Was bringt die neue EU-Datenschutz-Grundverordnung für die Apotheke?

Kalkbrenner bezeichnete die Apotheken eingangs seiner Ausführungen als „Leidtragende des strengen DS-GVO-Ansatzes“, der vor allem „Big Data“-Verwerter, wie Google, Amazon, Facebook, Apple sowie Apps und Cloud-Services im Visier habe. Dennoch seien auch die Apotheken unmittelbar betroffen, denn sie verarbeiten sensible Gesundheitsdaten, unter anderem auf der Grundlage von Einwilligungen und übermitteln (sensible) Daten an Dritte.

Zu den Gesundheitsdaten mit Personenbezug, um die es hier geht, gehörten zum Beispiel Angaben zum Medikamentenkonsum oder der Erwerb von rezeptpflichtigen oder OTC-Arzneimitteln. Als praktische Anwendungsfälle nannte Kalkbrenner die Bearbeitung eines Rezepts (Patient – Apotheke – Rechenzentrum) oder auch Kundenkarten, für die eine umfassende Einwilligungserklärung Pflicht ist.

Hinsichtlich der Verantwortlichkeiten für die Einhaltung der datenschutzrechtrechtlichen Bestimmungen in der Apotheke stellte Kalkbrenner klar: „Datenschutz ist Chefsache.“ Der „Verantwortliche“ im Sinne der Verordnung sei der Apothekenleiter. Bei Filialverbünden geht er davon aus, dass Filialleiter nicht getrennt für den Datenschutz in ihrer Abgabestelle verantwortlich sind.

Gleichwohl kommt für ihn ein Angehöriger des pharmazeutischen Personals für diese Aufgabe in Frage. Das geforderte Fachwissen des Datenschutzbeauftragten ist gesetzlich nicht genau bestimmt. Das Niveau sollte sich nach den durchgeführten Datenverarbeitungsvorgängen und dem erforderlichen Schutz für die von dem Verantwortlichen oder dem Auftragsverarbeiter verarbeiteten personenbezogenen Daten richten. Wer sich dafür entscheide, einen Externen für diese Funktion zu bestellen, sollte vermeintlich günstige „Pauschalangebote“ genau daraufhin prüfen, ob die Aufgabe regelkonform wahrgenommen werden können, denn schließlich stehe bei etwaigen Verstößen einiges auf dem Spiel, warnte Kalkbrenner.

Die Pflicht zur Führung von Verfahrensverzeichnissen zum Nachweis, dass die Vorschriften der DS-GVO eingehalten werden, ist für ihn bezüglich der Apotheken ebenfalls unstreitig. Kalkbrenner kommentierte weiterhin die Anpassung Einwilligungserklärungen, die noch nicht der neuen Verordnung entsprechen, wie etwa für Kundenkarten, sowie die Informationspflichten gegenüber den Apothekenkunden bezüglich der Datenerhebung, etwa über einen Aushang in der Apotheke und/oder einen Zusatz in der Geschäftskommunikation: „Die Grundsätze unserer Datenverarbeitung können Sie in unserer Apotheke einsehen oder unter [www.xy-apotheke.de/datenschutz]“. 

Mit der neuen Datenschutz-Grundverordnung erhalten die Behörden darüber hinaus weitergehende Befugnisse in Form von Einsichtnahmen und Hinweisen auf Verstöße. Deren „Vorboten“ seien schon jetzt spürbar, berichtete Kalkbrenner. Wer die neuen Regeln nicht einhalte, müsse mit empfindlichen Sanktionen rechnen. So drohten je nach Verstoß, empfindliche Bußgelder von bis zu vier Prozent des in Haupt- und Filialapotheken erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres. „Niemand weiß, wie heiß die Suppe gelöffelt wird, die da gerade gekocht wird“, meinte der Rechtsanwalt. DAV-Geschäftsführer Dr. Christian Rotta, der den ApothekeRechtTag moderierte, ergänzte: „Hier ist noch extrem viel im Fluss. Man sollte sich nicht verrückt machen lassen.“