Datenschutz in der Apotheke - es geht um Medizin und Geld

- Lieferservice birgt datenschutzrechtliche Problematik -

Actus-IT / 06.05.2017. Stellen Sie sich folgendes Szenario vor: Ihr Apothekenbote verliert das Fahrtenbuch mit bis zu 400 Kundenadressen Ihrer Apotheke. Sie denken das wäre unmöglich. Das ist es aber leider nicht, denn genau dieser Fauxpas ist im letzten Sommer einer Hamburger Apotheke passiert.

Abgesehen von dem Imageverlust für die Apotheke und dem unermesslichen Eingriff in die Persönlichkeitsrechte der Kunden muss der Apothekenbetreiber auch noch einen immensen Arbeits- und Kostenaufwand für das Informieren der betroffenen Kunden bewältigen. Zusätzlich kommt möglicherweise eine Ermittlung der Datenschutzaufsichtsbehörde sowie die Aussprache einer empfindlichen Strafe auf ihn zu.

Fast alle Apotheken bieten ihren Kunden einen meist kostenlosen Botendienst an, sofern die benötigten Arzneimittel nicht sofort verfügbar sind. Eine rechtliche Grundlage für einen Lieferservice der Apotheken bietet § 17 Abs. 2 der Apothekenbetriebsordnung (ApoBetrO). Darin heißt es: „Eine Zustellung durch Boten der Apotheke ist im Einzelfall ohne Erlaubnis nach § 11a Apothekengesetz zulässig“. Die Anstellung des Boten bei der Lieferapotheke ist im Unterschied zum Versandhandel mit Arzneimitteln zu sehen, denn die Beauftragung von Dritten, also Post oder Kurierdienste, wird als ein erlaubnispflichtiger Versandhandel angesehen.

Auch wenn der hauseigene Lieferservice erlaubnisunabhängig von den Apotheken angeboten werden darf, so sind doch die unterschiedlichsten Regelungen zum Datenschutz durch die Apothekenbetreiber und deren Mitarbeiter, u. a. die Boten, zu beachten. Maßgebend für den Datenschutz ist noch bis zum 25. Mai 2018 das Bundesdatenschutzgesetz. Dieses wird danach durch die europäische Datenschutzgrundverordnung abgelöst.

Grundsätzlich ist bei einer Arzneilieferung durch einen Boten alles zu vermeiden, was Rückschlüsse auf den Gesundheitszustand der Kunden liefern könnte. Der Bote als Angestellter der Apotheke unterliegt der Schweigepflicht und ist vor Aufnahme seiner Tätigkeit auf das Datengeheimnis nach § 5 Bundesdatenschutzgesetz zu verpflichten. Weiterhin sind technische und organisatorische Maßnahmen von der Apotheke zu treffen, die eine möglichst anonyme Übergabe der Arznei an den Kunden gewährleisten. Dazu gehört u. a. die Übergabe der Medikamente in einer undurchsichtigen Verpackung. Natürlich sind die Boten regelmäßig darüber zu belehren, dass die Arzneimittel und die entsprechenden Auslieferungsunterlagen nicht unbeaufsichtigt im PKW verbleiben dürfen und alle Sicherungsmaßnahmen zu unternehmen sind, um die unberechtigte Veröffentlichung der Kundendaten inkl. möglicher Gesundheitsdaten zu vermeiden. Auch schreibt die Apothekenbetriebsordnung vor, dass die Aushändigung der Medikamente nur gegen eine schriftliche Empfangsbestätigung des entsprechenden Kunden selbst erfolgen darf. Eine Übergabe an einen Nachbarn oder die Ablage an einem anderen sicheren Ort hat zu unterbleiben. Nur wenn der Kunde einer Übergabe an Dritte vorab zugestimmt hat, kann der Apothekenbote die Medikamente gegen eine Empfangsbestätigung auch bei diesen hinterlegen.

Der Apothekenbetreiber sollte sich grundsätzlich darüber bewusst sein, dass er nicht nur innerhalb seiner Geschäftsräume mit besonders schützenswerten Gesundheitsdaten umgeht, sondern auch bei der Auslieferung der Medikamente mit sensiblen Daten seiner Kunden arbeitet. Daher ist die Beachtung der geltenden Datenschutzvorgaben nicht nur eine rechtliche Vorgabe für die Apotheken, sondern auch eine existenzielle vertrauensbildende Verpflichtung des Apothekenbetreibers gegenüber seinen Kunden und Mitarbeitern.

Lassen Sie Ihre Verfahren zur Verarbeitung von Kundendaten im Vorfeld der Umstellung hin zur europäischen Datenschutzgrundverordnung datenschutzrechtlich überprüfen und trainieren Sie Ihre Mitarbeiter im Umgang mit sensiblen Gesundheitsdaten. Denn mit Blick auf die hier besonders schützenswerten Daten sieht die europäische Datenschutzrichtlinie entscheidende Veränderungen vor und gerade auch Apothekenbetreiber als Verantwortliche werden noch stärker in die Pflicht genommen. Daher ist eines unablässig: Training und Information zum Thema Datenschutz und IT-Sicherheit.

Möchten Sie mehr über den Schutz von persönlichen Daten im Gesundheitswesen wissen oder interessieren Sie sich für unsere Schulungen zum Schutz von personenbezogenen Daten, so wenden Sie sich bitte unter info@actus-it.de an uns oder besuchen Sie uns im Internet unter www.actus-it.de. Wir freuen uns auf Ihre Anfragen.