Der Datenschutzbeauftragte in der Apotheke

 

Warum ist Datenschutz ein Thema für Ihre Apotheke und was gibt es zum Thema Datenschutz zu beachten?
Auf diese Fragen erhalten Sie im folgenden Antwort. Wenn Sie weitere Fragen haben, so teilen Sie mir dies bitte mit. Gerne werde ich Ihre Anregungen mit aufnehmen!

 

Einleitung
Was ist eine "automatisierte" Verarbeitung?
Was ist ein Datenschutzbeauftragter?
Ab wann muss eine Apotheke einen Datenschutzbeauftragten bestellen?
Wer kann Datenschutzbeauftragter werden?
Vorteile einer Bestellung
Hilfreiche Links

 

Einleitung

Für Apotheken gelten eine Vielzahl gesetzlicher Vorschriften, insbesondere auch Regelungen aus dem Bereich des Datenschutzrechts. Dies sind einerseits Regelungen bezüglich der inhaltlichen Verarbeitung personenbezogener Daten, wie sie z.B. im SGB V geregelt sind. Daneben gelten andererseits aber auch die Vorschriften des Bundesdatenschutzgesetzes (BDSG).

Eine häufig nicht gesehene, falsch interpretierte oder auch schlicht ignorierte Vorschrift aus den BDSG ist § 4 f BDSG. Hiernach sind auch Apotheken, bei denen eine automatisierte Datenverarbeitung personenbezogener Daten durch mehr als neun ständig beschäftigte Personen erfolgt, verpflichtet, einen Beauftragten für den Datenschutz zu bestellen. Personenbezogene Daten sind nach dem BDSG Einzelangaben zu persönlichen oder sachlichen Verhältnissen einer natürlichen Person.

 

Was ist eine "automatisierte" Verarbeitung?

§ 4 f stellt bezüglich der Personengrenze, ab der ein Beauftragter für den Datenschutz zu bestellen ist, auf die Verarbeitungsform ab. Es müssen mehr als neun Personen ständig mit der automatisierten Verarbeitung beschäftigt sein. Automatisierte Datenverarbeitung ist die automatisierte Erhebung, Verarbeitung und Nutzung personenbezogener Daten. Damit ist nicht gemeint, dass es sich um einen vollautomatischen Prozess handeln muss. Ausreichend ist auch eine teilweise automatisierte Verwendung mittels EDV. Ein Beispiel einer automatisierten Verarbeitung ist beispielsweise die Speicherung von Daten beim Verkauf von Arzneimitteln durch ein EDV-Gestütztes Kassensystem. Aber auch bei einer nicht automatisierten Verarbeitung von personenbezogenen Daten ist ein DSB zu bestellen, wenn mindestens zwanzig Personen damit beschäftigt werden. Es reicht jedoch aus, wenn 20 Personen zumindest gelegentlich Verarbeitungsaufgaben erfüllen. Es kommt nicht auf den Umfang an, in welchem ein Beschäftigter mit der Datenverarbeitung betraut ist, d.h. Teilzeitbeschäftigte werden vollständig berücksichtigt.

 

Was ist ein Datenschutzbeauftragter?

Der Beauftragter für den Datenschutz ist nach der Intention des Gesetzgebers neben der Aufsichtsbehörden verantwortlich dafür, dass der Datenschutz im Rahmen der innerbetrieblichen Selbstkontrolle gewährleistet wird. Datenschutzbeauftragter kann ein Mitarbeiter des Unternehmens oder eine extern bestellte Person sein. Der Beauftragte für den Datenschutz hat nach den Regelungen des Bundesdatenschutzgesetzes auf die Einhaltung der Datenschutzgesetze hinzuwirken. Hierbei hat er die ordnungsgemäße Anwendung der Datenverarbeitungsprogramme, mit deren Hilfe personenbezogene Daten verarbeitet werden sollen, zu überwachen.

Eine seiner weitere Aufgabe ist es, die mit der Verarbeitung personenbezogener Daten beschäftigten Personen durch geeignete Maßnahmen mit den Vorschriften dieses Gesetzes sowie anderen Vorschriften über den Datenschutz und mit den jeweiligen besonderen Erfordernissen des Datenschutzes vertraut zu machen.

Der Datenschutzbeauftragte muss die erforderliche Fachkunde und Zuverlässigkeit besitzen. Ein fachkundiger Datenschutzbeauftragter wird neben verschiedenen anderen Fähigkeiten wie einschlägiger Berufserfahrung und Führungs- und Überzeugungskraft vor allem rechtliche und EDV-Technische Kenntnisse im Bereich des Datenschutzes und der IT-Sicherheit haben.

Darüber hinaus ist der Datenschutzbeauftragte der Geschäftsleitung direkt zu unterstellen und bei der Ausübung seiner Fachkunde auf dem Gebiet des Datenschutzes weisungsfrei zu stellen. Ihm sind insbesondere, soweit dies zur Erfüllung seiner Aufgaben erforderlich ist, Hilfspersonal sowie Räume, Einrichtungen, Geräte und Mittel zur Verfügung zu stellen. Dies wird vor allem dann relevant, wenn ein interner Datenschutzbeauftragter benannt wird.

Nicht jeder Person darf zum Datenschutzbeauftragten bestellt werden. Insbesondere bei der eigenen Geschäftsleitung, dem EDV-Leiter und dem Personalverantwortlichen geht man in der Regel davon aus, dass ein Interessenkonflikt besteht.

 

Ab wann muss eine Apotheke einen Datenschutzbeauftragten bestellen?

Apotheken, bei denen eine automatisierte Datenverarbeitung personenbezogener Daten ständig durch mehr als neun Personen (Geschäftsführung, freie Mitarbeiter etc. zählen mit) erfolgt, müssen einen DSB haben. Ausreichend für eine automatisierte Verarbeitung ist z.B. die automatisierte Erhebung oder die automatisierte Übermittlung von personenbezogenen Daten.

Alle Unternehmen, die Verarbeitungen vornehmen, die der Vorabkontrolle unterliegen oder die personenbezogene Daten geschäftsmäßig zum Zwecke der Übermittlung  oder der anonymisierten Übermittlung automatisiert verarbeiten, haben unabhängig von der Anzahl der hiermit beschäftigten Personen einen Datenschutzbeauftragten zu bestellen. Bezogen auf Apotheken könnte das dann der Fall sein, wenn Gesundheitsdaten nicht ausschließlich zur Erfüllung der Rezept oder Vertragsabwicklung genutzt werden sollen (vgl. § 4 d Abs.5 BDSG).

Wer kann Datenschutzbeauftragter werden?

Grundsätzlich kann jeder Datenschutzbeauftragter werden, der die erforderliche Fachkunde und Zuverlässigkeit besitzt und bei dem keine Interessenkollision vorliegt. Eine bestellte Person, die nicht die erforderliche Fachkunde aufweist, ist nicht wirksam bestellt, auch wenn die vorgeschriebene Schriftform eingehalten wurde. Bei internen Datenschutzbeauftragten muss die erforderlich Fachkunden in einem überschaubaren Zeitrahmen durch Seminare und Fachzeitschriften erworben werden.

Durch das „Erste Gesetz zum Abbau bürokratischer Hemmnisse insbesondere der mittelständischen Wirtschaft“ vom 26.08.2006 wird nunmehr ausdrücklich klargestellt, dass auch Amts- und Berufsgeheimnisträger wie Ärzte und Rechtsanwälte und Steuerberater einen externen Datenschutzbeauftragten bestellen können. Die Kontrollbefugnis des Beauftragten für den Datenschutz erstreckt sich nach § 4 f Abs. 2 nun auch auf personenbezogenen Daten, die einem Berufs- oder besonderen Amtsgeheimnis unterliegen. Bisher war dies streitig, da ohne die Neuregelung bei einem Zugriff auf die oben genannten Daten eine unbefugte Offenbarung im Sinne des § 203 StGB hätte vorliegen können. Als weitere Folge der Neuregelung ist der Geheimnisverrat von „fremden Geheimnissen“ durch den DSB nun in § 203 Abs. 2a StGB auch für den DSB unter Strafe gestellt worden. In § 4f Abs. 4a BDSG ist darüber hinaus ein Zeugnisverweigerungsrecht für Informationen der Berufsgeheimnisträger, welche dem DSB zur Kenntnis kommen, auch für den DSB und seine Hilfspersonen eingeführt worden.
 

Vorteile einer Bestellung

Durch die Bestellung eines DSB erfüllen Sie die gesetzlichen Verpflichtungen des BDSG. Gesetzeskonformität minimiert wirtschaftliche Risiken z.B. durch Ordnungswidrigkeitsverfahren oder Schadensersatzansprüche von Kunden. Signalisieren Sie Ihren Kunden gleichzeitig Ihre Professionalität. Sofern Sie die sonstigen gesetzlichen Auflagen im Bereich Datenschutz auch umsetzen wollen, handelt es sich um die wirtschaftlichste Lösung. Know How, Objektivität und Kompetenz sind immer gewährleistet, gegenüber den Aufsichtsbehörde entsteht daher kein Rechtfertigungszwang. Auch arbeitsrechtliche Aspekte sind zu beachten, ein interner Datenschutzbeauftragter kann nur in Ausnahmefällen entlassen werden, bei einem externen DSB kann hingegen eine feste Laufzeit (z.B. von drei Jahren) vereinbart werden kann.

Hilfreiche Links

Betriebliche Datenschutzbeauftragte in Apotheken (Internetartikel vom ULD)

Datenschutzbeauftragter in Apotheken (Internetartikel der Landesapothekerkammer Baden-Württemberg)