„Ich bin nicht gerade begeistert, aber wer ist das schon?“ Hermann Niemann klingt leicht resigniert, wenn man ihn nach der DSGVO fragt. Er sieht viel guten Willen in dem Regelwerk, aber wie so oft gilt: Gut gemeint ist nicht gut gemacht. Denn für Niemann, Apotheker seit 40 Jahren, ist Einiges komplizierter geworden. „Wir brauchen jetzt allein drei Unterschriften von Kunden mit einer Kundenkarte, wenn wir ihnen eine umfassende Betreuung anbieten wollen“, erklärt er.

Einmal muss der Kunde dafür unterschreiben, dass seine persönlichen Daten inklusive seiner Medikation gespeichert werden, ein zweites Mal dafür, dass seine Daten verwendet werden, um Informationen wie Benachrichtigungen an ihn zu senden, und ein drittes Mal dafür, dass seine Anschrift auf den Kassenbon gedruckt werden darf.

Dabei gebe es auf Kundenseite offensichtlich kaum Bedarf, die neuen Rechte zu nutzen. So musste Niemann einen Datenschutzbeauftragten ernennen, an den sich beispielsweise Kunden wenden, die ihre Daten löschen lassen wollen – denn darauf haben sie Anspruch. Das sei aber bisher nur ein einziges Mal vorgekommen. „Und da hatte ich eher den Eindruck, dass das aus Verunsicherung geschehen ist, nicht als eine bewusste Verbraucherentscheidung.“ Überhaupt: DSGVO bedeutet Verunsicherung. „Denn Sie können gar nicht alles richtig machen, weil ja noch nicht einmal der Gesetzgeber genau weiß, wie genau das alles laufen muss.“

Weder die Behörden, noch die Kammer oder den Verband habe er im Voraus als ausreichend vorbereitet wahrgenommen, erzählt der Apotheker. „Selbst die Körperschaften haben sich erst sehr spät Gedanken gemacht, wie man sich vorbereiten muss. Aber wahrscheinlich hat man da schon gemerkt, was für ein bürokratisches Monstrum das ist, und dann den Kopf in den Sand gesteckt“, mutmaßt er, will aber vor allem Kammer und Verband in Schutz nehmen. „Die waren ja da auch auf die Verlautbarungen der jeweiligen Behörden angewiesen und konnten entsprechend nicht früher reagieren.“

Besonders eklatant empfindet er das beim Landesbeauftragten für Datenschutz in Nordrhein-Westfalen. Dorthin musste er Meldung erstatten, wen er zum Datenschutzbeauftragten seines Unternehmens ernannt hat. „Die zuständige Behörde ist erst seit Kurzem fähig, die Meldung des Datenschutzbeauftragten überhaupt entgegenzunehmen. Das notwendige Portal wurde gerade erst freigeschaltet.“ Einen Datenschutzbeauftragten muss man ab zehn Mitarbeitern ernennen. Niemanns Apotheke hat zwölf, von denen derzeit drei in Elternzeit sind, aber diese „müssen angeblich mitgezählt werden“, so der Apotheker.

Von den Kammern und Verbänden hätte er sich höchstens etwas mehr Engagement erhofft, was die Einflussnahme auf die Umsetzung der neuen Regeln angeht. Denn die greifen seiner Meinung nach teilweise in die Kernkompetenzen des Apothekers ein: „Ich frage mich zum Beispiel, ob unsere Berufsvertretung beim Thema Unterschrift zur Speicherung von Medikationsdaten nicht etwas zu sehr eingeknickt ist.“

Es sei schließlich eine der zentralen Aufgaben eines Apothekers, über Unverträglichkeiten und unerwünschte Wechselwirkungen zu beraten, wozu diese Daten nun einmal notwendig seien. „Von einem Arzt verlangt man da doch auch nicht, dass er sich von seinen Patienten eine Unterschrift geben lässt, wenn er dessen Behandlungsdaten dokumentieren will.“ Viele Patienten würden eine solche Beratung schlicht erwarten, auch ohne dass sie vorher etwas unterschreiben müssen.

Außerdem sei die nun notwendige Aufklärung meist Verschwendung: „Es gibt da eine Menge Informationswust; Sachen, die der durchschnittliche Kunde niemals liest. Es ist wie bei den AGB im Internet. Die liest sich doch auch niemand durch, bevor er auf weiter klickt.“

Es sei schon ein Widerspruch, dass die DSGVO einerseits zum sparsamen Umgang mit Daten anhält, andererseits aber umfassende Dokumentationspflichten mit sich bringt. „Das Schlimme daran ist vor allem die Beweisumkehr. Normalerweise müsste die Aufsicht einen Fehler nachweisen, beim Datenschutz ist es aber umgekehrt. Man muss selbst immer belegen können, dass man alles richtig gemacht hat.“

Es ist schon paradox: Eine Verordnung, die die Europäer fit für das digitale Zeitalter machen soll, geht vor allem mit mehr Papierkram einher. So erzählt Niemann, dass er eine gesonderte Vereinbarung mit der EDV-Reparatur seines Vertrauens abschließen musste. „Wenn ich da beispielsweise eine Festplatte reparieren lasse, dann könnten da ja theoretisch vertrauliche medizinische Daten eines Kunden drauf sein, die der dortige Techniker sehen könnte.“

Deshalb musste Niemann den EDV-Dienstleister schriftlich darauf hinweisen, dass er als Apotheker einer beruflichen Verschwiegenheitspflicht unterliegt und der EDV-Dienstleister wiederum seine Mitarbeiter darauf hinweist, dass sie diese Verschwiegenheit achten müssen. „Ansonsten könnte ich in Haftung genommen werden, falls etwas passiert.“

So mache die DSGVO den Falschen das Leben schwer, ist sich Niemann sicher. „Es gab ja hehre Absichten, aber es fehlen die nachvollziehbaren Ausführungsbestimmungen. Dass es zum Beispiel in verschiedenen Bundesländern unterschiedliche Bestimmungen gibt, lockt doch nur findige Geschäftemacher an.“ Selbst habe er aber glücklicherweise noch keine schlechten Erfahrungen mit Abmahnanwälten gemacht. „Sinn des Gesetzes war es doch eigentlich, die großen Datenkraken in den Griff zu bekommen. Aber die sitzen in den USA und machen ein bisschen Kosmetik in ihren Geschäftsbedingungen“, kritisiert er. „Die lachen sich doch kaputt.“