Braucht jede Apotheke einen Datenschutzbeauftragten?

Die rechtlichen Grundlagen für den Datenschutzbeauftragten finden sich künftig an zwei Stellen. Zum einen in der unmittelbar in allen EU-Mitgliedstaaten geltenden EU-Datenschutzgrundverordnung (DSGVO), zum anderen im neu gefassten Bundesdatenschutzgesetz (BDSG). Beide Regelwerke werden zum 25. Mai in Kraft treten.

§ 38 BDSG-neu gibt vor, dass der Verantwortliche – im Fall einer Apotheke ist dies der Inhaber der Betriebserlaubnis – einen Datenschutzbeauftragten benennt, soweit er „in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten“ beschäftigt. Eine entsprechende Regelung gibt es auch im jetzt noch geltenden Bundesdatenschutzgesetz. Zu zählen sind alle Apotheken-Mitarbeiter, die auf die automatisierte Datenverarbeitung zugreifen, nicht aber zum Beispiel Reinigungspersonal. Entscheidend sind dabei die Köpfe und nicht, ob die Personen teil- oder vollzeitbeschäftigt sind. Hat eine Apotheke mehrere Filialen, sind die Mitarbeiter aller Filialen mitzuzählen.

Hinzu kommt nun Art. 37 DSGVO. Dieser schreibt vor, dass der Verantwortliche „auf jeden Fall einen Datenschutzbeauftragten“ benennt, wenn seine „Kerntätigkeit“ in der „umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9“ besteht. In eine solche besondere Kategorie von Daten fallen unter anderem Gesundheitsdaten – sie dürfen nur unter bestimmten Voraussetzungen verarbeitet werden. Bei Apotheken sind dies insbesondere Rezeptdaten.