Datenschutzverstöße: Auch Mitbewerber und Verbände dürfen klagen

Mit ihren aktuellen Entscheidungen haben der Bundesgerichtshof (BGH) und der Europäische Gerichtshof (EuGH) klargestellt: Nicht nur Datenschutzbehörden, sondern auch Verbraucherschutzverbände und Mitbewerber dürfen gegen Datenschutzverstöße vorgehen. Auslöser war ein Streit zwischen zwei deutschen Apothekenbetreibern über den Verkauf apothekenpflichtiger Arzneimittel über Amazon Marketplace. Im Zentrum stand die Frage, ob der beklagte Apotheker die datenschutzrechtliche Einwilligung der Kunden ordnungsgemäß eingeholt hatte – und ob gegen einen solchen Verstoß überhaupt wettbewerbsrechtlich vorgegangen werden kann.

Datenschutz im Wettbewerb: Neue Spielregeln für Unternehmen

Die Kunden des Apothekenbetreibers mussten über Amazon Marketplace personenbezogene Daten wie Namen, Lieferadressen und Informationen zu den bestellten Arzneimitteln angeben. Der konkurrierende Apothekenbetreiber sah darin einen Verstoß gegen die Datenschutz-Grundverordnung (DSGVO) – insbesondere, weil die notwendige Einwilligung zur Datenverarbeitung seiner Ansicht nach nicht korrekt eingeholt wurde.

Die zentrale Frage: Wer darf Datenschutzverstöße verfolgen?

Bislang war unklar, ob Verstöße gegen datenschutzrechtliche Bestimmungen ausschließlich durch Datenschutzbehörden geahndet werden dürfen, oder ob auch Mitbewerber und Verbände rechtlich dagegen vorgehen können. Der BGH legte diese Frage dem EuGH vor. Die Antwort fiel deutlich aus:

Die DSGVO hat keine Sperrwirkung gegenüber nationalem Wettbewerbsrecht.
Datenschutzverstöße können daher auch wettbewerbsrechtlich verfolgt werden.
Mitbewerber und Verbände erhalten damit neue Möglichkeiten, um gegen datenschutzwidriges Verhalten vorzugehen. Hierzu zählen vor allem Abmahnungen oder Unterlassungsklagen.

Bestelldaten = Gesundheitsdaten? Der EuGH sagt: Ja

Eine weitere zentrale Frage war, ob die bei einer Online-Bestellung erhobenen Daten als „Gesundheitsdaten“ im Sinne der DSGVO gelten – auch wenn es sich nicht um verschreibungspflichtige Medikamente handelt.

Der EuGH stellte klar: Bereits die Information, dass eine bestimmte Person ein bestimmtes Medikament bestellt hat, kann Rückschlüsse auf ihren Gesundheitszustand zulassen.

Damit gelten diese Daten als besonders schützenswert. Für ihre Verarbeitung sind erhöhte rechtliche Anforderungen zu beachten – unter anderem eine ausdrückliche und informierte Einwilligung der betroffenen Person.

Was bedeutet das für die Praxis?

Die Urteile des EuGH und BGH bringen Klarheit in eine lange höchst umstrittene Rechtsfrage – und führen gleichzeitig zu einer spürbaren Verschärfung der rechtlichen Risiken für Unternehmen. Denn künftig drohen nicht nur Bußgelder durch die Datenschutzbehörden, sondern zusätzlich Abmahnungen und Unterlassungsklagen durch Mittbewerber oder Verbraucherschutzverbände sowie kostenintensive Auseinandersetzungen vor Gericht. Die Urteile haben daher weitreichende Konsequenzen für die Praxis.

Unternehmen – vor allem solche mit Online-Vertrieb - sollten daher ihre Prozesse zur Datenverarbeitung kritisch überprüfen und stets auf dem aktuellen Stand halten.

Handlungsempfehlung

Um das rechtliche Risiko zu minimieren, sollten Unternehmen sicherstellen, dass ihre Datenschutzpraxis den geltenden Anforderungen entspricht:

Einwilligungen rechtskonform einholen – insbesondere bei sensiblen Daten
Datenschutzprozesse regelmäßig überprüfen und aktualisieren
Transparente Informationen für Nutzer bereitstellen, etwa in Datenschutzerklärungen oder im Bestellprozess
Sorgfältige Dokumentation sicherstellen, um im Streitfall Nachweise vorlegen zu können

Nur so lässt sich vermeiden, dass neben den Datenschutzbehörden künftig auch Mitbewerber erfolgreich gegen Datenschutzverstöße vorgehen. Ob ein wettbewerbsrechtliches Vorgehen gegen Datenschutzverstöße im Ergebnis gerechtfertigt ist, wird natürlich auch weiterhin im Einzelfall zu prüfen sein.

Maßgebliche Entscheidungen: BGH,Urteile vom 27. März 2025, Az. I ZR 222/19 und I ZR 223/19; EuGH, Urteil vom 04.10.2024, Az. C-21/23