Source: https://webshoprecht.de/IRUrteileB/Rspr3180.php
Timestamp: 2019-05-21 18:48:30
Document Index: 30822062

Matched Legal Cases: ['Art 28', '§ 28', '§ 28', '§ 28', '§ 28', '§ 28', '§ 203', '§ 8', '§ 3', '§ 28', '§ 28', 'Art. 8', 'Art. 5', '§ 203', 'Art. 8', '§ 39', '§ 5', '§ 28', '§ 43', '§ 39', 'Art. 9', '§ 22', '§ 203', '§ 13', '§ 28', 'BGH', 'BGH', '§ 8', '§ 8', '§ 8', '§ 8', '§ 8', 'Art. 22', 'Art. 2', 'Art. 23', 'Art. 22', 'Art. 28', 'Art. 24', 'Art. 84', 'Art. 24', 'Art. 24', 'Art. 80', '§ 3', 'Art. 84', 'Art. 77', 'Art. 4', 'Art. 80', 'Art. 80', 'Art. 80', 'Art. 77', 'Art. 77', 'Art. 78', 'Art. 77', 'Art. 78', 'Art. 82', 'Art. 4', 'Art. 84', 'Art. 84', 'Art. 77', 'Art. 82', 'BGH', 'BGH', '§ 28', '§ 28', '§ 4', '§ 3', '§ 3', '§ 28', 'Art. 8', '§ 28', '§ 203', '§ 5', '§ 3', '§ 543']

Oberlandesgericht Hamburg Urteil vom 25.10.2018 - 3 U 66/17 - Verstöße gegen die DSGVO können von Wettbewerbern abgemahnt werden
OLG Hamburg v. 25.10.2018: Verstöße gegen die DSGVO können von Wettbewerbern abgemahnt werden
Das Oberlandesgericht Hamburg (Urteil vom 25.10.2018 - 3 U 66/17) hat entschieden:
Die Klägerin, die wie die Beklagte Therapieallergene für die spezifische Immuntherapie (SIT) herstellt und vertreibt, nimmt die Beklagte bezogen auf die konkrete Verletzungsform eines Bestellbogens, wie er dem angegriffenen Urteil des Landgerichts als Anlage beigefügt ist, auf Unterlassung der Benutzung von Bestellbögen für derartige Therapieallergene in Anspruch, wenn deren Benutzung erfolgt, ohne die erforderliche Einwilligung der Patienten zur Erhebung, Verarbeitung und Nutzung personenbezogener Gesundheitsdaten der Patienten einzuholen. Weiter macht die Klägerin bezogen auf solche Handlungen Auskunfts- sowie - wegen der vorgerichtlichen Abmahnkosten - Zahlungs-​Ansprüche geltend und begehrt auch die Feststellung der Schadensersatzpflicht der Beklagten. Neben den Parteien gibt es nur noch zwei weitere maßgebliche Wettbewerber auf dem Gebiet der Herstellung und des Vertriebs von Therapieallergenen.
Bei den für die SIT hergestellten Immuntherapeutika, deren Gabe eine Hyposensibilisierung der Patienten bewirken soll, handelt es sich einerseits um nach dem AMG und der Therapieallergene-​Verordnung (TAV) - zulassungspflichtige - Fertigarzneimittel und andererseits um aufgrund einer Rezeptur individuell für den Patienten hergestellte - und damit nicht zulassungspflichtige - Mittel. Sie sind sämtlich verschreibungs- und apothekenpflichtig. Die Hyposensibilisierungsbehandlung dauert durchschnittlich drei bis fünf Jahre, in denen dem Patienten regelmäßig alle vier bis sechs Wochen Therapieallergene injiziert werden. Es gibt auch Therapieallergene, die sublingual verabreicht werden. Die Beklagte vertreibt indes nur Injektionslösungen. Sie werden in Schachteln mit 1-​2 Vials (Injektionsfläschchen) geliefert, die jeweils Therapieallergene für fünf Anwendungen enthalten. Die Therapieallergene sind in den Vials im geöffneten Zustand vier Monate haltbar, sonst 5 Jahre. Eine Schachtel wird bei den behandelnden Ärzten - in der Regel im Bereich der Allergologie spezialisierte Ärzte - für die Dauer der Behandlung des Patienten mehrere Monate im Kühlschrank aufbewahrt. Dabei ist es üblich, dass Ärzte diese Mittel für rund 200 Patienten gleichzeitig lagern. Es kommt aber auch vor, dass ein Arzt 500 und mehr Patienten gleichzeitig mit Therapieallergenen behandelt.
Die Bestellung von Therapieallergenen erfolgt über den behandelnden Arzt. Dieser wählt für einen therapiebedürftigen Patienten ein Unternehmen aus, das Therapieallergene anbietet. Jedes Unternehmen verwendet für die Bestellung dieser Therapieallergene eigene Bestellbögen. Mittels dieser Bögen werden die Therapieallergene bestellt. Die Bögen werden vom Arzt ausgefüllt. In den Bestellbögen der Beklagten ist vorgesehen, dass nicht nur Name und Geburtsdatum des Patienten oder - falls abweichend - des Versicherten, sondern auch die Kassen-​Nr., die Versicherten-​Nr., der Status des Versicherten (die Beklagte behauptet, dass diese Informationen in den meisten Fällen erst nach der Bestellung bei ihr von der Apotheke im Rahmen der Abrechnung oder gar nicht ergänzt werden), die Vertragsarzt.-​Nr., die Kunden-​Nr., die Informationen über die jeweiligen Allergien des Patienten und der Name sowie die Anschrift des behandelnden Arztes nebst dessen Kunden-​Nr. eingetragen werden. Der Arzt versieht solche Bestellbögen an deren Ende unten rechts mit seiner Unterschrift. Wiederum darunter befindet sich ein „Hinweis", in dem es heißt, dass der Arzt versichert, dass der Bestellbogen mit dem Patientennamen zum Zwecke der Qualitätssicherung und der Abwicklung der Bestellung mit Einverständnis des Patienten an die ... GmbH (Beklagte) übermittelt wird. Die ... GmbH versichert in dem Hinweis sodann, dass sie die Daten auch ausschließlich zu den genannten Zwecken und zur Erleichterung von Nachbestellungen nutzt. Das Formular weist keinen Bereich auf, in welchem der Patient selbst eine Erklärung über die Einwilligung zur Nutzung seiner Daten erteilen kann. Die Beklagte holt eine solche Einwilligung nach den nicht angegriffenen Feststellungen des Landgerichts auch nicht ein.
Den mit den genannten Patientendaten und Daten des behandelnden Arztes ausgefüllten Bestellbogen legt der Patient anschließend einer Apotheke vor. Der Apotheker versieht den Bogen mit seinem Stempel, ebenfalls seiner Kunden-​Nr. sowie seiner Unterschrift und schickt ihn per Fax oder Post an die Beklagte. Im Anschluss an eine inhaltliche Plausibilitätsprüfung des Bogens durch die Beklagte leitet diese die Bestellung an ihre spanische Muttergesellschaft, die Fa ... S.L.U., weiter, die die jeweiligen Mittel herstellt und die mit den Therapieallergenen gefüllten Vials mit Namen und Geburtsdaten des Patienten versieht. Anschließend werden die Vials an die Beklagte versandt, die die Mittel an die jeweilige Apotheke weiterleitet, wo sie vom Patienten abgeholt und zum behandelnden Arzt zum Zwecke der Verabreichung des Mittels gebracht werden.
im geschäftlichen Verkehr zu Zwecken des Wettbewerbs Bestellbögen für Therapieallergene zu benutzen und/oder benutzen zu lassen, ohne die erforderliche Einwilligung der Patienten zur Erhebung, Verarbeitung und Nutzung personenbezogener Gesundheitsdaten der Patienten einzuholen,
wenn dies wie in der aus der Anlage ersichtlichen Art und Weise geschieht;
Die einwilligungslose Datenerhebung und Datennutzung sei durch Art 28 Abs. 7 BDSG a.F. datenschutzrechtlich gerechtfertigt. Die angegriffene Datenerhebung sei einerseits zur Vermeidung von Verwechslungen der für den jeweiligen Patienten bestimmten Arzneimittel i.S. des § 28 Abs. 7 BDSG a.F. erforderlich, weil sich der Arzt und sein Personal besser an Namen und Geburtsdaten der Patienten orientieren könnten, um das jeweils richtige Arzneimittel im Kühlschrank des Arztes auffinden zu können, als an einer für den Patienten vergebenen Nummer. Das halte auch das Paul-​Ehrlich-​Institut (PEI) für sinnvoll (Anlage HL 2). Ebenso halte der Ärzteverband Deutscher Allergologen e.V. (AeDA) eine solche Kennzeichnung für unerlässlich (Anlage HL 3). Die Klägerin selbst weise in ihrer Patienteninformation (Anlage K 2) darauf hin, dass die Pseudonymisierung „das Risiko einer Verwechslung bei der Verwendung des Präparats in der Arztpraxis erhöhen" könne. Die Mitarbeiter der Beklagten bzw. ihrer Muttergesellschaft gehörten andererseits auch zu dem nach § 28 Abs. 7 BDSG a.F. von dem dortigen Erlaubnistatbestand betroffenen Personenkreis. § 28 Abs. 7 Satz 3 BDSG a.F. dehne die in § 28 Abs. 7 Satz 1 und 2 BDSG a.F. für den dort genannten Personenkreis (Ärzte und ihr Personal) angeordnete Zweckbindung und Geheimhaltungsverpflichtung auf die in § 28 Abs. 7 Satz 3 BDSG a.F. genannten Berufsgruppen aus, obwohl § 203 StGB für diese nicht gelte. Auch jene Mitarbeiter unterlägen einer Geheimhaltungspflicht und seien entsprechend verpflichtet worden.
Die Beklagte ist der Ansicht, die Klägerin sei schon nach der bis zum Inkrafttreten der Datenschutzgrundverordnung (DS-​GVO) zum 25.05.2018 bestehenden Rechtslage nicht befugt, als Wettbewerberin Verstöße gegen das BDSG gerichtlich zu verfolgen. Bereits die Regelungen der Datenschutzrichtlinie 95/46/EG (DS-​RL) legten abschließend den Kreis der wegen einer Verletzung von Datenschutzvorschriften Klagebefugten fest, zu denen Mitbewerber nicht gehörten. Die Richtlinie habe das Ziel der Vollharmonisierung verfolgt.
Jedenfalls nach dem Inkrafttreten der DS-​GVO sei die Klägerin nicht mehr klagebefugt. Eine Klagebefugnis von Mitbewerbern auf der Grundlage von § 8 Abs. 3 Nr. 1 UWG i.V.m. § 3a UWG sei mit dem Sanktionssystem der DS-​GVO, das abschließend sei und Wettbewerbern keine Klagebefugnis einräume, nicht zu vereinbaren.
Im Übrigen sei § 28 Abs. 7 Satz 3 BDSG a.F. ein Erlaubnistatbestand, der die einwilligungslose Erhebung und Benutzung personenbezogener Daten auch durch Hersteller von Arzneimitteln erlaube. § 28 Abs. 7 Satz 3 BDSG a.F. stehe entgegen der Ansicht des Landgerichts nicht im Widerspruch zu Art. 8 Abs. 3 der DS-RL 95/46/EG, denn durch Art. 5 der DS-​RL seien den Mitgliedsstaaten die Befugnisse eingeräumt worden, die Voraussetzungen, unter denen eine Verarbeitung personenbezogener Daten rechtmäßig sei, näher zu bestimmen. Dass die Mitarbeiter der Beklagten der nach § 203 StGB strafbewehrten Schweigepflicht nicht unterworfen gewesen seien, ändere nichts, weil das Gesetz nur eine dem entsprechende Geheimhaltungspflicht verlange, ohne dass eine entsprechende Strafbewehrung gefordert sei. Art. 8 Abs. 3 der DS-​RL sehe nicht vor, dass ein Verstoß gegen die dort geregelte Geheimhaltungspflicht zwingend strafbewehrt sein müsse. § 39 Abs. 1 BDSG a.F. erweitere das originäre ärztliche Berufsgeheimnis auf Unternehmen wie die Beklagte und erlege diesen eine dem Berufsgeheimnis gleichgerichtete datenschutzrechtliche Geheimhaltungspflicht auf. „Entsprechende" Geheimhaltungspflichten hätten auch die Mitarbeiter der Beklagten. Sie seien schon gemäß § 5 BDSG a.F. zur Geheimhaltung verpflichtet. Die Rechtsfolgen eines Verstoßes seien vergleichbar, weil die Verletzung der Geheimhaltungspflicht ordnungsgeldbewehrt oder in Fällen des Handelns gegen Entgelt oder der Bereicherungs- oder Schädigungsabsicht auch strafbar sei. Die Verletzung der nach § 28 Abs. 7 BDSG a.F. bestehenden Zweckbindung sei nach § 43 Abs. 2 Nr. 5 i.V.m. § 39 Abs. 1 BDSG a.F. eine Ordnungswidrigkeit.
Spätestens unter der Geltung der DS-​GVO würden datenschutzrechtliche Bestimmungen durch die Verwendung der streitgegenständlichen Bestellbögen und der darin liegenden Erhebung und Benutzung personenbezogener Daten nicht mehr verletzt. Nach Art. 9 Abs. 3 DS-​GVO i.V.m. mit § 22 Abs. 1 lit. b BDSG n.F. sei die Verarbeitung gesundheitsbezogener Daten nunmehr auch ohne eine Einwilligung der betroffenen Person zulässig, wenn die Verarbeitung für die Versorgung und Behandlung im Gesundheitsbereich erforderlich sei und die Verarbeitung - neben dem ärztlichen Personal - durch sonstige Personen erfolge, die einer - dem ärztlichen Personal entsprechenden - Geheimhaltungspflicht unterliegen. Die letztgenannte Voraussetzung sei im Streitfall erfüllt.
Das werde auch in der Kommentarliteratur so gesehen und sei bei den Mitarbeitern der Beklagten nicht der Fall. Die Strafandrohung des § 203 StGB sei mit der „simplen inter partes Verpflichtung", Daten geheim zu halten, nicht vergleichbar. Das zeige auch die Gesetzesbegründung zu § 13 Nr. 7 BDSG a.F., auf die in der Begründung zu § 28 Abs. 7 BDSG a.F. verwiesen werde. Die DS-​RL setze nur einen Mindeststandard.
Die Rechtslage hat sich seit Beginn des Rechtsstreits verändert, weil das alte BDSG nach dem Inkrafttreten der DS-​GVO keine Geltung mehr hat. Das BDSG ist auf der Grundlage der DS-​GVO entsprechend neu gefasst worden.
a) Die Klagebefugnis muss als Sachurteilsvoraussetzung nicht nur im Zeitpunkt der beanstandeten Wettbewerbshandlung bestanden haben, sondern auch im Zeitpunkt der letzten mündlichen Berufungsverhandlung noch fortbestehen (BGH, Urt. v. 27.04.2017, I ZR 55/16, BGHZ 215, 12, Rn. 15 - Preisportal). Zum Zeitpunkt der beanstandeten Wettbewerbshandlung hatte auf der Grundlage der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 - Datenschutzrichtlinie (im Folgenden DS-​RL) - das Bundesdatenschutzgesetz (im Folgenden BDSG a.F.) in der bis zum 08.11.2017 gültigen Fassung Geltung. Zum Zeitpunkt der Berufungsverhandlung am 13.09.2018, nämlich schon zum 25.05.2018, war bereits die VO (EU) 2016/679 vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG - Datenschutzgrundverordnung (Im Folgenden DS-​GVO) und auf ihrer Grundlage zum gleichen Zeitpunkt das BDSG in der Fassung vom 30.06.2017 (im Folgenden BDSG n.F.) in Kraft getreten. Die Klägerin muss deshalb sowohl unter der Geltung des BDSG a.F. als auch unter der Geltung der DS-​GVO bzw. des BDSG n.F. klagebefugt sein. Das ist der Fall.
Inzwischen ist, worauf die Beklagte hinweist, in der Literatur (vgl. Zech, WRP 2013, 1434, 1436) und in der Rechtsprechung (OLG Düsseldorf, GRUR 2017, 416 ff. - „Gefällt mir"-​Button) die Frage aufgeworfen worden, ob das Sanktionssystem der DS-​RL ein abschließendes Sanktionssystem mit der Folge enthält, dass Verstöße gegen datenschutzrechtliche Bestimmungen nur durch die nach der DS-​RL vorgesehenen Berechtigten mit den dort vorgesehenen Instrumentarien verfolgen können. Dann wären Wettbewerber i.S. von § 8 Abs. 3 Nr. 1 UWG oder qualifizierte Einrichtungen i.S. von § 8 Abs. 3 Nr. 3 UWG, die in der DS-​RL nicht angeführt sind, ebenfalls nicht nach § 8 Abs. 1 und Abs. 3 Nr. 1 und 3 UWG klagebefugt. Nach Auffassung des Senats stehen allerdings die Vorschriften der DS-​RL einer Klagebefugnis von Wettbewerbern gemäß § 8 Abs. 1 und Abs. 3 Nr. 1 UWG nicht entgegen.
Die DS-​RL enthält erkennbar kein abschließendes Sanktionssystem, das einer zivilrechtlich begründeten Verfolgung von Verletzungen der Datenschutzvorschriften durch Mitbewerber nach § 8 Abs. 1 und Abs. 3 Nr. 1 UWG entgegenstünde. Trotz der mit der Richtlinie beabsichtigten Vollharmonisierung - nicht Mindestharmonisierung (so schon zutreffend das Landgericht unter Hinweis auf EUGH, EuZW 2012, 37, Ls. 1) - ist mit der Richtlinie kein abschließendes Rechtsbehelfssystem festgelegt worden ist. Nach Art. 22 DS-​RL sehen die Mitgliedsstaaten unbeschadet des verwaltungsrechtlichen Beschwerdeverfahrens, das vor Beschreiten des Rechtsweges insbesondere bei der in Artikel 28 genannten Kontrollstelle eingeleitet werden kann, vor, dass „jede Person" bei der Verletzung der Rechte, die ihr durch die für die betreffende Verarbeitung geltenden einzelstaatlichen Rechtsvorschriften garantiert sind, bei Gericht einen Rechtsbehelf einlegen kann. Die Vorschrift greift den in Art. 2 lit. a) DS-​RL definierten Begriff der „betroffenen Person" nicht auf, sondern sieht die Möglichkeit zur Einlegung eines Rechtsbehelfs bei Gericht ausdrücklich für „jede Person" vor. Gleiches gilt für die in Art. 23 Abs. 1 DS-​RL geregelte Möglichkeit, dass jede Person, der wegen einer rechtswidrigen Verarbeitung oder jeder anderen mit den einzelstaatlichen Vorschriften zur Umsetzung dieser Richtlinie nicht zu vereinbarenden Handlung ein Schaden entsteht, das Recht hat, von dem für die Verarbeitung Verantwortlichen Schadenersatz zu verlangen. Das spricht klar gegen die Installierung eines abschließenden Sanktionssystems und dafür, dass die DS-​RL die Möglichkeit gerichtlicher Rechtsbehelfe außerhalb des verwaltungsgerichtlichen Beschwerdeverfahrens nicht ausschließt.
In Art. 22 DS-​RL ist zum verwaltungsrechtlichen Beschwerdeverfahren zudem davon die Rede, dass es vor Beschreiten des Rechtsweges „insbesondere" bei der in Artikel 28 genannten Kontrollstelle eingeleitet werden kann. Die Regelung spricht damit die Möglichkeit, dass sich jede Person oder ein sie vertretender Verband zum Schutz der die Person betreffenden Rechte und Freiheiten bei der Verarbeitung personenbezogener Daten an jede Kontrollstelle mit einer Eingabe wenden kann (Art. 28 Abs. 4 DS-​RL) nur beispielhaft („insbesondere") an. Auch das spricht gegen die Annahme eines durch die DS-​RL geschaffenen abschließenden Sanktionssystems.
Schließlich lässt Art. 24 der DS-​RL geeignete Maßnahmen, die die volle Anwendung der Bestimmungen der Richtlinie sicherstellen, zu. Zwar verweist Köhler (ZD 2018, 337, 338) bezogen auf die DS-​GVO darauf, dass die dortige Regelung in Art. 84 DS-​GVO - wie i.Ü. auch Art. 24 DS-​RL - mit Sanktionen" überschrieben ist und eine Sanktion nicht gleichbedeutend mit einem Rechtsbehelf sei. Ob daraus maßgebliche Schlüsse gezogen werden können, ist im vorliegenden Zusammenhang nicht zu entscheiden, denn jedenfalls in Art. 24 DS-​RL ist nur davon die Rede, dass die Mitgliedstaaten „insbesondere" die Sanktionen festlegen, die bei Verstößen gegen die zur Umsetzung dieser Richtlinie erlassenen Vorschriften anzuwenden sind. Im 1. Halbsatz der Vorschrift heißt es dagegen, dass die Mitgliedstaaten geeignete Maßnahmen ergreifen, um die volle Anwendung der Bestimmungen dieser Richtlinie sicherzustellen. Die volle Anwendung der Bestimmungen der Richtlinie kann aber gerade auch dadurch sichergestellt werden, dass auf lauterkeitsrechtlicher Grundlage Verstöße gegen datenschutzrechtliche Bestimmungen durch Mitbewerber verfolgt werden können, wenn und soweit das Lauterkeitsrecht als Anspruchsgrundlage in Betracht kommt. Im Übrigen enthält die DS-​RL, anders als die DS-​GVO etwa in Art. 80 Abs. 2 DS-​GVO, keinen Ansatz für eine explizite Ermächtigung zur Anwendung nationaler Rechtsbehelfe, die eine Verfolgung datenschutzrechtlicher Rechtsverletzungen durch andere als die jeweils betroffenen Personen zum Gegenstand haben. Daher kann auch nicht - wie es teils für die DS-​GVO angenommen wird - im Umkehrschluss festgestellt werden, dass solche Regelungen nach der DS-​RL unzulässig wären.
c) Die Klägerin ist aber auch unter der Geltung der DS-​GVO klagebefugt. Der Senat ist entgegen der von der Beklagten vertretenen Auffassung nicht der Ansicht, dass die DS-​GVO ein abgeschlossenes Sanktionssystem enthält, das die Verfolgung datenschutzrechtlicher Verletzungshandlungen auf lauterkeitsrechtlicher Grundlage durch Mitbewerber ausschlösse.
Diese insbesondere auch von Köhler (ZD 2018, 337 ders. in: Köhler/Bornkamm/Feddersen, UWG, 36. Auflage 2018, § 3a Rn. 1.40a, 1.74b; ebenso: Barth, WRP 2018, 790 (791); Holländer in: BeckOK Datenschutzrecht, 25. Edition 1. August 2018, Art. 84 Rn. 3.2) vertretene Auffassung, ist auf Kritik gestoßen. Sie basiert vor allem darauf, dass die Art. 77 - 79 DS-​GVO der „betroffenen Person", also derjenigen Person, deren Daten verarbeitet werden (vgl. Art. 4 Nr. 1 DS-​GVO) , Rechtsbehelfe zur Seite stellt und die betroffene Person nach Art. 80 Abs. 1 der Verordnung berechtigt ist, Organisationen zu beauftragen, die in ihrem Namen die genannten Rechte wahrnimmt. Die Öffnungsklausel des Art. 80 Abs. 2 der Verordnung sehe nur vor, dass die Mitgliedsstaaten diesen Organisationen auch das Recht einräumen können, ohne einen Auftrag der betroffenen Person eine Rechtsverletzung zu verfolgen. Dem entnimmt die Beklagte mit Köhler, dass Wettbewerbern die Befugnis, eigene Rechte geltend machen können, nicht zukommt.
Dagegen wird zur Recht eingewendet, dass Art. 80 Abs. 2 DS-​GVO die Frage der Verbandsklage regeln will, aber keinen abschließenden Charakter wegen der Rechtsdurchsetzung durch andere hat (Wolff, ZD 2018, 248, 252; ebenso Schreiber, GRUR-​Prax 2018, 371 Laoutoumai/Hoppe, K & R 2018, 533, 534ff.). Dafür spricht auch, dass zwar in den Art. 77 - 79 DS-​GVO Rechtsbehelfe betroffener Personen (Art. 77, 78 Abs. 2, 79 DS-​GVO) oder jeder anderen Person (Art. 78 Abs. 1 DS-​GVO) geregelt sind, insoweit aber stets unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen (Art. 77 Abs. 1 DS-​GVO) bzw. eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen (Art. 78 Abs. 1 und 2, 79 Abs. 1 DS-​GVO) Rechtsbehelfs. Und Art. 82 DS-​GVO spricht wiederum „jeder Person", die wegen des Verstoßes gegen die Verordnung einen Schaden erlitten hat, Schadensersatzansprüche zu. Auch das lässt klar erkennen, dass die DS-​GVO die Verfolgung von datenschutzrechtlichen Verletzungshandlungen durch andere als die „betroffenen Personen", deren Daten verarbeitet werden (vgl. Art. 4 Nr. 2 DS-​GVO), nicht ausschließt.
Schließlich heißt es in Art. 84 Abs. 1 DS-​GVO, dass die Mitgliedstaaten die Vorschriften über andere Sanktionen für Verstöße gegen diese Verordnung — insbesondere für Verstöße, die keiner Geldbuße gemäß Artikel 83 unterliegen — festlegen und alle zu deren Anwendung erforderlichen Maßnahmen treffen. Diese Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein. Auch das spricht dafür, dass die Verordnung nur einen Mindeststandard an Sanktionen vorsieht (ebenso Wolff, ZD 2018, 248, 251 m.w.N.). Der Umstand, dass die Vorschrift mit „Sanktionen" überschrieben ist, spricht entgegen Köhler (ZD 2018, 337, 338) nicht schon gegen diese Feststellung (vgl. Bergt in Kühling/Buchner, DS-​GVO BDSG, 2. Auflage 2018, Art. 84 Rn. 2). Gerade im Kontext der Vorschrift des Art. 77 DS-​GVO, die für jede betroffene Person auch anderweitige - also nicht in der DS-​GVO selbst geregelte - gerichtliche Rechtsbehelfe offen lässt, sowie der Vorschrift des Art. 82 Abs. 1 DS-​GVO, die nicht nur der betroffenen Person, sondern jeder Person ein Recht auf Schadensersatz einräumt, wird deutlich, dass die DS-​GVO wegen anderweitiger, in der Verordnung selbst nicht geregelter Rechtsbehelfe und Sanktionen offen gestaltet ist.
2. Die geltend gemachten Ansprüche stehen der Klägerin indes in der Sache nicht zu. Dabei muss nicht entschieden werden, ob das von der Klägerin beanstandete Verhalten der Beklagten unter der Geltung der DS-​GVO unzulässig ist.
Zwar muss das beanstandete Verhalten der Beklagten, weil der geltend gemachte Unterlassungsanspruch in die Zukunft gerichtet ist, sowohl nach dem zur Zeit des beanstandeten Verhaltens geltenden Recht als auch nach dem zur Zeit der Berufungsverhandlung geltenden Recht wettbewerbswidrig sein (st. Rspr.; vgl. nur BGH, BGHZ 215, 12, Rn. 15 - Preisportal; GRUR 2016, 1076, Rn. 18 m.w.N. - LGA tested). Wäre die angegriffene Handlung der Beklagten - wie vom Landgericht angenommen - unter der Geltung des BDSG a.F. unzulässig und als Wettbewerbsverstoß zu qualifizieren, könnte jedenfalls das ausgesprochene Verbot deshalb nur aufrechterhalten bleiben, wenn die verbotene Handlung auch künftig, also auch unter der Geltung der DS-​GVO rechtswidrig wäre.
Die von der Klägerin angegriffene Handlung der Beklagten konnte in der Folge schon nicht die für das Entstehen eines Unterlassungsanspruches der Klägerin erforderliche Gefahr begründen, dass sich eine solche - tatsächlich nicht feststellbare - Verletzungshandlung wiederholt. Weitere Verletzungshandlungen, die eine Wiederholungsgefahr hätten begründen können, hat die Klägerin nicht beanstandet. Die Klägerin hat die Verwendung des streitgegenständlichen Bestellbogens durch die Beklagte mit anwaltlichem Schreiben vom 07.12.2015 abmahnen lassen (Anlage K 5). Vortrag zur Verwendung des streitgegenständlichen Bestellbogens durch die Beklagte nach Dezember 2015 und insbesondere unter der Geltung der DS-​GVO hat die Klägerin nicht gehalten. Es muss deshalb nicht entschieden werden, ob die Verwendung der streitgegenständlichen Bestellbögen unter der Geltung der DS-​GVO rechtmäßig wäre oder nicht. Da der Klägerin aus Wettbewerbsrecht kein Unterlassungsanspruch zusteht, sind auch die Annexansprüche nicht begründet (unten lit. c)).
Die Frage der Erforderlichkeit der einwilligungslosen Erhebung und Verarbeitung personenbezogener Daten mittels der streitgegenständlichen Bestellbögen ist nicht etwa deswegen unstreitig, weil - worauf das Landgericht hingewiesen hat - auch die Klägerin gegenüber den Patienten die Auffassung vertritt, dass eine Pseudonymisierung der in Rede stehenden personenbezogenen Gesundheitsdaten mittels einer PVS-​Nummer das Risiko einer Verwechslung bei der Verwendung des Präparats in der Arztpraxis erhöhen kann (Anlage K 2). Denn bei Frage danach, ob die einwilligungslose Datenerhebung i.S. des § 28 Abs. 7 BDSG a.F. erforderlich ist, handelt es sich um eine Rechtsfrage, die die Parteien nicht unstreitig stellen können. Zwar können bei der Beantwortung der Frage nach der Erforderlichkeit einer solchen Datenverarbeitung die Stellungnahmen der Fachgesellschaften, wie des Paul-​Ehrlich-​Instituts und des Ärzteverbandes deutscher Allergologen e.V. (Anlagen HL 2 und HL 3) nicht unbeachtet bleiben. Der Senat ist indes der Auffassung, dass die dort mit der Beklagten vertretene Ansicht, die Verarbeitung von Name und Geburtsdatum des jeweiligen Patienten sei sinnvoll und werde akzeptiert (PEI) bzw. sei absolut notwendig (AeDA), nicht überzeugend ist.
Schließlich ist nichts dafür dargetan, warum es i.S. des § 28 Abs. 7 BDSG a.F. erforderlich ist, mittels des streitgegenständlichen Bestellbogens die weiteren personenbezogenen Daten, deren Erhebung und Verarbeitung die Klägerin ebenfalls als unzulässig rügt, nämlich die Kassen-​Nr., die Versicherten-​Nr. und der Status des Patienten, ohne Einwilligung des Patienten durch die Beklagte erheben und verarbeiten zu lassen. Die Beklagte macht lediglich Ausführungen zur Erforderlichkeit der Verarbeitung von Namen und Geburtsdatum des Patienten in Verbindung mit der Verarbeitung der Verordnungsdaten zu den jeweiligen Therapieallergenen. Wegen aller weiteren Patientendaten, die mittels des streitgegenständlichen Bestellbogens erhoben werden, ist nicht erkennbar, dass eine Erforderlichkeit bestünde, der Beklagten diese Daten mitzuteilen. Und es ist auch keinesfalls so, dass diese Daten stets erst nach der Lieferung der Arzneimittel an den Apotheker in das Formular eingetragen würden. Die Beklagte behauptet nur, dass das „in den meisten Fällen" so sei. Danach ist aber unstreitig, dass es auch andere Handhabungen gibt.
Der Senat hat unter der Geltung des § 4 Nr. 11 UWG (jetzt § 3a UWG) einen solchen marktverhaltensregelnden Charakter in Bezug auf die Vorschrift des 13 Abs. 1 TMG unter Hinweis auf die Erwägungsgründe 6 bis 8 der DS-​RL bejaht (Senat, Urt. v. 27.06.2013, 3 U 26/12, WRP 2013, 1203, Rn. 39 f.; a.A. KG, GRUR-​RR 2012, 19). Dem hat sich ein Teil der Literatur (vgl. Köhler/Bornkamm/Feddersen, UWG, 36. Aufl., Rn. 1.310b zu § 3a UWG) und der Rechtsprechung (OLG Köln, WRP 2016, 885, Rn. 22 ff.) angeschlossen. Ein anderer Teil der Rechtsprechung geht demgegenüber davon aus, dass Datenschutznormen generell keine marktverhaltensregelnden Normen seien (OLG München, ZD 2012, 330; OLG Düsseldorf, DUD 2004, 631; OLG Frankfurt, NJW-​RR 2005, 839). Dem vermag der Senat zwar nicht zu folgen. Mit der Entscheidung des Senats vom 27.06.2013 ist indes - anders als offenbar vom Landgericht angenommen - nicht schon zum Ausdruck gebracht, dass jegliche datenschutzrechtliche Norm marktverhaltensregelnden Charakter hat. In Rechtsprechung und Literatur wird inzwischen zu Recht angenommen, dass insoweit die jeweilige Norm konkret darauf überprüft werden muss, ob gerade jene Norm eine Regelung des Marktverhaltens zum Gegenstand hat.
Das kann auch nicht allein deshalb angenommen werden, weil die DS-​RL nicht nur datenbezogene Grundrechte gewährleisten soll (Erwägungsgrund 1), sondern es in den Erwägungsgründen 6 bis 8 der DS-​RL heißt, dass die Richtlinie auch den grenzüberschreitenden Verkehr personenbezogener Daten auf ein einheitliches Schutzniveau heben soll (Erwägungsgründe 6 und 7), weil ein unterschiedliches Schutzniveau ein Hemmnis für die Ausübung von Wirtschaftstätigkeiten auf Gemeinschaftsebene darstellen und den Wettbewerb verfälschen könne (Erwägungsgrund 7 Satz 2), und die Regelungen der Richtlinie auch der Beseitigung solcher Hemmnisse diene, um einen grenzüberschreitenden Fluss personenbezogener Daten kohärent in allen Mitgliedsstaaten und in Übereinstimmung mit dem Ziel des Binnenmarktes zu regeln (Erwägungsgrund 8). Denn die Verfolgung jener - auch marktbezogenen - Ziele setzt voraus, dass die jeweils betroffenen personenbezogenen Daten im konkreten Zusammenhang - wie etwa im Rahmen der Datennutzung zum Zwecke der Werbung - jedenfalls auch aus Gründen der Betätigung der jeweiligen Personen bzw. Unternehmen am Markt, also für die wettbewerbsrelevante Ausübung von Wirtschaftstätigkeiten, erhoben und verarbeitet werden. Das ist aber bei den im Streit stehenden sensiblen personenbezogenen Gesundheitsdaten, deren Schutz nach der Regelung des § 28 Abs. 7 BDSG a.F. allein zum Zwecke der Gesundheitsvorsorge, der medizinischen Diagnostik, der Gesundheitsversorgung oder Behandlung oder für die Verwaltung von Gesundheitsdiensten dadurch eingeschränkt werden darf, dass eine Datenerhebung und -verarbeitung ausnahmsweise auch ohne Einwilligung des Betroffenen erfolgen kann, nicht der Fall. Hier geht es allein um die Gesundheit des Patienten sowie den Schutz seiner datenbezogenen Grundrechte und nicht um dessen Marktteilnahme oder die Marktbetätigung von Wettbewerbern.
Damit fehlt es letztlich an einer den Unterlassungsanspruch der Klägerin tragenden Anspruchsgrundlage. Deshalb muss die zwischen den Parteien streitige und vom Landgericht unter Hinweis auf Art. 8 Abs. 3 der DS-​RL verneinte Frage, ob § 28 Abs. 7 Satz 3 BDSG a.F. mit der Beklagten so auszulegen ist, dass die Vorschrift die einwilligungslose Datenverarbeitung zu den in der Vorschrift genannten Zwecken auch durch solche Dritte erlaubt, die nicht der strafbewehrten Geheimhaltungspflicht des § 203 StGB unterliegen, sondern nur einer - ggfls. ordnungsmittelbewehrten - allgemeinen Geheimhaltungspflicht des § 5 BDSG (Datengeheimnis), nicht entschieden werden.
4. Der Senat hat die Revision zugelassen, weil die Fragen, ob die DS-​RL und/oder die DS-​GVO der Klagebefugnis des Wettbewerbers entgegenstehen, bislang noch nicht höchstrichterlich entschieden ist. Ebenso wenig die Frage nach der generellen oder nur partiellen Einordnung datenschutzrechtlicher Bestimmungen als marktverhaltensregelnde Normen i.S. des § 3a UWG. Die Revisionszulassung ist auf diese Gesichtspunkte nicht beschränkt. Die Sache hat grundsätzliche Bedeutung und erfordert zur Fortbildung des Rechts eine Entscheidung des Revisionsgerichts (§ 543 Abs. 2 Nr. 1. und 2 ZPO).