Datenschutzanforderungen im Online-Handel mit Medikamenten: zwingt das BDSG den Arzneimittelverkauf auf eBay und Amazon in die Knie?

Wie die stetig steigende Zahl von Online-Apotheken beweist, hat der elektronische Geschäftsverkehr in Deutschland auch im Pharmabereich seinen Siegeszug begonnen. Für Haben sich Händler auf den Online-Verkauf von apothekenpflichtiger Arznei spezialisiert, wird ihre Geschäftstätigkeit meist aber zum juristischen Hürdenlauf, weil diese durch zahlreiche gesetzliche Sondervorschriften reglementiert ist. Dass diese nicht nur dem Heilmittelmittelrecht, sondern unter Begründung strikter Schutzpflichten auch dem Datenschutzrecht entstammen können, versucht zurzeit eine Reihe von Abmahnungen glaubhaft zu machen, mit denen der Vertrieb von Arznei über eBay und Amazon für datenschutzrechtswidrig erklärt wird. Ob und inwiefern der Medikamentenverkauf im Internet eine besondere datenschutzrechtliche Relevanz besitzt und damit spezifische Handlungspflichten für Händler etabliert, soll im folgenden Beitrag ebenso erörtert werden wie die Frage nach der Möglichkeit deren rechtskonformer Umsetzung im Online-Shop einerseits und auf eBay und amazon andererseits.

I. Persönlicher Gesundheitsbezug von Daten über bestellte Medikamente

Prozesse im Online-Shop entfalten immer dann datenschutzrechtliche Relevanz, wenn personenbezogene Daten des Kunden erhoben, verarbeitet oder genutzt werden. Dies ist – freilich nicht ausschließlich – regelmäßig bei Bestellungen der Fall, für deren Registrierung und Abwicklung die Erhebung und Verarbeitung von identitätsbezogenen Kundenmerkmalen (Name, Anschrift, Geburtsdatum etc.) erforderlich wird.

Das deutsche Datenschutzrecht unterscheidet allerdings zwischen derartigen personenbezogenen „Grunddaten“ und besonderen Kategorien von Daten mit Personenbezug, die Rückschlüsse auf bestimmte Eigenschaften oder Ansichten der Person zulassen und mithin einen erheblichen persönlichkeitsrechtlichen Einschlag besitzen. Letztere unterliegen weitaus strengeren Schutzvoraussetzungen und dürfen nur unter Beachtung zusätzlicher Anforderungen erhoben und verarbeitet werden.

Solche zusätzlichen Anforderungen an die Erhebung und Verarbeitung von Daten im Online-Shop ergeben sich immer dann, wenn es sich bei diesen um Daten im Sinne des § 3 Abs. 9 BDSG handelt, der unter anderem auch „Gesundheitsdaten“ nennt. Genau diese könnten bei Online-Abverkäufen von apothekenpflichten Medikamenten an Privatpersonen nun aber betroffen sein, sofern anzunehmen ist, dass bereits die Erhebung und Verarbeitung einer Arzneimittelbestellung einen hinreichend datenschutzrelevanten Gesundheitsbezug für den betroffenen Käufer beinhaltet. Nicht zu verleugnen ist hier nämlich immerhin, dass Informationen über ein bestelltes Arzneimittel mittelbar Rückschlüsse auf den Gesundheitszustand und den Therapiebedarf zulassen.

Handelte es sich bei diesen Informationen um Gesundheitsdaten, unterläge jede Entgegennahme und Verarbeitung einer Arzneibestellung datenschutzrechtlichen Sonderrestriktion und wäre nur zulässig, wenn der Käufer vor der Bestellabgabe ausdrücklich und dem Inhalt des §4a Abs. 3 BDSG entsprechend in die Verarbeitung seiner Gesundheitsdaten einwilligt oder wenn alternativ ein spezieller Sondererlaubnistatbestand nach §28 Abs. 6 – Abs. 9 BDSG eingreift.

Ob derartige Zusatzvoraussetzungen beim Online-Arzneimittelhandel zu beachten sind, hängt also maßgeblich davon ab, ob es sich bei Produktdaten zum bestellten Medikament (ggf. i.V.m. Informationen zur Identität des Käufers) um Gesundheitsdaten nach § 3 Abs. 9 BDSG handelt.

1.) Grundsätzliche Definition von Gesundheitsdaten

Grundsätzlich werden als Gesundheitsdaten solche persönlichen Daten definiert, die unmittelbar oder mittelbar eine eindeutige und enge Verbindung zu der Beschreibung des physischen oder psychischen Gesundheitszustands einer Person herstellen.

Nach einer Stellungnahme des Europäischen Datenschutzbeauftragten umfassen Gesundheitsdaten so in der Regel medizinische Daten (z. B. ärztliche Überweisungen und Verschreibungen, medizinische Untersuchungsberichte, Labortests, Röntgenbilder usw.) wie auch gesundheitsbezogene Verwaltungs- und Finanzdaten (z. B. Dokumente über Krankenhauseinweisungen, Sozialversicherungsnummer, medizinische Termine, Rechnungen für erbrachte Gesundheitsleistungen usw.).

Eine plastischere, von (nicht abschließenden Beispielen) durchzogene Begriffsdefinition stellt demgegenüber Erwägungsgrund 35 der neuen EU-Datenschutzgrundverordnung (DSGVO) bereit, die ab dem 25. Mai 2018 gelten wird. Hiernach sollen als Gesundheitsdaten alle Daten zählen, die sich auf den Gesundheitszustand einer betroffenen Person beziehen und aus denen Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand der betroffenen Person hervorgehen. Dazu gehören auch Informationen über die natürliche Person, die im Zuge der Anmeldung für sowie der Erbringung von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU des Europäischen Parlaments und des Rates für die natürliche Person erhoben werden, Nummern, Symbole oder Kennzeichen, die einer natürlichen Person zugeteilt wurden, um diese natürliche Person für gesundheitliche Zwecke eindeutig zu identifizieren, Informationen, die von der Prüfung oder Untersuchung eines Körperteils oder einer körpereigenen Substanz, auch aus genetischen Daten und biologischen Proben, abgeleitet wurden, und Informationen etwa über Krankheiten, Behinderungen, Krankheitsrisiken, Vorerkrankungen, klinische Behandlungen oder den physiologischen oder biomedizinischen Zustand der betroffenen Person unabhängig von der Herkunft der Daten, ob sie nun von einem Arzt oder sonstigem Angehörigen eines Gesundheitsberufes, einem Krankenhaus, einem Medizinprodukt oder einem In-Vitro-Diagnostikum stammen.

Zusammenfassend gelten als personenbezogene Gesundheitsdaten demnach alle Daten über den physischen oder psychischen Zustand einer Person, die (auch nur bedingt) im Zusammenhang mit einem medizinischen Kontext entstehen können.

2.) Arzneimittelbestelldaten als Gesundheitsdaten?

Ausgehend von den europarechtlichen Beurteilungskriterien ist nun zu fragen, ob Bestellinformationen über ein Arzneimittel einen hinreichenden Gesundheitsbezug aufweisen, um als persönliche Gesundheitsdaten besonderen datenschutzrechtlichen Anforderungen zu unterliegen.

Dagegen spricht, dass die besondere Relevanz der Daten gerade an den Personenbezug von Gesundheitsinformationen geknüpft wird, bei Online-Arzneimittelkäufen aber nicht zwingend die Konstellation gegeben sein muss, in der der Käufer Medikamente zur Eigentherapie erwirbt. Auch Käufe für Angehörige oder Dritte sind denkbar, wobei in diesem Falle die Personendaten des Bestellers mit etwaigen aus den bestellten Medikamenten zu ziehenden gesundheitlichen Rückschlüssen nicht in Verbindung stünden. Ob ein Käufer Arzneimittel für sich oder andere erwirbt, wird der Online-Händler aber grundsätzlich nicht in Erfahrung bringen können und wäre so gehindert, die datenschutzrechtliche Relevanz der Bestellverarbeitung im Einzelfall korrekt zu beurteilen.

Allerdings gilt nach allgemeiner Ansicht, dass der Begriff der Gesundheitsdaten zum Zwecke ihres effektiven Schutzes weit ausgelegt werden muss (vgl. Stellungnahme der EU-Artikel-29-Gruppe.

Nach überwiegender Auffassung gelten demnach auch solche Daten als Gesundheitsdaten im Sinne des Datenschutzrechtes, die nicht unmittelbar den Gesundheitszustand einer Person betreffen, sondern nur mit einer gewissen Wahrscheinlichkeit Rückschlüsse darauf zulassen.

Nach dieser Ansicht lassen auch bestellte Medikamente solche Rückschlüsse zu, wobei es unerheblich ist, ob die gesundheitlichen Implikationen im konkreten Fall zutreffend sind und auch der richtigen Person, mithin dem Besteller, zugeordnet werden können (Grabitz/Hilf-Brühann, EU-Recht, Art. 8 EG-DSRL, Rn. 9 m.w.N.).

Im Ergebnis stellen Informationen über bestellte Arzneimittel nach weit verbreiteter Ansicht personenbezogene Gesundheitsdaten dar, deren Erhebung und Verarbeitung im Rahmen des Bestell- und Abwicklungsprozesses über einen Online-Shop die für derartige Daten geltenden Sonderanforderungen beachten müssen.

Aus Gründen der Rechtssicherheit sollte dieser Beurteilung gefolgt werden.

II. Rechtsfolgen der Beurteilung für den Online-Handel mit Arzneimitteln

Weil es sich bei Informationen über von einer Person bestellte Medikamente unabhängig davon um besonders relevante Gesundheitsdaten handelt, ob die Medikamente auch für den Besteller bestimmt sind, sind vor der Erfassung der Bestellung (als tatbestandliche Datenerhebung) und vor der Bestellabwicklung (als Datenverarbeitung) die strikten Anforderungen für sensible Daten nach dem BDSG zu beachten.

1.) §28 Abs. 6 Nr. 3 BDSG?

Zunächst könnte für Arzneimittelbestellungen im Online-Shop das Eingreifen einer Spezialerlaubnis für die Datenprozessierung nach §28 Abs. 6 – 9 BDSG erwogen werden, welche das grundsätzliche Einwilligungserfordernis des §4 Abs. 1 BDSG abbedingen würde. Läge ein solcher Tatbestand vor, wäre die Erhebung und Verarbeitung von Arzneimittelinformationen bei der Bestellaufgabe auch ohne eine ausdrückliche Einwilligung des Käufers zulässig. In Betracht käme hier einzig der §28 Abs. 6 Nr. 3 BDSG, der die einwilligungslose Erhebung und Verarbeitung von Gesundheitsdaten zur Geltendmachung rechtlicher Ansprüche gegen den Betroffenen ermöglicht, sofern nicht schutzwürdige Interessen des Betroffenen an der Geheimhaltung überwiegen.

Zwar dienen die Datenerhebungen im Bestellprozess grundsätzlich der Identifikation der (künftigen) Vertragspartei und mithin auch der Durchsetzung eines Kaufpreisanspruches nach im Falle des späteren Zustandekommens eines Kaufvertrags.

Für die erfolgreiche Durchsetzung dieses Anspruchs sind bei genauer Betrachtung aber nur Daten über die Identität des Bestellers und nicht solche über den Kaufgegenstand relevant. Weist der Kaufgegenstand einen Gesundheitsbezug auf, haben die damit einhergehenden Gesundheitsdaten an dem Erfolg der Geltendmachung des Kaufpreisanspruchs keinen Anteil, weil sie nicht der Identifikation des Schuldners dienen. Ein Eingreifen von § 28 Abs. 6 Nr. 3 BDSG ist abzulehnen.

2.) Erfordernis einer gesundheitsdatenspezifischen Einwilligung

Mithin bleibt es für die Zulässigkeit der Entgegennahme und Abwicklung von Bestellungen über Arzneien bei dem Erfordernis der Einholung einer Einwilligung in die Erhebung und Verarbeitung von Gesundheitsdaten beim Käufer nach §4a III BDSG.

Zu beachten ist, dass sich die Einwilligung nach dieser Vorschrift ausdrücklich auf die Gesundheitsdaten beziehen muss.

Wie das Einwilligungserfordernis im Online-Shop rechtskonform umzusetzen ist und welche Probleme sich aus selbigem für den Arzneimittelverkauf auf eBay und Amazon ergeben, wird im Folgenden dargestellt.

III. Umsetzbarkeit des besonderen Einwilligungserfordernisses im Online-Shop, auf eBay und auf Amazon

Weil nach den obigen Feststellungen mit der Online-Bestellung von apothekenpflichtigen Arzneimitteln zwangsweise besondere personenbezogene Gesundheitsdaten erhoben werden, muss der Händler vor jeder Bestellung die ausdrückliche Einwilligung des Käufers in die bestellbedingte Erhebung und Verarbeitung dieser Daten einholen. Zu erörtern bleibt, wie und ob sich diese Sondervoraussetzung im Online-Shop einerseits und andererseits auf den Handelsplattformen eBay und Amazon umsetzen lässt, derer sich Online-Apotheker vermehrt für den Absatz ihrer Produkte bedienen.

1.) Umsetzung im Online-Shop

Grundsätzlich ist auch für sensible Daten, zu welchen die Gesundheitsdaten gehören, anerkannt, dass das Erfordernis einer ausdrücklichen Einwilligung in die Erhebung und Verarbeitung durch eine Check-Box mit einem Opt-In-Feld, das nicht vorausgefüllt sein darf, umgesetzt werden kann.

Dieses ist beim Online-Medikamentenverkauf auf der letzten Seite des Bestellprozesses so zu implementieren, dass die Abgabe der Bestellung nur bei Setzen des Häkchens durch den Käufer und mithin bei Erteilung der datenschutzrechtlichen Einwilligung erfolgen kann. Eine Bestellmöglichkeit ohne die Einwilligung kann bei Online-Arzneimittelkäufen nicht existieren, weil bereits mit der Bestellabgabe in Form von Medikamenteninformationen Gesundheitsdaten erhoben werden.

Innerhalb des Einwilligungstextes in der Check-Box sollte auf die im Shop hinterlegte Datenschutzerklärung verwiesen und verlinkt werden. Weil sich die Einwilligung des Käufers nach §4a Abs. 3 BDSG aber ausdrücklich auch auf die Gesundheitsdaten beziehen muss, sollten diese zusätzliche Erwähnung finden.

Wird auf die Datenschutzerklärung verlinkt, ist die Wirksamkeit der Einwilligung durch Häkchensetzung essentiell davon abhängig, dass auf die Gesundheitsdaten, den Zweck und den Umfang ihrer Erhebung und Verarbeitung sowie die Vertraulichkeit im Umgang mit ihnen in der Datenschutzerklärung explizit und eindeutig Bezug genommen wird. Nur dann, wenn sich der Händler in seiner Datenschutzerklärung auch spezifisch zu Datenvorgängen über Gesundheitsdaten äußert, ist dem Wirksamkeitserfordernis des §4a Abs. 3 BDSG hinreichend Rechnung getragen und kann der Betroffene – dem Sinn der Vorschrift entsprechend – die tatsächliche Tragweite seiner Einwilligung vernünftig nachvollziehen.

2.) Umsetzungshindernis auf eBay

Während der Händler im eigenen Shop dem besonderen Einwilligungserfordernis für die mit der Medikamentenbestellung erhobenen Gesundheitsdaten durch eine inhaltliche Anpassung seiner Datenschutzerklärung und eine darauf verlinkende Check-Box vor der Abgabe der Bestellung rechtssicher umsetzen kann, birgt das Anbieten von Medikamenten auf eBay datenschutzrechtliche Probleme. Auf der Verkaufsplattform ist der Händler in den Möglichkeiten seiner Angebotsausgestaltung nämlich grundsätzlich limitiert und kann auf die Elemente des Bestellprozesses keinen Einfluss nehmen. Diese gibt nämlich eBay vor.

Demnach ist es dem Händler verwehrt, die erforderliche Check-Box zur Umsetzung des gesundheitsdatenschutzrechtlichen Einwilligungserfordernisses zu implementieren und auf eigene Veranlassung eine hinreichende Einwilligung des Arzneimittelkäufers einzuholen.

Dies würde selbst dann gelten, wenn der Händler in seiner Angebotsbeschreibung einen Datenschutzhinweis für Gesundheitsdaten vorhalten würde. Auch hier wäre es ihm nämlich aufgrund der rigiden Kaufprozessausgestaltung von eBay unmöglich, sich die Kenntnisnahme des Hinweises und die Zustimmung des Kunden zu den beschriebenen Vorgängen vor der Bestellung ausdrücklich einholen zu lassen.

Zu beachten ist zwar, dass eBay neuerdings jeden Kauf von der Einwilligung in Datenschutzgrundsätze abhängig macht:

In der verlinkten eBay-Datenschutzerklärung finden Gesundheitsdaten, spezifiziert auf Medikamentenbestellungen, aber keinerlei Erwähnung, sodass es der abverlangten Einwilligung in Bezug auf eben diese besonderen Daten an ihrer Wirksamkeit fehlt. Wirksam wäre eine Einwilligung in die Erhebung und Verarbeitung von Gesundheitsdaten gemäß §4a Abs. 3 BDSG nämlich nur, wenn sie sich auch konkret auf die Gesundheitsdaten bezieht, mit anderen Worten also spezifisch auf den Umfang und den Zweck ihrer Erhebung und Verarbeitung belehrt wird.

Weil der Händler auf die eBay-Datenschutzerklärung inhaltlich keinen Einfluss nehmen und auch auf andere Weise eine hinreichende Einwilligung vor der Bestellung nicht einholen kann, ist das Anbieten von Medikamenten auf eBay wegen der einwilligungslosen Erhebung und Verarbeitung von Gesundheitsdaten bisher datenschutzrechtswidrig.

3.) Umsetzungshindernis auf Amazon

Ähnlich verhält es sich auch auf Amazon. Hier hat der Händler ebenfalls keine Möglichkeit, auf die Ausgestaltung des Bestellprozesses Einfluss zu nehmen, und ist mithin den Vorgaben der Plattform unterworfen.

Zwar verweist Amazon vor dem Kauf darauf, dass mit Betätigung der Bestellung ein Einverständnis in Datenschutzbestimmungen abgegeben wird:

Fraglich ist aber bereits, ob die konkrete Gestaltung für die bei Gesundheitsdaten geforderte Ausdrücklichkeit der Einwilligung ausreicht. Diese wird grundsätzlich nur gewahrt, wenn der Betroffene auf eigene Veranlassung ein eigenständiges Erklärungszeichen setzt, das nicht mit der Betätigung des „Kauf-Buttons“ verbunden wird.

Immerhin fehlen den Amazon-Datenschutzbestimmungen aber spezifische Informationen über den Umfang und den Zweck der Verwendung von Gesundheitsdaten, sodass einer Einwilligung in Bezug auf diese Daten gemäß §4a Abs. 3 BDSG wiederum die Wirksamkeit fehlte.

Dadurch ergibt sich, dass nach derzeitigem Stand auch auf Amazon ein datenschutzrechtskonformes Anbieten von apothekenpflichtigen Medikamenten nicht möglich ist, weil dem Händler die Möglichkeit fehlt, das spezifische Einwilligungserfordernis hinreichend zu etablieren.

4.) Keine Heilung durch nachträgliche Einholung einer Einwilligung per Privatnachricht

Zur Abwendung der Rechtswidrigkeit der pharmazeutischen Verkaufstätigkeit auf eBay und amazon ließe sich zwar erwägen, vom jeweiligen Medikamentenkäufer nach dem Kauf über die Nachrichtenfunktion eine ausdrückliche, auf die Gesundheitsdaten bezogene Einwilligung einzuholen und erst mit deren Erteilung die Bestellung abzuwickeln. Dies hilft aber nicht darüber hinweg, dass im Vorfeld mit der Bestellabgabe bereits eine insofern einwilligungslose Erhebung sensibler Gesundheitsdaten erfolgt ist und dass eBay oder Amazon diese Daten bereits mit der Erhebung nach ihrem Belieben verarbeiten und nutzen können.

5.) Rechtliche Konsequenzen

Wegen der fehlenden Möglichkeit, der Abgabe einer Bestellung von Medikamenten die Einholung einer wirksamen datenschutzrechtlichen Einwilligung in die Erhebung und Verarbeitung von Gesundheitsdaten voranzustellen, ist das Anbieten von Pharmaka auf eBay und Amazon nach derzeitigem Stand datenschutzrechtswidrig.

Das Einwilligungserfordernis soll das Persönlichkeits- und Selbstbestimmungsrecht des Betroffenen in besonders effektiver Weise schützen und dient beim Kauf von Medikamenten mithin einem besonderen Interesse des Käufers am Schutz seiner persönlichen Verhältnisse.

Die Pflicht zur Einholung einer hinreichenden Einwilligung nach §4 Abs. 1, Abs. 3 BDSG ist daher eine Marktverhaltensnorm im Sinne des §3a UWG, deren Nichtbeachtung oder fehlerhafte Umsetzung mit wettbewerbsrechtlichen Unterlassungsansprüchen geahndet werden kann.

Auch drohen gemäß §43 Abs. 2 BDSG Bußgelder in Höhe von bis zu 300,000 Euro.

Weil ein datenschutzrechtskonformes Anbieten von Arznei auf eBay und Amazon zurzeit nicht möglich ist, besteht bei Fortführung dieser Tätigkeit ein immenses Abmahnpotenzial. Dieses kann der Händler nur dadurch abwenden, dass er den Pharma-Vertrieb auf den genannten Handelsplattformen vorerst einstellt und die Verkaufstätigkeit auf den eigenen Online-Shop begrenzt. Dort kann mit geringem Aufwand den besonderen datenschutzrechtlichen Anforderungen nämlich hinreichend Rechnung getragen werden.

IV. Fazit

Nach überwiegender Auffassung werden bei jeder Online-Arzneimittelbestellung sensible Gesundheitsdaten in Form von Informationen über das konkrete Arzneimittel erhoben und verarbeitet, welche Rückschlüsse auf den physischen oder psychischen Gesundheitszustand sowie einen bestimmten Therapiebedarf zulassen.

Aufgrund dieses Umstands sind Online-Händler beim Verkauf von Medikamenten im Bestellprozess und vor Abgabe der Bestellung stets gehalten, vom Kunden eine besondere und ausdrückliche Einwilligung in die Erhebung und Verarbeitung dieser Gesundheitsdaten einzuholen.

Während dies im eigenen Online-Shop durch die Anpassung der Datenschutzerklärung mit besonderem Hinweis auf den Umfang und den Zweck der Gesundheitsdatennutzung zusammen mit dem Vorschalten einer Check-Box mit Verlinkung auf diese Datenschutzerklärung rechtssicher umgesetzt werden kann, droht beim Abverkauf von Pharmaka über eBay und Amazon ein erhebliches Abmahnpotenzial. Dort gestaltet sich das Anbieten von Arzneimitteln nämlich als stets datenschutzrechtswidrig, weil es dem Händler durch die fehlende Möglichkeit der Einflussnahme auf die Ausgestaltung des Bestellprozesses nicht möglich ist, die erforderliche Einwirkung wirksam einzuholen. Zwar machen beide Plattformen jede Bestellung grundsätzlich von der Akzeptanz der eigenen Datenschutzbestimmungen abhängig. Diese enthalten aber keine Informationen über den Umgang mit Gesundheitsdaten, sodass sich eine Einwilligung – wie auch der §4a Abs. 3 BDSG statuiert – nicht wirksam auf diese Datenkategorie beziehen kann.

Weil nach deutscher Rechtsprechung die Angebote auf Online-Plattformen den Händlern selbst und nicht etwa der Plattform zuzurechnen sind, wirkt die Datenschutzrechtswidrigkeit der Arzneimittelbestellungen unmittelbar zu ihren Lasten und kann wettbewerbsrechtliche und bußgeldrechtliche Konsequenzen nach sich ziehen.

Zurzeit ist allen Händlern, die Arzneimittel über eBay und Amazon vertreiben, daher zwingend zu raten, diese Verkaufstätigkeit einzustellen und den Abverkauf auf den eigenen Online-Shop zu begrenzen.

Bei weiteren Fragen zum datenschutzrechtskonformen Umgang mit Gesundheitsdaten und zu den Voraussetzungen eines Online-Verkaufs von Arznei steht Ihnen die IT-Recht Kanzlei gerne persönlich zur Verfügung.

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.