Dieser Artikel behandelt die DSGVO-Pflichten, die sich aus dem Betrieb einer Apotheke ergeben, nicht die Datenschutzerklärung dieser Website. Die eigene Datenschutzerklärung von apotheke-versicherung-24.de finden Sie unter /datenschutz/.
Warum Apotheken besonders betroffen sind
Apotheken verarbeiten bei jeder Rezeptabgabe Gesundheitsdaten: Diagnosen, Verordnungen, Dauermedikationen. Das sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, deren Verarbeitung grundsätzlich untersagt ist, außer in ausdrücklich geregelten Ausnahmen wie der Gesundheitsversorgung. Diese Einstufung bedeutet höhere Sorgfaltsanforderungen als bei gewöhnlichen Kundendaten.
Die 72-Stunden-Meldepflicht
Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, etwa durch einen Ransomware-Angriff oder einen verlorenen Datenträger, muss die Apotheke dies in der Regel innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Datenschutzbehörde melden (Art. 33 DSGVO). Besteht ein hohes Risiko für die Betroffenen, müssen zusätzlich die betroffenen Personen selbst benachrichtigt werden (Art. 34 DSGVO). Verstöße können mit Bußgeldern bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.
Quelle: Art. 9, Art. 33, Art. 34, Art. 83 DSGVO.
Was im Alltag zu beachten ist
- Ein Verzeichnis von Verarbeitungstätigkeiten führen (Art. 30 DSGVO), auch kleine Apotheken sind in der Regel nicht generell befreit.
- Mit IT-Dienstleistern, die Zugriff auf Patientendaten haben könnten, einen Auftragsverarbeitungsvertrag (AVV) abschließen.
- Zugriff auf Warenwirtschafts- und Kassensysteme auf das notwendige Personal beschränken.
- Einen internen Ablaufplan für den Verdachtsfall einer Datenschutzverletzung bereithalten, die 72-Stunden-Frist beginnt mit dem Bekanntwerden, nicht erst mit der vollständigen Aufklärung.
Die Schnittstelle zur Cyberversicherung
Ein Datenschutzvorfall ist selten nur ein IT-Problem. Er löst eigene Kosten aus: Rechtsberatung zur Meldepflicht, Kommunikation mit der Datenschutzbehörde, im Zweifel auch ein Bußgeld. Eine spezialisierte Cyberversicherung deckt diese Kosten als eigenen Baustein neben der technischen Wiederherstellung ab, eine allgemeine Betriebshaftpflicht in der Regel nicht. Mehr dazu im Artikel Cyberversicherung Apotheke, insbesondere im dort beschriebenen GDV-Musterszenario.
Deckt Ihre Versicherung DSGVO-Folgekosten ab?
Der kostenlose Cyber-Selbstcheck zeigt in zehn Fragen, wo Ihre IT-Grundabsicherung steht.
Cyber-Selbstcheck starten →