Source: https://www.it-recht-kanzlei.de/online-handel-medikamente-ebay-amazon-bdsg.html
Timestamp: 2020-01-29 07:45:21+00:00

Document:
News vom 22.06.2017, 15:13 Uhr | Keine Kommentare
Wie die stetig steigende Zahl von Online-Apotheken beweist, hat der elektronische Geschäftsverkehr in Deutschland auch im Pharmabereich seinen Siegeszug begonnen. Für Haben sich Händler auf den Online-Verkauf von apothekenpflichtiger Arznei spezialisiert, wird ihre Geschäftstätigkeit meist aber zum juristischen Hürdenlauf, weil diese durch zahlreiche gesetzliche Sondervorschriften reglementiert ist. Dass diese nicht nur dem Heilmittelmittelrecht, sondern unter Begründung strikter Schutzpflichten auch dem Datenschutzrecht entstammen können, versucht zurzeit eine Reihe von Abmahnungen glaubhaft zu machen, mit denen der Vertrieb von Arznei über eBay und Amazon für datenschutzrechtswidrig erklärt wird. Ob und inwiefern der Medikamentenverkauf im Internet eine besondere datenschutzrechtliche Relevanz besitzt und damit spezifische Handlungspflichten für Händler etabliert, soll im folgenden Beitrag ebenso erörtert werden wie die Frage nach der Möglichkeit deren rechtskonformer Umsetzung im Online-Shop einerseits und auf eBay und amazon andererseits.
I. Persönlicher Gesundheitsbezug von Daten über bestellte Medikamente
1.) Grundsätzliche Definition von Gesundheitsdaten
2.) Arzneimittelbestelldaten als Gesundheitsdaten?
II. Rechtsfolgen der Beurteilung für den Online-Handel mit Arzneimitteln
III. Umsetzbarkeit des besonderen Einwilligungserfordernisses im Online-Shop, auf eBay und auf Amazon
1.) Umsetzung im Online-Shop
2.) Umsetzungshindernis auf eBay
3.) Umsetzungshindernis auf Amazon
4.) Keine Heilung durch nachträgliche Einholung einer Einwilligung per Privatnachricht
5.) Rechtliche Konsequenzen
Im Ergebnis stellen Informationen über bestellte Arzneimittel nach weit verbreiteter Ansicht personenbezogene Gesundheitsdaten dar, deren Erhebung und Verarbeitung im Rahmen des Bestell- und Abwicklungsprozesses über einen Online-Shop die für derartige Daten geltenden Sonderanforderungen beachten müssen.
Aus Gründen der Rechtssicherheit sollte dieser Beurteilung gefolgt werden.
Wie das Einwilligungserfordernis im Online-Shop rechtskonform umzusetzen ist und welche Probleme sich aus selbigem für den Arzneimittelverkauf auf eBay und Amazon ergeben, wird im Folgenden dargestellt.
Weil nach den obigen Feststellungen mit der Online-Bestellung von apothekenpflichtigen Arzneimitteln zwangsweise besondere personenbezogene Gesundheitsdaten erhoben werden, muss der Händler vor jeder Bestellung die ausdrückliche Einwilligung des Käufers in die bestellbedingte Erhebung und Verarbeitung dieser Daten einholen. Zu erörtern bleibt, wie und ob sich diese Sondervoraussetzung im Online-Shop einerseits und andererseits auf den Handelsplattformen eBay und Amazon umsetzen lässt, derer sich Online-Apotheker vermehrt für den Absatz ihrer Produkte bedienen.
Grundsätzlich ist auch für sensible Daten, zu welchen die Gesundheitsdaten gehören, anerkannt, dass das Erfordernis einer ausdrücklichen Einwilligung in die Erhebung und Verarbeitung durch eine Check-Box mit einem Opt-In-Feld, das nicht vorausgefüllt sein darf, umgesetzt werden kann.
Dieses ist beim Online-Medikamentenverkauf auf der letzten Seite des Bestellprozesses so zu implementieren, dass die Abgabe der Bestellung nur bei Setzen des Häkchens durch den Käufer und mithin bei Erteilung der datenschutzrechtlichen Einwilligung erfolgen kann. Eine Bestellmöglichkeit ohne die Einwilligung kann bei Online-Arzneimittelkäufen nicht existieren, weil bereits mit der Bestellabgabe in Form von Medikamenteninformationen Gesundheitsdaten erhoben werden.
Innerhalb des Einwilligungstextes in der Check-Box sollte auf die im Shop hinterlegte Datenschutzerklärung verwiesen und verlinkt werden. Weil sich die Einwilligung des Käufers nach §4a Abs. 3 BDSG aber ausdrücklich auch auf die Gesundheitsdaten beziehen muss, sollten diese zusätzliche Erwähnung finden.
Wird auf die Datenschutzerklärung verlinkt, ist die Wirksamkeit der Einwilligung durch Häkchensetzung essentiell davon abhängig, dass auf die Gesundheitsdaten, den Zweck und den Umfang ihrer Erhebung und Verarbeitung sowie die Vertraulichkeit im Umgang mit ihnen in der Datenschutzerklärung explizit und eindeutig Bezug genommen wird. Nur dann, wenn sich der Händler in seiner Datenschutzerklärung auch spezifisch zu Datenvorgängen über Gesundheitsdaten äußert, ist dem Wirksamkeitserfordernis des §4a Abs. 3 BDSG hinreichend Rechnung getragen und kann der Betroffene – dem Sinn der Vorschrift entsprechend – die tatsächliche Tragweite seiner Einwilligung vernünftig nachvollziehen.
Während der Händler im eigenen Shop dem besonderen Einwilligungserfordernis für die mit der Medikamentenbestellung erhobenen Gesundheitsdaten durch eine inhaltliche Anpassung seiner Datenschutzerklärung und eine darauf verlinkende Check-Box vor der Abgabe der Bestellung rechtssicher umsetzen kann, birgt das Anbieten von Medikamenten auf eBay datenschutzrechtliche Probleme. Auf der Verkaufsplattform ist der Händler in den Möglichkeiten seiner Angebotsausgestaltung nämlich grundsätzlich limitiert und kann auf die Elemente des Bestellprozesses keinen Einfluss nehmen. Diese gibt nämlich eBay vor.
Demnach ist es dem Händler verwehrt, die erforderliche Check-Box zur Umsetzung des gesundheitsdatenschutzrechtlichen Einwilligungserfordernisses zu implementieren und auf eigene Veranlassung eine hinreichende Einwilligung des Arzneimittelkäufers einzuholen.
Dies würde selbst dann gelten, wenn der Händler in seiner Angebotsbeschreibung einen Datenschutzhinweis für Gesundheitsdaten vorhalten würde. Auch hier wäre es ihm nämlich aufgrund der rigiden Kaufprozessausgestaltung von eBay unmöglich, sich die Kenntnisnahme des Hinweises und die Zustimmung des Kunden zu den beschriebenen Vorgängen vor der Bestellung ausdrücklich einholen zu lassen.
Zu beachten ist zwar, dass eBay neuerdings jeden Kauf von der Einwilligung in Datenschutzgrundsätze abhängig macht:
In der verlinkten eBay-Datenschutzerklärung finden Gesundheitsdaten, spezifiziert auf Medikamentenbestellungen, aber keinerlei Erwähnung, sodass es der abverlangten Einwilligung in Bezug auf eben diese besonderen Daten an ihrer Wirksamkeit fehlt. Wirksam wäre eine Einwilligung in die Erhebung und Verarbeitung von Gesundheitsdaten gemäß §4a Abs. 3 BDSG nämlich nur, wenn sie sich auch konkret auf die Gesundheitsdaten bezieht, mit anderen Worten also spezifisch auf den Umfang und den Zweck ihrer Erhebung und Verarbeitung belehrt wird.
Weil der Händler auf die eBay-Datenschutzerklärung inhaltlich keinen Einfluss nehmen und auch auf andere Weise eine hinreichende Einwilligung vor der Bestellung nicht einholen kann, ist das Anbieten von Medikamenten auf eBay wegen der einwilligungslosen Erhebung und Verarbeitung von Gesundheitsdaten bisher datenschutzrechtswidrig.
Ähnlich verhält es sich auch auf Amazon. Hier hat der Händler ebenfalls keine Möglichkeit, auf die Ausgestaltung des Bestellprozesses Einfluss zu nehmen, und ist mithin den Vorgaben der Plattform unterworfen.
Zwar verweist Amazon vor dem Kauf darauf, dass mit Betätigung der Bestellung ein Einverständnis in Datenschutzbestimmungen abgegeben wird:
Fraglich ist aber bereits, ob die konkrete Gestaltung für die bei Gesundheitsdaten geforderte Ausdrücklichkeit der Einwilligung ausreicht. Diese wird grundsätzlich nur gewahrt, wenn der Betroffene auf eigene Veranlassung ein eigenständiges Erklärungszeichen setzt, das nicht mit der Betätigung des „Kauf-Buttons“ verbunden wird.
Immerhin fehlen den Amazon-Datenschutzbestimmungen aber spezifische Informationen über den Umfang und den Zweck der Verwendung von Gesundheitsdaten, sodass einer Einwilligung in Bezug auf diese Daten gemäß §4a Abs. 3 BDSG wiederum die Wirksamkeit fehlte.
Dadurch ergibt sich, dass nach derzeitigem Stand auch auf Amazon ein datenschutzrechtskonformes Anbieten von apothekenpflichtigen Medikamenten nicht möglich ist, weil dem Händler die Möglichkeit fehlt, das spezifische Einwilligungserfordernis hinreichend zu etablieren.
Zur Abwendung der Rechtswidrigkeit der pharmazeutischen Verkaufstätigkeit auf eBay und amazon ließe sich zwar erwägen, vom jeweiligen Medikamentenkäufer nach dem Kauf über die Nachrichtenfunktion eine ausdrückliche, auf die Gesundheitsdaten bezogene Einwilligung einzuholen und erst mit deren Erteilung die Bestellung abzuwickeln. Dies hilft aber nicht darüber hinweg, dass im Vorfeld mit der Bestellabgabe bereits eine insofern einwilligungslose Erhebung sensibler Gesundheitsdaten erfolgt ist und dass eBay oder Amazon diese Daten bereits mit der Erhebung nach ihrem Belieben verarbeiten und nutzen können.
Wegen der fehlenden Möglichkeit, der Abgabe einer Bestellung von Medikamenten die Einholung einer wirksamen datenschutzrechtlichen Einwilligung in die Erhebung und Verarbeitung von Gesundheitsdaten voranzustellen, ist das Anbieten von Pharmaka auf eBay und Amazon nach derzeitigem Stand datenschutzrechtswidrig.
Das Einwilligungserfordernis soll das Persönlichkeits- und Selbstbestimmungsrecht des Betroffenen in besonders effektiver Weise schützen und dient beim Kauf von Medikamenten mithin einem besonderen Interesse des Käufers am Schutz seiner persönlichen Verhältnisse.
Die Pflicht zur Einholung einer hinreichenden Einwilligung nach §4 Abs. 1, Abs. 3 BDSG ist daher eine Marktverhaltensnorm im Sinne des §3a UWG, deren Nichtbeachtung oder fehlerhafte Umsetzung mit wettbewerbsrechtlichen Unterlassungsansprüchen geahndet werden kann.
Auch drohen gemäß §43 Abs. 2 BDSG Bußgelder in Höhe von bis zu 300,000 Euro.
Weil ein datenschutzrechtskonformes Anbieten von Arznei auf eBay und Amazon zurzeit nicht möglich ist, besteht bei Fortführung dieser Tätigkeit ein immenses Abmahnpotenzial. Dieses kann der Händler nur dadurch abwenden, dass er den Pharma-Vertrieb auf den genannten Handelsplattformen vorerst einstellt und die Verkaufstätigkeit auf den eigenen Online-Shop begrenzt. Dort kann mit geringem Aufwand den besonderen datenschutzrechtlichen Anforderungen nämlich hinreichend Rechnung getragen werden.
Nach überwiegender Auffassung werden bei jeder Online-Arzneimittelbestellung sensible Gesundheitsdaten in Form von Informationen über das konkrete Arzneimittel erhoben und verarbeitet, welche Rückschlüsse auf den physischen oder psychischen Gesundheitszustand sowie einen bestimmten Therapiebedarf zulassen.
Aufgrund dieses Umstands sind Online-Händler beim Verkauf von Medikamenten im Bestellprozess und vor Abgabe der Bestellung stets gehalten, vom Kunden eine besondere und ausdrückliche Einwilligung in die Erhebung und Verarbeitung dieser Gesundheitsdaten einzuholen.
Während dies im eigenen Online-Shop durch die Anpassung der Datenschutzerklärung mit besonderem Hinweis auf den Umfang und den Zweck der Gesundheitsdatennutzung zusammen mit dem Vorschalten einer Check-Box mit Verlinkung auf diese Datenschutzerklärung rechtssicher umgesetzt werden kann, droht beim Abverkauf von Pharmaka über eBay und Amazon ein erhebliches Abmahnpotenzial. Dort gestaltet sich das Anbieten von Arzneimitteln nämlich als stets datenschutzrechtswidrig, weil es dem Händler durch die fehlende Möglichkeit der Einflussnahme auf die Ausgestaltung des Bestellprozesses nicht möglich ist, die erforderliche Einwirkung wirksam einzuholen. Zwar machen beide Plattformen jede Bestellung grundsätzlich von der Akzeptanz der eigenen Datenschutzbestimmungen abhängig. Diese enthalten aber keine Informationen über den Umgang mit Gesundheitsdaten, sodass sich eine Einwilligung – wie auch der §4a Abs. 3 BDSG statuiert – nicht wirksam auf diese Datenkategorie beziehen kann.
Weil nach deutscher Rechtsprechung die Angebote auf Online-Plattformen den Händlern selbst und nicht etwa der Plattform zuzurechnen sind, wirkt die Datenschutzrechtswidrigkeit der Arzneimittelbestellungen unmittelbar zu ihren Lasten und kann wettbewerbsrechtliche und bußgeldrechtliche Konsequenzen nach sich ziehen.
Zurzeit ist allen Händlern, die Arzneimittel über eBay und Amazon vertreiben, daher zwingend zu raten, diese Verkaufstätigkeit einzustellen und den Abverkauf auf den eigenen Online-Shop zu begrenzen.
Bei weiteren Fragen zum datenschutzrechtskonformen Umgang mit Gesundheitsdaten und zu den Voraussetzungen eines Online-Verkaufs von Arznei steht Ihnen die IT-Recht Kanzlei gerne persönlich zur Verfügung.

References: §4
 §4
 §4
 §4
 §4
 §3
 §43
 §4