Innenministerium Bayern: Apotheken brauchen keinen Datenschutzbeauftragten

Seit dem 25. Mai 2018 ist die neue Datenschutzgrundverordnung (DSGVO) scharf geschaltet. Am gleichen Tag trat auch das neu gefasste Bundesdatenschutzgesetz (BDSG) in Kraft. Auch für Apotheker enthalten die neuen Datenschutzregeln viele wichtige Neuerungen: Kurz vor Inkrafttreten der DSGVO hatte DAZ.online seinen Leserinnen und Lesern die Möglichkeit gegeben, Datenschutz-Experten Fragen zur Umsetzung der Regulierungen zu stellen. Innerhalb weniger Tage gingen zahlreiche Mails ein – es ging unter anderem um den Datenschutzbeauftragten, Botendienste, die Rezeptübermittlung und Videoüberwachung.

Vor und nach dem Inkrafttreten der neuen Datenschutzregeln wurde heftig darüber diskutiert, wie streng sie ausgelegt und (bei Nichteinhaltung) sanktioniert werden sollen. Für die Kontrolle der Umsetzung sind die Datenschutzbehörden der Länder zuständig. Noch kurz vor dem Inkrafttreten der DSGVO hatten sich die Behörden in Düsseldorf getroffen, um mit Blick auf Apotheken und Arztpraxen einen wichtigen Punkt zu besprechen: die Bestellung eines Datenschutzbeauftragten. Zur Erinnerung: § 38 BDSG-neu gibt vor, dass der Verantwortliche – im Fall einer Apotheke ist dies der Inhaber der Betriebserlaubnis – einen Datenschutzbeauftragten benennt, soweit er „in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten“ beschäftigt.

Datenschutzbehörden: Ein Beauftragter nur in größeren Apotheken

Bei ihrem Treffen in Düsseldorf legten die Datenschutzbehörden fest, wie sie die neuen Vorgaben in Sachen Datenschutzbeauftragter in Apotheken auslegen wollen: „Betreibt ein einzelner Arzt, Apotheker oder sonstiger Angehöriger eines Gesundheitsberufs eine Praxis, Apotheke oder ein Gesundheitsberufsunternehmen und sind dort einschließlich seiner Person in der Regel mindestens 10 Personen ständig mit der Verarbeitung personenbezogener Daten beschäftigt, besteht eine gesetzliche Verpflichtung zur Benennung eines Datenschutzbeauftragten (DSB).“

Doch der Freistaat Bayern will nun (zumindest politisch) einen anderen Weg gehen. Im Juli beschloss die Landesregierung eine Klarstellung zur neuen DSGVO mit dem Namen „Der Bayerische Weg zu einer bürgernahen und mittelstandsfreundlichen Anwendung“. Den Charakter eines Gesetzes oder einer Verordnung hat dieser „bayerische Weg“ nicht – vielmehr klingt er wie eine Interpretation der auf Bundesebene beschlossenen neuen Datenschutz-Grundsätze. In der Klarstellung macht die bayerische Landesregierung deutlich, dass sie auf eine „mittelstandsfreundliche Anwendung des Datenschutzrechtes“ beharre. Die Anwendung müsse „sachgerecht“ und „mit Augenmaß“ erfolgen.

Konkret fordert die Landesregierung in ihrem Beschluss, dass Vereine und Musikkapellen keinen Datenschutzbeauftragten bestellen müssen. Von Apotheken ist an dieser Stelle (noch) nicht die Rede. Gleichzeitig dürfe es grundsätzlich keine Bußgelder bei einem Erstverstoß geben. Die von „Abmahnanwälten“ angekündigten Klagen wolle man nicht hinnehmen. Außerdem müssten weitere Bereiche identifiziert werden, in denen das neue Datenschutzrecht „mit Augenmaß“ ausgelegt werden müsse.

Auf Nachfrage von DAZ.online stellt das bayerische Ministerium nun aber klar, dass auch Apotheken im Freistaat von diesen Sonderregelungen betroffen sein sollen. Was die Bestellung eines Datenschutzbeauftragten betrifft, erklärt ein Sprecher von Innenminister Joachim Herrmann (CSU):

Zur Erklärung fügte das Ministerium an:

Bayern widersprechen der Bundesregierung

Damit widerspricht das bayerische Innenministerium nicht nur dem oben genannten Beschluss der Landesdatenschutzbehörden, sondern auch der Bundesregierung. Die hatte auf eine Anfrage der FDP-Bundestagsfraktion nämlich klargestellt: Ein Datenschutzbeauftragter ist eigentlich sogar bei weniger als zehn Mitarbeitern zu bestellen, wenn eine „umfangreiche“ Datenverarbeitung im Sinne einer „Kerntätigkeit“ stattfindet oder eine Datenschutz-Folgeabschätzung nötig ist. Da dies aber in Apotheken nicht der Fall sei, könne zumindest in kleineren Betrieben davon abgesehen werden.

Und auch die Datenschutzexperten Dr. Timo Kieser und Svenja Buckstegge (Oppenländer Rechtsanwälte Stuttgart) erklärten in der Fragen-Antwort-Serie auf DAZ.online: „Nach § 38 Abs. 1 BDSG neu ist ein Datenschutzbeauftragter notwendig, wenn in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. (…)Nach Art. 37 Abs. 1 c DSGVO ist aber unabhängig von der 10­-Personen­Schwelle ein Datenschutzbeauftragter zu benennen, wenn die Kerntätigkeit in der umfangreichen Verarbeitung von Gesundheitsdaten besteht.“

Doch damit nicht genug. Das bayerische Innenministerium erklärte gegenüber DAZ.online, dass die Apotheker noch in weiteren Punkten nicht mit einer strengen Auslegung der DSGVO zu rechnen haben – etwa bei den Sanktionen. Zwar sei jeder Datenschutz-Verstoß ein „rechtswidriger Zustand“. Aber: „Bei einem auf Unkenntnis beruhenden Erstverstoß soll aber auch bei Selbständigen und damit bei Apothekern Beratung Vorrang vor Sanktionen haben.“ Des Weiteren stellt das Ministerium klar, dass man auch „zunehmende Abmahnrisiken“ vermeiden will. Diesbezüglich habe der Freistaat bereits eine Initiative im Bundesrat eingebracht, die vorsieht, dass datenschutzrechtliche Verstöße generell aus dem Anwendungsbereich des Gesetzes gegen unlauteren Wettbewerb (UWG) herausgenommen werden und das Verbandsklagerecht allein auf anerkannte Verbraucherschutzverbände beschränkt wird.

Wie im Beschluss angekündigt, will die Landesregierung nun bald mit den mittelständischen Berufsgruppen ins Gespräch darüber kommen, welche Umsetzungsprobleme bei der DSGVO noch entstehen könnten. Dazu wolle man auch der Landesapothekerkammer Bayern nach der Sommerpause Gespräche anbieten. „Diese Schritte sollen insgesamt dazu dienen, noch verbliebene nationale Regelungsspielräume für eine bürgernahe und mittelstandsfreundliche Umsetzung der DSGVO in der Praxis zu nutzen und die Chancen der EU-Datenschutzreform für die Digitalisierung in Bayern auszuschöpfen“, so der Ministeriumssprecher.

Landesdatenschutzbeauftragter Petri: Amtsführung der Datenschutzbehörde davon unberührt

Auch beim bayerischen Landesdatenschutzbeauftragten, Prof. Thomas Petri, hat DAZ.online nachgefragt. Wie ist der Beschluss der Landesregierung zu interpretieren? Petri erklärte: „Dazu möchte ich festhalten, dass der Beschluss die unabhängige Amtsführung der beiden bayerischen Datenschutzbehörden nicht berühren kann und vermutlich auch nicht will. Der Beschluss dient wohl in erster Linie dazu, den Mittelstand zu beruhigen.“