Nexvyra

EuGH C-21/23 (Lindenapotheke) – Gesundheitsdaten im Online-Shop & Mitbewerber-Klage bei DSGVO-Verstößen (VO 2016/679)

Inhaltlich verantwortet von Andreas Warkentin (warepoint-media GbR) · zuletzt geprüft am 2026-08-07 · Quellenautorität A (amtliche Primärquelle) Fehler melden ✉

Kurzantwort

Mit Urteil vom 4. Oktober 2024 (Große Kammer, Rechtssache C-21/23 „Lindenapotheke", ECLI:EU:C:2024:846) hat der Europäische Gerichtshof (EuGH) zwei praktisch hochrelevante Fragen zur Datenschutz-Grundverordnung (DSGVO, VO 2016/679) entschieden:

  1. Mitbewerber-Klagebefugnis: Die DSGVO steht einer nationalen Regelung nicht entgegen, die Mitbewerbern eines mutmaßlichen Datenschutz-Verletzers das Recht gibt, den Verstoß wettbewerbsrechtlich vor den Zivilgerichten zu verfolgen – in Deutschland über das Gesetz gegen den unlauteren Wettbewerb (UWG). Das Rechtsschutzsystem der DSGVO (Kapitel VIII, Art. 77–84) ist nicht abschließend; nationale Klagerechte dürfen ergänzend hinzutreten.
  2. Gesundheitsdaten im Bestellprozess: Bestelldaten, die Kundinnen und Kunden beim Online-Kauf apothekenpflichtiger Arzneimittel eingeben (Name, Lieferadresse, für die Individualisierung des Arzneimittels nötige Angaben), sind Gesundheitsdaten im Sinne des Art. 9 Abs. 1 DSGVO – auch dann, wenn die Arzneimittel nicht verschreibungspflichtig sind. Denn aus der Kombination von Identität und bestelltem Präparat lassen sich Rückschlüsse auf den Gesundheitszustand ziehen.

Praktische Folge: Der Online-Verkauf apothekenpflichtiger Produkte verarbeitet besondere Kategorien personenbezogener Daten. Dafür braucht es eine Ausnahme nach Art. 9 Abs. 2 DSGVO – in der Regel die ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a). Fehlt sie, drohen nicht nur Bußgelder der Aufsichtsbehörde, sondern auch Unterlassungs- und Abmahnrisiken durch Wettbewerber.

Das Urteil erging auf Vorlage des Bundesgerichtshofs (BGH) im Rahmen des Verfahrens I ZR 223/19 (Parallelverfahren I ZR 222/19). Der BGH hat die Verfahren nach dem EuGH-Urteil mit Entscheidung vom 27. März 2025 fortgeführt.

Kernfakten

PunktWert
GerichtGerichtshof der Europäischen Union (EuGH), Große Kammer
AktenzeichenC-21/23 [curia.europa.eu, ECLI:EU:C:2024:846]
Urteilsdatum4. Oktober 2024 [EUR-Lex, CELEX:62023CJ0021]
Bezeichnung„Lindenapotheke" (ND / DR)
Vorlegendes GerichtBundesgerichtshof (BGH), Vorabentscheidungsersuchen [Verfahren I ZR 223/19]
Ausgelegte NormDSGVO (VO 2016/679), insbes. Art. 9 Abs. 1 und Kapitel VIII (Art. 77–84)
Kernaussage 1DSGVO-Rechtsschutz nicht abschließend → nationale Mitbewerber-Klage zulässig
Rechtsgrundlage DE§ 3a i. V. m. § 8 Abs. 3 UWG (Rechtsbruch, Klagebefugnis Mitbewerber)
Kernaussage 2Bestelldaten bei apothekenpflichtigen Arzneimitteln = Gesundheitsdaten (Art. 9 Abs. 1)
Reichweitegilt auch für nicht verschreibungspflichtige, apothekenpflichtige Produkte
Erforderliche RechtsgrundlageAusnahme nach Art. 9 Abs. 2 DSGVO – i. d. R. ausdrückliche Einwilligung (lit. a)
Betroffener NutzerkreisOnline-Apotheken, Online-Shops mit apothekenpflichtigen/gesundheitsbezogenen Waren, Plattform-Verkäufer (z. B. Marktplätze)
Sanktions-/HaftungsrisikoDSGVO-Bußgeld (Art. 83) + wettbewerbsrechtliche Unterlassung/Abmahnung durch Mitbewerber
Bußgeldrahmen (Art. 83 Abs. 5)bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (der höhere Wert)
BindungswirkungEuGH-Auslegung ist für alle mitgliedstaatlichen Gerichte verbindlich
Nationale FolgeentscheidungBGH, 27. März 2025 – I ZR 222/19 / I ZR 223/19 (Fortführung nach EuGH)

Geltungsbereich / Wer ist betroffen?

Das Urteil betrifft jeden Verantwortlichen, der gesundheitsbezogene Produkte online vertreibt, insbesondere:

Zwei Schutzebenen greifen kumulativ:

Detail 1: Mitbewerber-Klage trotz DSGVO-Rechtsschutzsystem

Der Beklagte hatte argumentiert, das in Kapitel VIII DSGVO (Art. 77–84) geregelte Rechtsschutz- und Sanktionssystem sei abschließend und verdränge nationale Klagerechte Dritter. Dem ist der EuGH nicht gefolgt: Die DSGVO harmonisiert die Durchsetzung nicht vollständig. Mitgliedstaaten dürfen ergänzende Rechtsbehelfe vorsehen, solange diese das Ziel und die Wirksamkeit der DSGVO nicht beeinträchtigen. Eine Mitbewerber-Klage über das UWG stärke die praktische Wirksamkeit des Datenschutzes und sei daher zulässig.

Für die deutsche Praxis bedeutet das: Ein materieller DSGVO-Verstoß kann als Rechtsbruch nach § 3a UWG verfolgt werden; Mitbewerber sind nach § 8 Abs. 3 Nr. 1 UWG klagebefugt. Datenschutzverstöße werden damit zum Abmahn- und Unterlassungsrisiko – zusätzlich zum aufsichtsbehördlichen Bußgeld.

Detail 2: Gesundheitsdaten schon bei apothekenpflichtigen Produkten

Der EuGH legt Art. 9 Abs. 1 DSGVO weit aus. Entscheidend ist nicht die Verschreibungspflicht, sondern ob sich aus den Daten ein Bezug zum Gesundheitszustand herstellen lässt. Bei der Bestellung eines apothekenpflichtigen Arzneimittels verbindet sich die Identität der Person mit einem Produkt, das therapeutische Indikationen nahelegt – selbst wenn das Mittel (etwa) „nur für eine andere Person" oder vorsorglich gekauft wird, genügt die potenzielle Zuordnung.

Folge: Für diese Verarbeitung reicht eine „normale" Rechtsgrundlage nach Art. 6 DSGVO nicht aus. Es muss zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegen – im E-Commerce praktisch nur die ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a). Diese muss freiwillig, informiert, unmissverständlich und ausdrücklich sein; eine bloße AGB-Zustimmung genügt nicht.

Häufige Fehler

Quellen

Änderungsverlauf

Stand

Stand: 07.08.2026. Diese Seite gibt die Rechtslage nach dem EuGH-Urteil C-21/23 vom 04.10.2024 wieder und ersetzt keine Rechtsberatung. Verbindlich sind die amtlichen Fassungen bei EUR-Lex und curia.europa.eu.