Rezeptfreie Medikamente über Amazon: Warum schon die Bestellung Gesundheitsdaten verraten kann
Archivdatum: 11. Oktober 2026 · Redaktionell geprüft am 31. Oktober 2026
Eine Arzneimittelbestellung enthält meist mehr als eine Lieferadresse: Der Produktname kann erkennen lassen, gegen welche Beschwerden jemand etwas kaufen möchte. Genau darum stritten zwei Apotheker über den Verkauf apothekenpflichtiger Medikamente auf Amazon. Der Europäische Gerichtshof entschied am 4. Oktober 2024 – C-21/23, Lindenapotheke, dass solche Bestelldaten auch bei rezeptfreien Arzneimitteln Gesundheitsdaten sein können. Der besondere Schutz hängt nicht davon ab, ob eine sichere Diagnose aus der Bestellung hervorgeht.
Ein Apotheker beanstandete den Verkaufsweg seines Konkurrenten
Der Betreiber der Lindenapotheke verkaufte seit 2017 apothekenpflichtige Arzneimittel über Amazon Marketplace. Kunden mussten bei der Bestellung ihren Namen, ihre Lieferanschrift und Angaben zur Identifizierung des bestellten Medikaments eingeben. Ein konkurrierender Apotheker beanstandete, dass diese Verarbeitung ohne die für Gesundheitsdaten erforderliche Grundlage erfolge.
Der Streit gelangte über die deutschen Gerichte zum Bundesgerichtshof und von dort zum EuGH. Die Vorlage stammte aus dem Verfahren I ZR 223/19. Zwei Fragen waren besonders wichtig: Dürfen Mitbewerber solche Datenschutzverstöße wettbewerbsrechtlich verfolgen? Und sind die Angaben beim Kauf rezeptfreier Medikamente überhaupt besonders geschützte Gesundheitsdaten?
Gesundheitsbezug setzt weder Rezept noch sichere Erkrankung voraus
Art. 9 Abs. 1 DSGVO schützt Gesundheitsdaten stärker als gewöhnliche Kontaktdaten. Der EuGH betrachtete deshalb die Kombination aus identifizierbarer Person und bestelltem Arzneimittel. Daraus können durch gedankliche Verknüpfung Informationen über den Gesundheitszustand beziehungsweise eine gesundheitliche Behandlung abgeleitet werden. Eine ärztlich gesicherte Diagnose muss sich nicht feststellen lassen.
Auch der Einwand, das Mittel könne für jemand anderen bestimmt sein, beseitigt den Schutz nicht allgemein. Die Bestellung kann sich auf eine andere identifizierbare Person beziehen; zudem genügt die Möglichkeit entsprechender gesundheitlicher Rückschlüsse. Die besondere Schutzbedürftigkeit verschwindet ebenso wenig, weil ein Präparat ohne Verschreibung erhältlich ist. Rezeptfrei und datenschutzrechtlich unproblematisch sind unterschiedliche Kategorien.
Der EuGH verbot nicht jeden Arzneimittelverkauf auf Plattformen
Art. 9 Abs. 2 DSGVO enthält Ausnahmen vom grundsätzlichen Verarbeitungsverbot. Dazu zählt eine ausdrückliche Einwilligung für festgelegte Zwecke. Unter eigenen Voraussetzungen kommt auch eine Verarbeitung im Zusammenhang mit Gesundheitsversorgung in Betracht, die zusätzlichen Anforderungen wie dem Berufsgeheimnis unterliegt.
Die Entscheidung verlangt deshalb eine Prüfung der konkreten Datenwege und der jeweiligen Rechtsgrundlage. Eine Bestellung ist nicht automatisch zugleich eine ausreichend ausdrückliche Einwilligung in die Gesundheitsdatenverarbeitung. Ebenso wäre es zu weitgehend, aus dem Urteil abzuleiten, jeder Verarbeitungsschritt jeder Apotheke sei ausschließlich mit Einwilligung erlaubt. Datenschutzrechtliche Anforderungen und arzneimittelrechtliche Versandvoraussetzungen müssen getrennt beurteilt werden.
Auch ein Mitbewerber durfte die Frage gerichtlich verfolgen
Der EuGH stellte außerdem fest, dass die Rechtsbehelfe im achten Kapitel der DSGVO nationale wettbewerbsrechtliche Klagen von Mitbewerbern nicht grundsätzlich ausschließen. Die Rechte der betroffenen Kunden und die Aufgaben der Datenschutzaufsicht werden dadurch nicht verdrängt. Es kann zusätzliche zivilrechtliche Wege zur Durchsetzung geben.
Für Kunden bedeutet das nicht, dass ihnen aufgrund dieser Entscheidung eine pauschale Geldentschädigung zusteht. Der Kläger im Ausgangsverfahren war ein konkurrierender Apotheker. Eigene Schadensersatzforderungen betroffener Besteller hätten andere Voraussetzungen und müssten gesondert geprüft werden.
Was der BGH im parallelen Verfahren konkret untersagte
Wie sich die europäischen Maßstäbe praktisch auswirken, zeigt das gesonderte, parallel geführte Verfahren I ZR 222/19, entschieden am 27. März 2025. Dort gab der BGH unter anderem einer Unterlassungsforderung statt, soweit der Vertrieb ohne vorherige wirksame Einwilligung in die Gesundheitsdatenverarbeitung erfolgte. Für den konkret untersuchten Amazon-Ablauf trug auch die Ausnahme für berufsgeheimnisgebundene Gesundheitsversorgung nicht.
Das war kein allgemeines Verkaufsverbot für Amazon. Der BGH entschied außerdem über Auskunft und die Schadensersatzpflicht gegenüber dem klagenden Mitbewerber dem Grunde nach; eine bestimmte Entschädigung an Arzneimittelkunden wurde nicht zugesprochen. Der Fall war ein Parallelverfahren und darf nicht mit der unmittelbaren EuGH-Vorlage I ZR 223/19 verwechselt werden.
Wer Medikamente über eine Plattform bestellt, sollte deshalb erkennen können, welche Stellen welche Bestelldaten für welchen Zweck erhalten. Für Anbieter ist entscheidend, den tatsächlichen Bestellablauf zu prüfen, statt nur eine allgemeine Datenschutzerklärung bereitzuhalten. Der datenschutzrechtlich Verantwortliche muss die konkrete Verarbeitung sensibler Angaben rechtfertigen können, auch wenn das Präparat ohne Rezept verkauft werden darf.