Laut dem OLG Naumburg sind DSGVO-Verstöße als wettbewerbswidrig einzustufen und damit auch abmahnfähig. Eine allgemeine Norm kann und sollte man daraus aber nicht verstehen bzw. generalisieren. Es komme im Endeffekt immer auf die verletzte Norm an.
WAS WAR DER STREITPUNKT?
Ein Apotheker verkaufte via Amazon Marketplace Medikamente. Dies war soweit aber nicht das eigentliche Problem. Jedoch wurden auch apothekenpflichtige Medikamente verkauft. So bezeichnete Medikamente dürfen nur in Apotheken und dort nur durch pharmazeutisches Personal an den Endverbraucher abgegeben werden. Der Kläger ,ein „stationärer“ Apotheker, war der Auffassung, dass der Beklagte gegen berufliche Auflagen verstoßen würde und zusätzlich gegen die DSGVO. Vor dem Landgericht Magdeburg war die Klage noch abgewiesen worden mit der Begründung, dass der Kläger nicht befugt wäre Verstöße gegen die DSGVO von Mitbewerbern geltend zu machen. Das aktuelle Urteil widerspricht dem vorherigen Urteil in zweiter Instanz.
VERSTOß GEGEN DIE DSGVO
Ein berufsrechtlicher Verstoß sei nicht zu erkennen, ein Verstoß gegen Art. 9 DSGVO jedoch sehr wohl. Mit diesem Verstoß öffnet sich das Tor zum UWG – Gesetzt gegen den unlauteren Wettbewerb – womit Ansprüche dagegen gestellt werden können. Den Richtern ist dabei wohl bewusst, dass unter Juristen Uneinigkeit in der Frage herrscht, die Online-Händler in erster Linie mit der Abmahnfähigkeit von DSGVO-Verstößen verbinden. Prinzipiell sieht die DSGVO selbst einen Katalog an Rechtsfolgen von Verstößen vor. Strittig ist aber, ob dadurch auch Ansprüche ausgeschlossen werden, die sich aus einem Zusammenspiel von DSGVO und UWG ergeben können – die Rechtsprechung in Deutschland ist sich hier bislang uneins.
ES LAG KEINE SCHRIFTLICHE EINWILLIGUNG VOR
Bei den Bestelldaten der Kunden handelte es sich um Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO. Die Daten, die Amazon für den Bestellvorgang erfasst, stellen sicher keine Gesundheitsdaten im engeren Sinne dar, wie z.B. ärztliche Befunde. Gleichwohl können aus den Bestelldaten Rückschlüsse auf die Gesundheit des Bestellers gezogen werden. Soweit der Beklagte einwendet, dass eine Internetbestellung auch für Mitglieder der Familie und andere Personen erfolgen könne, trifft dies zu. Dies senkt aber nur die Wahrscheinlichkeit, mit der der gezogene Rückschluss zutrifft. Dies reicht nach Auffassung des Senates nicht aus, um die Gesundheitsbezogenheit der Daten entfallen zu lassen. Dies würde zu einer Absenkung des Schutzniveaus führen.
Soweit der Beklagte einwendet, dass die Datenschutzbehörden auf EU-Ebene beim Kauf von medizinischen Standardprodukten nicht von Gesundheitsdaten ausgehen, beachtet er nicht, dass hier nicht nur medizinische Standardprodukte verkauft werden, sondern eben auch apothekenpflichtige Medikamente. Insbesondere die Kombination aus mehreren apothekenpflichtigen Medikamenten lässt durchaus einen Rückschluss auf den Gesundheitszustand des Bestellers zu, wenn auch die Wahrscheinlichkeit eines zutreffenden Rückschlusses durch die Möglichkeit der Drittbestellung – wie bereits ausgeführt – an Sicherheit gemindert ist.
Entscheidend ist hier die Datenverarbeitung durch den Beklagten selbst. Hierfür fehlt eine wirksame Einwilligung im Sinne des Art. 9 Abs. 2 lit. a DSGVO. Angesichts des Wortlauts des Art. 9 Abs. 2 Buchst. a DSGVO („ausdrücklich eingewilligt“) dürfte eine konkludente Einwilligung die Voraussetzung dieser Vorschrift nicht erfüllen. Darüber hinaus ist die Verpflichtung des Apothekers zur Einholung einer schriftlichen Einwilligung berufsrechtlich durch die Berufsordnung der Apothekenkammer Sachsen-Anhalt konkretisiert.
„Die Speicherung und Nutzung patientenbezogener Daten bedarf der vorherigen schriftlichen Einwilligung des Betroffenen, sofern sie nicht nach dem Bundesdatenschutzgesetz und anderen Ermächtigungsgrundlagen zulässig sind oder von gesetzlichen Bestimmungen gefordert werden.“
RECHTSLAGE VERHINDERT SCHADENSERSATZANSPRUCH
Die vom Kläger ebenfalls geltend gemachten Ansprüche auf Schadensersatz und Auskunft nach der DSGVO sahen die Richter allerdings nicht als gegeben an. Der Beklagte hätte dafür schuldhaft gegen seine Datenschutzpflicht verstoßen müssen. Angesichts der aktuellen Unklarheit über die Frage, ob DSGVO-Verstöße überhaupt über das UWG verfolgt werden können, habe der Beklagte aber einem sogenannten unvermeidbaren Verbotsirrtum unterlegen. Er konnte also schlicht nicht wissen, dass er mit seinem Verhalten Ansprüche eines Mitbewerbers auslöst, sodass der Kläger mit diesen beiden Ansprüchen keinen Erfolg hat.