Das sind die wichtigsten Antworten zum Datenschutz in der Apotheke (Teil 3)

Die meisten Firmen unternehmen dieser Tage sicherlich einiges, um sich auf die neuen datenschutzrechtlichen Vorgaben vorzubereiten. Ab dem 25. Mai gelten die EU-Datenschutz-Grundverordnung (DSGVO) und das neue Bundesdatenschutzgesetz. Die Regelungen betreffen nicht nur die großen „Datenkraken“ wie Amazon, Google, Facebook und Co. Kleine Unternehmen und Mittelständler sind ebenfalls gefordert – dazu gehören auch die Apotheken.

Wir haben unsere Leser kürzlich aufgerufen, uns ihre Fragen rund um die DSGVO zu stellen. Und diese erreichten uns zahlreich. Wir haben sie gebündelt und an Rechtsexperten weitergeleitet. Diesmal beantworten die Rechtsanwälte Dr. Morton Douglas und Dr. Lukas Kalkbrenner (Friedrich Graf von Westphalen & Partner mbB Rechtsanwälte, Freiburg) Ihre Fragen rund um Rezept-Faxe, Heimversorgung und Einwilligungserklärungen.

Frage: Wir beliefern ein Altenpflegeheim und bekommen von Arztpraxen Rezepte vorab als Fax zugesendet. Ebenso fordern wir Arztpraxen auf, uns Rezepte vorab zu faxen. Ist dies weiterhin möglich?

Antwort: Wir sehen hierin aus datenschutzrechtlicher Sicht keine besondere Schwierigkeit. Der Sachverhalt unterscheidet sich nicht von der gewöhnlichen Belieferung. Ob nun die Verschreibungen vom Heim abgeholt und an die Apotheke weitergeleitet werden, im Auftrag des Heims direkt in der Arztpraxis abgeholt werden oder ob zusätzlich vorab eine Übermittlung per Fax erfolgt, ist datenschutzrechtlich irrelevant. Denn in jedem dieser Fälle geht es darum, den individuellen Belieferungsvertrag zu erfüllen.

Frage: Was ist zu tun, um die reibungslose Versorgung von Heimen auch weiterhin gewährleisten zu können? Ist eine (neue) Datenschutzerklärung notwendig?

Antwort: Insoweit muss man sich den Ablauf vergegenwärtigen: Wenn der Heimbewohner von der Möglichkeit Gebrauch machen möchte, dass die Arzneimittel über die Heimversorgung in der Apotheke bezogen werden, ist Rechtsgrundlage für die in diesem Zusammenhang stattfindende Datenverarbeitung Art. 6 Abs. 1 b) DS-GVO. Danach ist die Verarbeitung von Daten rechtmäßig, die für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen. Soweit es dabei auch um Gesundheitsdaten geht, ist die Verarbeitung aufgrund von Art. 9 Abs. 2 h) DS-GVO zulässig. Grundsätzlich gilt, dass in Fällen, in denen ein gesetzlicher Erlaubnistatbestand die Datenverarbeitung legitimiert, es keiner gesonderten Einwilligung mehr bedarf.

Frage: Was bedeutet dies für die Zusammenarbeit von Heim und Apotheke?

Antwort: Sowohl das Heim als auch die Apotheke müssen ihre internen Abläufe an die DS-GVO anpassen und die entsprechende Dokumentation bereithalten. Dann ist nichts weiter zu veranlassen, da die Datenverarbeitung auf Basis der oben genannten Vorschriften zulässig ist.

Wichtig ist dabei ein Aspekt: Es bedarf keiner individuellen Einwilligungserklärung des Patienten in die Weiterleitung der Daten durch das Heim an die Apotheke. Die Einwilligungserklärung im Sinne von Art. 6 Abs. 1 a) DS-GVO hat im Anwendungsbereich der Datenschutz-Grundverordnung einen ganz anderen Zweck und wäre aus unserer Sicht sogar unzutreffend.

Frage: Darf man den Betreuern von Heimbewohnern oder Boten, die sie beliefern, Informationen über die Personen geben? Zum Beispiel: „Herr Müller muss dieses Blutdruckmittel 3xtäglich nehmen.“

Antwort: Da es sich bei dem Boten um einen Angestellten der Apotheke handelt und dieser arbeitsvertraglich dem Datengeheimnis unterworfen ist, darf der Apothekeninhaber in Erfüllung seiner vertraglichen Verpflichtung diesem auch Informationen über die belieferte Personen geben. Das gleiche gilt für den gesetzlichen Betreuer des Heimbewohners, da dieser ja für das gesundheitliche Wohl des Heimbewohners verantwortlich ist.

Frage: Braucht man eine datenschutzrechtliche Einwilligungserklärung des Patienten für Rechnungskunden? Müssen diese Rechnungen als Datenverarbeitung dokumentiert werden? Was gilt für Kinder, denen ich eine Rechnung schreibe?

Antwort: Nein, für die Erfüllung des Vertrages einschließlich der Rechnungsstellung bedarf es keiner datenschutzrechtlichen Einwilligungserklärung. Dies ist Teil der Durchführung des Vertrages und insoweit ist die Verarbeitung durch Art. 6 Abs. 1 b) DS-GVO gedeckt.

Bei Kindern ist die Rechnung stets dem Erziehungsberechtigten zuzustellen, da sie als Minderjährige ja nur mit Einwilligung der Erziehungsberechtigten Vertragspartei werden können. 

Frage: Braucht man eine besondere datenschutzrechtliche Einwilligungserklärung für Inkontinenzkunden, BtM-Dokumentation, Genehmigung von Hilfsmitteln, Genehmigung von Pflegepaketen, Kompressionsstrümpfe, Mietverträge für Milchpumpen oder Inhalationsgeräten?

Antwort: Nein, für die Erfüllung des Vertrages einschließlich der Rechnungsstellung bedarf es keiner datenschutzrechtlichen Einwilligungserklärung. Dies ist Teil der Durchführung des jeweiligen Vertrages und insoweit ist die Verarbeitung durch Art. 6 Abs. 1 b) DS-GVO gedeckt.

Frage: Für meine Kundenkarte hat jeder Patient eine Einverständniserklärung unterschrieben. Muss mir jetzt jeder Patient eine neue Einverständniserklärung unterschreiben oder reicht die bestehende aus?

Antwort: Dies hängt davon ab, ob die Einwilligungserklärung bereits den Grundsätzen der DS-GVO entsprochen hat oder nicht. Ist ersteres der Fall, bedarf es keiner neuen Einwilligungserklärung, ist letzteres der Fall, muss eine neue Einwilligungserklärung eingeholt werden.