Welche Daten dürfen Apotheken wie lange speichern?

Die Vorwürfe gegen den Software-Hersteller ADG klingen schwerwiegend: In einem am 20. Dezember 2018 auf „sueddeutsche.de“ veröffentlichten Artikel hält eine Apothekerin aus München dem Warenwirtschaftssystem-Anbieter vor, die eingesetzte Software speichere zum einen viel mehr als sie sollte, zum anderen sei einem Löschauftrag seitens der Apotheke an ADG, der im Zusammenhang mit der Veräußerung der Apotheke ergangen sei, nicht hinreichend Rechnung getragen worden.

Beide Vorwürfe werfen, über den konkreten Sachverhalt hinaus, der vollständig sicher nur den unmittelbar Beteiligten bekannt ist, komplexe datenschutzrechtliche Fragen auf. Diese betreffen zum einen die allgemeine Frage, welche Daten durch Apotheken gespeichert werden dürfen und zum anderen das konkrete Schicksal dieser Daten im Falle der Übergabe einer Apotheke.

Bei dem Verdacht, der in dem Artikel nahegelegt wird, dass Daten von Millionen Menschen unzulässig mit Hilfe der ADG-Software von Apotheken gespeichert würden, ist zunächst zu differenzieren. So bestehen nicht nur – worauf der Anbieter in einer Stellungnahme zutreffend hinweist – zahlreiche gesetzliche Aufbewahrungspflichten für Apotheken, sondern sind darüber hinaus weitere legitime, gesetzlich nicht explizit verankerte Gründe vorstellbar, die einer Speicherung von Patientendaten nicht per se entgegenstehen.

Denn die Verarbeitung von Gesundheitsdaten durch Apotheken dient sowohl der „Behandlung im Gesundheitsbereich“ als auch der „Gesundheitsvorsorge“ und ist damit gemäß Art. 9 Abs. 2 lit. h DS-GVO beziehungsweise § 22 Abs. 1 Nr. 1 lit. a BDSG gesetzlich privilegiert. Mit anderen Worten: Soweit Datenverarbeitungen zu diesen Zwecken „erforderlich“ sind, sind sie – auch ohne Einwilligung der betroffenen Patienten – zulässig. Bei der Bestimmung der Erforderlichkeit ist zu berücksichtigen, dass der Begriff der „Behandlung“ weit auszulegen ist und auch präventive oder nachsorgende Maßnahmen erfasst (Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 1. Aufl. 2019, Art. 9 DS-GVO Rdnr. 83, m.w.N.). Die „Gesundheitsvorsorge“ dient ausweislich des 53. Erwägungsgrundes der DS-GVO sogar ausdrücklich auch „der Sicherstellung und Überwachung der Gesundheit und Gesundheitswarnungen“.

Vor diesem Hintergrund ist es nicht von vorneherein unzulässig, wenn eine Apotheke (auch sensible) Daten von Patienten ohne deren Einwilligung speichert. Insoweit kann die Speicherung eines Rezept-Scans der Feststellung von Wechselwirkungen und Kontraindikationen zu künftigen Verschreibungen dienen. Vor allem aber kann der Apotheker aus eigenem Interesse im Rahmen der Durchführung der Arzneimittellieferung berechtigt sein, diese Daten zu speichern, etwa zur Abwehr von Retaxationen durch die Krankenkasse. So können Rezept-Scans mindestens so lange gespeichert werden, bis derartige Retaxationen ausgeschlossen sind. Derartige Erwägungen führen zwar nicht zur Zulässigkeit der grenzenlosen Speicherung sämtlicher Patientendaten – gleichwohl eröffnen sie im Lichte der insoweit vagen Vorgaben der DS-GVO einen signifikanten Argumentationsspielraum. Die Festlegung des angemessenen Speicherumfangs und der angemessenen Speicherdauer obliegt dabei der speichernden Apotheke.