Source: https://www.damm-it-recht.de/olg-hamburg-bestimmte-datenschutzrechtsverstoesse-koennen-als-wettbewerbswidrig-abgemahnt-werden-dsgvo/
Timestamp: 2019-09-18 09:04:53
Document Index: 23101118

Matched Legal Cases: ['§ 3', '§ 3', '§ 3', '§ 4', '§ 28', '§ 3', '§ 28', '§ 203', '§ 203', '§ 28', '§ 28', '§ 28', '§ 203', 'Art 28', '§ 28', '§ 28', '§ 28', '§ 28', '§ 28', '§ 203', '§ 28', '§ 28', 'Art. 8', 'Art. 5', '§ 203', 'Art. 8', '§ 39', '§ 5', '§ 28', '§ 43', '§ 39', 'Art. 9', '§ 22', '§ 203', '§ 203', '§ 203', '§ 203', '§ 203', '§ 13', '§ 28', '§ 8', '§ 2', 'BGH', 'BGH', '§ 8', '§ 8', '§ 8', '§ 8', '§ 8', 'Art. 22', 'Art. 2', 'Art. 23', 'Art. 22', 'Art. 28', 'Art. 24', 'Art. 84', 'Art. 24', 'Art. 24', 'Art. 80', '§ 28', '§ 3', '§ 28', '§ 4', '§ 28', '§ 28', '§ 3', '§ 3', '§ 543']

OLG Hamburg: Bestimmte Datenschutzrechtsverstöße können als wettbewerbswidrig abgemahnt werden / DSGVO › IT-Recht | Dr. Ole Damm - Rechtsanwalt & Fachanwalt
Zur Besprechung dieser Entscheidung hier (OLG Hamburg – Abmahnung bestimmter Datenschutzrechtsverstöße); den Volltext finden Sie unten:
Auf die Berufung der Beklagten wird das Urteil des Landgerichts Hamburg vom 02.03.2017, Az. 327 O 148/16, abgeändert.
Die Bestellung von Therapieallergenen erfolgt über den behandelnden Arzt. Dieser wählt für einen therapiebedürftigen Patienten ein Unternehmen aus, das Therapieallergene anbietet. Jedes Unternehmen verwendet für die Bestellung dieser Therapieallergene eigene Bestellbögen. Mittels dieser Bögen werden die Therapieallergene bestellt. Die Bögen werden vom Arzt ausgefüllt. In den Bestellbögen der Beklagten ist vorgesehen, dass nicht nur Name und Geburtsdatum des Patienten oder – falls abweichend – des Versicherten, sondern auch die Kassen-Nr., die Versicherten-Nr., der Status des Versicherten (die Beklagte behauptet, dass diese Informationen in den meisten Fällen erst nach der Bestellung bei ihr von der Apotheke im Rahmen der Abrechnung oder gar nicht ergänzt werden), die Vertragsarzt.-Nr., die Kunden-Nr., die Informationen über die jeweiligen Allergien des Patienten und der Name sowie die Anschrift des behandelnden Arztes nebst dessen Kunden-Nr. eingetragen werden. Der Arzt versieht solche Bestellbögen an deren Ende unten rechts mit seiner Unterschrift. Wiederum darunter befindet sich ein „Hinweis“, in dem es heißt, dass der Arzt versichert, dass der Bestellbogen mit dem Patientennamen zum Zwecke der Qualitätssicherung und der Abwicklung der Bestellung mit Einverständnis des Patienten an die … GmbH (Beklagte) übermittelt wird. Die … GmbH versichert in dem Hinweis sodann, dass sie die Daten auch ausschließlich zu den genannten Zwecken und zur Erleichterung von Nachbestellungen nutzt. Das Formular weist keinen Bereich auf, in welchem der Patient selbst eine Erklärung über die Einwilligung zur Nutzung seiner Daten erteilen kann. Die Beklagte holt eine solche Einwilligung nach den nicht angegriffenen Feststellungen des Landgerichts auch nicht ein.
Den mit den genannten Patientendaten und Daten des behandelnden Arztes ausgefüllten Bestellbogen legt der Patient anschließend einer Apotheke vor. Der Apotheker versieht den Bogen mit seinem Stempel, ebenfalls seiner Kunden-Nr. sowie seiner Unterschrift und schickt ihn per Fax oder Post an die Beklagte. Im Anschluss an eine inhaltliche Plausibilitätsprüfung des Bogens durch die Beklagte leitet diese die Bestellung an ihre spanische Muttergesellschaft, die Fa … S.L.U., weiter, die die jeweiligen Mittel herstellt und die mit den Therapieallergenen gefüllten Vials mit Namen und Geburtsdaten des Patienten versieht. Anschließend werden die Vials an die Beklagte versandt, die die Mittel an die jeweilige Apotheke weiterleitet, wo sie vom Patienten abgeholt und zum behandelnden Arzt zum Zwecke der Verabreichung des Mittels gebracht werden.
Die Klägerin, die für die Benutzung der personenbezogenen Daten der Patienten von diesen regelmäßig eine Einwilligung einholt, sieht in der einwilligungslosen Datenbenutzung durch die Beklagte einen Verstoß gegen das Bundesdatenschutzgesetz (BDSG), speziell gegen §§ 3 Abs. 9, 4, 4a und 28 BDSG (im Folgenden BDSG a.F.). Es handele sich bei den erhobenen Daten um – noch dazu sensible (§ 3 Abs. 9 BDSG a.F.) – personenbezogene Daten (§ 3 BDSG a.F.), die nur mit Einwilligung der Betroffenen (§§ 4, 4a BDSG a.F.) erhoben und genutzt werden dürften, weil das BDSG oder eine andere Rechtsvorschrift die Datenbenutzung nicht schon erlaube. § 28 Abs. 7 BDSG a.F. rechtfertige die einwilligungslose Nutzung der Daten entgegen der Ansicht der Beklagten nicht, denn die Datenerhebung sei schon nicht i.S. der Vorschrift zum Zwecke der Gesundheitsversorgung oder Behandlung erforderlich. Der Beklagten stehe eine Pseudonymisierung nach § 3 Abs. 6a BDSG a.F. als milderes Mittel zur Verfügung. Es komme bei der Kennzeichnung der Fläschchen mit den Namen und Geburtsdaten der Patienten entgegen der Behauptung der Beklagten viel eher zu Verwechslungen. Auch gehöre die Beklagte bzw. gehörten ihre Mitarbeiter oder die ihrer spanischen Muttergesellschaft und deren Mitarbeiter nicht zu dem Personenkreis, der nach der genannten Vorschrift personenbezogene Daten im Gesundheitsbereich auch ohne die Einwilligung des Patienten benutzen dürfe, nämlich Ärzte und deren Personal oder sonstige Personen, die einer „entsprechenden Geheimhaltungspflicht unterliegen“. § 28 Abs. 7 Satz 3 BDSG a.F. eröffne entgegen der Ansicht der Beklagten keine Möglichkeit zur einwilligungslosen Datenerhebung, -Verarbeitung oder -nutzung durch die Beklagte bzw. deren Muttergesellschaft und deren jeweiligen Mitarbeiter als „Angehörige eines anderen als in § 203 Abs. 1 und 4 StGB genannten Berufes“ im dort definierten Gesundheitsbereich. Denn das sei nach der Vorschrift „nur unter den Voraussetzungen zulässig, unter denen ein Arzt selbst hierzu befugt wäre“. Die handelnden Personen müssten also ihrerseits einer nach § 203 StGB strafbewehrten Schweigepflicht unterliegen, was bei dem Personal der Beklagten und ihrer Muttergesellschaft – unstreitig – nicht der Fall sei. Die Vorschrift des § 28 Abs. 7 Satz 3 BDSG a.F. dehne die in § 28 Abs. 7 Satz 1 und 2 BDSG a.F. für den dort genannten Personenkreis (Ärzte und ihr Personal) angeordnete Zweckbindung und Geheimhaltungsverpflichtung entgegen der Annahme der Beklagten nicht auf die in § 28 Abs. 7 Satz 3 BDSG a.F. genannten Berufsgruppen, für die § 203 StGB nicht gelte, aus.
I. die Beklagte zu verurteilen, es bei Meidung der gesetzlich vorgesehenen Ordnungsmittel zu unterlassen,
Die Beklagte hat beantragt, die Klage abzuweisen, und widerklagend,
1. die Klägerin zu verurteilen, es bei Meidung der gesetzlich vorgesehenen Ordnungsmittel zu unterlassen,
Die einwilligungslose Datenerhebung und Datennutzung sei durch Art 28 Abs. 7 BDSG a.F. datenschutzrechtlich gerechtfertigt. Die angegriffene Datenerhebung sei einerseits zur Vermeidung von Verwechslungen der für den jeweiligen Patienten bestimmten Arzneimittel i.S. des § 28 Abs. 7 BDSG a.F. erforderlich, weil sich der Arzt und sein Personal besser an Namen und Geburtsdaten der Patienten orientieren könnten, um das jeweils richtige Arzneimittel im Kühlschrank des Arztes auffinden zu können, als an einer für den Patienten vergebenen Nummer. Das halte auch das Paul-Ehrlich-Institut (PEI) für sinnvoll (Anlage HL 2). Ebenso halte der Ärzteverband Deutscher Allergologen e.V. (AeDA) eine solche Kennzeichnung für unerlässlich (Anlage HL 3). Die Klägerin selbst weise in ihrer Patienteninformation (Anlage K 2) darauf hin, dass die Pseudonymisierung „das Risiko einer Verwechslung bei der Verwendung des Präparats in der Arztpraxis erhöhen“ könne. Die Mitarbeiter der Beklagten bzw. ihrer Muttergesellschaft gehörten andererseits auch zu dem nach § 28 Abs. 7 BDSG a.F. von dem dortigen Erlaubnistatbestand betroffenen Personenkreis. § 28 Abs. 7 Satz 3 BDSG a.F. dehne die in § 28 Abs. 7 Satz 1 und 2 BDSG a.F. für den dort genannten Personenkreis (Ärzte und ihr Personal) angeordnete Zweckbindung und Geheimhaltungsverpflichtung auf die in § 28 Abs. 7 Satz 3 BDSG a.F. genannten Berufsgruppen aus, obwohl § 203 StGB für diese nicht gelte. Auch jene Mitarbeiter unterlägen einer Geheimhaltungspflicht und seien entsprechend verpflichtet worden.
Im Übrigen sei § 28 Abs. 7 Satz 3 BDSG a.F. ein Erlaubnistatbestand, der die einwilligungslose Erhebung und Benutzung personenbezogener Daten auch durch Hersteller von Arzneimitteln erlaube. § 28 Abs. 7 Satz 3 BDSG a.F. stehe entgegen der Ansicht des Landgerichts nicht im Widerspruch zu Art. 8 Abs. 3 der DS-RL 95/46/EG, denn durch Art. 5 der DS-RL seien den Mitgliedsstaaten die Befugnisse eingeräumt worden, die Voraussetzungen, unter denen eine Verarbeitung personenbezogener Daten rechtmäßig sei, näher zu bestimmen. Dass die Mitarbeiter der Beklagten der nach § 203 StGB strafbewehrten Schweigepflicht nicht unterworfen gewesen seien, ändere nichts, weil das Gesetz nur eine dem entsprechende Geheimhaltungspflicht verlange, ohne dass eine entsprechende Strafbewehrung gefordert sei. Art. 8 Abs. 3 der DS-RL sehe nicht vor, dass ein Verstoß gegen die dort geregelte Geheimhaltungspflicht zwingend strafbewehrt sein müsse. § 39 Abs. 1 BDSG a.F. erweitere das originäre ärztliche Berufsgeheimnis auf Unternehmen wie die Beklagte und erlege diesen eine dem Berufsgeheimnis gleichgerichtete datenschutzrechtliche Geheimhaltungspflicht auf. „Entsprechende“ Geheimhaltungspflichten hätten auch die Mitarbeiter der Beklagten. Sie seien schon gemäß § 5 BDSG a.F. zur Geheimhaltung verpflichtet. Die Rechtsfolgen eines Verstoßes seien vergleichbar, weil die Verletzung der Geheimhaltungspflicht ordnungsgeldbewehrt oder in Fällen des Handelns gegen Entgelt oder der Bereicherungs- oder Schädigungsabsicht auch strafbar sei. Die Verletzung der nach § 28 Abs. 7 BDSG a.F. bestehenden Zweckbindung sei nach § 43 Abs. 2 Nr. 5 i.V.m. § 39 Abs. 1 BDSG a.F. eine Ordnungswidrigkeit.
Spätestens unter der Geltung der DS-GVO würden datenschutzrechtliche Bestimmungen durch die Verwendung der streitgegenständlichen Bestellbögen und der darin liegenden Erhebung und Benutzung personenbezogener Daten nicht mehr verletzt. Nach Art. 9 Abs. 3 DS-GVO i.V.m. mit § 22 Abs. 1 lit. b BDSG n.F. sei die Verarbeitung gesundheitsbezogener Daten nunmehr auch ohne eine Einwilligung der betroffenen Person zulässig, wenn die Verarbeitung für die Versorgung und Behandlung im Gesundheitsbereich erforderlich sei und die Verarbeitung – neben dem ärztlichen Personal – durch sonstige Personen erfolge, die einer – dem ärztlichen Personal entsprechenden – Geheimhaltungspflicht unterliegen. Die letztgenannte Voraussetzung sei im Streitfall erfüllt.
§ 203 StGB habe nämlich eine Neuregelung erfahren. Nach § 203 Abs. 3 und 4 StGB n.F. unterlägen auch an der Berufsausübung schweigepflichtiger Personen mitwirkende Personen der Strafvorschrift des § 203 StGB, nachdem Ärzte und ärztliches Personal ihnen anvertraute Geheimnisse – soweit erforderlich – auch an sonstige Personen, die an ihrer beruflichen Tätigkeit mitwirken, weitergeben dürften. Letzteres sei bei den Mitarbeitern der Beklagten der Fall, denn sie seien in die berufliche Tätigkeit des Apothekers, nämlich in die Bereitstellung der Therapieallergene, eingebunden und unterlägen deshalb der aus § 203 Abs. 3 und 4 StGB folgenden strafbewehrten Geheimhaltungspflicht.
Die Beklagte beantragt, das Urteil des Landgerichts Hamburg vom 02.03.2017 abzuändern und die Klage abzuweisen.
Das werde auch in der Kommentarliteratur so gesehen und sei bei den Mitarbeitern der Beklagten nicht der Fall. Die Strafandrohung des § 203 StGB sei mit der „simplen inter partes Verpflichtung“, Daten geheim zu halten, nicht vergleichbar. Das zeige auch die Gesetzesbegründung zu § 13 Nr. 7 BDSG a.F., auf die in der Begründung zu § 28 Abs. 7 BDSG a.F. verwiesen werde. Die DS-RL setze nur einen Mindeststandard.
Die Rechtslage hat sich seit Beginn des Rechtsstreits verändert, weil das alte BDSG nach dem Inkrafttreten der DSGVO keine Geltung mehr hat. Das BDSG ist auf der Grundlage der DSGVO entsprechend neu gefasst worden.
Die Klägerin ist gemäß § 8 Abs. 1 und 3 Nr. 1 UWG klagebefugt. Sie ist Mitbewerberin der Beklagten. Sie steht zur Beklagten in einem konkreten Wettbewerbsverhältnis (§ 2 Abs. 1 Nr. 3 UWG), denn beide Parteien vertreiben Therapieallergene.
Die Klagebefugnis muss als Sachurteilsvoraussetzung nicht nur im Zeitpunkt der beanstandeten Wettbewerbshandlung bestanden haben, sondern auch im Zeitpunkt der letzten mündlichen Berufungsverhandlung noch fortbestehen (BGH, Urt. v. 27.04.2017, I ZR 55/16, BGHZ 215, 12, Rn. 15 – Preisportal). Zum Zeitpunkt der beanstandeten Wettbewerbshandlung hatte auf der Grundlage der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 – Datenschutzrichtlinie (im Folgenden DS-RL) – das Bundesdatenschutzgesetz (im Folgenden BDSG a.F.) in der bis zum 08.11.2017 gültigen Fassung Geltung. Zum Zeitpunkt der Berufungsverhandlung am 13.09.2018, nämlich schon zum 25.05.2018, war bereits die VO (EU) 2016/679 vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG – Datenschutzgrundverordnung (Im Folgenden DS-GVO) und auf ihrer Grundlage zum gleichen Zeitpunkt das BDSG in der Fassung vom 30.06.2017 (im Folgenden BDSG n.F.) in Kraft getreten. Die Klägerin muss deshalb sowohl unter der Geltung des BDSG a.F. als auch unter der Geltung der DS-GVO bzw. des BDSG n.F. klagebefugt sein. Das ist der Fall.
Das Landgericht hat sich nicht mit der Frage beschäftigt, ob die Klägerin bezogen auf den beanstandeten Verstoß gegen datenschutzrechtliche Bestimmungen des BDSG a.F. überhaupt klagebefugt ist. Der Senat hat die Frage der Klagebefugnis in seiner vom Landgericht herangezogenen Entscheidung vom 27.06.2013 (WRP 2013, 1203) ebenfalls nicht angesprochen, sondern hat diese als unproblematisch gegeben unterstellt.
Inzwischen ist, worauf die Beklagte hinweist, in der Literatur (vgl. Zech, WRP 2013, 1434, 1436) und in der Rechtsprechung (OLG Düsseldorf, GRUR 2017, 416 ff. – „Gefällt mir“-Button) die Frage aufgeworfen worden, ob das Sanktionssystem der DS-RL ein abschließendes Sanktionssystem mit der Folge enthält, dass Verstöße gegen datenschutzrechtliche Bestimmungen nur durch die nach der DS-RL vorgesehenen Berechtigten mit den dort vorgesehenen Instrumentarien verfolgen können. Dann wären Wettbewerber i.S. von § 8 Abs. 3 Nr. 1 UWG oder qualifizierte Einrichtungen i.S. von § 8 Abs. 3 Nr. 3 UWG, die in der DS-RL nicht angeführt sind, ebenfalls nicht nach § 8 Abs. 1 und Abs. 3 Nr. 1 und 3 UWG klagebefugt. Nach Auffassung des Senats stehen allerdings die Vorschriften der DS-RL einer Klagebefugnis von Wettbewerbern gemäß § 8 Abs. 1 und Abs. 3 Nr. 1 UWG nicht entgegen.
Die DS-RL enthält erkennbar kein abschließendes Sanktionssystem, das einer zivilrechtlich begründeten Verfolgung von Verletzungen der Datenschutzvorschriften durch Mitbewerber nach § 8 Abs. 1 und Abs. 3 Nr. 1 UWG entgegenstünde. Trotz der mit der Richtlinie beabsichtigten Vollharmonisierung – nicht Mindestharmonisierung (so schon zutreffend das Landgericht unter Hinweis auf EUGH, EuZW 2012, 37, Ls. 1) – ist mit der Richtlinie kein abschließendes Rechtsbehelfssystem festgelegt worden ist. Nach Art. 22 DS-RL sehen die Mitgliedsstaaten unbeschadet des verwaltungsrechtlichen Beschwerdeverfahrens, das vor Beschreiten des Rechtsweges insbesondere bei der in Artikel 28 genannten Kontrollstelle eingeleitet werden kann, vor, dass „jede Person“ bei der Verletzung der Rechte, die ihr durch die für die betreffende Verarbeitung geltenden einzelstaatlichen Rechtsvorschriften garantiert sind, bei Gericht einen Rechtsbehelf einlegen kann. Die Vorschrift greift den in Art. 2 lit. a) DS-RL definierten Begriff der „betroffenen Person“ nicht auf, sondern sieht die Möglichkeit zur Einlegung eines Rechtsbehelfs bei Gericht ausdrücklich für „jede Person“ vor. Gleiches gilt für die in Art. 23 Abs. 1 DS-RL geregelte Möglichkeit, dass jede Person, der wegen einer rechtswidrigen Verarbeitung oder jeder anderen mit den einzelstaatlichen Vorschriften zur Umsetzung dieser Richtlinie nicht zu vereinbarenden Handlung ein Schaden entsteht, das Recht hat, von dem für die Verarbeitung Verantwortlichen Schadenersatz zu verlangen. Das spricht klar gegen die Installierung eines abschließenden Sanktionssystems und dafür, dass die DS-RL die Möglichkeit gerichtlicher Rechtsbehelfe außerhalb des verwaltungsgerichtlichen Beschwerdeverfahrens nicht ausschließt.
In Art. 22 DS-RL ist zum verwaltungsrechtlichen Beschwerdeverfahren zudem davon die Rede, dass es vor Beschreiten des Rechtsweges „insbesondere“ bei der in Artikel 28 genannten Kontrollstelle eingeleitet werden kann. Die Regelung spricht damit die Möglichkeit, dass sich jede Person oder ein sie vertretender Verband zum Schutz der die Person betreffenden Rechte und Freiheiten bei der Verarbeitung personenbezogener Daten an jede Kontrollstelle mit einer Eingabe wenden kann (Art. 28 Abs. 4 DS-RL) nur beispielhaft („insbesondere“) an. Auch das spricht gegen die Annahme eines durch die DS-RL geschaffenen abschließenden Sanktionssystems.
Schließlich lässt Art. 24 der DS-RL geeignete Maßnahmen, die die volle Anwendung der Bestimmungen der Richtlinie sicherstellen, zu. Zwar verweist Köhler (ZD 2018, 337, 338) bezogen auf die DS-GVO darauf, dass die dortige Regelung in Art. 84 DS-GVO – wie i.Ü. auch Art. 24 DS-RL – mit „Sanktionen“ überschrieben ist und eine Sanktion nicht gleichbedeutend mit einem Rechtsbehelf sei. Ob daraus maßgebliche Schlüsse gezogen werden können, ist im vorliegenden Zusammenhang nicht zu entscheiden, denn jedenfalls in Art. 24 DS-RL ist nur davon die Rede, dass die Mitgliedstaaten „insbesondere“ die Sanktionen festlegen, die bei Verstößen gegen die zur Umsetzung dieser Richtlinie erlassenen Vorschriften anzuwenden sind. Im 1. Halbsatz der Vorschrift heißt es dagegen, dass die Mitgliedstaaten geeignete Maßnahmen ergreifen, um die volle Anwendung der Bestimmungen dieser Richtlinie sicherzustellen. Die volle Anwendung der Bestimmungen der Richtlinie kann aber gerade auch dadurch sichergestellt werden, dass auf lauterkeitsrechtlicher Grundlage Verstöße gegen datenschutzrechtliche Bestimmungen durch Mitbewerber verfolgt werden können, wenn und soweit das Lauterkeitsrecht als Anspruchsgrundlage in Betracht kommt. Im Übrigen enthält die DS-RL, anders als die DS-GVO etwa in Art. 80 Abs. 2 DS-GVO, keinen Ansatz für eine explizite Ermächtigung zur Anwendung nationaler Rechtsbehelfe, die eine Verfolgung datenschutzrechtlicher Rechtsverletzungen durch andere als die jeweils betroffenen Personen zum Gegenstand haben. Daher kann auch nicht – wie es teils für die DS-GVO angenommen wird – im Umkehrschluss festgestellt werden, dass solche Regelungen nach der DS-RL unzulässig wären.
Die Klägerin ist aber auch unter der Geltung der DS-GVO klagebefugt. Der Senat ist entgegen der von der Beklagten vertretenen Auffassung nicht der Ansicht, dass die DS-GVO ein abgeschlossenes Sanktionssystem enthält, das die Verfolgung datenschutzrechtlicher Verletzungshandlungen auf lauterkeitsrechtlicher Grundlage durch Mitbewerber ausschlösse.
Der von der Klägerin geltend gemachte Unterlassungsanspruch stand ihr indes schon anfänglich nicht zu. Zwar verstößt die Verwendung der streitgegenständlichen Bestellbögen schon deshalb gegen § 28 Abs. 7 BDSG a.F., weil die Verwendung dieser Bestellbögen durch die Beklagte bzw. ihre Muttergesellschaft und deren jeweiligen Mitarbeiter nicht „erforderlich“ i.S. der genannten Vorschrift ist (unten lit .a)). Bei den in Rede stehenden Normen des BDSG a.F. handelt es sich indes nicht um marktverhaltensregelnde Normen i.S. des § 3a UWG, weshalb die Verwendung der Bestellbögen nicht wettbewerbswidrig ist und der Klägerin als Mitbewerberin der geltend gemachte Unterlassungsanspruch deshalb nicht zusteht (unten lit. b)).
Die Erhebung bzw. Verarbeitung personenbezogener Daten mittels des streitgegenständlichen Bestellbogens für Therapieallergene ist nicht im Sinne des § 28 Abs. 7 BDSG a.F. „erforderlich“ und deshalb nicht einwilligungslos zulässig. Es bedarf vielmehr für eine solche Datenverarbeitung der Einwilligung des Patienten nach §§ 4, 4 a BDSG a.F..
Schließlich ist nichts dafür dargetan, warum es i.S. des § 28 Abs. 7 BDSG a.F. erforderlich ist, mittels des streitgegenständlichen Bestellbogens die weiteren personenbezogenen Daten, deren Erhebung und Verarbeitung die Klägerin ebenfalls als unzulässig rügt, nämlich die Kassen-Nr., die Versicherten-Nr. und der Status des Patienten, ohne Einwilligung des Patienten durch die Beklagte erheben und verarbeiten zu lassen. Die Beklagte macht lediglich Ausführungen zur Erforderlichkeit der Verarbeitung von Namen und Geburtsdatum des Patienten in Verbindung mit der Verarbeitung der Verordnungsdaten zu den jeweiligen Therapieallergenen. Wegen aller weiteren Patientendaten, die mittels des streitgegenständlichen Bestellbogens erhoben werden, ist nicht erkennbar, dass eine Erforderlichkeit bestünde, der Beklagten diese Daten mitzuteilen. Und es ist auch keinesfalls so, dass diese Daten stets erst nach der Lieferung der Arzneimittel an den Apotheker in das Formular eingetragen würden. Die Beklagte behauptet nur, dass das „in den meisten Fällen“ so sei. Danach ist aber unstreitig, dass es auch andere Handhabungen gibt.
Dass der Beklagten letzteres nicht gelungen ist, verhilft der Klage indes nicht zum Erfolg, denn bei der verletzten Vorschrift des § 28 Abs. 7 BDSG a.F. handelt es sich nicht um eine marktverhaltensregelnde Norm i.S. des § 3a UWG.
Fehlt es nach dem Vorstehenden mangels einer Verletzung lauterkeitsrechtlicher Vorschriften durch die Beklagte an einem Unterlassungsanspruch der Klägerin, dann gehen auch die geltend gemachten Annexansprüche ins Leere und ist die Klage auch insoweit mangels eines wettbewerbswidrigen Verhaltens der Beklagten, das Grundlage solcher Ansprüche sein könnte, abzuweisen.
Der Senat hat die Revision zugelassen, weil die Fragen, ob die DS-RL und/oder die DS-GVO der Klagebefugnis des Wettbewerbers entgegenstehen, bislang noch nicht höchstrichterlich entschieden ist. Ebenso wenig die Frage nach der generellen oder nur partiellen Einordnung datenschutzrechtlicher Bestimmungen als marktverhaltensregelnde Normen i.S. des § 3a UWG. Die Revisionszulassung ist auf diese Gesichtspunkte nicht beschränkt. Die Sache hat grundsätzliche Bedeutung und erfordert zur Fortbildung des Rechts eine Entscheidung des Revisionsgerichts (§ 543 Abs. 2 Nr. 1. und 2 ZPO).