheidung ersucht wurde, äußert sich zur Natur und zum Umfang des Rechtsbehelfssystems im Bereich Datenschutz (
1
) sowie zum Begriff „Gesundheitsdaten“ (
2
).
ND und DR, zwei natürliche Personen, betreiben jeweils eine Apotheke in Deutschland. Seit 2017 vertreibt ND über die Onlineplattform „Amazon-Marketplace“ apothekenpflichtige Arzneimittel. Bei der Onlinebestellung müssen Kunden von ND Angaben wie ihren Namen, ihre Lieferadresse und die für die Individualisierung der Arzneimittel notwendigen Informationen eingeben.
DR erhob vor den nationalen Zivilgerichten eine Unterlassungsklage gegen ND, die er auf das deutsche Recht zum unlauteren Wettbewerb (
3
) stützte. Er machte geltend, dass der Vertrieb von Arzneimitteln durch ND unlauter sei, weil er gegen die gesetzliche Anforderung verstoße, vorab die Einwilligung der Kunden in die Verarbeitung ihrer Gesundheitsdaten einzuholen.
Nachdem die unteren Instanzen dieser Klage stattgegeben hatten, legte ND beim vorlegenden Gericht Revision ein. Dieses erachtete es wiederum für erforderlich, im Rahmen eines Vorabentscheidungsersuchen den Gerichtshof anzurufen.
In seinem Urteil stellt der Gerichtshof fest, dass das in der DSGVO vorgesehene Rechtsbehelfssystem keinen erschöpfenden Charakter hat und dass die DSGVO dem nicht entgegensteht, dass die Mitgliedstaaten in ihrem nationalen Recht Mitbewerbern des mutmaßlichen Verletzers materieller Bestimmungen dieser Verordnung die Möglichkeit einräumen, eine solche Verletzung als unlautere Geschäftspraxis gerichtlich zu beanstanden. Außerdem wird der Begriff „Gesundheitsdaten“ konkretisiert.
Würdigung durch den Gerichtshof
Als Erstes weist der Gerichtshof darauf hin, dass Kapitel VIII DSGVO zwar keine solche spezielle Öffnungsklausel enthält, die es den Mitgliedstaaten ausdrücklich erlaubt, den Mitbewerbern eine solche Klagemöglichkeit einzuräumen, dass sich aus dem Wortlaut und dem Kontext der Bestimmungen dieses Kapitels VIII jedoch ergibt, dass der Unionsgesetzgeber diese Möglichkeit nicht ausschließen wollte. Diese Auslegung wird durch die mit der DSGVO verfolgten Ziele bestätigt.
Denn zum einen hat eine Unterlassungsklage, die von einem Mitbewerber gegen ein Unternehmen unter dem Gesichtspunkt des Verbots der Vornahme unlauterer Geschäftspraktiken wegen eines behaupteten Verstoßes gegen die materiellen Bestimmungen der DSGVO erhoben wird, keinerlei Einfluss auf das in dieser Verordnung vorgesehene Rechtsbehelfssystem oder auf das Ziel, in der Europäischen Union ein gleichmäßiges Datenschutzniveau für natürliche Personen zu gewährleisten und Unterschiede, die den freien Verkehr personenbezogener Daten im Binnenmarkt behindern könnten, zu beseitigen.
In diesem Zusammenhang stellt der Gerichtshof klar, dass eine solche Klage zwar, wenn auch inzident, auf dem Verstoß gegen die gleichen Bestimmungen der DSGVO beruhen kann wie jene, auf die betroffene Personen oder eine diese Personen vertretende Vereinigung (
4
) eine Beschwerde oder einen Rechtsbehelf stützen können. Doch dient eine von einem Mitbewerber erhobene Unterlassungsklage – im Unterschied zu den in der DSGVO vorgesehenen Rechtsbehelfen – nicht dem Ziel, die Grundrechte und Grundfreiheiten der betroffenen Personen in Bezug auf die Verarbeitung ihrer personenbezogenen Daten zu schützen; vielmehr soll, im Interesse insbesondere dieses Mitbewerbers, ein lauterer Wettbewerb sichergestellt werden.
Außerdem besteht die Möglichkeit eines Mitbewerbers, unter dem Gesichtspunkt des Verbots der Vornahme unlauterer Geschäftspraktiken bei den Zivilgerichten eine solche Klage zu erheben, zusätzlich zu den Rechtsbehelfen gemäß der DSGVO, die uneingeschränkt erhalten bleiben und von den betroffenen Personen sowie gegebenenfalls von den diese vertretenden Vereinigungen jederzeit ergriffen werden können. Insbesondere ist durch eine Koexistenz von datenschutzrechtlichen und wettbewerbsrechtlichen Rechtsbehelfen keine Gefahr für die einheitliche Durchsetzung der DSGVO zu befürchten.
Zudem wird die Verwirklichung des Ziels, in der Union ein gleichmäßiges Datenschutzniveau für die betroffenen Personen zu gewährleisten und Unterschiede, die den freien Verkehr personenbezogener Daten im Binnenmarkt behindern könnten, zu beseitigen, nicht dadurch gefährdet, dass auch anderen als den betroffenen Personen und Einrichtungen, Organisationen und Vereinigungen die Möglichkeit eingeräumt wird, sich auf die materiellen Bestimmungen der DSGVO zu berufen. Selbst wenn einzelne Mitgliedstaaten diese Möglichkeit nicht vorsähen, würde dies nämlich nicht zu einer Fragmentierung der Umsetzung des Datenschutzes in der Union führen, weil die materiellen Bestimmungen der DSGVO für alle Verantwortlichen gleichermaßen verbindlich sind und ihre Einhaltung durch die in dieser Verordnung vorgesehenen Rechtsbehelfe sichergestellt wird.
Zum anderen hält der Gerichtshof zum Ziel der Gewährleistung eines wirksamen Schutzes der betroffenen Personen in Bezug auf die Verarbeitung ihrer personenbezogenen Daten und zur praktischen Wirksamkeit der materiellen Bestimmungen der DSGVO fest, dass eine von einem Mitbewerber des mutmaßlichen Verletzers von Vorschriften zum Schutz personenbezogener Daten erhobene Unterlassungsklage zwar nicht diesem Ziel dient, sondern einen lauteren Wettbewerb sicherstellen soll, sie jedoch unbestreitbar zur Einhaltung dieser Bestimmungen und damit dazu beiträgt, die Rechte der betroffenen Personen zu stärken und ihnen ein hohes Schutzniveau zu gewährleisten. Im Übrigen könnte sich eine solche Unterlassungsklage eines Mitbewerbers, ähnlich wie Klagen von Verbänden zur Wahrung von Verbraucherinteressen, für die Gewährleistung dieses Schutzes als besonders wirksam erweisen, da sie es ermöglicht, zahlreiche Verletzungen der Rechte der von der Verarbeitung ihrer personenbezogenen Daten betroffenen Personen zu verhindern (
5
).
Der Gerichtshof stellt daher fest, dass die Bestimmungen der DSGVO zum Rechtsbehelfssystem dahin auszulegen sind, dass sie einer nationalen Regelung nicht entgegenstehen, die – neben den Eingriffsbefugnissen der zur Überwachung und Durchsetzung dieser Verordnung zuständigen Aufsichtsbehörden und den Rechtsschutzmöglichkeiten der betroffenen Personen – Mitbewerbern des mutmaßlichen Verletzers von Vorschriften zum Schutz personenbezogener Daten die Befugnis einräumt, wegen Verstößen gegen die DSGVO gegen den Verletzer im Wege einer Klage vor den Zivilgerichten unter dem Gesichtspunkt des Verbots der Vornahme unlauterer Geschäftspraktiken vorzugehen.
Als Zweites stellt der Gerichtshof zum Begriff „Gesundheitsdaten“ fest, dass dieser die Daten umfasst, die ein Kunde bei der Bestellung von apothekenpflichtigen Arzneimitteln über eine Onlineplattform eingibt. Aus diesen Daten kann nämlich mittels gedanklicher Kombination oder Ableitung auf den Gesundheitszustand der betroffenen Person (
6
) geschlossen werden, da die Bestellung eine Verbindung zwischen einem Arzneimittel, seinen therapeutischen Indikationen und Anwendungen und einer identifizierten oder durch Angaben wie den Namen oder die Lieferadresse identifizierbaren natürlichen Person herstellt.
Außerdem ist es dem Gerichtshof zufolge in diesem Zusammenhang unerheblich, dass für den Verkauf der bestellten Arzneimittel keine ärztliche Verschreibung erforderlich ist und sie daher nicht unbedingt für den Kunden bestimmt sind, der sie bestellt, sondern möglicherweise für Dritte. Demnach ist, wenn ein Nutzer einer Onlineplattform bei der Bestellung von apothekenpflichtigen, aber nicht verschreibungspflichtigen Arzneimitteln personenbezogene Daten übermittelt, die Verarbeitung dieser Daten durch den Betreiber einer Apotheke, der diese Arzneimittel über die Onlineplattform vertreibt, als eine Verarbeitung von Gesundheitsdaten anzusehen (
7
), da durch die Verarbeitung dieser Daten Informationen über den Gesundheitszustand einer natürlichen Person offengelegt werden können, und zwar unabhängig davon, ob diese Informationen den Nutzer oder eine andere Person betreffen, für die diese Bestellung getätigt wird (
8
).
Eine Auslegung, bei der nach der Art der betreffenden Arzneimittel und danach differenziert würde, ob ihr Verkauf einer ärztlichen Verschreibung bedarf, stünde nämlich nicht im Einklang mit dem Ziel, ein hohes Niveau des Schutzes der Grundrechte und Grundfreiheiten natürlicher Personen – insbesondere ihres Privatlebens – bei der Verarbeitung sie betreffender personenbezogener Daten zu gewährleisten. Eine solche Auslegung liefe zudem dem Zweck von Art. 8 Abs. 1 der Richtlinie 95/46 und Art. 9 Abs. 1 DSGVO zuwider, der darin besteht, einen erhöhten Schutz vor Datenverarbeitungen zu gewährleisten, die aufgrund der besonderen Sensibilität der betreffenden Daten einen besonders schweren Eingriff in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten darstellen können (
9
). Folglich stellen die Angaben, die die Kunden bei der Onlinebestellung apothekenpflichtiger, aber nicht verschreibungspflichtiger Arzneimittel eingeben, Gesundheitsdaten dar, auch wenn diese Arzneimittel nur mit einer gewissen Wahrscheinlichkeit und nicht mit absoluter Sicherheit für diese Kunden bestimmt sind.
Der Gerichtshof führt zudem aus, dass sich, selbst wenn solche Arzneimittel für andere Personen als die Kunden bestellt werden, nicht ausschließen lässt, dass diese Personen identifiziert und Rückschlüsse auf ihren Gesundheitszustand gezogen werden können. Dies könnte z. B. der Fall sein, wenn die Arzneimittel nicht an den Wohnort des Kunden geliefert werden, der sie bestellt hat, sondern an den Wohnort eines Dritten, oder wenn der Kunde unabhängig von der Lieferadresse bei der Bestellung oder im Rahmen der damit einhergehenden Kommunikation auf eine andere identifizierbare Person Bezug genommen hat, etwa ein Familienmitglied.
Schließlich führt der Gerichtshof aus, dass der Umstand, dass die in Rede stehenden Angaben Gesundheitsdaten darstellen, nicht verhindert, dass sie insbesondere im Zusammenhang mit der Verwaltung der Dienste und Systeme des Gesundheitsbereichs verarbeitet werden können, wenn eine der hierfür bestehenden Voraussetzungen erfüllt ist (
10
). Dies kann zum einen der Fall sein, wenn die betroffene Person ausdrücklich in die ein- oder mehrmalige Verarbeitung dieser personenbezogenen Daten einwilligt, nachdem ihr die spezifischen Umstände und Zwecke klar, vollständig und in leicht verständlicher Weise dargelegt wurden. Zum anderen kann eine solche Verarbeitung zulässig sein, wenn sie für Zwecke der Versorgung im Gesundheitsbereich auf der Grundlage des Unionsrechts, des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs erforderlich ist.
(
1
)	Kapitel VIII der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, im Folgenden: DSGVO).
(
2
)	Gemäß Art. 8 Abs. 1 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. 1995, L 281, S. 31) und Art. 9 Abs. 1 DSGVO.
(
3
)	Gesetz gegen den unlauteren Wettbewerb vom 3. Juli 2004 (BGB1. 2004 I S. 1414) in seiner auf den Ausgangsrechtsstreit anwendbaren Fassung.
(
4
)	Art. 77 bis 80 DSGVO.
(
5
)	Vgl. in diesem Sinne Urteil vom 28. April 2022, Meta Platforms Ireland (C‑319/20, EU:C:2022:322, Rn. 74 und 75).
(
6
)	Im Sinne von Art. 4 Nr. 1 DSGVO.
(
7
)	Im Sinne von Art. 8 Abs. 1 der Richtlinie 95/46 und Art. 9 Abs. 1 DSGVO.
(
8
)	Vgl. in diesem Sinne Urteil vom 4. Juli 2023, Meta Platforms u. a. (Allgemeine Nutzungsbedingungen eines sozialen Netzwerks) (C‑252/21, EU:C:2023:537, Rn. 73).
(
9
)	Vgl. Urteil vom 1. August 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, Rn. 126 und die dort angeführte Rechtsprechung).
(
10
)	Voraussetzungen gemäß Art. 8 Abs. 2 der Richtlinie 95/46 und Art. 9 Abs. 2 DSGVO.