Schütze ich die Daten meiner Kunden richtig? Wie kann ich sicherstellen, dass meine Mitarbeiter die neuen Datenschutz-Regeln einhalten? Lauer-Fischer will Antworten liefern, seit Ende März zusammen mit Datatree, dem Institut für Sicherheit und Datenschutz im Gesundheitswesen (ISDSG).

Mit dem Ende der Übergangsfrist der DS-GVO müssen Apotheken unter anderem eine Einwilligung der Kunden zur Nutzung ihrer Daten nachweisen können. Eine zweckbezogene Nutzung, die Datensicherheit sowie eine endgültige Löschung der Daten auf Wunsch des Kunden, müssen zusätzlich gewährleistet sein. Darüber hinaus muss der Apotheker auch belegen können, dass er selbst und seine Dienstleister datenschutzkonform arbeiten. Ein großer Teil der Apotheken muss künftig einen Datenschutzbeauftragten benennen und der Aufsichtsbehörde melden. Und die Vorgaben sind durchaus ernst zu nehmen, denn bei groben Verstößen drohen Bußgelder bis zu 4 Prozent des Jahresumsatzes.

Die Apotheken-EDV könne Umsetzung im Alltag erleichtern, heißt es bei Lauer-Fischer. Sämtliche Funktionen sollen spätestens mit dem Software-Update im Mai 2018 zur Verfügung stehen. Wird beispielsweise ein neuer Kunde angelegt, muss der Apotheker künftig die Einwilligung des Betroffenen nachweisen können. In der Software ist hierzu eine Einwilligungserklärung hinterlegt, die bei Bedarf auch individuell an die Anforderungen der Apotheke angepasst werden. Liegt keine ausreichende Erklärung vor, wird das Apothekenpersonal automatisch erinnert.

Vor jeder Datenerhebung muss dem Betroffenen zudem eine Datenschutzerklärung zugänglich sein, indem er über seine Rechte und den Umgang mit seinen Daten informiert wird. Dazu zählen die Kategorien der erhobenen Daten, der Zweck der Datenerhebung, Kontaktdaten des Inhabers, weitere Empfänger der Daten, die Rechtsgrundlage und die Kontaktdaten des Datenschutzbeauftragten, sofern ein solcher bestellt wurde.

Kunden haben prinzipiell das Recht, alle personenbezogenen Daten einzusehen. Zudem müssen diese auf Anfrage auch in einem Ausdruck oder in digitaler Form zur Verfügung gestellt werden. Bei Lauer-Fischer gibt es eine Funktion, die einen elektronischen Auszug der Kundendaten auf Knopfdruck ermöglicht.

Kunden haben mit der DS-GVO auch das Recht auf Löschung ihrer Daten. Ausgenommen sind Abrechnungsdaten für die Krankenkassen oder Daten mit gesetzlichen Dokumentations- und Aufbewahrungspflichten. Diese Daten müssen erst am Ende der Aufbewahrungsfristen gelöscht werden. In der EDV wird es neben der „Löschfristenbeachtung“ eine Sperrfunktion für Datensätze geben, außerdem eine erweiterte Löschfunktion, mit der Daten nicht wiederherstellbar aus dem System gelöscht werden können.

Firewall und leistungsstarke Virenscanner sollen bei Lauer-Fischer die Arbeitsplätze in der Apotheke schützen. Fernwartung und Datenübertragung finden in einem gesicherten VPN-Tunnel statt – auch zwischen mehreren Filialen. Sollte es dennoch zu einem Datenleck kommen, muss dies innerhalb von 72 Stunden dem Datenschutzbundesbeauftragten gemeldet werden. Im Kunden-Center von Lauer-Fischer gibt es einen Link zu den Kontaktdaten.

Überprüfen sollten Inhaber auch ihre Verträge über Auftragsdatenverarbeitung, etwa Rechenzentrum oder dem IT-Dienstleister. Der Vertrag sollte etwa eine schriftliche Zusicherung erhalten, dass der Partner den Anforderungen der DS-GVO genügt. Lauer-Fischer verschickt Anfang April einen Auftragsverarbeitungsvertrag (AVV) an alle Kunden, der die relevanten Punkte im Verhältnis zwischen beiden Parteien regeln soll.

Inhaber müssen ein Verzeichnis der Verarbeitungstätigkeiten führen, in der auch die Belehrung und der Beschäftigen zur Verschwiegenheit dokumentiert werden sollte. Diese Unterweisungsformulare der Mitarbeiter können in der Personenverwaltung von Winapo bei der jeweiligen Person abgelegt werden.