Das sind die wichtigsten Antworten zum Datenschutz in der Apotheke (Teil 6)

Die EU-Datenschutz-Grundverordnung (DSGVO) und das neue Bundesdatenschutzgesetz (BDSG) sind seit dem heutigen Freitag scharf gestellt. Für die Apotheken bedeutet das so manche Umstellung. Dass dabei noch Fragen offen sind, zeigte der rege Zuspruch unserer Leser zu unserer DSGVO-Experten-Befragung. Hier lesen sie nun den sechsten und letzten Teil dieser DAZ.online-Serie. Er steht ganz im Zeichen der Videokamera(überwachung). Dr. Bettina Mecking, Justiziarin und stellvertretende Geschäftsführerin der Apothekerkammer Nordrhein, gibt Antworten auf die Fragen unserer Leser.

Frage: Nach einigen Diebstählen und Wechselgeldbetrügereien machen wir Videoaufnahmen im Kassenbereich. Die Aufnahmen sind so, dass man nichts auf dem Rezept lesen kann, auch keinen Präparatenamen auf einer Schachtel. Was muss ich tun, um diese Aufnahmen datenschutzrechtlich korrekt fortsetzen zu können? 

Antwort: Der neue § 4 BDSG enthält – anders als die DSGVO selbst – eine spezielle Regelung zur Videoüberwachung öffentlich zugänglicher Räume. Diese darf wie bisher etwa zur Wahrnehmung des Hausrechts oder berechtigter Interessen für konkret festgelegte Zwecke erfolgen.

Dabei ist Folgendes zu beachten:

• Die Videoüberwachung muss für die Zwecke erforderlich sein und die Interessen der Betroffenen dürfen nicht überwiegen. Stets unzulässig dürften Überwachungen in sensiblen Bereichen wie Sanitäranlagen oder Umkleiden sein.
• Es sind nur die zur Zweckerreichung erforderlichen Mittel einzusetzen. So kann die Videoüberwachung z. B. auf bestimmte Zeitfenster oder Bereiche zu beschränken sein, wenn dies für die Erfüllung des Zwecks genügt. Der Zweck bestimmt die erforderlichen Mittel.

Kunden, die durch Vorlage von Rezepten sensible Daten preisgeben, dürfen nicht in ihrem Recht auf informationelle Selbstbestimmung verletzt werden. Personenbezogene Daten werden zwar in einer Apotheke zwangsläufig erhoben, aber durch die Videoüberwachung darüber hinaus für eigene Zwecke automatisiert verarbeitet. Hier ist besondere Vorsicht geboten.

Eine abstrakte Gefährdungslage ist dann begründbar, wenn eine Situation gegeben ist, die nach der allgemeinen Lebenserfahrung typischerweise gefährlich ist. Insoweit können schwer einsehbare Geschäftsräume als potenziell gefährdet für Vermögensdelikte eingestuft werden. Gleiches gilt für Apotheken, die in Gegenden mit hoher Kriminalitätsdichte liegen.

Eine Videoüberwachung in einer Apotheke ist grundsätzlich erlaubt und darf auch den öffentlichen Kundenbereich erfassen, wenn hierfür sachliche Gründe bestehen (OVG Saarlouis, Urt. v. 12.12.2017 - Az.: 2 A 662/17).

Auch Art. 6 Abs. 1 lit. f) DSGVO ist einschlägig. Dieser besagt, dass die Verarbeitung personenbezogener Daten nur dann zulässig ist, wenn sie zur Wahrung berechtigter Interessen erforderlich ist, zum Beispiel wegen Diebstählen und Wechselgeldbetrügereien, sofern nicht die Interessen oder Grundfreiheiten des Betroffenen überwiegen. Auch hier ist letztlich eine Interessenabwägung erforderlich.

Bislang ist man davon ausgegangen, dass ab dem 25. Mai 2018 vor einer „systematischen umfangreichen Überwachung öffentlich zugänglicher Bereiche“ wie der Videoüberwachung einer Apotheke eine Datenschutz-Folgenabschätzung notwendig ist (Art. 35 Abs. 3 lit. c) DSGVO).

Das Bayerische Landesamt für Datenschutzaufsicht hat sich Ende April 2018 gegenüber dem Bayerischen Apothekerverband zu der Frage der Notwendigkeit einer Folgenabschätzung bei den üblichen kleinflächigen Videoaufnahmen gemäß Art. 35 DSGVO in der Apotheke und der damit einhergehenden Pflicht zur Benennung eines Datenschutzbeauftragten gemäß dem neuen § 38 Abs. 1 BDSG positioniert. Es sieht entgegen einiger Stimmen in der Literatur keine Notwendigkeit für eine Folgenabschätzung bei einer Videoüberwachung in Apotheken. Die gleiche Position hat auch der Sächsische Landesdatenschutzbeauftragte gegenüber einer anfragenden Apotheke vertreten. Die Position aus Bayern und Sachsen gibt eine praxistaugliche und eine die Apotheken entlastende Tendenz vor. Derzeit befindet sich die Datenschutzkonferenz in dieser Frage noch in der Abstimmungsphase, ein Beschluss soll bald veröffentlicht werden.

Das bedeutet zugleich: Es kommt immer auf die Umstände des Einzelfalles an. Schubladendenken und die Suche nach Standardfällen und „Schema F“ helfen im Datenschutzrecht nicht weiter.

Hinweispflichten beachten

§ 4 Abs. 2 bis 4 BDSG regelt schließlich die Erkennbarkeit der Videoüberwachung, die weitere Verarbeitung, die Informationspflichten und die Löschpflichten. Selbstverständlich sind auch hier die weiteren Datenschutzgrundsätze einschließlich Datenminimierung, Datenrichtigkeit, Speicherbegrenzung und Datensicherheitskonzepte zu beachten. Bei der Speicherung der Daten in einer externen Cloud ist an einen Vertrag zur Auftragsdatenverarbeitung zu denken.

Beachtet werden müssen auch die gesetzlichen Hinweispflichten. Anders als früher genügt ein Piktogramm nach DIN 33450 nicht mehr den gesetzlichen Anforderungen. Vielmehr sind nun mindestens Angaben zur verantwortlichen Person erforderlich. Der Hinweis ist deutlich sichtbar anzubringen. Was deutlich sichtbar ist, hängt von der Größe und Gestaltung des Hinweises, aber auch vom Umfeld und dem Hintergrund ab. Er ist etwa in Augenhöhe anzubringen, sodass Betroffene vor dem Betreten des überwachten Bereichs den Umstand der Beobachtung unter normalem Blickwinkel erkennen können. Betroffene müssen einschätzen können, welcher Bereich von einer Kamera erfasst wird, damit sie in die Lage versetzt werden, gegebenenfalls der Überwachung auszuweichen oder ihr Verhalten anzupassen. Außerdem muss die für die Datenverarbeitung verantwortliche Stelle erkennbar sein, das heißt, wer genau die Videodaten erhebt, verarbeitet oder nutzt. Entscheidend ist dabei, dass für die Betroffenen problemlos feststellbar ist, an wen sie sich bezüglich der Wahrung ihrer Rechte ggf. wenden können. Daher ist die verantwortliche Stelle grundsätzlich mit ihren Kontaktdaten (im Regelfall Name und Anschrift) explizit auf dem Hinweisschild zu nennen. Übrigens: Ein noch so schönes Hinweisschild führt nicht zur Zulässigkeit einer ansonsten rechtswidrigen Videoüberwachung. Die Betreiber einer Videoüberwachung tun angesichts einer zunehmenden Sensibilisierung in der Bevölkerung gut daran, ihr bestehendes System einer datenschutzrechtlichen Prüfung zu unterwerfen.

Neben dem Zweckbindungsgrundsatz spielt im Datenschutzrecht der Erforderlichkeitsgrundsatz eine entscheidende Rolle: Durch die Datenerhebung und Datenverarbeitung darf in den Persönlichkeitsbereich der Betroffenen nur insoweit eingegriffen werden, als dies unerlässlich ist, um den rechtmäßigen Zweck der Datenverarbeitung zu erreichen. Nach Art. 5 Abs. 1 Buchst. c DSGVO müssen „personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein“. Die Videoüberwachung des HV-Tisches bleibt vieldiskutiert. Sofern dort aber keine Nahaufnahmen stattfinden, dürfte die Situation entschärft sein.

Frage: Gilt etwas anderes, wenn die Videoüberwachung im Verkaufsraum nur kurzzeitig gespeichert werden soll?

Antwort: § 4 BDSG unterscheidet nicht ausdrücklich zwischen einer kurzzeitigen oder längerfristigen Speicherung. Vielmehr müssen Daten nach § 4 Abs. 5 BDSG unverzüglich gelöscht werden, wenn sie zur Erreichung des Zwecks nicht mehr erforderlich sind oder schutzwürdige Interessen der Betroffenen einer weiteren Speicherung entgegenstehen.

Und was ist mit Videokameras, die lediglich im Büro anzeigen, dass Kunden in den Verkaufsraum gekommen sind? Hier wird nichts aufgezeichnet und es ist auch kein PC angeschlossen. 

Antwort: Hier stellt sich die Frage, ob die neue Vorschrift zur Videoüberwachung in § 4 BDSG überhaupt einschlägig ist.

Teilweise wird auf den Wortlaut der Vorschrift abgestellt. Hier ist von „Beobachtung“ die Rede. § 4 BDSG stelle eine Ausnahmeregelung dar, deren Anwendung keine Verarbeitung personenbezogener Daten erfordere. Eine andere Auffassung geht davon aus, dass § 4 BDSG nur anwendbar ist, wenn personenbezogene Daten auch verarbeitet werden. Das BDSG sei nach § 1 Abs.1 BDSG überhaupt nur bei Vorliegen einer Verarbeitung anwendbar. Die bloße Beobachtung stelle gerade noch keinen Vorgang der Verarbeitung personenbezogener Daten dar.

Die letztgenannte Auffassung wird durch eine Gesamtschau der Vorschrift im Kontext des BDSG gestützt. Es spricht also viel dafür, dass beim bloßen Beobachten der Apothekenräume keine personenbezogenen Daten im Sinne des neuen BDSG erhoben oder erfasst werden.

Was gilt im Hinblick auf den Datenschutzbeauftragten, wenn in der Apotheke nur fünf Personen beschäftigt sind?

Antwort: Bislang ist man davon ausgegangen, dass bei einer Videoüberwachung in Apotheken eine Datenschutzfolgenabschätzung erforderlich ist, welche wiederum auch in kleinen Betrieben einen Datenschutzbeauftragten erfordert. Das bedeutete: Wer überwacht, sollte – unabhängig von der Mitarbeiterzahl auch dann einen Datenschutzbeauftragten bestellen, wenn die 10-Personengrenze zwar nicht erreicht wird, aber die Datenverarbeitung besonders risikoreich ist und daher einer Datenschutzfolgenabschätzung unterliegt. Da die Tendenz (wie vorbeschrieben) nun dahin zu gehen scheint, dass bei einer Videoüberwachung nicht automatisch auch eine Datenschutzfolgenabschätzung erforderlich ist, dürfte sich das Thema einstweilen erledigt haben.