Das sind die wichtigsten Antworten zum Datenschutz in der Apotheke (Teil 5)

Die EU-Datenschutzgrundverordnung ist eigentlich schon vor zwei Jahren in Kraft getreten – doch heute, am 25. Mai 2018, ist die zweijährige Übergangsfrist abgelaufen. Das heißt: Alle hatten zwei Jahre Zeit sich vorzubereiten – nun sind die Regeln scharf gestellt. Allerdings ging es einigen Unternehmen offenbar kaum anders als vielen Privatpersonen: Sie haben Unangenehmes aufgeschoben – und gerieten in den vergangenen Tagen unter Stress.

Unmittelbare Sanktionen sind nicht zu befürchten

Die Bundesbeauftragte für Datenschutz, Andrea Voßhoff, hat bereits erklärt, dass seitens der Behörden keine unmittelbare Bußgelder zu befürchten, wenn sich Betroffene nicht sogleich an die DSGVO halten. Auch die Deutschland-Vertretung der Europäischen Kommission betont in ihren aktuellen „Fragen und Antworten“ zur DSGVO, dass es zwar grundsätzlich keine Schonfrist gibt. Aber: „Sicher werden die nationalen Behörden aber auf die Verhältnismäßigkeit der Sanktionen achten“. EU-Justizkommissarin Vera Jourová geht demnach davon aus, dass sich die Datenschutzbehörden in den ersten ein, zwei Jahren darauf konzentrieren, Unternehmen zu helfen, die Regeln umzusetzen und nicht zu „Sanktionsmaschinen“ werden.

Wir hoffen, dass Ihre Apotheke vorbereitet ist – auch wenn noch immer die eine oder andere offene Frage gibt. Das zeigte unser Aufruf an unserer Leserinnen und Leser uns Fragen zur DSGVO zu schicken. Im fünften Teil geht es um Datenauftragsverarbeitung, um Löschfristen und WhatsApp. Die Antworten kommen diesmal von den Rechtsanwälten Dr. Morton Douglas und Dr. Lukas Kalkbrenner (Friedrich Graf von Westphalen & Partner Rechtsanwälte, Freiburg) sowie Dr. Timo Kieser und Svenja Buckstegge (Oppenländer Rechtsanwälte, Stuttgart).

Zunächst antworten Dr. Lukas Kalkbrenner und Dr. Morton Douglas auf Fragen zu Löschfristen, dem Verarbeitungsverzeichnis und zur Auftragsverarbeitung:

Frage: Wenn ein Kunde dies wünscht, sollen Daten sofort gelöscht werden. Dem könnten aber gesetzliche Aufbewahrungsfristen entgegenstehen. Wie ist hier zu verfahren?

Antwort: Sofern es gesetzliche Aufbewahrungspflichten und Aufbewahrungsfristen gibt, gehen diese dem Löschungsgesuch des Patienten vor. Problematisch ist allerdings der Fall, in dem die Daten, bei denen Aufbewahrungsfristen gelten, nicht so erhoben werden, dass andere Daten, bei denen diese nicht bestehen, jederzeit gelöscht werden können. So ist es zum Beispiel nicht erforderlich, Angaben zur Medikation eines Kundenkarteninhabers zusammen mit handelsrechtlich relevanten Unterlagen zehn Jahre lang aufzubewahren. Es muss gewährleistet sein, dass die handelsrechtliche Aufbewahrungspflicht auch gewahrt werden kann, wenn der Patient seine Einwilligungserklärung zur Speicherung seiner Medikation widerruft. Hier sollte bereits bei der Datenerhebung sichergestellt werden, dass die unterschiedlichen Kategorien von Daten separat und entsprechend dem jeweiligen Zweck erhoben werden.

Frage: Muss ein Verarbeitungsverzeichnis für Jedermann auf der Apotheken Homepage veröffentlicht werden?

Antwort: Nein, das sogenannte Jedermann-Verzeichnis, wie es Gegenstand des alten Bundesdatenschutzgesetzes war, gibt es nach der DS-GVO nicht mehr. Das neue Verarbeitungsverzeichnis ist nur der Behörde auf deren Verlangen vorzulegen.