In Apotheken dürfen für legitime Zwecke erhobene Daten nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden.
Eine Beschwerdeführerin schilderte folgenden Sachverhalt: In ihrem Briefkasten habe sie einen an sie adressierten Brief gefunden. Aus dem Inhalt konnte sie schließen, dass es sich bei dem Absender um den ortsansässigen Apotheker handelte, bei dem sie einige Tage zuvor ein Rezept eingelöst hatte. Mit dem Brief versuchte der Apotheker, ihr privat näher zu kommen und Kontakt zu knüpfen. Die Kontaktaufnahme hatte allerdings nicht den gewünschten Erfolg und führte stattdessen zu ihrer Beschwerde bei der Datenschutzbehörde. Sie habe zu keinem Zeitpunkt dem Apotheker ihre Adressdaten gegeben oder ihm erlaubt, ihre Daten für private Zwecke zu nutzen. Der Apotheker habe wohl die Adressdaten genutzt, die auf Rezepten neben dem verordneten Medikament mit aufgedruckt sind.
Nach Art. 5 Abs. 1 Buchst. b DSGVO müssen personenbezogene Daten „für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden“.
Rezeptdaten dürfen zur Einlösung des Rezeptes verwendet werden. Adressdaten können z. B. für die Lieferung eines Medikamentes erforderlich sein. Eine Nutzung der Daten zu einer privaten Kontaktaufnahme ist jedoch keine Verarbeitung, die mit dem ursprünglichen Zweck der Datenerhebung vereinbar ist. Der Brief des Apothekers diente nicht zur Abwicklung der Kundenbeziehung, daher kommt die Rechtsgrundlage zur Erfüllung einer vertraglichen Beziehung gem. Art. 6 Abs. 1 UAbs. 1 Buchst. b DSGVO, nicht in Betracht. Auch ein überwiegendes Interesse des Apothekers gemäß Art. 6 Abs. 1 UAbs. 1 Buchst. f DSGVO liegt nicht vor, die Rezeptdaten für den Privatkontakt zu nutzen. Eine Nutzung wäre allenfalls dann zulässig gewesen, wenn er die betroffene Person explizit gemäß Art. 6 Abs. 1 UAbs. 1 Buchst. a und Art. 7 Abs. 1 DSGVO gefragt und diese eingewilligt hätte, was jedoch nicht der Fall war.
Damit war eine Verwendung der Adressdaten außerhalb der Rezepteinlösung ohne die Einwilligung der Betroffenen unzulässig und stellte damit einen Verstoß gegen Art. 5 Abs. 1 Buchst. b, 6 Abs. 1 UAbs. 1 Buchst. a und 7 Abs. 1 DSGVO dar. Da der Apotheker sich einsichtig zeigte und versicherte, dass dies ein Einzelfall war, wurde von einem Verfahren zur Verhängung einer Geldbuße abgesehen und den Apotheker gemäß Art. 58 Abs. 2 Buchst. b DSGVO verwarnt. Zudem hat die Datenschutzbehörde darauf aufmerksam gemacht, dass zukünftige vergleichbare Verstöße nach Art. 83 Abs. 5 DSGVO mit einer Geldbuße geahndet werden können.
Quelle: HBDI
Fragen Sie sich, ob Ihre Apotheke bei Datenschutz und Datensicherheit gut aufgestellt ist?
Unverbindlich mit Datenschutzbeauftragten sprechen
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Ombudsstelle und Hinweisgebersystem für Hinweisgeber:innen (Whistleblower)
- Tragbarer Tresor für die Reise zum Schutz von Wertsachen
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking- Blickschutz hilft.
- Denkanstoß – Daten(schutz)risiko USB-Stick, es passiert immer wieder
- Aktenvernichter für den Arbeitsplatz – Gegen Datenpannen auf Papier
- Tipp: Textpassagen mit einem Camoflage-Rollstempel unkenntlich machen
- Aufsichtsbehörde empfiehlt Buch: DSGVO /ePrivacy auf Websites umsetzen
- Recht im Online-Marketing: So schützen Sie sich vor Fallstricken zur DSGVO
Dieser Absatz enthält Affiliatelinks/Werbelinks