Datenschützer wollen über Rechenzentren reden

Berlin -

Apotheker müssen beim Thema Unterauftragnehmer womöglich künftig viel strengere Vorschriften beachten. Ein Gutachten zu möglicherweise unzulässigen Vertragskonstellationen der Rechenzentren stößt bei Datenschützern auf großes Interesse. Thilo Weichert, Datenschutzbeauftragter aus Schleswig-Holstein, hat Gesprächsbedarf.

Zwar ist es Apotheken laut Sozialgesetzbuch (SGB V) erlaubt, Rechenzentren einzuschalten. Da der Begriff aber nirgends definiert sei, dürfen nur Dienstleister beauftragt werden, die tatsächlich selbst abrechnen – also die Leistung nicht an dritte Unternehmen auslagern. So lautet jedenfalls das Fazit eines Rechtsgutachtens von Professor Dr. Jürgen Kühling im Auftrag des ARZ Darmstadt.

Nach Ansicht des Juristen von der Universität Regensburg gehen Apotheken ein Risiko ein, wenn sie Rechenzentren beauftragen, die ihrerseits Unterauftragnehmer einschalten. Genauso, wie sie dafür verantwortlich seien, dass ihre Mitarbeiter sich korrekt verhielten, müssten Apotheker sicherstellen, dass auch im Rechenzentrum der Datenschutz gewährleistet sei. „Weil man das Rechenzentrum aber nicht ständig kontrollieren kann, kommt den Verträgen eine sehr wichtige Bedeutung zu“, so Kühling.

Die Datenschutzbeauftragten von Bayern, Thomas Kranig, und Schleswig-Holstein, Thilo Weichert, sehen das ähnlich. Das Gutachten weise zu Recht auf ein Problem hin: Über die Unterbeauftragung gehe die Kontrolle über Patientengeheimnisse verloren, findet Weichert. „Das wollte der Gesetzgeber verhindern.“ Eine einfache Erlaubnis der Unterbeauftragung kann aus seiner Sicht nicht genügen.

Das Unabhängige Landeszentrum für Datenschutz (ULD) prüft derzeit einen konkreten Fall, zu dem sich Weichert aber nicht näher äußern will. Auch aus diesem Grund hält er es „für dringend erforderlich, in dieser – neuen – Frage eine möglichst umfassende und einheitliche Meinungsbildung im Düsseldorfer Kreis, also bei den deutschen Aufsichtsbehörden, zu erreichen.“

Der Berliner Datenschutzbeauftrage Dr. Alexander Dix sieht Rechenzentren, die Unterauftragnehmer nutzen, nicht prinzipiell als Problem. Im Gesetz sei von Rechenzentren die Rede: „Dass die Mehrzahl verwendet wurde, ist ein gewisser Hinweis darauf, dass nicht nur ein Rechenzentrum beauftragt werden darf. Ich neige daher zu der Auffassung, dass Unterauftragnehmer nicht ausgeschlossen werden.“

In den Verträgen, die Apotheker mit den Rechenzentren abschließen, müsse aber klar geregelt sein, ob Unterauftragnehmer eingeschaltet werden und dass der Apotheker in diesem Fall Durchgriffsrechte habe. „Der Apotheker trägt die datenschutzrechtliche Verantwortung“, betont Dix.

Er müsse auch wissen, wer als Unterauftragnehmer eingeschaltet werde. „Der Apotheker bleibt in der Pflicht nachzufragen, wer der Unterauftragnehmer ist“, so Dix. Denn eines müsse ganz klar sein: Der Apotheker haftet für die Sicherheit der Daten.