Die Prüfung von Arztpraxen und Krankenhäusern bildet bei vielen Aufsichtsbehörden einen Schwerpunkt. In diesem Fall war eine Apotheke Gegenstand eines Ortstermins.
Im Februar des Berichtszeitraumes erreichte die Aufsichtsbehörde eine anonyme Eingabe eines Bürgers: Wie der Eingebende schilderte, seien ihm aus einer öffentlich zugänglichen Papiertonne Schriftstücke „entgegengeflogen“, die personenbezogene Daten enthielten. Diese konnten einer nahegelegenen Apotheke zugeordnet werden. Die aufgefundenen Unterlagen waren der Eingabe beigefügt. Wie sich diesen Unterlagen entnehmen ließ, handelte es sich in erster Linie um Bewerbungsunterlagen und damit um personenbezogene Daten von Beschäftigten i.S.des § 26 Abs. 8 BDSG. Diese waren eigentlich für die Vernichtung vorgesehen.
Die Apotheke wurde kurzfristig aufgesucht, um den Sachverhalt vor Ort aufzuklären.
Die erwähnten Papiertonnen befanden sich bei meinem Besuch im Hinterhof der Apotheke. Der Hofeingang ist mit einer Tür versehen, die aufgrund der Nutzungsfrequenz meist offensteht, so dass der Hof mit den Papiertonnen nicht nur von außen sichtbar, sondern auch von jedermann zu betreten ist. Der Hinterhof wird zudem auch von den Bewohnern und Besuchern des Hauses genutzt.
Bei dem nur kurz vorher angekündigten Termin konnte in den öffentlich zugänglichen Papiermülltonnen weitere Unterlagen mit personenbezogenen Daten, die sich der Apotheke zuordnen ließen, entdecken (u.a. Rezeptabholscheine und diverse handschriftliche Aufzeichnungen). Die Papiere waren vor der Entsorgung nur grob zerrissen oder zerknüllt worden.
Die „Löschung und Vernichtung“ von personenbezogenen Daten fällt gemäß Art. 4 Nr. 2 DSGVO unter den Verarbeitungsbegriff der DS-GVO. Nach Art. 5 DSGVO müssen personenbezogene Daten entsprechend den in Abs. 1 lit. a bis lit. f enthaltenen Grundsätzen verarbeitet werden. Dabei muss die Verarbeitung der personenbezogenen Daten in einer Weise erfolgen, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigten Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“).
Wie die Inhaberin der Apotheke einräumte, besaß die Apotheke zwar einen Aktenvernichter, nutzte diesen aber nicht regelmäßig bzw. war sie der Ansicht, dass manche Dokumente nicht so sensibel seien, dass diese fachgerecht vernichtet werden müssten. Außerdem war der Aktenvernichter sowohl von seiner Leistungsfähigkeit als auch von seiner Schutzklasse her angesichts der Sensibilität der zu verarbeitenden Daten ungenügend.
Die Inhaberin wurde daher aufgefordert, dass sich die Apotheke einen den Anforderungen entsprechenden Aktenvernichter anschafft, mit dem zukünftig sichergestellt ist, dass jeglicher anfallende Papierabfall datenschutzgerecht zerkleinert werden kann. Gemäß den Anforderungen der DIN 66399 sollte es sich um ein Gerät der Klasse 3, besser der Klasse 4 handeln. Alternativ besteht die Möglichkeit, durch einen zertifizierten Entsorgungsbetrieb eine verschlossene Papiertonne aufstellen zu lassen, bei der die fachgerechte Entsorgung des Inhalts vertraglich und organisatorisch sichergestellt ist.
Bei der Ortsbesichtigung wurden noch zwei weitere datenschutzrechtlich unzulässige Sachverhalte festgestellt.
- Zum Zeitpunkt des Besuches nutzte die Apotheke eine Wand in unmittelbarer Nähe zum Kundenbereich als Pinnwand für Abholscheine. Mit einem kurzen „Blick um die Ecke“ war es möglich, einzelne Daten, wie zum Beispiel Name oder Medikament, zu erfassen. Die Inhaberin der Apotheke wurde aufgefordert, eine alternative Aufbewahrungsmöglichkeit zu finden, um eine ausreichende Datensicherheit und Vertraulichkeit zu gewährleisten.
- Des Weiteren wurden im hinteren Arbeitsbereich der Apotheke Bewerbungsunterlagen von abgelehnten Schülerpraktikanten in zwei Stehordnern aufbewahrt. Die abgelehnten Bewerberinnen und Bewerber würden die Unterlagen meist direkt in der Apotheke abholen. Da die Apothekenleitung nicht jeden Tag in ihrem Büro sei, habe man diesen Standort gewählt. Die Ordner trugen die Aufschrift „Bewerbungen Gut“ sowie „Bewerbungen Schlecht“ und sind für alle Mitarbeiter frei zugänglich. Es wurde auch hier eine organisatorische Abhilfe gefordert.
Ergebnis:
Als Ergebnis war festzuhalten, dass die Apotheke noch in einigen Bereichen Nachholbedarf hatte, was einen datenschutzkonformen Apothekenbetrieb anbelangt.
Zwischenzeitlich hat die Inhaberin der Apotheke bestätigt, dass ein Aktenvernichter, der die Anforderungen erfüllt, beschafft wurde. Auch die Mitarbeiter und Mitarbeiterinnen wurden dahingehend sensibilisiert, alle Unterlagen mit personenbezogenen Daten vor der Entsorgung in die Papiertonne nach der vorgegebenen DIN-Norm zu zerkleinern. Für die Aufbewahrung der Abholscheine wurde ein neues Verfahren eingeführt. Sie sind nun nicht mehr für die Kunden einsehbar. Auch alle Bewerbungsunterlagen werden ab sofort in einem abschließbaren Büro aufbewahrt und innerhalb der vorgesehenen Frist vernichtet.
Da bei der Datenvernichtung der Grundsatz des Art. 5 Abs. 1 lit. f DSGVO nicht beachtet wurde, liegt ein Verstoß im Sinne des Art. 83 Abs. 5 lit. a DSGVO vor. Die unsachgemäße Entsorgung von personenbezogenen Daten kann einen Bußgeldtatbestand erfüllen und wird deshalb nach Abschluss der fachlichen Fallprüfung auch von der Bußgeldstelle dahingehend noch geprüft und bewertet werden.
Quelle: HBDI
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking- Blickschutz hilft.
- Denkanstoß – Daten(schutz)risiko USB-Stick, es passiert immer wieder
- Aktenvernichter für den Arbeitsplatz – Gegen Datenpannen auf Papier
- Tipp: Textpassagen mit einem Camoflage-Rollstempel unkenntlich machen
- Aufsichtsbehörde empfiehlt Buch: DSGVO /ePrivacy auf Websites umsetzen
- Recht im Online-Marketing: So schützen Sie sich vor Fallstricken zur DSGVO
Dieser Absatz enthält Affiliatelinks/Werbelinks