Bestelldaten, die ein Nutzer im Rahmen einer Online-Bestellung im Internet angibt, wie etwa der Name oder die Lieferadresse, sind – wie sollte es anders sein – personenbezogene Daten. Deren Verarbeitung ist zur Vertragsabwicklung der Bestellung gemeinhin zulässig. So weit, so gut.
Der Bundesgerichtshof (BGH) hat nun kürzlich entschieden, dass dies nicht gilt, wenn sich die Bestellung auf Medikamente bezieht (Urteile vom 27. März 2025 – Az. I ZR 222/19 und ZR 223/19). Denn in diesem Fall handele es sich bei den Bestelldaten um besonders schutzbedürftige Gesundheitsdaten. Damit unterliegen Bestelldaten für Medikamente den strengen Anforderungen an die Datenverarbeitung gemäß Art. 9 DSGVO. Deren Verarbeitung kann mit der bloßen Vertragsabwicklung nicht gerechtfertigt werden. Im Ergebnis bedeutet dies, dass im Rahmen des Bestellprozesses eine ausdrückliche Einwilligung des Nutzers in die Verarbeitung seiner Bestelldaten eingeholt werden muss.
Die Rechtsprechung stellt eine deutliche Ausweitung des Begriffs der Gesundheitsdaten dar. Dies war dem BGH indes vom Europäischen Gerichtshof so vorgegeben worden. Dieser hatte im Oktober 2024 entschieden, dass die Bestelldaten von Arzneimitteln als Gesundheitsdaten anzusehen seien, da durch die Verarbeitung dieser Daten Informationen über den Gesundheitszustand einer natürlichen Person offengelegt werden können, und zwar unabhängig davon, ob diese Informationen den Nutzer selbst oder eine andere Person betreffen, für die diese Bestellung getätigt wird (Az. C-21/23).
Bewertung
Online-Händler, die Medikamente im Internet vertreiben, müssen nun dafür Sorge tragen (bspw. über eine separate Checkbox), dass der Kunde in die Verarbeitung seiner Bestelldaten ausdrücklich einwilligt. Verstöße gegen das Einwilligungserfordernis stellen zugleich einen Wettbewerbsverstoß dar und können von Mitbewerbern oder Verbraucherschutzverbänden kostenpflichtig abgemahnt werden.
Allerdings steht zu befürchten, dass das Einwilligungserfordernis nicht auf die Bestellung von Medikamenten beschränkt bleibt. Denn schließlich kann auch aus der Bestellung anderer Produkte ein Rückschluss auf den Gesundheitszustand einer Person gezogen werden. So könnte aus der Bestellung von (medizinischen) Kosmetika gefolgert werden, dass eine Person an einer Hautkrankheit leidet, aus der Bestellung eines Hilfsmittels in einem Sanitätshaus, dass eine Person eine körperliche Einschränkung aufweist oder aus der Bestellung von laktosefreien Produkten, dass eine Person unter Laktoseintoleranz leidet. Damit besteht das Risiko, dass das Einwilligungserfordernis auch jenseits der Bestellung von Medikamenten anzuwenden ist. Online-Händlern ist daher zu empfehlen, im Zweifel eine separate Einwilligung in die Datenverarbeitung einzuholen – und den Nutzer im Bestellprozess ein zusätzliches Häkchen setzen zu lassen.
Auf eine datenschutzkonforme Gestaltung Ihres Online-Shops ist daher zu achten. Bei Fragen zum Thema eCommerce und Datenschutz sprechen Sie gerne Rechtsanwalt Magnus Brau (magnus.brau@rittershaus.net) an.
