Digitale Betriebsprüfung von Apotheken

Die Publikationen befassen sich unter anderem mit den Zugriffsarten der Prüfer in Daten der Warenwirtschaftssysteme. Das Gesetz (§ 147 Abs. 6 der Abgabenordnung [nachfolgend: AO]) räumt den Prüfern grundsätzlich drei Zugriffsarten ein, die hier verkürzt so dargestellt werden dürfen:

Z 1: Der Prüfer geht selbst über die Tastatur in das Warenwirtschaftssystem, darf die Daten aber nur lesen und Auswertungsmöglichkeiten des Systems nutzen. Was er sieht, darf er ausdrucken lassen ("Gucken und drucken").

Z 2: Der Prüfer fordert einen Mitarbeiter des Apothekers oder den Apotheker selbst auf, nach seinen Vorgaben die Daten im Warenwirtschaftssystem über die Tastatur lesbar zu machen und nach den Vorgaben des Prüfers die Auswertungsprogramme des Warenwirtschaftssystems zur Analyse einzu-setzen.

Z 3: Der Prüfer verlangt vom Steuerpflichtigen, die steuerrelevanten Daten seines Warenwirtschaftssystems auf einer CD in einem ganz bestimmten Daten-Format, das die Finanzverwaltung auslesen kann, zur Verfügung zu stellen.

Datensicherung ersetzt keine Archivierung

In der Praxis machen die Prüfer heute überwiegend vom Z 3 Gebrauch. An dieser Stelle sei direkt klargestellt, dass eine Datensicherung nicht identisch ist mit der für den Z 3 geschuldeten DVD/CD (nachfolgend Archiv-CD). Die Datensicherung kann man nur lesen, wenn man über die Anwendersoftware verfügt. Sie ist also praktisch nur im System des Apothekers überhaupt zu lesen. Die Archiv-CD hingegen exportiert Daten aus dieser Datensprache in ein anderes Format (z. B. Excel), das von der Finanzverwaltung auf jedem ihrer Rechner ausgelesen werden kann. Der Apotheker schuldet mit der Archiv-CD die steuerrelevanten Daten in diesem auslesbaren Format. Das Datensicherungsband ist folgerichtig nicht geeignet, die Archivierungsverpflichtung des Apothekers einzulösen.

Datenschutz geht vor

Wie der Verfasser dieses Aufsatzes schon in einem anderen Aufsatz (AZ 2006, Nr. 45, S. 6-7) dargelegt hatte, überlagern datenschutzrechtliche Probleme alle drei Zugriffsarten. Die Finanzverwaltung verlangt aber regelmäßig den Zugriff auf komplette Datensätze einschließlich datengeschützter Informationen unter Hinweis auf ihre eigene Verschwiegenheitsverpflichtung. Das ist aber grundfalsch: Die Verschwiegenheitspflicht des Apothekers gilt gegenüber jedermann, also auch gegenüber jeder ande-ren zur Verschwiegenheit verpflichteten Person. Der Apotheker darf deshalb die datengeschützten Informationen seines Warenwirtschaftssystems dem Prüfer nicht nur vorenthalten, er muss es. Andernfalls macht er sich strafbar (BGH DB 1983, 1921; Viskorf DB 2005, 1929). Aus der Berufung auf die Verschwiegenheitspflicht darf die Finanzverwaltung keine Folgerungen zuungunsten des Apothekers ziehen (vgl. BFH BStBl. II 2002, 712).

Nun steht der Apotheker mit diesem Problem nicht allein. Die zur Verschwiegenheit verpflichteten Berufe, denen deshalb in den Steuergesetzen ein Auskunftsverweigerungsrecht zugebilligt wird, sind in § 102 der Abgabenordnung (AO) gelistet. Die Apotheker sind in § 102 Abs. 1 Ziffer 3 c AO aufgeführt. Dementsprechend besitzen sie ein Auskunftsverweigerungsrecht.

Notare und Steuerberater verweigern den Z 1 bereits

Betriebsprüfer berufen sich gerne auf eine Entscheidung des FG Rheinland-Pfalz vom 20. Januar 2005 (EFG 2005, 667), in der das Finanzgericht eine Bank dazu vergattert hatte, Prüfern Einsicht zu gewähren in Datensätze, die Rückschlüsse auf nach § 30 a AO geschützte Kundendaten ermöglichten. Der Hinweis auf diese Passage des Urteils sticht gegenüber Apothekern aber nicht, weil Banken im Katalog des § 102 AO nicht aufgeführt sind. Aus diesem Grund war die Entscheidung des FG Rheinland-Pfalz ebenso logisch – wie unanwendbar auf Apotheken.

Die Kammern der anderen Berufe, die in dem "Verschwiegenheitskatalog" stehen, haben teilweise an ihre Berufsangehörigen bereits Empfehlungen ausgesprochen. Sowohl die Notarkammer (Anlage 3 zum Rundschrieben Nr. 46/2001 der Bundesnotarkammer vom 13. 12. 2001 [dort ausführlich mit Zitaten unter Ziffer 3]) als auch die Steuerberaterkammer (Empfehlungen der Bundesteuerberaterkammer zum Verhalten bei der EDV-gestützten Betriebsprüfung, DStR 2002, Beihefter zu Heft 3) haben ihre Berufsangehörigen angewiesen, den Z 1 dem Betriebsprüfer zu versagen. Dem hat sich die Fachliteratur für alle Berufsgeheimnisträger angeschlossen (Stahl, KÖSDI 2005, 14535; Viskorf DB 2005, 1934). Die Begründung ist ebenso simpel wie zutreffend:

Beim Z 1 spielt der Prüfer auf der Tastatur und kann dementsprechend (auch versehentlich) datengeschützte Informationen sehen. Bereits die Möglichkeit dieses Versehens ist zu unterbinden. Der Z 1 ist deshalb bei allen Berufsarten, die im § 102 AO hinterlegt sind, für den Prüfer gesperrt!

Z 2: Worauf zu achten ist

Der Z 2 hingegen ist dem Prüfer grundsätzlich nicht zu versagen.

Hier muss der Apotheker selbst oder durch einen Angestellten sicherstellen, dass bei der Befolgung von Aufforderungen des Betriebsprüfers keine Datensätze berührt werden, die datengeschützte Informationen enthalten. Wie man rasch feststellen wird, ist das bei Warenwirtschaftssystemen extrem kompliziert. So enthält die Kassenauftragszeile kategorisch Bausteine, die dem Datenschutz unterliegen, nämlich die Verknüpfung eines Patientennamens mit einer Medikation. Hier ist dem Prüfer nicht nur der Zugriff auf die einzelne Zeile zu versagen, in der ein Patientenname steht, sondern der Zugriff auf alle Zeilen, die durch den Systemaufbau eine solche Information enthalten könnten. Dementsprechend ist das Kernstück der Apotheken-Warenwirtschaftssysteme, die Kassenauftragszeile, vom Apotheker auch beim Z 2 zwingend für die Einsicht durch den Betriebsprüfer zu sperren. Anders kann der Apotheker eine Bestrafung nach § 203 Strafgesetzbuch (StGB) gar nicht verhindern.

Ebenfalls nicht dem Zugriffsrecht beim Z 2 unterliegen Controllingdateien des Apothekers (absolut einhellige Meinung) sowie nachverarbeitende Statistiken (Stücknutzentabellen, Warenkorbstatistiken usw.).

Enthält das System (wie üblich) eine Auflistung der Tagesabschlussbons (Listing mit den kompletten Daten des entsprechenden Tagesabschlussbons), hat der Prüfer hierauf jedoch eindeutig ein Zugriffsrecht. Die Anbieter von Archivierungssystemen bei Apotheken-Software archivieren diesen Bereich heute automatisch. Die Wünsche der Prüfer gehen aber auch auf die darunter liegende Ebene, also die Kassenauftragszeile, mit dem Argument, dass ein Prüfer bei verdichteten Daten (Tagesabschlussbon) immer einen Zugriff auf die verdichteten Daten (Kassenauftragszeile) haben müsse. Hier übersehen die Prüfer gern, dass der Datenschutz mit dem Auskunftsverweigerungsrecht nach § 102 AO von den Finanzamtsanweisungen nicht aufgehoben werden kann. Der Datenschutz geht vor und sperrt die Kassenauftragszeilen, da sie Daten verknüpft enthalten, die zweifelsohne dem Datenschutz unterliegen (Patientenname mit Medikation). Unabhängig davon verletzten die Prüfer mit dem Anfor-dern der Einsichtnahme in Kassenauftragszeilen die Vorgabe, dass die digitale Betriebsprüfung keine Ausweitung des sachlichen Umfangs der Prüfung auslösen darf (BMF-Schreiben vom 16. 7. 2001, BStBl. I 2001, 415, Abschnitt 1). Bei elektronischen Kassensystemen ist die Kassenrolle (im Warenwirtschaftssystem entspricht dem die dort breiter angelegte Kassenauftragszeile) nicht aufzubewahren, wenn der Tagesabschlussbon den Vorgaben der Finanzverwaltung entspricht (BMF-Schreiben vom 9. 1. 1996 – IV A 8 – S 0310 – 5/95, BStBl. 1996 I, 34). Was nicht aufzubewahren ist, ist auch nicht zu archivieren. Was nicht archiviert werden muss, ist auch nicht den Zugriffsarten der Prüfer zu öffnen.

Z 3 erst nach Z 2

Daneben muss der Betriebsprüfer pflichtgemäßes Ermessen betätigen bei der Auswahl unter den Zugriffsarten. Beim mittelständischen Einzelhandel dürfte wegen des Verhältnismäßigkeitsgrundsatzes, der bei der Ermessensbetätigung zu beachten ist, als Startzugriff eigentlich nur der Z 3 in Betracht kommen, weil er den geringsten Eingriff in den zu prüfenden Betrieb bedeutet (vgl. Kuhsel/Kaeser, DB 2001, 1583; Burchert INF 2001, 235). Darauf sollte sich ein Apotheker auch berufen. In Apotheken kommt der Z 2 eigentlich nur nach einem Z 3 zur Verifikation in Betracht (vgl. Stahl, a. a. O. S. 14538).

Etwas Weiteres kommt hinzu:

Der Betriebsprüfer muss die Software nehmen, wie sie "steht und liegt". Er hat keinen Anspruch gegen den Apotheker darauf, dass dieser über sein Software-Haus Zusatzmodule programmieren lässt, die dem Prüfer die Arbeit leichter machen. Dem Auskunftsverweigerungsrecht des Apothekers, das sich in der Verweigerung des Zugriffs auf datengeschützte Informationszeilen im System manifestiert, kann der Prüfer also nicht entgegenhalten, dass der Apotheker sein Software-Haus beauftragen solle, die Kassenauftragszeile so umzuprogrammieren, dass die datengeschützten Informationen entfernt werden. Der dogmatische Ansatz der neuen Betriebsprüfungsvorschriften ist nämlich, dass der Prüfer nur den Blick auf die Daten erhält, den der Unternehmer selbst hat. Auch dies ist einhellige Meinung in der Fachliteratur.

Fazit

1. Der Z 1 durch einen Betriebsprüfer in der Apotheke ist aus juristischen Gründen stets zu untersagen.

2. Der Z 2 ist zwar theoretisch denkbar, unterliegt aber eben Beschränkungen aus dem Datenschutzrecht. Deshalb ist auch hier der mittelbare Zugriff auf alle Daten zu sperren, die Verknüpfungen von Patientennamen mit Medikationen enthalten. Das Controlling ist für einen Zugriff beim Z 2 komplett zu sperren, ebenso Statistiken, soweit sie nachverarbeitend sind.

3. In der Praxis spielt der Z 3 mittelfristig die tragende Rolle, weil er als einziger stets den Verhältnismäßigkeitsgrundsatz wahren kann. Das Kopieren von Datensicherungen erfüllt eine Archivierungspflicht nicht. Auch für die Archiv-CD gilt, dass dort keine einzige Datei enthalten sein darf, die die Datenschutzverpflichtung des Apothekers verletzt. Wie im Markt zu beobachten ist, programmieren die Systemanbieter von Warenwirtschaftssystemen für Apotheker auch in diese Richtung. Gleichwohl ist ein Apotheker gut beraten, sich die Archiv-CD vorsorglich hinsichtlich ihres Inhaltes anzusehen, bevor er sie einem Betriebsprüfer aushändigt. Nur er hat die strafbewehrte Einhaltung des Datenschutzes persönlich zu garantieren, nicht sein Software-Anbieter.

RA Dr. Bernhard Bellinger, Heinrich-Heine-Allee 30, 40213 Düsseldorf