Gründe

7A. Das Berufungsgericht hat angenommen, der gegen den Vertrieb von apothekenpflichtigen Medikamenten über Amazon gerichtete Unterlassungsantrag sei unter dem Gesichtspunkt des Rechtsbruchs gemäß § 3a UWG begründet. Hierzu hat es ausgeführt:

8Der beanstandete Vertrieb stelle eine unlautere und damit gemäß § 3 Abs. 1 UWG unzulässige geschäftliche Handlung dar, weil er gegen eine gesetzliche Vorschrift im Sinne von § 3a UWG verstoße. In dem Vertrieb apothekenpflichtiger Medikamente über Amazon liege eine Verarbeitung von Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO, in die die Kunden nicht gemäß Art. 9 Abs. 2 Buchst. a DSGVO ausdrücklich eingewilligt hätten und die auch sonst nicht gesetzlich erlaubt sei. Bei den erfassten Bestelldaten handele es sich um Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO. Aus ihnen könnten Rückschlüsse auf die Gesundheit des Bestellers gezogen werden. Die Regelungen der Datenschutz-Grundverordnung seien in der vorliegenden Fallkonstellation als Marktverhaltensregelungen im Sinne des § 3a UWG anzusehen. Der Kläger sei als Mitbewerber gemäß § 8 Abs. 3 Nr. 1 UWG berechtigt, den Unterlassungsanspruch im Wege der Klage durchzusetzen.

9B. Die Revision des Beklagten hat keinen Erfolg.

10I. Der vom Kläger gestellte Unterlassungsantrag genügt den auch im Revisionsverfahren von Amts wegen zu beachtenden (BGH, Urteil vom 10. Januar 2019 - I ZR 267/15, GRUR 2019, 813 [juris Rn. 23] = WRP 2019, 1013 - Cordoba II, mwN) Bestimmtheitsanforderungen des § 253 Abs. 2 Nr. 2 ZPO.

111. Nach § 253 Abs. 2 Nr. 2 ZPO darf ein Unterlassungsantrag - und nach § 313 Abs. 1 Nr. 4 ZPO eine darauf beruhende Verurteilung - nicht derart undeutlich gefasst sein, dass der Streitgegenstand und der Umfang der Prüfungs- und Entscheidungsbefugnis des Gerichts nicht klar umrissen sind, der Beklagte sich deshalb nicht erschöpfend verteidigen kann und im Ergebnis dem Vollstreckungsgericht die Entscheidung darüber überlassen bleibt, was dem Beklagten verboten ist. Aus diesem Grund sind Unterlassungsanträge, die lediglich den Wortlaut eines Gesetzes wiederholen, grundsätzlich als zu unbestimmt und damit unzulässig anzusehen. Abweichendes kann gelten, wenn entweder bereits der gesetzliche Verbotstatbestand selbst entsprechend eindeutig und konkret gefasst oder der Anwendungsbereich einer Rechtsnorm durch eine gefestigte Auslegung geklärt ist, oder wenn der Kläger hinreichend deutlich macht, dass er nicht ein Verbot im Umfang des Gesetzeswortlauts beansprucht, sondern sich mit seinem Unterlassungsbegehren an der konkreten Verletzungshandlung orientiert. Die Bejahung der Bestimmtheit setzt in solchen Fällen allerdings grundsätzlich voraus, dass zwischen den Parteien kein Streit darüber besteht, dass das beanstandete Verhalten das fragliche Tatbestandsmerkmal erfüllt. Die Wiedergabe des gesetzlichen Verbotstatbestands in der Antragsformulierung ist auch unschädlich, wenn sich das mit dem selbst nicht hinreichend klaren Antrag Begehrte im Tatsächlichen durch Auslegung unter Heranziehung des Sachvortrags des Klägers eindeutig ergibt und die betreffende tatsächliche Gestaltung zwischen den Parteien nicht infrage gestellt ist, sondern sich ihr Streit ausschließlich auf die rechtliche Qualifizierung der angegriffenen Verhaltensweise beschränkt. Eine auslegungsbedürftige Antragsformulierung kann im Übrigen hinzunehmen sein, wenn dies zur Gewährleistung effektiven Rechtsschutzes erforderlich ist (st. Rspr.; vgl. nur BGH, Urteil vom 22. Juli 2021 - I ZR 194/20, GRUR 2021, 1534 [juris Rn. 34] = WRP 2021, 1556 - Rundfunkhaftung I, mwN).

122. Nach diesen Grundsätzen sind der Unterlassungsantrag und der darauf beruhende landgerichtliche Verbotsausspruch als hinreichend bestimmt anzusehen.

13a) Soweit der Antrag auf Medikamente bezogen ist, die "apothekenpflichtig" sind, ist dieser Rechtsbegriff durch die Legaldefinition in § 43 Abs. 1 und 2 AMG konkretisiert. Über den Sinngehalt des Begriffs besteht zwischen den Parteien auch kein Streit.

14b) Die Anforderungen an die Bestimmtheit nach § 253 Abs. 2 Nr. 2 ZPO sind außerdem erfüllt, soweit der Antrag den Begriff "Gesundheitsdaten" mit dem in Klammern gesetzten Zusatz "als besondere Daten im Sinne des § 3 Abs. 9 des Bundesdatenschutzgesetzes" beziehungsweise - so der Hilfsantrag - "als besondere Daten im Sinne von Art. 9 DSGVO" und damit auf den Wortlaut des Gesetzes bezugnehmende Begriffe enthält.

15Allerdings besteht zwischen den Parteien Streit über die Frage, ob es sich bei den Kundendaten, die beim Anmelde- bzw. Kaufprozess über diese Internet-Handelsplattform verarbeitet werden, um Gesundheitsdaten im Sinne von § 3 Abs. 9 BDSG in der bis zum 24. Mai 2018 geltenden Fassung (aF) und Art. 9 DSGVO handelt. Dieser Streit betrifft jedoch nur die rechtliche Qualifikation der angegriffenen Verhaltensweise. Die für die angegriffene Verhaltensweise selbst relevanten Umstände und damit das im Tatsächlichen vom Verbotsantrag Begehrte ist zwischen den Parteien nicht im Streit. Es umfasst nach dem Sachvortrag des Klägers eindeutig die Daten, die Kunden des Beklagten bei der Bestellung von apothekenpflichtigen Medikamenten auf der Internet-Verkaufsplattform "Amazon-Marketplace" einzugeben haben, nämlich den Namen des Kunden, die Lieferadresse und die für die Individualisierung des bestellten apothekenpflichtigen Medikaments notwendigen Informationen (Bestelldaten, vgl. EuGH, GRUR 2024, 1721 [juris Rn. 79 und 84] - Lindenapotheke; BGH, GRUR 2023, 264 [juris Rn. 8 und 35] - Arzneimittelbestelldaten I). Damit sind der Streitgegenstand und der Umfang der Prüfungs- und Entscheidungsbefugnis der Gerichte hinreichend klar umrissen.

16II. Das Berufungsgericht hat außerdem zutreffend angenommen, dass der Kläger als Mitbewerber gemäß § 8 Abs. 3 Nr. 1 UWG befugt ist, den auf einen Rechtsbruch durch Verstoß gegen datenschutzrechtliche Bestimmungen zum Schutz von Gesundheitsdaten gestützten Unterlassungsantrag im Wege der Klage vor den Zivilgerichten unter dem Gesichtspunkt des Verbots der Vornahme unlauterer Geschäftspraktiken gemäß § 3 Abs. 1, § 3a UWG geltend zu machen.

171. Unter Geltung der Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Richtlinie, DSRL) ergab sich die Prozessführungsbefugnis für den Kläger als Mitbewerber aus den allgemeinen Vorschriften (§ 51 ZPO, vgl. Köhler/Feddersen in Köhler/Feddersen, UWG, 43. Aufl., § 8 Rn. 3.8a; Ohly in Ohly/Sosnitza, UWG, 8. Aufl., § 8 Rn. 86). Nach der Rechtsprechung des Gerichtshofs der Europäischen Union stehen die in Kapitel III der Datenschutz-Richtlinie getroffenen Regelungen einer nationalen Regelung, die es Verbänden zur Wahrung von Verbraucherinteressen erlaubt, gegen die mutmaßlichen Verletzer von Vorschriften zum Schutz personenbezogener Daten Klage zu erheben, nicht entgegen (vgl. EuGH, Urteil vom 29. Juli 2019 - C-40/17, GRUR 2019, 977 [juris Rn. 43 bis 63] = WRP 2019, 1146 - Fashion ID). Nichts anderes gilt für die hier in Rede stehende Klage eines Mitbewerbers (BGH, GRUR 2023, 264 [juris Rn. 9] - Arzneimittelbestelldaten I). Der Gerichtshof der Europäischen Union hat angenommen, dass die Artikel 22 bis 24 DSRL keine umfassende Harmonisierung der nationalen Vorschriften über gerichtliche Rechtsbehelfe, die gegen mutmaßliche Verletzer von Vorschriften über den Schutz personenbezogener Daten eingelegt werden können, vornehmen (EuGH, GRUR 2019, 977 [juris Rn. 57] - Fashion ID).

182. Diese Prozessführungsbefugnis des Klägers als Mitbewerber des Beklagten ist nicht mit Inkrafttreten der Datenschutz-Grundverordnung am 25. Mai 2018 (Art. 99 Abs. 2 DSGVO) entfallen. Der Gerichtshof der Europäischen Union hat entschieden, dass auch die in Kapitel VIII der Datenschutz-Grundverordnung enthaltenen Regelungen zur Durchsetzung der datenschutzrechtlichen Bestimmungen der Verordnung nicht abschließend sind. Sie stehen den Vorschriften des deutschen Rechts nicht entgegen, die - neben den Eingriffsbefugnissen der zur Überwachung und Durchsetzung der Verordnung zuständigen Aufsichtsbehörden und den Rechtsschutzmöglichkeiten der betroffenen Personen - dem Mitbewerber des mutmaßlichen Verletzers von Vorschriften zum Schutz personenbezogener Daten die Befugnis einräumen, wegen Verstößen gegen die Datenschutz-Grundverordnung gegen den Verletzer im Wege einer Klage vor den Zivilgerichten unter dem Gesichtspunkt des Verbots der Vornahme unlauterer Geschäftspraktiken vorzugehen (EuGH, GRUR 2024, 1721 [juris Rn. 73] - Lindenapotheke).

19III. Das Berufungsgericht hat mit Recht angenommen, dass der Vertrieb von apothekenpflichtigen Medikamenten über die Internetplattform "Amazon-Marketplace" ohne vorherige Einwilligung des Kunden in die Erhebung, Verarbeitung und Nutzung der Bestelldaten (der Name des Kunden, die Lieferadresse und die für die Individualisierung des bestellten apothekenpflichtigen Medikaments notwendigen Informationen) gemäß § 3 Abs. 1, § 3a UWG eine unlautere geschäftliche Handlung darstellt.

201. Nach § 3a UWG handelt unlauter, wer einer gesetzlichen Vorschrift zuwiderhandelt, die auch dazu bestimmt ist, im Interesse der Marktteilnehmer das Marktverhalten zu regeln, und der Verstoß geeignet ist, die Interessen von Verbrauchern, sonstigen Marktteilnehmern oder Mitbewerbern spürbar zu beeinträchtigen.

212. Das mit dem Klageantrag beanstandete Verhalten verstößt gegen die besonderen Vorschriften zum Schutz von Gesundheitsdaten gemäß § 4 Abs. 1, § 4a Abs. 1 und 3, § 28 Abs. 7 Satz 1 BDSG aF sowie Art. 9 Abs. 1 und 2 Buchst. a und h DSGVO und damit gegen gesetzliche Vorschriften im Sinne von § 3a UWG.

22a) Der auf Wiederholungsgefahr gestützte Unterlassungsanspruch ist nur begründet, wenn das beanstandete Verhalten sowohl nach dem zum Zeitpunkt seiner Vornahme geltenden Recht rechtswidrig war als auch nach dem zur Zeit der Revisionsentscheidung geltenden Recht rechtswidrig ist (st. Rspr.; vgl. BGH, Urteil vom 24. Februar 2022 - I ZR 128/21, GRUR 2022, 729 [juris Rn. 10] = WRP 2022, 727 - Zweitmarkt für Lebensversicherungen II; BGH, GRUR 2023, 264 [juris Rn. 28] - Arzneimittelbestelldaten I). So liegt es im Streitfall.

23Zwar haben sich die datenschutzrechtlichen Vorschriften, die für die Beurteilung des mit dem Unterlassungsantrag unter dem Gesichtspunkt des Rechtsbruchs beanstandeten Verhaltens des Beklagten erheblich sind, nach der geltend gemachten Verletzungshandlung durch das Inkrafttreten der Datenschutz-Grundverordnung am 25. Mai 2018 (Art. 99 Abs. 2 DSGVO) geändert. Diese Rechtsänderung wirkt sich aber auf die Begründetheit der Klage nicht aus. Das beanstandete Verhalten des Beklagten verstößt sowohl gegen die zum Zeitpunkt seiner Vornahme geltenden Bestimmungen zur Zulässigkeit der Verarbeitung von Gesundheitsdaten gemäß § 4 Abs. 1, § 4a Abs. 1 und 3, § 28 Abs. 7 Satz 1 BDSG aF (dazu B III 2 b) als auch gegen die nunmehr geltenden Vorschriften gemäß Art. 9 Abs. 1 und 2 Buchst. a und h DSGVO (dazu B III 2 c).

24b) Der mit dem Klageantrag beanstandete Bestellvorgang verstieß vor Inkrafttreten der Datenschutz-Grundverordnung gegen die Bestimmungen gemäß § 4 Abs. 1, § 4a Abs. 1 und 3, § 28 Abs. 7 BDSG aF.

25aa) Gemäß § 4 Abs. 1 BDSG aF ist die Erhebung, Verarbeitung und Nutzung personenbezogener Daten nur zulässig, soweit das Bundesdatenschutzgesetz oder eine andere Rechtsvorschrift dies erlaubt oder anordnet oder der Betroffene einwilligt. Stehen besondere Arten personenbezogener Daten im Sinne von § 3 Abs. 9 BDSG aF wie etwa Daten über die Gesundheit in Rede, ist eine Einwilligung nur wirksam, wenn sie über die in § 4a Abs. 1 BDSG aF geregelten Anforderungen hinaus ausdrücklich auf die besondere Art der personenbezogenen Daten bezogen ist (§ 4a Abs. 3 BDSG aF). Soweit der Betroffene nicht nach Maßgabe des § 4a Abs. 3 BDSG aF eingewilligt hat, ist das Erheben, Verarbeiten und Nutzen von Gesundheitsdaten für eigene Geschäftszwecke nur in Ausnahmefällen zulässig. Insoweit kommt im Streitfall allenfalls die Verarbeitung der Daten zum Zwecke der Gesundheitsversorgung gemäß § 28 Abs. 7 Satz 1 BDSG aF in Betracht, die zulässig ist, wenn die Verarbeitung dieser Daten durch ärztliches Personal oder durch sonstige Personen erfolgt, die einer entsprechenden Geheimhaltungspflicht unterliegen.

26Mit diesen Vorschriften sind die Bestimmungen gemäß Art. 8 Abs. 1, Abs. 2 Buchst. a und Abs. 3 DSRL ins deutsche Recht umgesetzt worden. Nach Art. 8 Abs. 1 DSRL untersagen die Mitgliedstaaten die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie von Daten über die Gesundheit. Gemäß Art. 8 Abs. 2 Buchst. a DSRL findet Absatz 1 dieser Vorschrift keine Anwendung, wenn die betroffene Person ausdrücklich in die Verarbeitung der genannten Daten eingewilligt hat, es sei denn, nach den Rechtsvorschriften des Mitgliedstaats kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden. In Art. 8 Abs. 3 DSRL ist bestimmt, dass Art. 8 Abs. 1 DSRL nicht gilt, wenn die Verarbeitung der Daten zum Zweck der Gesundheitsvorsorge, der medizinischen Diagnostik, der Gesundheitsversorgung oder Behandlung oder für die Verwaltung von Gesundheitsdiensten erforderlich ist und die Verarbeitung dieser Daten durch ärztliches Personal erfolgt, das nach dem einzelstaatlichen Recht, einschließlich der von den zuständigen einzelstaatlichen Stellen erlassenen Regelungen, dem Berufsgeheimnis unterliegt, oder durch sonstige Personen, die einer entsprechenden Geheimhaltungspflicht unterliegen.

27bb) Der Klageantrag richtet sich gegen die Erhebung und Verarbeitung besonderer personenbezogener Daten (Angaben über die Gesundheit) im Sinne dieser Vorschriften.

28(1) Der im Lichte der Klagebegründung auszulegende, auf das Verbot des Vertriebs von apothekenpflichtigen Medikamenten über die Internet-Handelsplattform Amazon gerichtete Klageantrag wendet sich dagegen, dass die Kunden des Beklagten dort bei der Bestellung von apothekenpflichtigen Medikamenten ihren Namen, die Lieferadresse und die für die Individualisierung des bestellten Medikaments notwendigen Informationen eingeben müssen, ohne dass sie im Rahmen der Eingabe ihre Einwilligung mit der Erhebung, Verarbeitung und Nutzung dieser Daten erteilen können. Das zu beurteilende Verhalten des Beklagten besteht mithin darin, dass er eine Bestellmöglichkeit anbietet, die die Eingabe von Bestelldaten verlangt, und diese Daten sodann zum Zwecke der Ausführung der Bestellung benutzt werden, ohne dass vor diesen vom Kläger als Verarbeitung von Gesundheitsdaten angesehenen Handlungen eine den gesetzlichen Vorgaben entsprechende Einwilligungserklärung des Kunden eingeholt wird.

29(2) Bei dem Namen des Kunden, der Lieferadresse und den für die Individualisierung des bestellten Medikaments notwendigen Informationen handelt es sich um Angaben über die Gesundheit (Gesundheitsdaten) und damit um besondere Arten personenbezogener Daten im Sinne von § 3 Abs. 9 und § 4a Abs. 3 BDSG aF.

30Der Gerichtshof der Europäischen Union hat entschieden, dass es sich bei den bei der Bestellung von apothekenpflichtigen Medikamenten vom Kunden anzugebenden Daten (der Name des Kunden, die Lieferadresse und die für die Individualisierung des bestellten apothekenpflichtigen Medikaments notwendigen Informationen) unbeschadet des Umstands, dass zu den antragsgegenständlichen apothekenpflichtigen Medikamenten auch nicht verschreibungspflichtige Arzneimittel und damit solche Medikamente gehören, bei denen es nicht ausgeschlossen ist, dass der Käufer das Medikament nicht für sich, sondern für einen beim Bestellvorgang noch unbestimmten Dritten erwirbt (vgl. BGH, GRUR 2023, 264 [juris Rn. 35] - Arzneimittelbestelldaten I), um Angaben über die Gesundheit im Sinne von Art. 8 Abs. 1 DSRL handelt (vgl. EuGH, GRUR 2024, 1721 [juris Rn. 81 und 94] - Lindenapotheke). Entsprechendes gilt im Wege der unionsrechtskonformen Auslegung im Hinblick auf § 3 Abs. 9 BDSG aF, mit dem Art. 8 Abs. 1 DSRL in deutsches Recht umgesetzt worden ist.

31(3) Bestellt ein Kunde über den Account des Beklagten beim "Amazon-Marketplace" apothekenpflichtige Medikamente, findet eine Erhebung und Verarbeitung dieser Gesundheitsdaten im Sinne von § 4 Abs. 1 BDSG aF statt.

32(a) Unter Erheben ist das Beschaffen von Daten (§ 3 Abs. 3 BDSG aF), unter Verarbeiten das Speichern, Verändern, Übermitteln und Löschen personenbezogener Daten zu verstehen (§ 3 Abs. 4 BDSG aF).

33(b) Nach den vom Berufungsgericht festgestellten Umständen des Streitfalls beschafft sich der Beklagte im Sinne von § 3 Abs. 3 BDSG aF die Gesundheitsdaten der Besteller, indem er eine Bestellung von der Eingabe der Bestellangaben auf Amazon abhängig macht. Diese Daten werden nach den Feststellungen des Berufungsgerichts zur Durchführung der Bestellung von Amazon an den Beklagten weitergeleitet. Darin liegt jedenfalls eine Übermittlung im Sinne von § 3 Abs. 4 BDSG aF. Auch die Revision hat nicht in Abrede gestellt, dass im Rahmen des angegriffenen Bestellvorgangs die Bestelldaten beschafft und übermittelt werden.

34(4) Der Beklagte ist sowohl für den Vorgang der Erhebung als auch für die nachfolgende Verarbeitung der Gesundheitsdaten der Besteller wettbewerbsrechtlich verantwortlich.

35Vorliegend kann mit Blick auf den mit dem Klageantrag geltend gemachten lauterkeitsrechtlichen Unterlassungsanspruch gemäß § 8 Abs. 1 Satz 1 UWG offenbleiben, welche dieser als Erhebung und Verarbeitung der Bestelldaten in Betracht kommenden Handlungen Amazon oder aber (auch) der Beklagte selbst vorgenommen hat. Soweit im Rahmen des Bestellvorgangs ein Verhalten Amazons in Rede steht, ergibt sich die Verantwortlichkeit des Beklagten aus § 8 Abs. 2 UWG (BGH, GRUR 2023, 264 [juris Rn. 40] - Arzneimittelbestelldaten I). Danach ist der Unterlassungsanspruch auch gegen den Inhaber des Unternehmens begründet, wenn Zuwiderhandlungen von einem Beauftragten des Unternehmens begangen werden. Dem Inhaber eines Unternehmens werden nach dieser Vorschrift Zuwiderhandlungen seiner Beauftragten wie eigene Handlungen zugerechnet, weil die arbeitsteilige Organisation des Unternehmens die Verantwortung für die geschäftliche Tätigkeit nicht beseitigen soll. Beauftragter kann auch ein selbständiges Unternehmen sein, das in die betriebliche Organisation des Betriebsinhabers in der Weise eingegliedert ist, dass der Erfolg der Geschäftstätigkeit des beauftragten Unternehmens dem Betriebsinhaber zugutekommt und der Betriebsinhaber einen bestimmenden, durchsetzbaren Einfluss auf diejenige Tätigkeit des beauftragten Unternehmens hat, in deren Bereich das beanstandete Verhalten fällt. Dabei kommt es nicht darauf an, welchen Einfluss sich der Betriebsinhaber gesichert hat, sondern darauf, welchen Einfluss er sich sichern konnte und musste (st. Rspr.; vgl. BGH, Urteil vom 23. Februar 2023 - I ZR 155/21, GRUR 2023, 732 [juris Rn. 39] = WRP 2023, 705 - Rundfunkhaftung II, mwN). Der Unternehmensinhaber haftet daher gegebenenfalls auch für ohne sein Wissen und gegen seinen Willen von einem Beauftragten begangene Rechtsverstöße (BGH, Urteil vom 7. Oktober 2009 - I ZR 109/06, GRUR 2009, 1167 [juris Rn. 21] = WRP 2009, 1529 - Partnerprogramm).

36Nach diesen Grundsätzen ist Amazon als Beauftragter des Beklagten anzusehen. Der Beklagte hat durch die Einrichtung und den Betrieb eines Verkäuferaccounts bei der Internet-Verkaufsplattform "Amazon-Marketplace" gemäß den insoweit bestehenden Regeln und technischen Abläufen bei der Erhebung der Bestelldaten und deren Verarbeitung im Rahmen der Abwicklung der Bestellung diese Plattform in seinen Onlinevertrieb von apothekenpflichtigen Medikamenten eingebunden. Diese arbeitsteilige Organisation seines Vertriebs kann die wettbewerbsrechtliche Verantwortung des Beklagten für seine auf diese Weise gestaltete geschäftliche Tätigkeit nicht beseitigen, so dass die im unmittelbaren Einflussbereich von Amazon vorgenommenen datenschutzrechtlich relevanten Handlungen dem Beklagten wie eigene Handlungen zugerechnet werden.

37Der Annahme einer wettbewerbsrechtlichen Verantwortlichkeit des Beklagten gemäß § 8 Abs. 2 UWG steht nicht entgegen, dass das Berufungsgericht unter Bezugnahme auf schriftsätzliches Vorbringen des Klägers ausgeführt hat, eventuelle Datenschutzverstöße der Plattform "Amazon-Marketplace" seien nicht Teil des Rechtsstreits. Diesem Vorbringen kann nicht entnommen werden, die in der Einflusssphäre von Amazon stattfindenden Vorgänge seien vom Kläger generell und damit auch mit Blick auf die von ihm gerade geltend gemachte wettbewerbswidrige Verantwortlichkeit des Beklagten für den Vertrieb von apothekenpflichtigen Medikamenten über den "Amazon-Marketplace" für die Begründetheit des Klageantrags außer Betracht zu lassen.

38cc) Das vom Berufungsgericht in Bezug genommene landgerichtliche Urteil, welches die Rechtslage unter Geltung des Bundesdatenschutzgesetzes alter Fassung geprüft hat, ist mit Recht davon ausgegangen, dass die mit dem Klageantrag angegriffene Erhebung und Verarbeitung von Bestelldaten auf Amazon eine Verarbeitung von Gesundheitsdaten darstellt, die nicht durch eine wirksame Einwilligung im Sinne von § 4 Abs. 1 und § 4a Abs. 3 BDSG aF oder den in § 28 Abs. 7 BDSG aF geregelten Erlaubnistatbestand gerechtfertigt ist.

39(1) Eine den Anforderungen der Bestimmungen gemäß § 4 Abs. 1, § 4a Abs. 3 BDSG aF und Art. 8 Abs. 2 Buchst. a DSRL genügende ausdrückliche Einwilligung der Kunden in die Erhebung und Verarbeitung ihrer Gesundheitsdaten liegt nicht vor.

40(a) Entgegen der Ansicht der Revision ergibt sich aus dem Erfordernis einer ausdrücklichen Einwilligung, dass eine konkludente Einwilligung nicht ausreicht (vgl. BeckOK.Datenschutzrecht/Kühling, 23. Edition [Stand 1. Februar 2018], § 4a BDSG aF Rn. 55). Überdies folgt aus dem von § 4a Abs. 3 BDSG aF geforderten Bezug der Einwilligung auf die besondere Art der Daten, dass die zu verwendenden sensiblen Daten genau zu benennen sind und der konkrete Verwendungszusammenhang aufzuzeigen ist, weil das Risiko der Verwendung eines besonders sensiblen Datums erst mit Blick auf die konkrete Verwendung beurteilt werden kann (BeckOK.Datenschutzrecht/Kühling aaO § 4a BDSG aF Rn. 56; vgl. auch Hoeren, VersR 2005, 1014, 1020).

41(b) Nach den Feststellungen des Berufungsgerichts, die von der Revision nicht angegriffen werden, fehlt es an einer diesen Anforderungen entsprechenden eindeutig erklärten Einwilligung der Kunden des Beklagten.

42(2) Die Erhebung, Nutzung und Verarbeitung der vom Besteller anzugebenden Gesundheitsdaten sind außerdem nicht gemäß § 28 Abs. 7 BDSG aF erlaubt.

43(a) Nach dieser Bestimmung ist das Erheben von Daten über die Gesundheit im Sinne von § 3 Abs. 9 BDSG aF zulässig, wenn dies zum Zwecke der Gesundheitsvorsorge, der medizinischen Diagnostik, der Gesundheitsversorgung oder Behandlung oder für die Verwaltung von Gesundheitsdiensten erforderlich ist und die Verarbeitung dieser Daten durch ärztliches Personal oder durch sonstige Personen erfolgt, die einer entsprechenden Geheimhaltungspflicht unterliegen. Aus dem Merkmal "entsprechenden" ergibt sich, dass diese sonstigen Personen einer Geheimhaltungspflicht unterliegen müssen, die derjenigen von Ärzten vergleichbar ist, was beispielsweise bei Gesundheitsberufen wie Heilpraktikern, Logopäden, Krankengymnasten, Masseuren, Optikern, Produzenten von Heilmitteln und Fachhändlern von orthopädischen Hilfsmitteln sowie Apothekern angenommen werden kann (vgl. BeckOK.Datenschutzrecht/Wolff, 23. Edition [Stand 1. August 2015], § 28 BDSG aF Rn. 264 mwN). Das Erfordernis einer auf den Beruf des Arztes bezogenen Vergleichbarkeit der Geheimhaltungspflicht folgt auch aus § 28 Abs. 7 Satz 3 BDSG aF. Werden danach zu einem in Satz 1 dieser Bestimmung genannten Zweck Daten über die Gesundheit von Personen durch Angehörige eines anderen als in § 203 Abs. 1 und 3 StGB genannten Berufs, dessen Ausübung die Feststellung, Heilung oder Linderung von Krankheiten oder die Herstellung oder den Vertrieb von Hilfsmitteln mit sich bringt, erhoben, verarbeitet oder genutzt, ist dies nur unter den Voraussetzungen zulässig, unter denen ein Arzt selbst hierzu befugt wäre.

44(b) Im Streitfall erfolgt die Erhebung und Verarbeitung der Gesundheitsdaten bei Amazon weder durch ärztliches Personal noch durch sonstige Personen, die im Sinne der vorstehenden Grundsätze einer entsprechenden Geheimhaltungspflicht unterliegen. Nach den Feststellungen des Landgerichts gibt der Kunde beim Bestellvorgang seine Daten zunächst an Amazon. Von dort werden sie an den im Marketplace ausgewählten Verkäufer - hier den Beklagten - weitergeleitet. Es ist weder vom Land- oder Berufungsgericht festgestellt worden noch hat die Revision geltend gemacht, dass der Beklagte, den in Bezug auf die Voraussetzungen des von ihm in Anspruch genommenen Erlaubnistatbestands und aufgrund des Umstands, dass die Organisation des Bestellvorgangs auf der von ihm zum Zwecke des Onlinevertriebs beauftragten Verkaufsplattform seiner Wahrnehmungssphäre zuzurechnen ist, die Darlegungslast trifft, vorgetragen hat, bei Amazon würden die Gesundheitsdaten von ärztlichem Personal oder von Personen erhoben, verarbeitet und genutzt, die einer den ärztlichen Pflichten "entsprechenden" Geheimhaltungspflicht unterlägen.

45(c) Entgegen der Ansicht der Revision reicht das Bestehen einer für jedermann geltenden Geheimhaltungspflicht gemäß § 203 Abs. 4 Satz 1 StGB nicht aus. Diese Bestimmung betrifft gerade keine Personen, die einer originär berufsbezogenen Geheimhaltungspflicht unterliegen, die derjenigen von Ärzten und anderen Gesundheitsberufen vergleichbar ist. Durch § 203 Abs. 4 Satz 1 StGB wird vielmehr im Interesse eines verlängerten strafrechtlichen Geheimnisschutzes die Strafbarkeit auch auf alle mitwirkenden Personen ausgedehnt, denen als Gehilfen von originär aufgrund ihrer beruflichen Stellung zur Geheimhaltung verpflichteten Personen bei der Ausübung oder Gelegenheit ihrer Tätigkeit Geheimnisse bekannt werden (vgl. Eisele in Schönke/Schröder, StGB, 30. Aufl., § 203 Rn. 96). Bei diesen Personen fehlt mithin die in dem Merkmal "entsprechenden" zum Ausdruck kommende berufsspezifische Vergleichbarkeit mit ärztlichem Personal im Sinne von § 28 Abs. 7 Satz 1 BDSG aF.

46c) Der angegriffene Bestellvorgang verstößt ferner gegen die nunmehr geltende Vorschrift gemäß Art. 9 Abs. 1 DSGVO.

47aa) Art. 9 Abs. 1 DSGVO untersagt die Verarbeitung besonderer Kategorien von personenbezogenen Daten, zu denen auch die Gesundheitsdaten einer natürlichen Person gehören.

48Die Eingabe von Bestelldaten und deren Benutzung zum Zwecke der Ausführung der Bestellung stellt eine Verarbeitung im Sinne von Art. 4 Nr. 1, Art. 9 Abs. 1 DSGVO dar. Für diese Verarbeitung ist der Beklagte gemäß § 8 Abs. 1 und 2 UWG wettbewerbsrechtlich verantwortlich (vgl. BGH, GRUR 2023, 264 [juris Rn. 41] - Arzneimittelbestelldaten I). Auf die Ausführungen zu den Voraussetzungen nach dem Bundesdatenschutzgesetz alter Fassung (dazu B III 2 b bb [3] und [4]), die hier inhaltlich entsprechend gelten, kann Bezug genommen werden.

49Die im Streitfall in Rede stehenden Bestelldaten sind zudem als Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO anzusehen (vgl. EuGH, GRUR 2024, 1721 [juris Rn. 94] - Lindenapotheke).

50bb) Das Berufungsgericht hat mit Recht angenommen, dass eine den Anforderungen an Art. 9 Abs. 2 Buchst. a DSGVO genügende Einwilligung der Kunden in die Verarbeitung der Bestelldaten im Streitfall nicht vorliegt.

51(1) Das in Art. 9 Abs. 1 DSGVO im Hinblick auf Gesundheitsdaten angeordnete Verarbeitungsverbot gilt gemäß Art. 9 Abs. 2 Buchst. a DSGVO nicht, soweit die betroffene Person in die Verarbeitung der Gesundheitsdaten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt hat.

52(2) Das Berufungsgericht ist rechtsfehlerfrei davon ausgegangen, dass eine solche Einwilligung nicht vorliegt. Nach seinen Feststellungen, die von der Revision nicht angegriffen werden, fehlt es an einer vor oder im Rahmen des Bestellvorgangs ausdrücklich erklärten Einwilligung der Kunden. Das Berufungsgericht ist ferner mit Recht davon ausgegangen, dass eine konkludente Einwilligung nicht ausreichend ist. Art. 9 Abs. 2 Buchst. a DSGVO fordert - abweichend von Art. 6 Abs. 1 Buchst. a DSGVO - eine ausdrückliche Einwilligung. Damit genügt eine konkludente Einwilligung nicht den Anforderungen des Art. 9 Abs. 2 Buchst. a DSGVO (vgl. Petri in Simitis/Hornung/Spiecker genannt Döhmann, Datenschutzrecht, 2. Aufl., Art. 9 DSGVO Rn. 33; Schiff in Ehmann/Selmayr, DSGVO, 3. Aufl., Art. 9 Rn. 34; Schulz in Gola/Heckmann, DS-GVO, 3. Aufl., Art. 9 Rn. 23; Weichert in Kühling/Buchner, DSGVO, 4. Aufl., Art. 9 Rn. 47; Albers/Veit in BeckOK.DatenschutzR, 50. Edition [Stand 1. August 2024], Art. 9 DSGVO Rn. 61; BeckOK.IT-Recht/Borges, 17. Edition [Stand 1. Juli 2021], Art. 9 DSGVO Rn. 9).

53(3) Das Berufungsgericht ist außerdem zutreffend davon ausgegangen, dass allein aus der Bestellung eines Medikaments auf der Handelsplattform "Amazon-Marketplace" ein Einverständnis mit der Verarbeitung gesundheitsbezogener Daten nicht abgeleitet werden kann. Eine wirksame Einwilligung erfordert, dass die fraglichen Daten konkret benannt werden und der Betroffene über die gesamte beabsichtigte Verwendung der Daten informiert und so in die Lage versetzt wird, eine rationale Entscheidung zu treffen, ob er seine Daten für diese Zwecke zur Verfügung stellen möchte (vgl. Frenzel in Paal/Pauly, DSGVO BDSG, 3. Aufl., Art. 9 DSGVO Rn. 23; Schiff in Ehmann/Selmayr aaO Art. 9 Rn. 34; Weichert in Kühling/Buchner aaO Art. 9 Rn. 47). Handelt es sich bei den erhobenen Daten um Gesundheitsdaten, ist darüber hinaus ein ausdrücklicher Hinweis auf das Vorliegen von Gesundheitsdaten erforderlich (Schulz in Gola/Heckmann aaO Art. 9 Rn. 23; Weichert in Kühling/Buchner aaO Art. 9 Rn. 47; BeckOK.IT-Recht/Borges aaO Art. 9 DSGVO Rn. 9). Durch diesen besonderen Hinweis auf die Schutzwürdigkeit der erhobenen Daten soll ein Warneffekt erreicht werden (Weichert, DuD 2017, 538). Dieser Schutzzweck würde verfehlt, würde man allein in der Bestellung eines Medikaments auf der Handelsplattform "Amazon-Marketplace" ein Einverständnis mit der Verarbeitung gesundheitsbezogener Daten sehen.

54cc) Entgegen der Ansicht der Revision kann sich der Beklagte zudem nicht mit Erfolg auf den Erlaubnistatbestand gemäß Art. 9 Abs. 2 Buchst. h, Abs. 3 DSGVO berufen.

55(1) Nach Art. 9 Abs. 2 Buchst. h DSGVO gilt das Verarbeitungsverbot nach Art. 9 Abs. 1 DSGVO nicht, wenn die Verarbeitung für Zwecke der Versorgung oder Behandlung im Gesundheitsbereich aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Art. 9 Abs. 3 DSGVO genannten Bedingungen und Garantien erforderlich ist. Gemäß Art. 9 Abs. 3 DSGVO dürfen Gesundheitsdaten zu den in Art. 9 Abs. 2 Buchst. h DSGVO genannten Zwecken verarbeitet werden, wenn diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt, oder wenn die Verarbeitung durch eine andere Person erfolgt, die ebenfalls nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliegt.

56(2) Vorliegend kann dahinstehen, ob mit Blick auf die Erhebung der Bestelldaten auch eine Datenverarbeitung im vorvertraglichen Bereich "aufgrund eines Vertrags" erfolgt und damit von Art. 9 Abs. 2 Buchst. h DSGVO erfasst ist. Denn jedenfalls sind die an die die Verarbeitung vornehmende Person gestellten Anforderungen im Hinblick auf die vom Beklagten in seinen Vertrieb eingebundene Verkaufsplattform "Amazon-Marketplace" nicht erfüllt.

57(a) Das Berufungsgericht hat keine Feststellungen getroffen, die die Annahme rechtfertigen könnten, dass die in Rede stehende Datenverarbeitung bei Amazon durch dem Berufsgeheimnis unterliegendes Fachpersonal vorgenommen wird. Die Revision macht nicht geltend, dass das Berufungsgericht insoweit Vortrag des insoweit darlegungsbelasteten (dazu B III 2 b cc [2] [b]) Beklagten unberücksichtigt gelassen hat.

58(b) Die Revision macht ohne Erfolg geltend, die Datenverarbeitung sei gemäß Art. 9 Abs. 2 Buchst. h in Verbindung mit Abs. 3 DSGVO zulässig, weil Amazon als "andere Person" im Sinne dieser Bestimmung anzusehen sei.

59Die Revision ist der Ansicht, die in Art. 9 Abs. 3 DSGVO geregelten Anforderungen an die "andere Person" seien weniger eng gefasst als die entsprechende Bestimmung des alten Rechts gemäß § 28 Abs. 7 BDSG aF und Art. 8 Abs. 3 DSRL. Dies ergebe sich daraus, dass die "andere Person" nach Art. 9 Abs. 3 DSGVO nicht wie die "sonstige Person" im Sinne des alten Rechts einer "entsprechenden" Geheimhaltungspflicht, sondern nur einer schlichten "Geheimhaltungspflicht" unterliegen müsse. Daraus ergebe sich, dass der Begriff der "anderen Person" nunmehr nicht mehr auf Berufe begrenzt sei, die eng mit dem medizinischen Bereich verbunden seien und zu denen Amazon unter Geltung des alten Rechts nicht gezählt habe. Der Wegfall des einschränkenden Merkmals "entsprechenden" erlaube es nunmehr, auch solche Personen aus dem nicht medizinischen Bereich wie Amazon als privilegiert anzusehen, die als mitwirkende Personen der allgemeinen Geheimhaltungspflicht im Sinne von § 203 Abs. 4 in Verbindung mit Abs. 3 Satz 2 StGB unterliegen.

60Damit kann die Revision keinen Erfolg haben. Es kann dahinstehen, ob das Fehlen des Merkmals "entsprechenden" den Schluss rechtfertigen kann, dass Art. 9 Abs. 3 DSGVO eine im Vergleich zum alten Recht weitergehende Möglichkeit eröffnet, auch Berufe zu privilegieren, die nicht dem medizinischen Bereich angehören, oder ob - wofür die besseren Gründe sprechen - mit Blick auf den Sinn und Zweck sowie den systematischen Zusammenhang nicht von einer Lockerung der für die Verarbeitung von Gesundheitsdaten geltenden Anforderungen an die andere Person durch den Verordnungsgeber auszugehen ist (vgl. Weichert in Kühling/Buchner aaO Art. 9 Rn. 144; vgl. dazu, dass Rechtfertigungsgründe, die dazu führen können, dass eine Verarbeitung personenbezogener Daten trotz fehlender Einwilligung der betroffenen Person rechtmäßig ist, eng auszulegen sind, EuGH, Urteil vom 4. Juli 2023 - C-252/21, GRUR 2023, 1131 [juris Rn. 76] = WRP 2023, 924 - Meta Platforms u.a. [Allgemeine Nutzungsbedingungen eines sozialen Netzwerks] zu Art. 9 Abs. 2 Buchst. e DSGVO; Urteil vom 21. Dezember 2023 - C-667/21, EuZW 2024, 270 [juris Rn. 50] - Krankenversicherung Nordrhein zu Art. 9 Abs. 2 Buchst. h DSGVO; Urteil vom 4. Oktober 2024 - C-621/22, WRP 2024, 1480 [juris Rn. 31] - Koninklijke Nederlandse Lawn Tennisbond zu Art. 6 Abs. 1 Unterabs. 1 Buchst. b bis f DSGVO und Urteil vom 4. Oktober 2024 - C-446/21, GRUR 2024, 1821 [juris Rn. 76 und 81] = WRP 2024, 1330 - Schrems [Mitteilung von Daten an die breite Öffentlichkeit] zu Art. 9 Abs. 2 Buchst. e DSGVO).

61Jedenfalls lässt die Revision unberücksichtigt, dass Art. 9 Abs. 3 DSGVO keine abschließende unionsrechtliche Regelung der Voraussetzungen der Zulässigkeit der Verarbeitung von Gesundheitsdaten darstellt. Vielmehr lässt Art. 9 Abs. 3 DSGVO ausdrücklich Bestimmungen im Recht der Mitgliedstaaten zu. Zudem können die Mitgliedstaaten zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten betroffen ist (Art. 9 Abs. 4 DSGVO).

62Solche Bestimmungen hat der deutsche Gesetzgeber in § 22 Abs. 1 Nr. 1 Buchst. b BDSG getroffen (vgl. Begründung des Regierungsentwurfs eines Datenschutz-Anpassungs- und -Umsetzungsgesetzes EU, BT-Drucks. 18/11325, S. 94 f.). Danach ist abweichend von Art. 9 Abs. 1 DSGVO die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO durch öffentliche und nichtöffentliche Stellen zulässig, wenn sie zum Zweck der Gesundheitsvorsorge, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- und Sozialbereich oder aufgrund eines Vertrags der betroffenen Person mit einem Angehörigen eines Gesundheitsberufs erforderlich ist und diese Daten von ärztlichem Personal oder durch sonstige Personen, die einer entsprechenden Geheimhaltungspflicht unterliegen, oder unter deren Verantwortung verarbeitet werden. Diese Bestimmung enthält - wie bereits § 28 Abs. 7 BDSG aF und Art. 8 Abs. 3 DSRL - das Erfordernis, dass sonstige Personen einer "entsprechenden" Geheimhaltungspflicht unterliegen, so dass auch nach dem geltenden Recht nur Personen aus Gesundheits- und Heilberufen privilegiert werden (vgl. Heckmann/Scheurer in Gola/Heckmann aaO § 22 BDSG Rn. 29 sowie unter B III 2 b cc [2] [a]), zu denen Amazon - auch nach Ansicht der Revision - nicht zählt.

63Soweit die Revision in ihrem nach der mündlichen Revisionsverhandlung eingereichten Schriftsatz vom 10. Februar 2025 geltend macht, das in § 22 Abs. 1 Nr. 1 Buchst. b BDSG ausdrücklich geregelte Merkmal "entsprechenden" habe keine Bedeutung, weil § 22 Abs. 1 BDSG in einem Alternativverhältnis zu den in Art. 9 Abs. 2 DSGVO genannten Rechtfertigungsgründen stehe, kann dem nicht zugestimmt werden. Die Revision berücksichtigt nicht, dass der Unionsverordnungsgeber nicht nur in Art. 9 Abs. 3 DSGVO mit Blick auf das Berufsgeheimnis, dem das Fachpersonal unterliegen muss, auf das Recht des Mitgliedstaats Bezug nimmt, sondern außerdem in Art. 9 Abs. 4 DSGVO erlaubt hat, dass Mitgliedstaaten zusätzliche Bedingungen, einschließlich Beschränkungen, einführen und aufrechterhalten können, soweit die Verarbeitung von Gesundheitsdaten betroffen ist. Einer Nichtanwendung des Merkmals "entsprechenden", das der deutschen Gesetzgeber in der diese Öffnungsbestimmungen ausfüllenden Regelung ausdrücklich aufrechterhalten hat, steht nicht nur der klare Wortlaut und der systematische Anwendungsvorrang des spezielleren Gesetzes (lex specialis derogat legi generali) entgegen. Im Rahmen der unionsrechtskonformen Auslegung der auf der Grundlage von Art. 9 Abs. 3 und 4 DSGVO erlassenen Vorschrift des § 22 Abs. 1 Nr. 1 Buchst. b BDSG ist zudem zu berücksichtigen, dass nach der Rechtsprechung des Gerichtshofs der Europäischen Union Rechtfertigungsgründe, die dazu führen können, dass eine Verarbeitung personenbezogener Daten trotz fehlender Einwilligung der betroffenen Person rechtmäßig ist, eng auszulegen sind (vgl. dazu B III 2 c cc [2] [b]). Zudem hat der Gerichtshof der Europäischen Union betont, dass die gemäß Art. 9 Abs. 3 DSGVO nur unter streng limitierten Voraussetzungen zur Datenverarbeitung berechtigten Personen dem Berufsgeheimnis unterliegen müssen (EuGH, EuZW 2024, 270 [juris Rn. 44] - Krankenversicherung Nordrhein). Damit steht die Ansicht der Revision nicht im Einklang, es genüge auch mit Blick auf Art. 9 Abs. 3 DSGVO die nicht an die berufliche Stellung anknüpfende, sondern jedermann treffende allgemeine Geheimhaltungspflicht gemäß § 203 Abs. 4 Satz 1 StGB.

64Schließlich ist auch eine teleologische Reduktion des § 22 Abs. 1 Nr. 1 Buchst. b BDSG im Sinne der von der Revision vertretenen Ansicht unzulässig, weil ihr der Zweck der speziellen Bestimmungen zum Schutz der besonderen Kategorien personenbezogener Daten wie Gesundheitsdaten entgegensteht. Dieser besteht darin, einen erhöhten Schutz vor Datenverarbeitungen zu gewährleisten, die aufgrund der besonderen Sensibilität der Daten, die Gegenstand der Verarbeitungen sind, einen besonders schweren Eingriff in die durch Art. 7 und 8 der EU-Grundrechtecharta verbürgten Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten darstellen können (EuGH, EuZW 2024, 270 [juris Rn. 41] - Krankenversicherung Nordrhein).

65(c) Entgegen der Ansicht der Revision wird die in Rede stehende Datenverarbeitung bei Amazon auch nicht unter der Verantwortung einer dem Berufsgeheimnis unterliegenden Fachperson im Sinne von § 22 Abs. 1 Nr. 1 Buchst. b BDSG (und Art. 9 Abs. 3 DSGVO) vorgenommen.

66Die Revision macht geltend, für eine Datenverarbeitung durch Amazon "unter der Verantwortung" des Beklagten sei lediglich erforderlich, dass dessen Apotheke die Daten für ihre geschäftlichen Zwecke von Amazon erheben lasse. Eine Direktionsbefugnis oder gar eine Eingliederung des Datenverarbeiters in die Sphäre des Apothekers sei nicht erforderlich. Dem kann nicht zugestimmt werden.

67Das Merkmal "Verantwortung" verlangt nach seinem Wortsinn, dem Regelungszusammenhang und dem Zweck der speziellen Bestimmungen, zum Schutz der besonderen Kategorie der Gesundheitsdaten einen erhöhten Schutz bei Datenverarbeitungen in diesem besonders sensiblen Bereich zu gewährleisten, dass das dem Berufsgeheimnis unterliegende Fachpersonal die Einhaltung sämtlicher dem Schutz dieser Daten dienenden gesetzlichen Anforderungen - wie beispielsweise des im Streitfall maßgeblichen Einwilligungserfordernisses gemäß Art. 9 Abs. 2 Buchst. a DSGVO - durch das bei der Datenverarbeitung eingesetzte Personal sicherstellt. Dass diese Anforderung im Streitfall erfüllt ist, hat das Berufungsgericht nicht festgestellt. Die Revision hat nicht geltend gemacht, der Beklagte habe vorgetragen, dass die mit dem Bestellvorgang befassten Mitarbeiter von Amazon zur Einhaltung der besonderen datenschutzrechtlichen Anforderungen für die Verarbeitung von Gesundheitsdaten verpflichtet seien und die Einhaltung dieser Bestimmungen vom Beklagten durch angemessene Maßnahmen überwacht werde.

683. Das Berufungsgericht ist rechtsfehlerfrei davon ausgegangen, dass es sich bei den Bestimmungen zur Verarbeitung von Gesundheitsdaten als besondere Kategorie personenbezogener Daten gemäß § 4a und § 28 Abs. 7 BDSG aF und Art. 9 Abs. 1 DSGVO um Marktverhaltensregelungen im Sinne von § 3a UWG handelt.

69a) Eine Norm regelt das Marktverhalten im Interesse der Mitbewerber, Verbraucher oder sonstigen Marktteilnehmer, wenn sie einen Wettbewerbsbezug in der Form aufweist, dass sie die wettbewerblichen Belange der als Anbieter oder Nachfrager von Waren oder Dienstleistungen in Betracht kommenden Personen schützt. Eine Vorschrift, die dem Schutz von Rechten, Rechtsgütern oder sonstigen Interessen von Marktmitbewerbern, Verbrauchern oder sonstigen Marktteilnehmern dient, stellt eine Marktverhaltensregelung dar, wenn das geschützte Interesse gerade durch die Marktteilnahme, also durch den Abschluss von Austauschverträgen und den nachfolgenden Verbrauch oder Gebrauch der erworbenen Ware oder in Anspruch genommenen Dienstleistung berührt wird. Nicht erforderlich ist dabei eine spezifisch wettbewerbsbezogene Schutzfunktion in dem Sinne, dass die Regelung die Marktteilnehmer speziell vor dem Risiko einer unlauteren Beeinflussung ihres Marktverhaltens schützt. Die Vorschrift muss aber zumindest auch den Schutz der wettbewerblichen Interessen der Marktteilnehmer bezwecken; lediglich reflexartige Auswirkungen zu deren Gunsten genügen daher nicht (st. Rspr.; vgl. BGH, Urteil vom 8. Oktober 2015 - I ZR 225/13, GRUR 2016, 513 [juris Rn. 21] = WRP 2016, 586 - Eizellspende; Urteil vom 27. April 2017 - I ZR 215/15, GRUR 2017, 819 [juris Rn. 20] = WRP 2017, 941 - Aufzeichnungspflicht; Urteil vom 18. November 2021 - I ZR 106/20, GRUR 2022, 175 [juris Rn. 25] = WRP 2022, 165 - Kabel-TV-Anschluss; Urteil vom 10. November 2022 - I ZR 16/22, GRUR 2023, 416 [juris Rn. 19] = WRP 2023, 447 - Stickstoffgenerator).

70b) Für datenschutzrechtliche Bestimmungen wird allerdings vertreten, dass diese - teils mit Ausnahme der Datenverarbeitung zu Zwecken der Werbung - keine Marktverhaltensregelungen darstellen, weil sie lediglich das Persönlichkeitsrecht beziehungsweise die informationelle Selbstbestimmung schützen, während es beim Gesetz gegen den unlauteren Wettbewerb um den Schutz der wirtschaftlichen Entscheidungsfreiheit als Konsument sowie einen Schutz der Allgemeinheit gegen Wettbewerbsauswüchse gehe (vgl. OLG Düsseldorf, RDV 2004, 222 [juris Rn. 8]; OLG Frankfurt, GRUR 2005, 785 [juris Rn. 29]; OLG Köln, GRUR-RR 2010, 34 [juris Rn. 5]; OLG München, GRUR-RR 2012, 395 [juris Rn. 28 f.]; OLG Karlsruhe, GRUR-RR 2012, 396 [juris Rn. 32 bis 34]; OLG Dresden, Urteil vom 26. März 2013 - 14 U 1776/12, BeckRS 2014, 15220; Köhler in Köhler/Bornkamm/Feddersen, UWG, 40. Aufl., § 3a Rn. 1.74a [anders nunmehr Köhler/Odörfer in Köhler/Feddersen aaO, 43. Aufl., § 3a Rn. 1.74a]; Ohly in Ohly/Sosnitza aaO § 3a Rn. 79; Büttner in Festschrift Erdmann, 2002, S. 545, 559; Gärtner/Heil, WRP 2005, 20, 22; Heckmann/Gierschmann/Selk, CR 2018, 728, 729). Andere gehen davon aus, das Datenschutzrecht habe vor allem verbraucherschützende Wirkung und sei deshalb insgesamt eine Marktverhaltensregelung (vgl. Ernst, WRP 2004, 1133, 1137; Schneider, NJW 2012, 3315 f.).

71c) Demgegenüber gehen andere mit Recht davon aus, dass die Frage, ob es sich bei Normen zum Schutz personenbezogener Daten um Marktverhaltensregelungen handelt, nicht pauschal beantwortet werden kann, sondern jede Vorschrift konkret darauf überprüft werden muss, ob sie eine Regelung des Marktverhaltens zum Gegenstand hat (vgl. OLG Hamburg, WRP 2018, 1510 [juris Rn. 72]; MünchKomm.UWG/Schaffert, 3. Aufl., § 3a Rn. 81; Götting/Hetmark in Fezer/Büscher/Obergfell, Lauterkeitsrecht, 3. Aufl., § 3a UWG Rn. 80; Büscher/Meinhardt, UWG, 3. Aufl., § 3a Rn. 277 f.; Huppertz/Ohrmann, CR 2011, 449, 451; Galetzka, K&R 2015, 77, 80; Metzger, GRUR Int. 2015, 687, 691; Schreiber, GRUR-Prax 2018, 371, 372; Laoutoumai/Hoppe, K&R 2018, 533, 534; Schmitt, WRP 2019, 27 Rn. 12; Schaub, WRP 2019, 1391 Rn. 6; Apel/Bosman, K&R 2020, 73, 74).

72d) Die Bestimmungen zum Einwilligungserfordernis in Bezug auf die Verarbeitung von personenbezogenen Daten gemäß § 4a und § 28 Abs. 7 BDSG aF sowie Art. 9 DSGVO sind danach Marktverhaltensregelungen im Interesse der Verbraucher und sonstiger Marktteilnehmer (ebenso Meyer, WRP 2002, 1028, 1034; Metzger, GRUR Int. 2015, 687, 691; Schaub, WRP 2019, 1391 Rn. 12; wohl auch Linsenbarth/Schiller, WRP 2013, 576 Rn. 25).

73aa) Zunächst ist zu berücksichtigen, dass die Datenschutz-Richtlinie insgesamt nicht nur dem Schutz des durch Datenverarbeitung betroffenen Persönlichkeitsrechts (Art. 1 Abs. 1 sowie Erwägungsgrund 10 DSRL) dient. Aus den Erwägungsgründen 2 ("Entwicklung des Handels"), 6 (Erleichterung des "grenzüberschreitenden Verkehrs personenbezogener Daten") und vor allem aus den Erwägungsgründen 3, 7, 8 und 9 ergibt sich, dass der Unionsgesetzgeber auch das Spannungsfeld zwischen dem Schutz des Persönlichkeitsrechts und dem freien Datenverkehr innerhalb der Union als Wirtschaftsfaktor im Blick hatte. Zweck der Richtlinie ist auch eine Angleichung der nationalen Datenschutzvorschriften zum Zwecke des innergemeinschaftlichen Handels mit Daten unter Aufrechterhaltung des Schutzes der Grundrechte der Betroffenen. Dementsprechend ist gemäß Art. 1 DSRL nicht nur bestimmt, dass die Mitgliedstaaten den Schutz der Grundrechte und Grundfreiheiten und insbesondere den Schutz der Privatsphäre natürlicher Personen bei der Verarbeitung personenbezogener Daten gewährleisten (Absatz 1), sondern auch, dass die Mitgliedstaaten den freien Verkehr personenbezogener Daten zwischen den Mitgliedstaaten aus den in Absatz 1 der Bestimmung geschützten Rechten nicht beschränken und untersagen (Absatz 2). Die Wahrung der Grundrechte der Betroffenen werden mithin nicht isoliert betrachtet, sondern mit Blick auf das Funktionieren des Binnenmarkts (vgl. OLG Köln, WRP 2016, 885 [juris Rn. 40]). Der Datenschutz-Richtlinie liegt damit ersichtlich die Annahme zugrunde, dass personenbezogene Daten Grundlage oder sogar Gegenstand unionsweit erbrachter Dienstleistungen oder Warengeschäfte sein können.

74Auch die Datenschutz-Grundverordnung bezweckt zum einen den Schutz der Grundrechte und Grundfreiheiten (Art. 1 Abs. 1 DSGVO), trifft daneben aber auch Bestimmungen zum freien Verkehr personenbezogener Daten (Art. 1 Abs. 1 DSGVO). Gemäß Art. 1 Abs. 3 DSGVO darf zudem der freie Verkehr personenbezogener Daten in der Union aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten weder eingeschränkt noch verboten werden. Die technologische Entwicklung und Globalisierung ist in Erwägungsgrund 6 ausdrücklich angesprochen, der unionsweite Verkehr personenbezogener Daten als Wirtschaftsfaktor in den Erwägungsgründen 2, 3, 5, 6, 7 und vor allem 9 und 10.

75bb) Vor diesem Hintergrund dienen die Bestimmungen zum Erfordernis der Einwilligung in die Verarbeitung personenbezogener Daten dem Schutz der Persönlichkeitsrechtsinteressen der Verbraucher im Sinne der Rechtsprechung des Senats gerade auch im Zusammenhang mit ihrer Marktteilnahme, also beim Abschluss von Austauschverträgen oder der Inanspruchnahme von Dienstleistungen (vgl. OLG Hamburg, WRP 2013, 1203 [juris Rn. 58]). Ausgehend von der wirtschaftlichen Bedeutung der Verarbeitung von personenbezogenen Daten für internetbasierte Geschäftsmodelle, bei deren Nutzung sich für den Verbraucher nach der Lebenserfahrung nicht selten die Frage stellt, erwünschte Dienstleistungen nicht durch Zahlung eines Entgelts, sondern mit der Preisgabe personenbezogener Daten zu vergüten, kommt dem Erfordernis der Einwilligung des Verbrauchers, die - wie im Streitfall - die mit seiner Nachfrageentscheidung verknüpfte Preisgabe personenbezogener Daten betrifft, eine zentrale Bedeutung zu. Der Verbraucher soll gerade durch die Möglichkeit, über die Preisgabe seiner Daten zu entscheiden, in die Lage versetzt werden, frei zu entscheiden, ob, wie und in welchem Umfang er am Markt teilnimmt und Verträge abschließt. Auch der Gerichtshof der Europäischen Union hat angenommen, dass ein Verstoß gegen eine Vorschrift zum Schutz personenbezogener Daten gleichzeitig ein Verstoß gegen Vorschriften über den Verbraucherschutz oder unlautere Geschäftspraktiken darstellen kann (vgl. EuGH, Urteil vom 28. April 2022 - C-319/20, GRUR 2022, 920 [juris Rn. 66, 78] - Meta Platforms Ireland).

764. Ein Verstoß gegen § 4a Abs. 1 und 3 BDSG aF sowie Art. 9 Abs. 1 DSGVO ist geeignet, die Interessen von Verbrauchern im Sinne von § 3a UWG spürbar zu beeinträchtigen.

77a) Die Frage, ob eine Eignung zur spürbaren Interessenbeeinträchtigung besteht, ist nach dem Schutzzweck der jeweils verletzten Marktverhaltensregelung zu beurteilen. Bei dieser Beurteilung sind diejenigen Zwecke zu berücksichtigen, die die Einordnung der Vorschrift als Marktverhaltensregelung rechtfertigen, weil sie die Interessen der Marktteilnehmer betreffen. Die Spürbarkeitsklausel hat den Zweck, solche Fälle des Verstoßes gegen eine Marktverhaltensregelung von der Verfolgung auszunehmen, die keine nennenswerte Auswirkung auf andere Marktteilnehmer haben und an denen daher kein Interesse der Allgemeinheit besteht. Eine spürbare Beeinträchtigung der Interessen von Verbrauchern liegt vor, wenn deren Fähigkeit zur informierten und freien geschäftlichen Entscheidung im Sinne des § 2 Abs. 1 Nr. 1 UWG betroffen ist (BGH, Urteil vom 29. Mai 2024 - I ZR 43/23, GRUR 2024, 1041 [juris Rn. 44] = WRP 2024, 1045 - Hydra Energy, mwN).

78b) Nach diesen Grundsätzen ist im Streitfall die Spürbarkeit des Verstoßes gegen § 3a UWG mit Blick auf den Schutzzweck des Einwilligungserfordernisses nach § 4a Abs. 1 und 3 BDSG aF sowie Art. 9 Abs. 1 DSGVO zu bejahen. Art und Umfang der zu erwartenden Nutzung der eigenen Daten und solcher Daten, aus denen Rückschlüsse auf die eigene Gesundheit gezogen werden können, stellen ein für die Inanspruchnahme der Leistungen des Beklagten wesentliches Kriterium dar, das für die Entschließung des potentiellen Kunden, die angebotene Leistung in Anspruch zu nehmen, von erheblicher Bedeutung ist (vgl. BGH, Urteil vom 14. Januar 2016 - I ZR 65/14, GRUR 2016, 946 [juris Rn. 85] = WRP 2016, 958 - Freunde finden).

795. Der Verfolgung eines Verstoßes gegen § 4a Abs. 1 und 3 BDSG aF sowie Art. 9 Abs. 1 und Abs. 2 Buchst. a DSGVO als unlautere geschäftliche Handlung steht nicht entgegen, dass die Richtlinie 2005/29/EG über unlautere Geschäftspraktiken von Unternehmen gegenüber Verbrauchern im Binnenmarkt die Vorschriften der Mitgliedstaaten über solche unlauteren Geschäftspraktiken vollständig harmonisiert (Art. 3 Abs. 1, Art. 4 der Richtlinie 2005/29/EG). Die Richtlinie lässt nach ihrem Art. 3 Abs. 3 die Rechtsvorschriften der Union oder der Mitgliedstaaten in Bezug auf die Gesundheits- und Sicherheitsaspekte von Produkten unberührt. Die im Streitfall maßgeblichen datenschutzrechtlichen Vorschriften zur Regulierung der Erhebung und Verarbeitung von Gesundheitsdaten in Bezug auf den Handel mit apothekenpflichtigen Arzneimitteln sind solche Rechtsvorschriften. Die in Rede stehenden Bestimmungen des Bundesdatenschutzgesetzes haben überdies ihre Grundlage im Unionsrecht (vgl. BGH, Urteil vom 14. Januar 2016 - I ZR 61/14, GRUR 2016, 516 [juris Rn. 13] = WRP 2016, 581 - Wir helfen im Trauerfall, mwN; Köhler/Odörfer in Köhler/Feddersen aaO § 3a Rn. 1.8 mwN).

806. Die für den geltend gemachten Unterlassungsanspruch gemäß § 8 Abs. 1 Satz 1 UWG erforderliche Wiederholungsgefahr wird aufgrund der festgestellten Verletzungshandlung tatsächlich vermutet (vgl. BGH, Urteil vom 12. Januar 2023 - I ZR 49/22, GRUR 2023, 742 [juris Rn. 14] = WRP 2023, 709 - Unterwerfung durch PDF, mwN).

81IV. Eine Vorlage an den Gerichtshof der Europäischen Union nach Art. 267 Abs. 3 AEUV ist nicht veranlasst (vgl. EuGH, Urteil vom 6. Oktober 1982 - 283/81, Slg. 1982, 3415 [juris Rn. 21] = NJW 1983, 1257 - Cilfit u.a.; Urteil vom 1. Oktober 2015 - C-452/14, GRUR Int. 2015, 1152 [juris Rn. 43] - Doc Generici; Urteil vom 6. Oktober 2021 - C-561/19, NJW 2021, 3303 [juris Rn. 32 f.] - Consorzio Italian Management und Catania Multiservizi). Es stellt sich keine entscheidungserhebliche Frage zur Auslegung des Unionsrechts, die nicht bereits durch die Rechtsprechung des Gerichtshofs geklärt oder nicht zweifelsfrei zu beantworten ist.

82C. Danach ist die Revision auf Kosten des Beklagten (§ 97 Abs. 1 ZPO) zurückzuweisen.

Koch                         Löffler                         Schmaltz

             Odörfer                        Wille