Source: https://www.adg.de/warenwirtschaft/datenschutz-in-der-apotheke/
Timestamp: 2018-05-23 12:26:52
Document Index: 214252482

Matched Legal Cases: ['Art. 4', 'Art. 37', '§38', 'Art. 9', '§ 203', 'Art. 17', 'Art. 17', 'Art. 5', 'Art. 9', 'Art. 33', 'Art. 35', 'Art. 12', '§ 203', '§ 203']

Datenschutz in der Apotheke | ADG Warenwirtschafts- und Kassensysteme für die Apotheke
Die ADG-Website verwendet Cookies, um Ihnen den bestmöglichen Service zu bieten und stetig zu verbessern. Mit der weiteren Nutzung der Website stimmen Sie der Verwendung von Cookies zu.
SchulungsCenter online
Die europäische Datenschutz-Grundverordnung (DSGVO) steht in den Startlöchern – Mit dem neuen Gesetz will die Europäische Union einen einheitlichen Rechtsrahmen für die Verarbeitung personenbezogener Daten schaffen.
Das Wichtigste rund um das Thema Datenschutz in Apotheken
Da Gesundheitsdaten als sensible personenbezogene Daten verarbeitet werden, achten
ADG und Apotheke ganz besonders auf den Datenschutz und die IT-Sicherheit. In diesem Zusammenhang erhalten Sie nachfolgende Informationen zu der Neuregelung der Gesetzgebung zum Datenschutz durch die DSGVO.
Viele Apotheken nutzen WhatsApp, um Bestellungen ihrer Kunden entgegenzunehmen. Ab Mai wird das zu einem großen Problem. Denn WhatsApp deckt nicht alle Anforderungen der europäischen Datenschutz-Grundverordnung ab.
Wir haben für Sie nachgefragt und Rechtsanwalt Dr. Morton Douglas, Rechtsanwaltskanzlei Friedrich Graf von Westphalen & Partner mbB, um eine rechtliche Beurteilung von WhatsApp zur Arzneimittelvorbestellung gebeten. Lesen Sie hier, warum aus rechtlicher Sicht der Apotheker für die Datenverarbeitung verantwortlich ist und für mögliche Verstöße haftbar gemacht werden kann. Dabei können Bußgelder von bis zu 4 % des Jahresumsatzes einer Apotheke sowie gegebenenfalls berufsrechtliche Konsequenzen drohen
Die ADG darf als Softwarehaus keine Rechtsberatung durchführen, daher gelten die Ausführungen als unverbindlich und können sich durch Gesetzgebung und den Erkenntnissen aus Maßnahmen der Datenschutzbehörden ändern. Aus diesem Grund empfehlen wir Ihnen eine sachkundige Beratung bei externen Datenschutzbeauftragten bzw. beim Rechtsanwalt Ihres Vertrauens.
Die wichtigsten Informationen zur europäischen
Die DSGVO ist eine Verordnung der Europäischen Union, mit der die Regeln zur Verarbeitung personenbezogener Daten durch private Unternehmen und öffentliche Stellen EU-weit vereinheitlicht werden.
Die DSGVO wird in vielen Teilen dann das bekannte Bundesdatenschutzgesetz (BDSG) ersetzen. Das BDSG wurde aus diesem Grund angepasst und enthält als BDSG-neu nun besondere Klauseln in Ergänzung und Abweichung von der DSGVO.
Sie wird ab dem 25.05.2018 zur Pflicht.
Welche Daten werden durch DSGVO und BDSG-neu erfasst?
Wichtigster Punkt sind „Personenbezogene Daten“. Das sind nach Art. 4 Nr. 1 DS-GVO alle Informationen, die sich auf eine identifizierte oder identifizierbare Person (sogenannte „betroffene Person“) beziehen. „Identifizierbar“ ist eine Person dann, wenn sie direkt oder indirekt – vor allem mittels Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, Standortdaten oder anderen besonderen Merkmalen – identifiziert werden kann. Die Möglichkeit der Identifizierung einer Person reicht hier aus!
Personenbezogene Daten sind bspw. Name, Adresse, E-Mail-Adresse, Telefonnummer, Geburtstag, Kontodaten, Kfz-Kennzeichen, Standortdaten, IP-Adressen, Cookies.
Wer ist für die Einhaltung der Vorschriften zuständig?
Somit sind Sie als Leiter/in einer Apotheke Verantwortlicher i. S. d. DSGVO.
Wie ist die Bestellung eines Datenschutzbeauftragten geregelt?
Ein Datenschutzbeauftragter muss nach Art. 37 DSGVO / §38 BDSG-neu bestellt werden, wenn:
Mindestens zehn Personen ständig mit der automatisierten Datenverarbeitung beschäftigt sind. Dabei kommt es nicht auf die Einsatzhäufigkeit und Arbeitszeit der Personen an. Bei Apotheken mit Filialen werden alle Mitarbeiter gezählt.
Die Tätigkeit des Apothekers mit einer umfangreichen Verarbeitung von Gesundheitsdaten verbunden ist. Hierbei gibt es keine Mindestzahl an Mitarbeitern. Es gibt jedoch noch keine rechtsverbindliche Definition, was unter umfangreicher Verarbeitung zu verstehen ist.
Es besteht die Möglichkeit, einen internen oder externen Datenschutzbeauftragten zu bestellen.
Die Benennung eines Datenschutzbeauftragten ist der zuständigen Datenschutzbehörde (im jeweiligen Bundesland) ab dem 25.05.2018 zu melden (Bitte nicht vorher, da dann noch keine Dokumentation bei den Behörden erfolgt).
Es bestehen bestimmte Anforderungen an die jeweilige Person
(Siehe u.a. www.lda.bayern.de/media/dk_mindestanforderungen_dsb.pdf)
Wer darf personenbezogene Daten in der Apotheke verarbeiten?
Art. 9 Abs. 3 DSGVO schreibt vor, dass personenbezogene Daten vom Apotheker und dessen berufsmäßig tätigen Gehilfen (med. Fachangestellte, PTA u. ä) verarbeitet werden dürfen, die dem Berufsgeheimnis entsprechend § 203 1,1 StGB unterliegen.
Welche Rechte hat die betroffene Person (d. h. die Person, deren personenbezogene Daten erfasst wurden)?
Löschung kann jedoch rechtmäßig vom Apotheker abgelehnt werden, wenn er ein berechtigtes Interesse an der Weiternutzung der Daten hat.
Dies ist insbesondere dann der Fall:
Wie die Anforderungen des Art. 17 DSGVO in der Praxis durch die Verantwortlichen umzusetzen sind, lässt sich der DSGVO nicht ohne weiteres entnehmen. Der Europäische Datenschutzausschuss beabsichtigt, Leitlinien und Empfehlungen zum Art. 17 DSGVO bereitzustellen.
Welche Pflichten hat die Apotheke?
Integrität und Vertraulichkeit nach Art. 5 1,f DSGVO
Personenbezogene Daten müssen in einer Weise verarbeitet werden, die eine angemessene Sicherheit durch geeignete technische und organisatorische Maßnahmen gewährleistet.
Verarbeitung personenbezogener Daten nach Art. 9 2,h DSGVO
Gesundheitsdaten der Apothekenkunden dürfen ohne deren Einwilligung verarbeitet werden, wenn diese zur Vertragserfüllung (z. B. Botendienst, Rezeptabwicklung) erfolgt bzw. die Verarbeitung für Zwecke der Gesundheitsvorsorge, …, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich erforderlich ist.
Das bedeutet konkret, dass die Speicherung von Kundendaten, Rezeptfotos u. ä. ohne Einwilligung möglich ist, da sie zur Erfüllung der pharmazeutischen Aufgaben der Apotheke erforderlich sind.
Werden personenbezogene Daten bei der betroffenen Person erhoben, so hat der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten im Wesentlichen Folgendes mitzuteilen:
a) Inhalt der Daten
b) Verarbeitungszweck
d) Rechte der betroffenen Personen
Dies kann die Apotheke wie folgt durchführen:
a) „akustisch“: Hinweis im Gespräch
b) „materiell“: Auslegen eines Informationsblattes
c) „visuell“: Hinweistafel
d) „online“: Veröffentlichung auf der Website
Hierzu gibt es noch keine Erfahrungen über die praktische Umsetzung.
Wichtiger Hinweis zu Kundeneinwilligungen:
Nach einem Beschluss der Datenschutzbehörden gelten bisher erteilte Einwilligungen fort, sofern sie der Art nach den Bedingungen der Datenschutz-Grundverordnung entsprechen. Nach unserer Auffassung sind die in den letzten Jahren in den ADG Warenwirtschaftssystemen verankerten Formulare ordnungsgemäß und erfüllen somit diese Bedingungen. Wir empfehlen trotzdem dringend Ihre verwendeten Einwilligungen mit Ihrem Datenschutz-Beauftragten zu prüfen, da sie individuelle bzw. ältere davon abweichende Inhalte haben können.
Meldung bei Datenpannen nach Art. 33 DSGVO
Der Apotheker hat bei einer Datenschutzverletzung (bspw. Rezeptkopie wird im Abfall von einem Dritten entdeckt) die Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden zu unterrichten, außer es besteht kein Risiko für die persönlichen Rechte und Freiheiten der betroffenen Person.
Da bei Gesundheitsdaten allgemein von einem hohen Risiko auszugehen ist, besteht zudem eine Meldepflicht an die betroffene Person.
Jeder Verantwortliche führt ein Verzeichnis aller Verarbeitungstätigkeiten, bei denen personenbezogene Daten betroffen sind. Dieses Verzeichnis enthält u. a. vorgeschriebene Angaben bzgl. Beschreibung und Zweck der Verarbeitung sowie betroffene Personen und Datenempfänger.
Datenschutz-Folgeabschätzung (DSFA) nach Art. 35 DSGVO
Aufgrund der Verarbeitung von Gesundheitsdaten (als besondere Kategorie von personenbezogenen Daten) hat der Verantwortliche vor dem Einsatz einer elektronischen Datenverarbeitung (z. B. Warenwirtschaftssystem) eine Abschätzung der Folgen, der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten, durchzuführen.
Der Bericht zur DSFA enthält:
a) systematische Beschreibung der geplanten Verarbeitung und ihrer Zwecke;
b) eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung;
c) Beurteilung der Risiken und Auflistung der Abhilfemaßnahmen zur Risikoeindämmung
Gestaltung Website und Webshops nach Art. 12, 13, 14 DSGVO
Es müssen Maßnahmen für eine transparente, verständliche Information und einfache
Kommunikation getroffen werden, die bei der Gestaltung der Seiten und Datenschutzerklärung Anwendung finden.
Detaillierte Informationen können aufgrund der Komplexität an dieser Stelle nicht erfolgen.
Die Rechtskonformität der Webshop-Lösungen von ADG wird jedoch durch einen externen Dienstleister gewährleistet.
Welche datenschutzrechtlichen Sachverhalte gilt es noch zu beachten?
Die Anforderungen für den Einsatz einer Videoüberwachung bleiben mit Inkrafttreten der DSGVO hoch und nach wie vor komplex. Daher sollten sich Betreiber von Videoüberwachungsanlagen schon zum jetzigen Zeitpunkt intensiv mit der neuen Rechtslage auseinandersetzen und prüfen, ob laufende Analgen den Anforderungen entsprechen und fortgesetzt werden können.
Im Internet sind unter dem Stichpunkt DSK Kurzpapier Videoüberwachung weitere Informationen zu finden.
Es erfolgt eine Überarbeitung des ADG Kundenflyers durch ADG. Sobald weitere rechtliche Informationen vorliegen, werden diese entsprechend kommuniziert.
Verpflichtungserklärung ADG nach § 203 StGB
Nach erfolgter schriftlicher Verpflichtung der ADG Mitarbeiter erhalten alle Kunden die entspre-chende Verpflichtungserklärung der ADG gegenüber Apotheken.
Fast 70 Prozent der Deutschen nutzen WhatsApp. Verbraucher stehen der WhatsApp-Kommunikation mit Unternehmen größtenteils offen gegenüber, vor allem in den Bereichen Kundenservice und Beratung, wäre da nicht die Sache mit dem Datenschutz!
Das Problem liegt vor allem in der Synchronisation der Kontaktdaten. Wer den Messenger auf seinem Smartphone nutzt, gewährt WhatsApp Zugriff auf sein Adressbuch.
Leistungen ADG für Kunden
Die Informationen auf der ADG Website werden regelmäßig aktualisiert.
Datenschutzrechtliche Hinweise zu einzelnen Sachverhalten werden in den Hilfe-Menüs Ihres ADG Warenwirtschaftssystems angezeigt.
Neue Vertragsunterlagen werden für notwendige vertragliche Änderungen zugesandt.
Verpflichtende Datenschutz- und andere rechtliche Konformitätserklärungen der ADG gegenüber Kunden werden automatisch zur Verfügung gestellt.
Formulare in den ADG Warenwirtschaftssystemen (z. B. Einwilligungserklärung) werden den neuen Anforderungen automatisch angepasst.
Welche externen Informationen gibt es?
DSGVO im Gesundheitswesen – www.bvitg.de/themen/it-sicherheit
Datenschutzbeauftragter des Bundes – www.bfdi.bund.de
Gesellschaft für Datenschutz – www.gdd.de
DSGVO Gesetzestext – www.dsgvo-gesetz.de und www.datenschutz-grundverordnung.eu
Daneben gibt es eine Vielzahl von Informationsseiten unter dem Stichwort Datenschutz-Grundverordnung DS-GVO oder DSGVO, insbesondere auf den Internetseiten der Datenschutzbehörden (Liste wird regelmäßig aktualisiert).
Der DSGVO-Check –
Zur Vorbereitung auf die europäische Datenschutz Grundverordnung
Nachfolgend sind wichtige Maßnahmen zur Erfüllung der Anforderungen der DSGVO aufgeführt. Die Angaben in der Tabelle basieren auf unserem Kenntnisstand vom 26. April 2018.
Aus Vorsichtsgründen wird jedem Apothekeninhaber geraten, einen DSB namentlich und schriftlich zu benennen1. Bestehende Benennung/Bestellungen nach BDSG gelten fort. Der DSB sollte eine entsprechende Sachkunde und Erfahrung besitzen2. Diese Funktion darf nicht vom Apothekeninhaber, dem Systemhaus bzw. EDV-/IT-Dienstleister übernommen werden (Interessenkonflikt).
Der DSB kann intern oder extern benannt werden. Die interne Benennung kann zeitlich befristet sein, sollte aber nicht weniger als 12 Monate betragen. Die Mangeno GmbH bietet die Dienstleistung „Externer Datenschutzbeauftragter“ an. Die Aufgaben des DSB sind in Artikel 39 DSGVO3 beschrieben.
Mitteilung der Daten an Aufsichtsbehörde
Der/Die DSB ist nach dem 25. Mai 2018 namentlich und mit Kontaktdaten gegenüber der Aufsichtsbehörde für den Datenschutz im ansässigen Bundesland zu benennen.
Meldungen vor dem 25. Mai 2018 werden nicht beachtet.
Das anzuwendende Verfahren wird von der Aufsichtsbehörde festgelegt. Hinweise
befinden sich zum Teil auf den Webseiten der Aufsichtsbehörden, die Sie unter folgendem Link finden:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen – WICHTIGER HINWEIS: Wir beabsichtigen, unterlassene Meldungen der Kontaktdaten der/des Datenschutzbeauftragten während einer Übergangszeit bis zum 31.12.2018 nicht als Datenschutzverstöße zu verfolgen oder zu ahnden. Mehr Infos hier.
Veröffentlichung der Kontaktdaten
Die Datenschutzerklärung auf der Webseite muss eine E-Mail-Adresse und evtl. Telefon-nummer enthalten, unter der der die DSB zu erreichen ist (z. B. datenschutzbeauftragter@xxx.de)
Eine namentliche Nennung der/des DSB ist nicht erforderlich. Die E-Mails des Postfachs sollten nur vom DSB und seinem Vertreter gelesen werden können.
1Nach Auffassung des Bayrischen Landesamtes für Datenschutzaufsicht lässt sich schließen, dass in Apotheken auf Grund der Verarbeitung von Gesundheitsdaten in den Kerntätigkeiten, ein Datenschutzbeauftragter benannt werden muss. (Quelle: Vgl. Beispiel über DSB-Bestellpflicht bei einem Hörgeräteakustiker, Erste Hilfe zur Datenschutz-Grundverordnung, Seite 34, C.H. Beck Verlag, ISBN: 987-3-406-71662-1). Ebenso muss ein DSB bestellt werden, wenn eine Datenschutz-Folgeabschätzung notwendig ist. Dieser Fall liegt z. B. bei Einsatz von Videoüberwachung oder Rezeptscan vor.
2Anforderungen an die Sach- und Fachkunde: Fachkompetenz auf dem Gebiet des nationalen und europäischen Datenschutzrechts und der Datenschutzpraxis, Verständnis der DSGVO, Verständnis der durchgeführten Verarbeitungsvorgänge, Kenntnisse in den Bereichen IT und Datensicherheit, Kenntnis der Branche und Einrichtung, Förderung der Datenschutzkultur in der Apotheke.
3Artikel 39 Aufgaben des Datenschutzbeauftragten
b) Überwachung der Einhaltung dieser Verordnung, anderer Datenschutzvorschriften der Union bzw. der Mitgliedstaaten sowie der Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgänge beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen;
e) Tätigkeit als Anlaufstelle für die Aufsichtsbehörde in mit der Verarbeitung zusammenhängenden Fragen, ein-schließlich der vorherigen Konsultation gemäß Artikel 36, und gegebenenfalls Beratung zu allen sonstigen Fragen.
Kunden, Dienstleister und verbundene Stellen
Eine schriftliche Einwilligungserklärung von Kunden für die Erhebung, Verarbeitung und Nutzung von Stamm- und Medikationsdaten muss in der Apotheke vorliegen bei Kundenkarten.
Die Einwilligungserklärungen sind auf Konformität mit der DSGVO zu prüfen. Diese sollten Sie mit Ihrem Datenschutzbeauftragten bzw. Warenwirtschaftssystemanbieters, der Ihnen eine Einwilligungserklärung zur Verfügung stellt, abstimmen.
Bisher erteilte Einwilligungen sind in folgenden Fällen ungültig:
// Einwilligungen, die mit Kindern jünger als 16 Jahre getroffen wurden;
// Einwilligungen, die nicht unter dem Grundsatz der Freiwilligkeit abgegeben wurden.
Mit Dienstleistern die von der Apotheke personenbezogene Daten zur Verarbeitung erhalten oder in diese Einsicht nehmen können (z. B. bei Fernwartung der IT, Wartung in der Apotheke, Zertifizierungsstellen), müssen Verträge zur Auftragsdatenverarbeitung geschlossen werden. Des Weiteren muss eine Verpflichtung zum Datengeheimnis nach § 203 StGB vorliegen.
Verpflichtungen, Einwilligungen
Für die Nutzung von Daten der Mitarbeiter/innen sollte folgendes in der Apotheke schriftlich vorliegen:
// Verpflichtung zur Einhaltung der DSGVO und auf das Datengeheimnis
// Einwilligungserklärungen für die Nutzung der Geburtstage, Telefondaten, privaten Kontaktdaten, Nutzung von Fotos auf Webseite etc.
Kontaktformulare, z. B. für Vorbestellungen
Die Kunden sollten Ihre Einwilligung in die Verarbeitung ihrer personenbezogenen Daten in Kontaktformularen per Checkbox explizit bestätigen. Beispiel:
[ ] Ich habe die Datenschutzerklärung zur Kenntnis genommen. Ich stimme zu, dass
gespeichert werden. Hinweis: Sie können Ihre Einwilligung jederzeit für die Zukunft per
E-Mail an datenschutz@xyz.de widerrufen.
Das Wort Datenschutzerklärung sollte dann hervorgehoben sein und auf die Datenschutzerklärung der Webseite verlinken.
Webseiten mit Kontaktformular müssen HTTPS verwenden und SSL als Transportverschlüsselung einsetzen, damit die personenbezogenen Daten verschlüsselt übertragen werden.
Die Datenschutzerklärung der Webseite sollte folgende Aspekte enthalten:
// Art, Zweck und Umfang der Verarbeitung personenbezogener Daten
// Recht des Betroffenen (Auskunft, Korrektur, Sperrung, Löschung)
// Speicherung von IP-Adressen in Server-Logs
// Einsatz von Cookies z.B. bei Google Analytics, Matomo/Piwik oder andere Auswertungs-Tools, falls diese eingesetzt werden
// Info über Nutzung von personenbezogenen Daten, die über ein Kontaktformular gesendet werden
// Info über die „Verantwortliche Stelle“: Kontaktdaten der Apotheke
// Kontaktdaten (E-Mail) zum Datenschutzbeauftragen, falls benannt (siehe oben)
Die Nutzung von WhatsApp sollte sofort eingestellt werden. Lesen Sie dazu die rechtliche Beurteilung zur Nutzung von WhatsApp für die Arzneimittelvorbestellung von Herrn Dr. Douglas, Rechtsanwaltskanzlei Friedrich Graf von Westphalen & Partner mbB:
Stellungnahme von Herrn Dr. Morton Douglas
Empfehlung: Die Bestell-App „Deine Apotheke“.
Dokumentationspflichten und Prozesse
Verarbeitungsverzeichnis und TOM´s
Über die Verfahren, in denen personenbezogene Daten verarbeitet werden, muss ein Verzeichnis geführt werden, in dem auch die technischen und organisatorischen Maßnahmen (TOM´s) zum Datenschutz beschrieben sind.
Es sollten Prozessbeschreibungen zu den folgenden Themen vorliegen:
// Sicherstellung des Datenschutzniveaus (Selbstinspektion über Datenschutzthemen)
// Bearbeitung von Betroffenenrechten (Auskunft, Korrektur, Löschen, ...)
// Notwendigkeit und Durchführung von Datenschutz-Folgeabschätzungen
// Umgang und Datenpannen und deren Meldung an die Aufsichtsbehörde
// Schulung und Sensibilisierung der Mitarbeiter
Schreiben Sie uns: datenschutz@adg.de
ADG Newsletter – Sichern Sie sich Ihren Wissensvorsprung. Jetzt anmelden
© 2016 Apotheken-Dienstleistungsgesellschaft mbH