Das sind die wichtigsten Antworten zum Datenschutz in der Apotheke (Teil 5)

Frage: Braucht man einen Vertrag zur Datenauftragsverarbeitung für die Genehmigungen bei Krankenkassen, die Bestellung von Kompressionsstrümpfen oder die Nutzung von Portalen zur Erstellung von individuellen Rezepturen (z.B. Taomed oder Unisan)?

Antwort: Nein, für die Erfüllung des Vertrages einschließlich der Einholung von Genehmigungen bei Krankenkassen oder der Bestellung von patientenindividuell anzufertigenden Produkten bedarf es keiner datenschutzrechtlichen Einwilligungserklärung. Dies ist Teil der Durchführung des Vertrages und insoweit ist die Verarbeitung durch Art. 6 Abs. 1 b) DS-GVO gedeckt. Diese Anbieter erbringen selbständige Leistungen in eigener datenschutzrechtlicher Verantwortung. Es ist lediglich sicherzustellen, dass sie entsprechend datenschutzkonform agieren

Von größerer Bedeutung ist in diesem Zusammenhang, dass der Apothekeninhaber gesundheitsbezogene Informationen, die Teil des Berufsgeheimnisses nach § 203 StGB darstellen, an Dritte weiterleitet, so dass hier die besonderen Vorgaben des § 203 Abs. 3 und 4 StGB zu berücksichtigen sind.

Frage: Was ist im Zusammenhang mit der Zahlung mit EC/Kreditkarten zu beachten? Müssen Anbieter von EC-Karten-Geräten eine Datenschutzerklärung abgeben oder Auftragsdatenverarbeitungsverträge zur Verfügung stellen? Muss die Apotheke hierzu etwas in ihrer eigenen Datenschutzerklärung erläutern? Wenn ja, in welchem Umfang?

Antwort: Nein, für die Erfüllung des Vertrages einschließlich des Einsatzes von Zahlungsdienstleistern bedarf es keiner datenschutzrechtlichen Einwilligungserklärung. Dies ist Teil der Durchführung des Vertrages und insoweit ist die Verarbeitung durch Art. 6 Abs. 1 b) DS-GVO gedeckt.

Frage: Was ist bei der Zusammenarbeit mit sonstigen externen Dienstleistern zu beachten, mit denen ein Datenaustausch stattfindet? Müssen etwa Verträge mit EDV-Partnern, Rezeptabrechnungsstellen oder Clearing-Stellen angepasst werden? Reicht es, wenn Auftragsverarbeiter statt eines Vertrages eine Art Verpflichtungserklärung zur Verfügung stellen?

Antwort: In diesen Fällen ist in der Regel eine Vereinbarung über die Auftragsverarbeitung nach Art. 28 DS-GVO erforderlich. Zusätzlich hierzu ist in den Fällen, in denen der Apotheker Daten weiterleitet, die dem § 203 StGB unterliegen, eine entsprechende Erklärung nach § 203 Abs. 3 und 4 StGB erforderlich.