Kein Datenschutz-Beauftragter für kleine Apotheken

Berlin -

Apotheken mit weniger als zehn Mitarbeitern müssen keinen Datenschutz-Beauftragten benennen. Das geht aus der Antwort der Bundesregierung auf eine kleine Anfrage der FDP hervor. Bislang gab es zur Auslegung dieser Regel der neuen Datenschutz-Grundverordnung (DSGVO) unterschiedliche Interpretationen. Nur wer „umfangreiche“ Kundendaten verarbeitet, muss danach einen Datenschutz-Beauftragten benennen. Aus Sicht der Bundesregierung ist das Speichern von Patientendaten durch Apotheker oder Ärzte nicht als „umfangreich“ einzustufen.

Die FDP wollte von der Bundesregierung wissen, welche Konsequenzen die seit dem 25. Mai gültige DSGVO für Heilberufe hat. Keine Kenntnisse hat die Bundesregierung über eine seitdem einsetzende Abmahnwelle wegen Verstößen gegen die DSGVO: „Der Bundesregierung liegen keine Erkenntnisse darüber vor, dass der Gesundheitssektor von Abmahnungen stärker oder weniger stark betroffen sein könnte als andere Bereiche“, so die Antwort.

Die Bundesregierung nehme jedoch die Befürchtungen ernst, dass es im Bereich des Datenschutzes zu einer „Abmahnwelle“ kommen könnte. Im Koalitionsvertrag sei vereinbart, dass ein „Missbrauch des bewährten Abmahnrechts verhindert“ werden solle. Gegenwärtig prüfe die Bundesregierung Maßnahmen in diesem Bereich.

Zum Thema Datenschutzbeauftragten führt die Bundesregierung in ihrer Antwort aus, dass es hinsichtlich der Notwendigkeit der Benennung eines Datenschutzbeauftragten mit der neuen DSGVO „keine substanzielle Änderung“ zur bisherigen Rechtslage gebe. Die Benennung eines Datenschutzbeauftragten sei erforderlich, wenn mindestens zehn Personen „ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt“ seien, „das heißt, wenn diese Personen mit der Datenverarbeitung nicht nur gelegentlich beschäftigt sind, sondern dies wesentlicher Teil des vereinbarten Arbeitsfeldes ist“. Damit werde die bisherige Rechtslage fortgeführt.

Unabhängig von der Anzahl der mit der Datenverarbeitung Beschäftigten bestehe die Verpflichtung zur Benennung eines Datenschutzbeauftragten, wenn eine Datenschutz-Folgenabschätzung vorgenommen werde oder wenn „die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 besteht“. Daraus folge, so die Bundesregierung, dass nicht jeglicher Umgang mit Gesundheitsdaten oder anderen „sensiblen“ Daten im Sinne des Artikel 9 DSGVO die Pflicht zur Benennung eines betrieblichen Datenschutzbeauftragten auslöse. Der durch die DSGVO neu eingeführte Tatbestand erfordert, dass es sich um eine „umfangreiche“ Verarbeitung besonderer Kategorien personenbezogener Daten handelt und dass die Verarbeitung die „Kerntätigkeit“ des Verantwortlichen oder Auftragsverarbeiters darstelle.

Die Verarbeitung personenbezogener Daten gelte nicht als umfangreich, wenn sie die Verarbeitung personenbezogene Daten von Patienten betreffe und durch einen einzelnen Arzt oder sonstigen Angehörigen eines Gesundheitsberufs erfolge. „Es ist daher weder ein betrieblicher Datenschutzbeauftragter nach Artikel 37 Absatz 1 Buchstabe c DSGVO zu benennen noch zwingend eine Datenschutz-Folgeabschätzung nach Artikel 35 Absatz 3 Buchstabe b DSGVO durchzuführen“, so die Bundesregierung. Nach einem Beschluss der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder zur Datenschutzbeauftragten-Bestellpflicht gelte dies auch für den Zusammenschluss von Angehörigen eines Gesundheitsberufs in Gemeinschaftspraxen.

Auch bei der Datenübermittlung zwischen Ärzten, Apothekern oder Kliniken sieht die Bundesregierung keine großen Probleme: „Insbesondere sei sicherzustellen, dass Unbefugte keinen Zugriff auf Patientendaten erhalten, also etwa Dritte ein Telefongespräch nicht mithören oder Faxe nicht einsehen oder auf Bildschirmen nicht mitlesen können.“ Keine Angeben machen kann die Bundesregierung über die Kosten der Umstellung in den Betrieben auf die neue DSGVO. Dazu lägen ihr keine Erkenntnisse vor.