Source: https://www.spiritlegal.com/de/externer-datenschutzbeauftragter-fuer-apotheken.html
Timestamp: 2020-07-02 18:27:15+00:00

Document:
Externer Datenschutzbeauftragter für Apotheken - SPIRIT LEGAL Fuhrmann Hense Partnerschaft von Rechtsanwälten
Externer Datenschutzbeauftragter für Apotheken
Externer Datenschutzbeauftragter auf Rezept: die Rechtsanwälte von Spirit Legal
Fluch und Segen: Warum brauchen Apotheken einen Datenschutzbeauftragten (DSB)?
Gesetzliche Verpflichtung für Apotheken nach 4 f Abs. 1 BDSG: Werden personenbezogene Daten (zum Beispiel Kunden- und Mitarbeiterdaten) automatisiert verarbeitet, haben Sie als Apotheke einen Beauftragten für den Datenschutz zu bestellen (ab 10 Mitarbeitern).
Videoüberwachung: Die Videoüberwachung bedarf einer „Vorabkontrolle“, sodass Apotheken mit Videoüberwachung oder Sensortechnik immer einen Datenschutzbeauftragten benötigen.
Zertifizierung nach DIN EN ISO 9001:2015: Eine solche Zertifizierung
erhöht die eigenen Marktchancen, da ein QM-System die Kundenzufriedenheit optimiert,
dient dem Ausbau strategischer Erfolgsfaktoren, denn eine Qualitätsmanagement-System stellt einen Imagegewinn dar, indem das Unternehmen sein Qualitätsstreben nachweist,
steigert die Produktivität, indem Prozesse verbessert werden,
steigert letztlich die Gewinne, indem aufgezeigte Potentiale genutzt werden.
Voraussetzung der Zertifizierung: Bestellung eines Datenschutzbeauftragten.
Sensible Daten: In Apotheken werden große Mengen von Gesundheitsdaten verarbeitet. Der (externe) Datenschutzbeauftragte hilft bei der Sicherung dieser Daten und beim Aufbau von Kontrollmechanismen.
Vertrauensgewinn: Beratung zu Gesundheitsfragen ist Vertrauenssache. Durch die Benennung eines qualifizierten Datenschutzbeauftragten signalisieren Sie gegenüber Kunden und Vertragspartnern, dass Ihnen IT-Sicherheit und Datenschutz ein besonderes Anliegen sind.
Erfahrung im Umgang mit Aufsichtsbehörden: Stellt die Aufsichtsbehörde einen Verstoß fest, kann sie die zuständige Aufsichtsbehörde informieren sowie Zuwiderhandlungen mit schmerzhaften Bußgeldern belegen, § 43 BDSG, künftig Art. 83 DSGVO
Unsere Leistungen als externer Datenschutzbeauftragter für Apotheken auf einen Blick
Mitarbeiter, die in Ihrem Unternehmen, mit personenbezogenen Daten arbeiten, werden von den Rechtsanwältinnen und Rechtsanwälten von Spirit Legal fachkundig und praxisbezogen geschult. In den Seminaren, die wir bundesweit auch In-house bei Ihnen durchführen, machen unsere Datenschutzexperten Ihre Mitarbeiter mit den Vorschriften über den Datenschutz und den Erfordernissen des Datenschutzes vertraut. Gern führen wir auch Online-Webinare zum Datenschutz durch.
Das Bundesdatenschutzgesetz (BDSG) verpflichtet jede private oder staatliche Stelle, die mit personenbezogenen Daten arbeitet, den Umgang mit diesen Daten zu dokumentieren. Diese Dokumentationspflicht gilt also auch für privatwirtschaftliche Unternehmen, die mit personenbezogenen Daten umgehen. Die Rechtsanwälte von Spirit Legal übernehmen als externe Datenschutzbeauftragte für Ihr Unternehmen die Dokumentation und Bereitstellung von internen Verfahrensübersichten und Verfahrensverzeichnissen.
Externer Datenschutz für Ihre Apotheke schon ab 99,00 EUR monatlich
Sie wollen einen externen Datenschutzbeauftragten für Ihre Apotheke bestellen? Die Rechtsanwälte von Spirit Legal erarbeiten passgenaue Lösungen und unterstützen Unternehmen mit Fachwissen, Kompetenz und Zuverlässigkeit. Sie erreichen uns wochentags an unserem Leipziger Standort, rund um die Uhr per Telefon und natürlich jederzeit über E-Mail oder unser Kontaktformular.
Die Rechtsanwälte von Spirit Legal - Externe Datenschutzbeauftragte für Ihre Apotheke
SPIRIT LEGAL INFORMIERT - APOTHEKEN UND DER DATENSCHUTZ
Datenschutz als Bestandteil von Qualitätsmanagement-Systemen: ISO 9001
Datenschutz und Versandapotheken
Datenschutz in der Versandapotheke: Machen Sie es besser!
Wenn Amazon zur Versandapotheke wird
Apotheken als Dienstleister
Auf zu neuen Ufern: Zusätzliche Dienstleistungen in Apotheken
Weiterbildungen der Apothekenkammern nutzen
Spezialisierung auf Geriatrische Pharmazie
Datenschutz in der Apotheke: Die Anforderungen im Überblick
Personenbezogene und besondere personenbezogene Daten
Datenschutzkonforme Gestaltung der Offizin
Datenschutz bei Kundenkarte
Der Botengang: Warum ist Datenschutz hier so wichtig?
Datensicherheit: IT-Sicherung
Internetauftritt der Apotheke: Ein datenschutzrechtlicher Hindernisparcours
Was ist zu tun, wenn doch etwas schief läuft?
Datenschutz als Bestandteil von QM-Systemen: ISO 9001
Mit der neuen Version der Qualitätsnorm (DIN EN ISO 9001:2015) erlangt das Thema Datenschutz zur initialen Zertifizierung und deren Aufrechterhaltung grundlegende Bedeutung.
Die DIN EN ISO 9001: 2015 weist ausdrücklich darauf hin, dass personenbezogene Daten Eigentum des Kunden sind und daher besondere Sorgfalt beim Umgang mit Kundendaten angebracht ist. Da es ohne die Erfassung von Kundendaten in den meisten Unternehmen nicht zur Erbringung von Leistungen kommen kann, werden Anforderungen im Datenschutzrecht zwangsläufig auch zu Anforderungen im Rahmen von Qualitätsmanagement-Systemen. Jede Stelle muss personenbezogene Daten kennzeichnen, verifizieren und schützen. Zur initialen Zertifizierung und Aufrechterhaltung der ISO-Zertifizierung ist es daher notwendig, einen fachkundigen (externen) Datenschutzbeauftragten zu bestellen und diesen in die Organisation einzubinden.
Wer sich darüber hinaus etwas genauer mit den Anforderungen des Qualitätsmanagements auseinandersetzt, wird feststellen, dass es einige weitere Berührungspunkte mit dem Datenschutz gibt. Daher ist es wichtig, auch die Neuerungen der überarbeiteten DIN EN ISO 9001:2015 zu kennen und eine enge Zusammenarbeit zwischen dem Datenschutzbeauftragten und dem Qualitätsmanagementbeauftragten anzustreben, denn beide Seiten können voneinander profitieren.
Die Informationssicherheit und das Qualitätsmanagement basieren beide auf kontinuierlichen Verbesserungen (Plan-Do-Check-Act). Viele Unternehmen haben ein Qualitätsmanagementsystem eingeführt. Dieses lässt sich für weitere Standards (zum Beispiel ISO 27001 Informationssicherheit) nutzen, da sich die Standards in Aufbau und Prozessansatz ähneln. Somit können durch die Synergieeffekte hohe Aufwandseinsparungen für Optimierung, Reviews und Audits getroffen werden.
In Deutschland ist der Arzneimittelversandhandel mit dem am 1. Januar 2004 in Kraft getretenen Gesetz zur Modernisierung der gesetzlichen Krankenversicherung (GMG) zugelassen. Gemäß § 43 Abs. 1 AMG können zugelassene Präsenzapotheken eine Erlaubnis zum Versandhandel beantragen und müssen nach behördlicher Prüfung zum Versandhandel mit Arzneimitteln zugelassen werden, sofern alle Voraussetzungen vorliegen.
„§ 43 Abs. 1 AMG: Arzneimittel (…) dürfen (…) berufs- oder gewerbsmäßig für den Endverbrauch nur in Apotheken und ohne behördliche Erlaubnis nicht im Wege des Versandes in den Verkehr gebracht werden(..)“
Nach § 11a Apothekengesetz (ApoG) muss die Behörde die Erlaubnis erteilen, wenn Sie Ihr schriftlich versichern, dass Sie den Medikamenten-Versand zusätzlich zum Betrieb Ihrer öffentlichen Apotheke (Ladengeschäft) durchführen und darüber hinaus ein Qualitätssicherungssystem einführen, durch das Sie als Apotheker Folgendes garantieren:
„ 11 a Nr. 2 ApoG: Mit einem Qualitätssicherungssystem wird sichergestellt, dass
d) die Beratung durch pharmazeutisches Personal in deutscher Sprache erfolgen wird.“
Des Weiteren muss der Arzneimittelverkäufer im Versandhandel unter anderem eine Sendungsverfolgung einrichten, eine Lieferung innerhalb von zwei Arbeitstagen garantieren und eine Transportversicherung abschließen. Alle weiteren detaillierten Vorgaben sind in § 11a Nr. 3 ApoG aufgeführt und müssen unbedingt beachtet werden. Schließlich schreibt § 11a ApoG noch vor, dass die Apotheke für den elektronischen Handel garantieren muss, dass sie über die dafür geeigneten Einrichtungen und Geräte verfügt.
Um zu mehr Transparenz im Versandhandel mit Arzneimitteln beizutragen, müssen sich Online-Apotheken darüber hinaus im Versandhandelsregister des Deutschen Institutes für Medizinische Dokumentation und Information (DIMDI) eintragen lassen. Nur die dort registrierten Versandapotheken dürfen und müssen seit Oktober 2015 das EU-Sicherheitslogo auf ihrer Webseite führen.
Für Internetapotheken aus dem EU-Ausland gibt es jedoch eine Ausnahme: Der Europäische Gerichtshof (Az. C-148/15) urteilte im Oktober 2016, dass die Preisbindung für ausländische Apotheken nicht mit dem europäischen Recht vereinbar ist. Deshalb könnten ausländische Versandapotheken jetzt auch wieder Boni auf verschreibungspflichtige Medikamente gewähren.
„Der Gerichtshof hat zum deutschen Verbot des Versandhandels mit Arzneimitteln, deren Abgabe ausschließlich Apotheken im Inland vorbehalten ist, entschieden, dass ein solches Verbot außerhalb Deutschlands ansässige Apotheken stärker als Apotheken in Deutschland beeinträchtigt. Auch wenn das Verbot den inländischen Apotheken unstreitig ein zusätzliches oder alternatives Mittel des Zugangs zum deutschen Markt der Endverbraucher von Arzneimitteln nimmt, bleibt ihnen doch die Möglichkeit, Arzneimittel in ihren Apotheken zu verkaufen. Dagegen könnte für Apotheken, die nicht im deutschen Hoheitsgebiet ansässig sind, im Internet ein Mittel liegen, das für den unmittelbaren Zugang zu diesem Markt eher geeignet ist. Ein Verbot, das sich auf außerhalb des deutschen Hoheitsgebiets ansässige Apotheken stärker auswirkt, könnte jedoch geeignet sein, den Marktzugang für Waren aus anderen Mitgliedstaaten stärker zu behindern als für inländische Erzeugnisse und stellt daher eine Maßnahme mit gleicher Wirkung wie eine mengenmäßige Beschränkung im Sinne von Art. 34 AEUV dar (vgl. in diesem Sinne Urteil vom 11. Dezember 2003, Deutscher Apothekerverband, C‑322/01, EU:C:2003:664, Rn. 74 bis 76).“
Nach der Erhebung des bekannten Apothekenpreisvergleichsportals Sparmedo in seiner Versandapothekenstudie weist die große Mehrheit von Versandapotheken Mängel in den Bereichen Datenschutz und Datensicherheit auf. Laut der Studie sollen 74 Prozent der 145 geprüften Versandapotheken keinen datenschutzkonformen Onlineshop haben: Daten werden unverschlüsselt übertragen, nicht anonymisiert an andere Dienstleister weitergegeben, es fehlen entsprechende Hinweise in der Datenschutzerklärung und/oder die Serversoftware ist zu alt, um noch sicher zu sein.
Versenden Sie im Onlineshop erfasste Kundendaten nur auf verschlüsseltem Wege. Dadurch wird sichergestellt, dass Informationen wie Kontakt- und Zahlungsdaten nicht von unbefugten Dritten abgefangen werden könnten.
Führen Sie Serverupdates durch und aktualisieren Sie Virenschutzprogramme und Firewalls.
Überprüfen Sie Ihre Datenschutzerklärungen.
Sofern Sie Google Analytics verwenden, achten Sie darauf, dass das Tracking anonym erfolgt, beispielsweise indem nur eine verkürzte Nutzer-IP gespeichert wird.
Schließen Sie eine Cybersecurity-Versicherung
Bei Amazon kann man so ziemlich alles kaufen. Aber gilt das auch für Arzneimittel? Zwar verbietet das Apothekenrecht dem Online-Versandhändler, selbst Medikamente anzubieten, doch die Shops vieler Versandapotheken sind längst integriert, sodass das EU-Sicherheitslogo es mittelbar auf die Amazon-Website geschafft hat.
Für Versandapotheken ist eine große Verbreitung überlebensnotwendig. Dabei wird Amazon immer wichtiger. Rund 30 Versandapotheken nutzen nach den Recherchen von Fabian Kaske (Marketingagentur Dr. Kaske) derzeit die Plattform. Darunter namhafte Anbieter wie Aponeo, Deutsche Internet Apotheke, Medpex, Mycare oder Sanicare. Die Bestellung wird bei Amazon aufgegeben, für Verkauf und Versand steht die Versandapotheke ein. Der Kunde merkt das im Zweifel erst, wenn überhaupt, mit Erhalt des Päckchens. Denn das „Einkaufserlebnis“ ist Amazon. Dahinter standen bisher Versandapotheken mit eigenem Shop, die Amazon gewissermaßen als Plattform nutzten.
Doch nun entwickelt sich Amazon noch in eine andere Richtung. In München ist es seit Mai 2017 möglich, rezeptfreie Medikamente via Amazon Prime Now zu ordern. Die Lieferung erfolgt binnen einer Stunde oder innerhalb eines vorher vom Kunden festgelegten Zwei-Stunden-Fensters. Dazu arbeitet Amazon mit den Apotheken vor Ort zusammen.
Dann stellt sich noch die Frage, wie mit rezeptpflichtigen Medikamenten umgegangen wird. Grundsätzlich gilt: Apothekenpflichtige Arzneimittel dürfen (auch im Internet) nur von Apotheken verkauft werden. Welche Arzneimittel apothekenpflichtig sind, ergibt sich aus Verordnungen des Bundesministeriums für Gesundheit und Soziales, die gemäß § 45 und § 46 AMG die Apothekenpflichtigkeit von Arzneimitteln regeln. Darüber hinaus regelt § 17 Abs. 1 a S. 1 ApBetrO, dass Arzneimittel grundsätzlich nur in den Apothekenbetriebsräumen in den Verkehr gebracht und nur durch pharmazeutisches Personal ausgehändigt werden dürfen. Gemäß § 17 Abs. 1 a S. 2, ist Satz 1 ist auf apothekenpflichtige Medizinprodukte entsprechend anzuwenden. § 1 a Abs. 2 definiert, wer pharmazeutisches Personal ist: Apotheker, pharmazeutisch-technische Assistenten, Apothekerassistenten, Pharmazieingenieure, Apothekenassistenten, pharmazeutische Assistenten sowie Personen, die sich in der Ausbildung zum Apothekerberuf oder zum Beruf des pharmazeutisch-technischen Assistenten befinden.
Voraussetzung für eine rechtmäßige Abgabe verschreibungspflichtiger Medikamente ist demnach eine entsprechende pharmazeutische Ausbildung. Indem Amazon im Sinne eines Lieferdienstes für die Apotheke vor Ort fungiert, ändert sich für den Kunden nur, dass die Medikamente in eine Amazon-Prime-Tüte ankommen. Dort werden sie auch durch einen Apotheker einsortiert und kontrolliert. Da weiterhin auch sichergestellt ist, dass die Tüten vom Fahrer persönlich übergeben werden und daneben auch die telefonische Beratung für den Kunden durch die Mitarbeiter der Apotheke zur Verfügung steht, werden auch alle gesetzlichen Vorgaben eingehalten.
Weiterhin ist die Auslieferung auch nur während der Öffnungszeiten der Apotheken möglich und die sonst bei Amazon übliche Methode, die Prime Now-Tüte an einem vorher angegebenen Platz abstellen zu lassen, ist für die Lieferungen aus der Apotheke ausgeschlossen. Damit wird Amazon für die Apothekenkunden sehr attraktiv und übertrifft den Service vieler Versandapotheken, die deutlich länger zur Lieferung benötigen.
Apotheker und Apothekerinnen, deren Filialen mit mehreren anderen in der Nachbarschaft oder mit Amazon konkurrieren, müssen sich immer Neues einfallen lassen, um alte und neue Kunden an die Offizin zu binden. Durch fachliche Spezialisierungen können Apotheker und Apothekerinnen ihre Position als Gesundheitsexperten stärken und für bestimmte Zielgruppen attraktiver werden.
Weiterbildungen der Apothekerkammern nutzen
Die Apothekerkammern bieten zahlreiche Weiterbildungen für fachliche Spezialisierungen an, die den Apothekerinnen und Apothekern spezifisches Know-how vermitteln. Mit diesem Wissen können sie einen besonderen Service für ihre Kunden und individuelle Zusatzleistungen anbieten. Durch Weiterbildung können sich Apotheker auf Fachgebiete wie Ernährungsberatung, Gesundheitsförderung, Homöopathie und Naturheilverfahren oder Geriatrische Pharmazie spezialisieren und mit attraktiven Zusatzangeboten besondere Dienstleistungen anbieten.
Medikamente ausgeben, die Krankheiten heilen - das ist die wichtigste Aufgabe der Apotheken. Doch Apotheker und Apothekerinnen können auch dazu beitragen, die Gesundheit der Kunden zu erhalten und zu verbessern und damit das Auftreten von Krankheiten verhindern. Die flächendeckende Präsenz der rund 21.500 deutschen Apotheken macht Apotheken zu einer unmittelbaren Anlaufstelle für Menschen mit Gesundheitsfragen. Sie sind daher prädestiniert, Kunden über Gesundheitsrisiken aufzuklären und sie dabei zu unterstützen, gesünder zu leben.
Apotheker und Apothekerinnen, die sich auf Ernährungsberatung spezialisiert haben, können individuelles Ernährungscoaching oder Gruppenbetreuung als zusätzliche Dienstleistungen anbieten. Sie erstellen individuelle Ernährungsanalysen mit Empfehlungen und motivieren die Kunden, sich an diesen Plan zu halten. Auch spezielle Beratungsprogramme, zum Beispiel gegen das Rauchen und übermäßigen Alkoholkonsum, gegen Fettstoffwechselstörungen oder Osteoporose bieten sich an. Darüber hinaus können Apotheken mitwirken, Krankheiten früh zu erkennen, indem sie zum Beispiel die Blutdruck- oder Blutzuckerwerte ihrer Kunden messen.
Nach Schätzungen des Statistischen Bundesamtes werden in zwanzig Jahren 29 Prozent der Bevölkerung in Deutschland 65 Jahre oder älter sein. Dies bedeutet erhebliche Herausforderungen für den Gesundheitsmarkt – auch im Bereich der Pharmazie: Bei älteren Patienten treten oft mehrere Krankheiten gleichzeitig auf; die Multimorbidität sowie Faktoren wie Stoffwechselveränderungen führen häufig zu arzneimittelbezogenen Problemen. Apotheker und Apothekerinnen können insofern dazu beitragen, die Versorgung älterer Menschen zu verbessern und Probleme der medikamentösen Behandlung zu lösen.
Ältere Patienten und deren Angehörige sind mit vielen Medikamentenpackungen häufig überfordert. Apotheker, die die Medikamente verblistern, können hier eine sinnvolle Dienstleistung anbieten und sich mit seniorenspezifischen Medizinprodukten eine zusätzliche Einnahmequelle erschließen.
Stillen hat für Mutter und Kind gesundheitliche Vorteile. Diese Vorteile finden aber noch immer zu wenig Beachtung. Apotheker und Apothekerinnen haben verschiedene Möglichkeiten, sich für das Stillen zu engagieren: Sie können Stillhilfsmittel und geeignete Produkte anbieten und über den Nutzen des Stillens informieren.
Auch in der Beratung zur Medikation in der Stillzeit können sich Apotheker auszeichnen. Zu oft wurde den Müttern zum Abstillen geraten, obwohl viele Medikamente kein Risiko darstellen. Rote Liste und Beipackzettel seien hier oft nicht aussagekräftig. Genauere Informationen liefert die geeignete Fachliteratur.
Datenschutz in der Apotheke: Anforderungen im Überblick
Das Datenschutzrecht soll den Einzelnen davor schützen, dass sein Recht auf informationelle Selbstbestimmung nach Art. 2 Abs. 1, Art. 1 Abs. 1 GG durch den Umgang mit seinen Daten beeinträchtigt wird. Wer krank ist, möchte nicht, dass diese Information in falsche Hände gerät.
Daher ist in § 4 Abs. 1 Bundesdatenschutzgesetz ein sogenanntes Verbot mit Erlaubnisvorbehalt verankert. Das heißt, es gibt ein generelles Verbot der Verwendung personenbezogener Daten, egal, ob Erhebung, Verarbeitung oder Nutzung. Nur in Ausnahmefällen, beispielsweise bei der Einwilligung des Betroffenen etwa bei Kundenkarten oder bei einer gesetzlichen Erlaubnis (zum Beispiel die Rezeptabrechnung über ein Apothekenrechenzentrum im Sozialgesetzbuch V), darf man sich darüber hinwegsetzen (Erlaubnisvorbehalt).
Sie sollten sich immer fragen, welche Daten wirklich an Dritte weitergegeben werden müssen. Beispiel: Bei der Bestellung von Stützstrümpfen genügt es, die Maße des Patienten an den Hersteller oder Lieferanten weiterzureichen. Weitere Angaben wie Name, Geburtsdatum und Adresse sind für die Bestellung irrelevant.
Das BDSG unterscheidet zwei Arten von Daten: die (einfachen) personenbezogenen Daten und die besonderen Arten personenbezogener Daten. Diese Unterscheidung ist wichtig, da an die verschiedenen Arten von Daten andere gesetzliche Anforderungen geknüpft sind.
Für Apotheken stehen die besonderen Arten personenbezogener Daten, auch sensible oder sensitive Daten genannt, im Vordergrund.
„§ 3 Abs. 9BDSG: Besondere Arten personenbezogener Daten sind Angaben über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben.“
Da an sie besonders hohe Anforderungen und strenge Einschränkungen ihrer Verwendung gestellt werden, muss dem Datenschutz in der Apotheke ein übergeordnet hoher Stellenwert beigemessen werden.
Daraus folgen auch besondere Anforderungen an den Datenschutzbeauftragten, der spezifische Fachkunde besitzen muss, die stets der aktuellen Rechtslage entspricht. Es empfiehlt sich daher, einen externen Datenschutzbeauftragten mit besonderer Erfahrung und Fachkunde, zu beauftragen.
Selbstverständlich unterliegen alle Daten der Apothekenkunden der Schweigepflicht. § 203 Abs. 1 des Strafgesetzbuches stellt einen Verstoß unter Strafe. In der Strafprozessordnung wird Apothekern ferner bei einer Vernehmung ein Zeugnisverweigerungsrecht gewährt. Darauf kann er sich berufen, wenn ein Kunde wegen Rezeptfälschung vor Gericht steht.
Auch die Heilberufe-Kammergesetze enthalten Forderungen zu den allgemeinen und besonderen Berufspflichten der Apotheker. Einen Bezug zur Thematik hat ferner § 4 Abs. 2 Apothekenbetriebsordnung (ApBetrO), der für die Einrichtung des Offizins fordert, dass die Vertraulichkeit der Beratung gewahrt werden kann. Die für die Apothekenpraxis wichtigsten Bestimmungen finden sich in den Berufsordnungen der Landesapothekerkammern. Dort wird der Apothekenleiter normalerweise verpflichtet, alle Mitarbeiter schriftlich zur Verschwiegenheit zu verpflichten.
Dass sich alle Mitarbeiter und Mitarbeiterinnen schriftlich zu Verschwiegenheit verpflichten, sollte auch bei Praktikanten, Boten, Reinigungs- und Wachpersonal sowie kurzzeitig Beschäftigten nicht vergessen werden.
Zudem müssen Mitarbeiter auf das Datengeheimnis nach § 5 BDSG verpflichtet werden. Nach dieser Vorschrift ist es untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen.
Halten sich Dritte in der Apotheke auf, zum Beispiel Handwerker, ist sicherzustellen, dass diese keinen Zugriff auf personenbezogene Daten haben. Sinnvoll ist es zudem, alle Mitarbeiter darüber zu belehren, dass die Schweigepflicht umfassend gilt, also auch gegenüber den Angehörigen der Kunden, nicht beteiligten Kollegen und Ärzten.
In der Anlage zu § 9 S. 1 BDSG ist der gesetzliche Maßstab zur technisch-organisatorischen Umsetzung des Datenschutzes nachzulesen. Die acht Gebote des Datenschutzes lauten:
"Werden personenbezogene Daten automatisiert verarbeitet oder genutzt, ist die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind insbesondere Maßnahmen zu treffen, die je nach Art der zu schützenden personenbezogenen Daten oder Datenkategorien geeignet sind, …
… Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren.
… zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können.
… zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können und, dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.
… zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können und, dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist.
… zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können.
… zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.
… zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.
Zur Einhaltung dieser acht Gebote, sind Apotheken aufgefordert, konkrete Schutzmaßnahmen zu ergreifen. Der externe Datenschutzbeauftragte für Apotheken weiß, dass dazu zum Beispiel das Verschließen der Apothekenräume, eine festgelegte Schlüssel­regelung für das Personal und regelmäßige Datensicherungen, Benutzerkennung mit Passwortsicherung, die Beschränkung der Administrator- und Userrechte auf das zwingend erforderliche und klare Regeln für die Mitarbeiter, an wen Daten weitergegeben werden dürfen und vieles andere mehr zählt.
Externer Datenschutzbeauftragter Apotheke: Ist Videoüberwachung erlaubt?
Ein kürzlich ergangenes Urteil des OVG Saarlouis entschied, dass die Videoüberwachung in einer Apotheke grundsätzlich erlaubt ist und auch den öffentlichen Kundenbereich erfassen darf, wenn hierfür sachliche Gründe bestehen, Urteil vom 12.12.2017, 2 A 662/17. Es ging um die Videoüberwachung öffentlicher, sowie nicht-öffentlicher Bereiche der Apotheke, aufgrund von erheblichen Fehlbeständen von Medikamenten. Die zuständige Datenschutzbehörde hielt die Videokameras im Verkaufsraum, sowie im nicht-öffentlichen Bereich zur Überwachung des Betäubungsmittelschranks nicht für gerechtfertigt.
Datenschutz bei Apotheken: Der Einsatz von Verkaufsraumkameras ist durch § 6b Abs. 1 i.V.m. Abs. 3 BDSG gerechtfertigt:
Nach 6b Abs. 1 BDSG ist die Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen durch nicht öffentliche Stellen nur zulässig, soweit sie zur Wahrnehmung des Hausrechts oder zur Wahrnehmung berechtigter Interessen für konkret festgelegte Zwecke erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen. Der Begriff des Hausrechts ist als ein umfassendes Bestimmungs-, Abwehr- und Sicherungsrecht in Bezug auf befriedetes Besitztum oder andere Räume, die der Öffentlichkeit zugänglich gemacht werden, zu verstehen. Der Schutz vor Diebstahl ist ein Fall der Wahrnehmung des Hausrechts im Sinne von § 6b Abs. 1 Nr. 2 BDSG. Für die Wahrnehmung berechtigter Interessen genügt grundsätzlich jedes rechtliche, wirtschaftliche oder ideelle Interesse. Der Diebstahlsverdacht, der sich u.a. darauf begründet, dass sich in der Apotheke hauptsächlich Produkte mit einem geringen Volumen befinden, die leicht „abgeräumt“ werden können, reicht als objektive Begründung des berechtigten Interesses des Apothekers iSv § 6b Abs. 1 Nr. 3 BDSG aus.
Die Videoüberwachung soll potenzielle Täter abschrecken und ist hierzu erforderlich, denn es gibt kein milderes gleich geeignetes Mittel. Der Einsatz von Wachpersonal stellt keine Alternative dar, weil die dadurch entstehenden Kosten für den Apotheker wirtschaftlich nicht zumutbar sind. Die Überwachung des Verkaufsraumes durch eigene Mitarbeiter stellt keine gleich geeignete Maßnahme dar, da diese mit der Beratung und Bedienung der Kunden beschäftigt sind.
Es ist zu berücksichtigen, dass Apotheker die Kennzeichnungspflichten gemäß § 6b Abs. 2 BDSG beachten müssen, indem sie z.B. an der Eingangstür auf die Videoüberwachung hinweisen. Die Transparenzpflicht des 6b Abs. 2 BDSG soll dem Betroffenen die Möglichkeit eröffnen, die Beobachtung im Voraus zu erkennen, um sein Verhalten danach auszurichten und der Beobachtung gegebenenfalls auszuweichen.
Durch die Videoaufzeichnung, wie sich Kunden bestimmte Medikamente geben lassen, könnten Rückschlüsse auf die Beschwerden oder Erkrankungen der Person gezogen werden. Das was die Kamera aufzeichnet unterscheidet sich jedoch nicht von dem, was ein beliebiger Apothekenbesucher ebenfalls sehen würde, da kein Ton aufgenommen wird.
Die Beschäftigten halten sich zu einem Großteil ihrer Arbeitszeit im Verkaufsraum auf, jedoch wird der Bereich hinter dem Verkaufstresen nicht erfasst. Nur, wenn sie sich in den Besucherbereich begeben, erscheinen sie auf dem Video. Somit liegt kein Überwachungsdruck vor und der Eingriff in die Rechte der Beschäftigten ist geringfügig.
Datenschutz in Apotheken: Der Einsatz von Videoüberwachung des Betäubungsmittelschranks im nicht-öffentlichen Bereich ist auch gerechtfertigt
Für die Durchführung eines Beschäftigungsverhältnisses kommen Maßnahmen zur Kontrolle, ob der Arbeitnehmer den geschuldeten Pflichten nachkommt, in Betracht. Dies umfasst auch die Videoüberwachung. Ist es denkbar, dass der Verlust von Waren auf strafbares Verhalten der Beschäftigten zurückzuführen ist, besteht jedoch kein konkreter Tatverdacht gegen diese, handelt es sich um eine Präventionsmaßnahme und somit ist 32 Abs. 1 S. 1 BDSG einschlägig.
Die Überwachung des Betäubungsmittelschranks mittels Videokamera ist auch erforderlich, denn das Verschließen des Schrankes durch ausgewählte Beschäftigte ist kein gleich wirksames und geeignetes Mittel.
Die Videoüberwachung des nicht-öffentlichen Bereiches ist auch verhältnismäßig, da die Kamera, nur den Schrank filmt und folglich nur einen eng abgegrenzten Bereich der Apotheke umfasst und sich Beschäftigte hier nicht länger aufhalten werden, bzw. können.
Einwilligungen der Beschäftigten: Die Maßnahme ist auf der Grundlage der außerhalb von § 32 BDSG erforderlichen schriftlichen Einwilligungen der Beschäftigten des Klägers nach § 4a BDSG zulässig. Weder kann dem Gesetz selbst ein genereller Ausschluss der Erteilung einer Einwilligung im Arbeitsverhältnis entnommen werden, noch impliziert das strukturelle Machtungleichgewicht zwischen Arbeitnehmer und Arbeitgeber per se, dass jede Einwilligung des Arbeitnehmers unfreiwillig wäre. Das BAG hat ausdrücklich klargestellt, dass sich ein Arbeitnehmer auch im Rahmen eines Arbeitsverhältnisses grundsätzlich „frei entscheiden“ könne, wie er sein Grundrecht auf informationelle Selbstbestimmung ausüben wolle. Der Arbeitnehmer ist auch nicht dauerhaft an seine Einwilligung gebunden. Er hat das Recht, diese mit dem Widerruf für die Zukunft rückgängig zu machen. Die Einwilligung der Mitarbeiter muss den formellen und inhaltlichen Anforderungen des § 4a Abs. 1 S. 2, 3 BDSG genügen, indem der Betroffene schriftlich auf den vorhergesehenen Zweck der Erhebung, Verarbeitung oder Nutzung hinzuweisen ist. Außerdem sollten die Standorte und Ausrichtungen der Kameras bekannt gegeben werden.
Nach 6b Abs. 5 BDSG sind die Daten unverzüglich zu löschen, wenn sie zur Erreichung des Zwecks nicht mehr erforderlich sind oder schutzwürdige Interessen der Betroffenen einer weiteren Speicherung entgegenstehen. In der Rechtsprechung ist eine Frist von bis zu zehn Wochentagen noch als angemessen erachtet worden.
Auch bei der Gestaltung der Offizin sind datenschutzrechtliche Vorgaben umzusetzen. Einige Beispiele aus der Praxis:
So muss eine vertrauliche Beratung zum Beispiel bereits durch die räumliche Gestaltung gesichert Sprechen Sie mit Vermietern, Innenarchitekten und Handwerkern geeignete Konzepte ab. Spätere Umbauten können teuer werden.
Weiterhin sollten Bildschirme so platziert sein, dass andere Kunden diese nicht einsehen können.
Rezepte sollten, auch bei starkem Kundenverkehr, niemals für andere Kunden lesbar oder gar greifbar auf dem Tisch liegen.
Darüber hinaus enthalten Rezepte viele sensible Daten. Werden sie nicht mehr benötigt, müssen sie datenschutzkonform vernichtet
Bei Unklarheiten auf dem Rezept ist für die Rückfrage beim Arzt, die Einwilligung des Patienten
Richten Sie Diskretionszonen ein und achten Sie auf die Uneinsehbarkeit und Unerreichbarkeit von Daten durch Dritte.
Von Betäubungsmitteln über verschreibungspflichtige Tierarzneimittel bis hin zu Erwerb und Abgabe von Produkten, die unter das Transfusionsgesetz fallen: Diese Aufzeichnungen enthalten personenbezogene Daten, an die Unbefugte nicht herankommen dürfen – auch dann nicht, wenn die Aufbewahrungspflicht abgelaufen ist. Zu entsorgende Unterlagen müssen datenschutzgerecht vernichtet werden. Gleiches gilt für alle Dokumente, die personenbezogene Daten enthalten, wie Briefe, Faxe und Ähnliches.
Es ist sinnvoll, sämtliche Unterlagen in der Apotheke bezüglich der Sensibilität der Daten in Klassifikationsstufen einzuteilen und zu kennzeichnen. Zum »internen Gebrauch« könnte zum Beispiel das QM-Handbuch dienen, »streng vertraulich« sind beispielsweise die Personalakten und ein »persönlich« tragen Gehaltsabrechnungen und Beurteilungen der Mitarbeiter.
Die Kundenkarte wird in immer mehr Apotheken eingesetzt und dient als wichtiges Mittel zur Kundenbindung. Für ihre legale Verwendung müssen unbedingt die Vorgaben des BDSG eingehalten werden.
Wichtigste Voraussetzung ist hierbei die Einwilligungserklärung:
Die Einwilligungserklärung der Kunden muss sich auf die personenbezogenen und ausdrücklich auch auf die Gesundheitsdaten beziehen. Sie muss immer schriftlich erfolgen und an einem für Unbefugte nicht zugänglichen Ort sicher aufbewahrt werden. Es gibt keine feste Frist, wann ungenutzte Kundenkarten zu löschen sind. Da die Kundenkarte letztlich ein Instrument zur Kundenbindung ist, also im Bereich der Werbemaßnahmen angesiedelt ist, könnte man die von der Rechtsprechung avisierte Dauer von einem Jahr zugrunde legen, sofern die Kundenkarte über diesen Zeitraum nicht genutzt wurde.
Der Kunde kann seine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Sinnvoll ist, den Kunden hierüber bereits im Kundenkartenantrag schriftlich zu belehren. Eine Besonderheit ergibt sich zudem nach der DSGVO, wenn die Einwilligungserklärung zusammen mit dem Einverständnis zur Verwendung allgemeiner Geschäftsbedingungen abgegeben wird.
„Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung
in verständlicher und
leicht zugänglicher Form
in einer klaren und einfachen Sprache so erfolgen, dass es
von den anderen Sachverhalten klar zu unterscheiden
Teile der Erklärung sind dann nicht verbindlich, wenn sie einen Verstoß gegen diese Verordnung darstellen.“
Diese etwas umständliche Formulierung sagt im Kern nichts anderes, als ihr Pendant im § 4 s Abs. 1 S. 4 Bundesdatenschutzgesetz: Werden neben der Einwilligung noch andere Erklärungen abgegeben, so muss die Einwilligung für den Leser deutlich von den anderen Erklärungen abzugrenzen sein, sodass der Betroffene erkennt, worin er einwilligt.
Führen Sie Löschfristen ein, sonst übersehen Sie schnell, dass noch vorhandene Daten längst hätten vernichtet werden müssen. Nach § 35 Abs. 3 BDSG tritt in besonderen Fällen an die Stelle der Löschung die Sperrung, etwa, wenn Aufbewahrungsfristen entgegenstehen. Sperren meint das Kennzeichnen gespeicherter personenbezogener Daten, um ihre weitere Verarbeitung oder Nutzung einzuschränken. Von der Ausgabe einer Kundenkarte ist abzuraten, wenn der Kunde die Erklärung nicht oder nur mündlich abgeben will. Grundsätzlich sollte man nur Daten erfassen, die tatsächlich benötigt werden.
Der Botengang: Warum ist der Datenschutz hier so wichtig?
Laut Apothekenbetriebsordnung sind die auszuliefernden Arzneimittel für jeden Empfänger getrennt zu verpacken und jeweils mit dessen Namen und Anschrift zu versehen. Achtung: Damit gelangen personenbezogene Daten in Umlauf.
Bei der Auslieferung mit einem Pkw dürfen die Medikamente nicht sichtbar im Pkw liegen oder dort längere Zeit, zum Beispiel über Nacht, deponiert werden. Nur scheinbar banal: Beim Verlassen ist der Wagen stets abzuschließen. Fahrradboten müssen alle auszuliefernden Medikamente immer mit sich führen.
Der Bote darf die Medikamente nur dem Kunden selbst aushändigen. Andernfalls, zum Beispiel bei der Abgabe beim Nachbarn oder beim Einwurf in den Briefkasten, ist vorher eine schriftliche Einverständniserklärung einzuholen. Ebenfalls abklären sollte man, ob das Medikament an andere Familienangehörige im gleichen Haushalt ausgehändigt werden kann. Generell sinnvoll ist es, wenn sich der Bote die Übergabe bestätigen lässt.
IT-Sicherung bedenken (Datensicherheit)
Ohne Informationstechnologie (IT) geht es in der Apotheke nicht. Um deren Sicherheit müssen sich auch Apothekeninhaber Gedanken machen. Nicht nur Hackerangriffe von außen sind zu befürchten, auch technische Schäden (etwa Überhitzung), Elementarschäden (Brand, Wasserschäden) sowie Unkenntnis und Selbstüberschätzung des Personals sind Risikofaktoren.
Wirksame Maßnahmen zur Gefahrenabwehr beginnen bei regelmäßigen Mitarbeiterschulungen und enden bei einem umfassenden Passwortschutz. Auch an eine unterbrechungsfreie Stromversorgung mit Überspannungsschutz, aktualisierte Virenschutzprogramme und regelmäßige Datensicherungen ist zu denken. Nach der Datensicherung sollte der Sicherungsträger nicht am oder in unmittelbarer Nähe des Computers gelagert werden; am besten wird er an einem vor Diebstahl und Elementarschäden gesicherten Ort aufbewahrt. Empfehlenswert ist auch, den Datenträger mindestens einmal pro Monat auf Funktionstüchtigkeit zu überprüfen.
Sofern Apotheken eine Webseite haben, sind zu bestimmten Angaben verpflichtet. Dafür sind die allgemeinen Informationspflichten nach Telemediengesetz zu beachten.
Nach § 5 TMG gehört in erster Linie das Impressum zu den Pflichtangaben.
Zu einem Impressum gehören folgende Angaben:
gesetzliche Berufsbezeichnung und Staat, in dem sie verliehen wurde,
Hinweis auf (Nicht-)Teilnahme an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle
Auch an eine Datenschutzerklärung und einen Sicherheitshinweis an Kunden, dass eine offene Dateneingabe freiwillig und nicht sicher ist, ist bei dem Internetauftritt zu denken. Kunden und Mitarbeiter müssen zuvor natürlich zugestimmt haben, wenn personenbezogene Daten und Bilder von ihnen auf der Website veröffentlicht werden. Die Überwachung der Website auf datenschutzrelevante Aspekte zählt zu den Aufgaben eines Datenschutzbeauftragten.
Was ist zu tun, wenn doch etwas schiefläuft?
Verhalten bei Datenpannen („Data Breach“)
Datenpannen, wie Zugriffe durch Hacker, Verlust von transportablen Datenträgern oder Falschversendung einer E-Mail erfordern, sofern sensitive Daten betroffen sind, nach § 42 a S. 1 Nr. 1 BDSG eine Mitteilung an den Betroffenen sowie der Aufsichtsbehörde.
Künftig muss grundsätzlich jede Verletzung des Schutzes personenbezogener Daten an die zuständige Aufsichtsbehörde gemeldet werden. Eine Ausnahme besteht nach Art 33 Abs. 1 DSGVO nur dann, wenn die Datenpanne voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Es ist also stets eine Risikoabwägung durchzuführen.
Was ist dabei zu tun?
Risikokatalog des Erwägungsgrundes 75 DSGVO berücksichtigen
Ausnahmen von der Pflicht zur Benachrichtigung bestehen nach Art. 34 Abs. 3 DSGVO, wenn:
geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen wurden, durch die die, betroffenen Daten für Unbefugte nicht zugänglich sind (zum Beispiel Verschlüsselung),
Verspätete, unzureichende oder unterlassene Meldungen können sehr teuer werden. Leichte Verstöße gegen den Datenschutz werden mit Bußgeldern bis zu 50 000 Euro geahndet, schwere mit mehr als 300 000 Euro. Zur letztgenannten Gruppe gehört zum Beispiel die unterbliebene Information der Aufsichtsbehörde bei einer schweren Datenpanne. Mitarbeiter müssen bei Verstößen gegen den Datenschutz mit arbeitsrechtlichen Konsequenzen rechnen, etwa einer Abmahnung oder der Kündigung.
Die Aufsichtsbehörden kontrollieren den Datenschutz – meistens anlassbezogen, zum Beispiel nach Beschwerden von Kunden, aber auch stichprobenweise. Bei einer Kontrolle ist die Apotheke verpflichtet, unverzüglich Auskunft zu erteilen. Fehlverhalten kann teuer werden. Die Aufsichtsbehörde hat verschiedene Möglichkeiten, datenschutzrechtliche Belange durchzusetzen: Anordnung von Maßnahmen, Abberufung eines Datenschutzbeauftragten, Zwangsgeld. Sie hat aber auch die Aufgabe, die Apotheken bei Fragen zur Umsetzung des Datenschutzes zu beraten und zu unterstützen.
Spirit Legal: Externer Datenschutzbeauftragter für Ihre Apotheke schon ab 99,00 EUR im Monat
Sie wollen einen externen Datenschutzbeauftragten für Ihre Apotheke bestellen? Die Rechtsanwälte von Spirit Legal erarbeiten passgenaue Lösungen und unterstützen Sie deutschlandweit als externer Datenschutzbeauftragter. Sie erreichen uns wochentags an unserem Leipziger Standort, rund um die Uhr per Telefon und natürlich jederzeit über E-Mail oder unser Kontaktformular.

References: § 43
 Art. 83
 § 43
 § 11
 § 11
 § 11
 Art. 34
 § 45
 § 46
 § 17
 § 17
 § 1
 Art. 2
 Art. 1
 § 4
 § 203
 § 4
 § 5
 § 9
 § 6
 § 6
 § 6
 § 6
 § 32
 § 4
 § 4
 § 4
 § 35
 § 5
 § 42
 Art. 34