Source: https://www.aufrecht.de/urteile/datenschutzrecht/urteile-2018/olg-hamburg-bestaetigt-verstoesse-gegen-die-dsgvo-im-einzelfall-abmahnfaehig-olg-hamburg-urt-v-25102018-az-3-u-6617.html
Timestamp: 2019-09-17 00:25:34
Document Index: 150343530

Matched Legal Cases: ['§ 28', '§ 203', '§ 203', '§ 13', '§ 28', 'Art. 80', 'Art. 78', 'Art. 77', 'Art. 82', 'Art. 4']

OLG Hamburg bestätigt: Verstöße gegen die DSGVO im Einzelfall abmahnfähig, OLG Hamburg, Urt. v. 25.10.2018, Az.: 3 U 66/17 : aufrecht.de OLG Hamburg bestätigt: Verstöße gegen die DSGVO im Einzelfall abmahnfähig, OLG Hamburg, Urt. v. 25.10.2018, Az.: 3 U 66/17
aufrecht.de / Datenschutzrecht / Urteile 2018 /
OLG Hamburg bestätigt: Verstöße gegen die DSGVO im Einzelfall abmahnfähig, OLG Hamburg, Urt. v. 25.10.2018, Az.: 3 U 66/17
Entscheidung vom 25. Oktober 2018
erkennt das Hanseatische Oberlandesgericht - 3. Zivilsenat - durch den Vorsitzenden Richter am Oberlandesgericht […] die Richterin am Oberlandesgericht […] und den Richter am Oberlandesgericht […] auf Grund der mündlichen Verhandlung vom 13.09.2018 für Recht:
Die Bestellung von Therapieallergenen erfolgt über den behandelnden Arzt. Dieser wählt für einen therapiebedürftigen Patienten ein Unternehmen aus, das Therapieallergene anbietet. Jedes Unternehmen verwendet für die Bestellung dieser Therapieallergene eigene Bestellbögen. Mittels dieser Bögen werden die Therapieallergene bestellt. Die Bögen werden vom Arzt ausgefüllt. In den Bestellbögen der Beklagten ist vorgesehen, dass nicht nur Name und Geburtsdatum des Patienten oder – falls abweichend – des Versicherten, sondern auch die Kassen-Nr., die Versicherten-Nr., der Status des Versicherten (die Beklagte behauptet, dass diese Informationen in den meisten Fällen erst nach der Bestellung bei ihr von der Apotheke im Rahmen der Abrechnung oder gar nicht ergänzt werden), die Vertragsarzt.-Nr., die Kunden-Nr., die Informationen über die jeweiligen Allergien des Patienten und der Name sowie die Anschrift des behandelnden Arztes nebst dessen Kunden-Nr. eingetragen werden. Der Arzt versieht solche Bestellbögen an deren Ende unten rechts mit seiner Unterschrift. Wiederum darunter befindet sich ein „Hinweis“, in dem es heißt, dass der Arzt versichert, dass der Bestellbogen mit dem Patientennamen zum Zwecke der Qualitätssicherung und der Abwicklung der Bestellung mit Einverständnis des Patienten an die […] GmbH (Beklagte) übermittelt wird. Die […] GmbH versichert in dem Hinweis sodann, dass sie die Daten auch ausschließlich zu den genannten Zwecken und zur Erleichterung von Nachbestellungen nutzt. Das Formular weist keinen Bereich auf, in welchem der Patient selbst eine Erklärung über die Einwilligung zur Nutzung seiner Daten erteilen kann. Die Beklagte holt eine solche Einwilligung nach den nicht angegriffenen Feststellungen des Landgerichts auch nicht ein.
Den mit den genannten Patientendaten und Daten des behandelnden Arztes ausgefüllten Bestellbogen legt der Patient anschließend einer Apotheke vor. Der Apotheker versieht den Bogen mit seinem Stempel, ebenfalls seiner Kunden-Nr. sowie seiner Unterschrift und schickt ihn per Fax oder Post an die Beklagte. Im Anschluss an eine inhaltliche Plausibilitätsprüfung des Bogens durch die Beklagte leitet diese die Bestellung an ihre spanische Muttergesellschaft, die Fa[…] S.L.U., weiter, die die jeweiligen Mittel herstellt und die mit den Therapieallergenen gefüllten Vials mit Namen und Geburtsdaten des Patienten versieht. Anschließend werden die Vials an die Beklagte versandt, die die Mittel an die jeweilige Apotheke weiterleitet, wo sie vom Patienten abgeholt und zum behandelnden Arzt zum Zwecke der Verabreichung des Mittels gebracht werden.
Sie verteidigt das angefochtene Urteil unter Wiederholung und Vertiefung ihres bereits in erster Instanz gehaltenen Vortrags. Die Datenerhebung sei schon nicht erforderlich. In ihren Formularen habe sie lediglich dargelegt, dass sich das Risiko von Verwechslungen durch die Verwendung von Nummer statt Namen erhöhen könne. Der Wortlaut des § 28 Abs. 7 Abs. 3 BDSG a.F. fordere eindeutig, dass die nach dieser Vorschrift handelnden Personen der Schweigepflicht des § 203 Abs. 1 und 3 StGB unterworfen sein müssten. Das werde auch in der Kommentarliteratur so gesehen und sei bei den Mitarbeitern der Beklagten nicht der Fall. Die Strafandrohung des § 203 StGB sei mit der „simplen inter partes Verpflichtung“, Daten geheim zu halten, nicht vergleichbar. Das zeige auch die Gesetzesbegründung zu § 13 Nr. 7 BDSG a.F., auf die in der Begründung zu § 28 Abs. 7 BDSG a.F. verwiesen werde. Die DS-RL setze nur einen Mindeststandard.
Dagegen wird zur Recht eingewendet, dass Art. 80 Abs. 2 DS-GVO die Frage der Verbandsklage regeln will, aber keinen abschließenden Charakter wegen der Rechtsdurchsetzung durch andere hat (Wolff, ZD 2018, 248, 252; ebenso Schreiber, GRUR-Prax 2018, 371 Laoutoumai/Hoppe, K & R 2018, 533, 534ff.). Dafür spricht auch, dass zwar in den Artt. 77 – 79 DS-GVO Rechtsbehelfe betroffener Personen (Artt. 77, 78 Abs. 2, 79 DS-GVO) oder jeder anderen Person (Art. 78 Abs. 1 DS-GVO) geregelt sind, insoweit aber stets unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen (Art. 77 Abs. 1 DS-GVO) bzw. eines anderweitigen verwaltungsrechtlichen oder außergerichtlichen (Artt. 78 Abs. 1 und 2, 79 Abs. 1 DS-GVO) Rechtsbehelfs. Und Art. 82 DS-GVO spricht wiederum „jeder Person“, die wegen des Verstoßes gegen die Verordnung einen Schaden erlitten hat, Schadensersatzansprüche zu. Auch das lässt klar erkennen, dass die DS-GVO die Verfolgung von datenschutzrechtlichen Verletzungshandlungen durch andere als die „betroffenen Personen“, deren Daten verarbeitet werden (vgl. Art. 4 Nr. 2 DS-GVO), nicht ausschließt.