Stellen Sie sich vor, Sie bestellen rezeptfreie Kopfschmerztabletten bei einer Online-Apotheke – und plötzlich wird Ihr Einkauf datenschutzrelevant. Klingt komisch? Nicht mehr seit dem EuGH-Urteil vom 4. Oktober 2024.

Die Kurzzusammenfassung

Der Europäische Gerichtshof hat eine weitreichende Entscheidung getroffen: Selbst der Kauf von rezeptfreien Medikamenten wie Paracetamol erzeugt Gesundheitsdaten. Diese fallen unter Artikel 9 der Datenschutz-Grundverordnung (DSGVO), der sogenannte besondere Kategorien personenbezogener Daten regelt – z.B. genetische Informationen oder Daten zur sexuellen Orientierung. Was bedeutet das konkret? Online-Apotheken müssen für jeden Medikamentenkauf eine ausdrückliche Einwilligung der Kundinnen einholen – selbst bei Alltagsmedikamenten wie z.B. Paracetamol. Problematisch daran ist: Die Entscheidung ist schwammig formuliert, erzeugt Bürokratie und könnte bald auch andere Branchen treffen, etwa Online-Shops für glutenfreie Lebensmittel oder Nahrungsergänzungsmittel.

Hintergrund: Wie ein Apotheker-Streit den Datenschutz auf den Kopf stellte

Die Geschichte beginnt wie ein klassischer Wettbewerbsstreit: Ein Apotheker ärgerte sich, dass ein Konkurrent apothekenpflichtige Produkte über den Amazon Marketplace verkaufte – ohne vorher spezielle Datenschutzeinwilligungen einzuholen. Seine Argumentation: Wenn jemand online Medikamente kauft, entstehen dabei sensible Gesundheitsdaten (Name, Adresse, gekaufte Medikamente), die besonders geschützt werden müssten.

Der Fall landete schließlich beim Bundesgerichtshof, der ihn an den Europäischen Gerichtshof weiterleitete. Die entscheidende Frage: Sind Daten über den Kauf von rezeptfreien Medikamenten wirklich genauso sensibel wie etwa Blutgruppen oder Krankenakten? Muss für sie der strenge Schutz des Artikels 9 DSGVO gelten?

Interessant ist: Der Generalanwalt des EuGH, eine Art juristischer Berater, der vor dem Urteil eine Einschätzung abgibt, sah das völlig anders. In seinem Schlussantrag vom 25. April 2024 vertrat er die Auffassung, dass gerade bei rezeptfreien Medikamenten keine hinreichend konkreten Rückschlüsse auf den Gesundheitszustand gezogen werden können.

Der EuGH jedoch entschied – schon überraschenderweise – gegen diese Empfehlung.

Das Urteil: Warum Paracetamol-Käufe jetzt „Gesundheitsdaten" sind

Der EuGH hat in seinem Urteil sehr grundsätzlich entschieden und dabei drei zentrale Argumente angeführt:

Erstens reichen bereits „gedankliche Kombinationen" aus, um Gesundheitsdaten zu erzeugen. Wenn Sie Paracetamol kaufen, könnte das theoretisch auf Migräne, Fieber oder einen Hexenschuss hindeuten. Selbst wenn Sie es nur prophylaktisch für die Hausapotheke kaufen und – im Gegensatz zu den meisten rezeptpflichtigen Medikamentenkäufen – kein akuter Bedarf besteht. Der EuGH sieht hier jedoch ein Risiko für Rückschlüsse auf Ihren Gesundheitszustand. Es muss also kein konkretes Krankheitsbild vorliegen; die bloße Möglichkeit eines Rückschlusses genügt.

Zweitens spielen Medikamente für Dritte keine Rolle für die Einstufung. Kaufen Sie Hustensaft für Ihr Kind? Laut EuGH ist auch das problematisch, da das Kind theoretisch identifizierbar sein könnte – selbst wenn die Apotheke gar nicht weiß, für wen das Medikament bestimmt ist. Dies ist besonders verwunderlich, da normalerweise nur identifizierbare Personen unter den Schutz der DSGVO fallen. Und das ist hier in der Realität kaum gegeben.

Drittens will der EuGH keine Abstufungen beim Datenschutz. Eine Unterscheidung zwischen rezeptfreien und rezeptpflichtigen Medikamenten würde nach Ansicht des Gerichts Schlupflöcher schaffen und das hohe Schutzniveau der DS-GVO untergraben. Hier geht es um eine Grundsatzentscheidung: Der Schutz sensibler Daten soll nicht durch Einzelfallbetrachtungen verwässert werden. Das kann man nachvollziehen, aber mit dem konkreten Fall hat sich der EuGH sicher das schlechteste Beispiel ausgesucht.

Kritik am Urteil: Warum Experten die Hände über dem Kopf zusammenschlagen

Die Entscheidung stößt deshalb in Fachkreisen auch auf erhebliche Kritik – und das aus guten Gründen:

Das erste Problem ist die Verwechslung von Hypothese und Fakten. Stellen Sie sich vor: Sie kaufen Paracetamol, weil Sie es vorsorglich in die Reisetasche packen möchten. Der EuGH behandelt die reine Vermutung, Sie könnten krank sein, aber wie eine Tatsache. Dieses Vorgehen widerspricht sogar den Grundprinzipien der DSGVO selbst, die in Artikel 5 fordert, dass Daten sachlich richtig sein müssen. Wie kann eine Apotheke Daten als Gesundheitsdaten behandeln, wenn sie in Wahrheit gar nichts über Ihre Gesundheit aussagen?

Das zweite Problem ist der drohende Bürokratie-Tsunami. Online-Apotheken müssen nun für jede Bestellung eine ausdrückliche Einwilligung einholen, speichern und nachweisen können. Für kleine Shops ist das ein echter Kraftakt – mehr Formulare, mehr Dokumentation, mehr rechtliche Unsicherheit. Und das alles, ohne dass der Datenschutz tatsächlich verbessert wird.

Besonders knifflig wird es beim Dritte-Personen-Problem: Wie soll eine Apotheke die Einwilligung von Personen einholen, von deren Existenz sie nichts weiß? Wenn Sie Nasenspray für Ihre Nichte kaufen, müsste theoretisch auch deren Einwilligung vorliegen – ein praktisch unlösbares Problem.

Am weitreichendsten ist jedoch der drohende Dominoeffekt für andere Branchen. Verfolgt man die Logik des EuGH weiter, könnten bald auch ganz andere Daten als „gesundheitsrelevant" gelten: Der Kauf glutenfreier Nudeln könnte auf Zöliakie hindeuten, vegane Proteine könnten eine Ernährungsumstellung wegen Krankheit signalisieren, und selbst der Erwerb eines Fitness-Trackers könnte als Indiz für Gesundheitsbewusstsein – und damit als Gesundheitsdatum – gewertet werden.

Fazit: Datenschutz gut gemeint – aber schlecht gemacht?

Das EuGH-Urteil hat seine Stärken und Schwächen. Das Gute daran: Sensible Daten werden grundsätzlich stärker geschützt, und es gibt weniger Grauzonen bei der Frage, was als Gesundheitsdatum gilt. Das Schlechte: Die Umsetzung erscheint leider absolut realitätsfremd und schafft mehr Probleme, als sie löst.

Für Verbraucherinnen bedeutet das Urteil vor allem mehr Einwilligungs-Popups beim Online-Einkauf, ohne dass sie dadurch einen spürbaren Mehrwert erhalten. Die Daten waren auch vorher schon geschützt – nur eben unter Artikel 6 statt Artikel 9 der DS-GVO. Wie gesagt: Wir reden nicht über rezeptpflichtige Medikamente, sondern nur über apothekenpflichtige Medikamente.

Für Online-Apotheken hingegen bedeutet es mehr Aufwand, mehr Kosten für die Compliance und ein höheres Risiko für Abmahnungen. Besonders kleine und mittlere Unternehmen trifft diese Bürde überproportional stark.

Was die Zukunft bringt, bleibt abzuwarten. Es ist durchaus denkbar, dass nationale Datenschutzbehörden pragmatische Leitlinien zur Umsetzung des Urteils veröffentlichen werden. Auch könnte der europäische Datenschutzausschuss (EDSA) irgendwann eine einheitliche Interpretation vorlegen.

Es wäre wünschenswert!