Wo endet die Datenschutz-Verantwortung der Apotheker für Kassenbons?

Die rechtlichen Vorgaben, die Gesetzgeber zum Schutz vor Kassenmanipulationen geschaffen hat, haben in diesem Jahr die sogenannte Belegausgabepflicht für elektronische Registrierkassen mit sich gebracht: Über jeden Geschäftsvorgang ist in unmittelbarem zeitlichem Zusammenhang ein Beleg auszustellen und dem Kunden zur Verfügung zu stellen. Entweder auf Papier oder auch in elektronischer Form.

In der Apotheke üblich ist nach wie vor der normale Kassenbon auf Papier. Ausgedruckt und angeboten werden muss der Bon auf jeden Fall – ob der Kunde ihn auch mitnimmt, bleibt allerdings allein ihm überlassen. Die Apothekerkammer Berlin machte kürzlich auf ein besonderes Problem dabei aufmerksam: Apotheken-Kassenzettel enthalten oft den Namen des Kunden, dazu Anschrift, Geburtsdatum und natürlich die erworbenen Arzneimittel. Dabei handelt es sich um Gesundheitsdaten, die zu einer „besonderen Kategorie personenbezogene Daten“ im Sinne des Art. 9 Datenschutz-Grundverordnung (DSGVO) zählen. Diese Daten sind besonders schutzwürdig.

Daraus folgt, dass in der Apotheke bewusst verbliebene personalisierte Bons von der Apotheke datenschutzkonform zu vernichten, also möglichst zu schreddern, sind. Darauf hatte auch die ABDA schon hingewiesen. Aber was ist, wenn der Kunde den Zettel zwar mitnimmt, dann aber verliert oder selbst wegwirft ohne auf seine sensiblen Daten zu achten? Ist die Apotheke dann weiterhin datenschutzrechtlich verantwortlich?

Dazu erklärt die Apothekerkammer Berlin:

Kurzum: Ein nicht mitgenommener Bon, der in der Apotheke verblieben ist, ist unter allen Umständen datenschutzkonform zu vernichten. 

Natürlich gibt es auch bei dieser „datenschutzkonformen“ Vernichtung einiges zu beachten. Die Kammer weist darauf hin, dass Aktenvernichter zur Vernichtung sensibler personenbezogener Daten gemäß DIN-Norm 66399 mindestens Schutzklasse 3, Sicherheits-/Zerkleinerungsstufe 4 entsprechen müssen. Dies sollte insbesondere bei Neuanschaffungen berücksichtigt werden. Bei der Nutzung von Datentonnen sei darauf zu achten, dass vom Entsorgungsunternehmen ein Entsorgungsbeleg zur Verfügung gestellt wird, der die datenschutzkonforme Vernichtung bestätigt. Gleichzeitig handele es sich regelmäßig um eine Auftragsverarbeitung, die über eine entsprechende Vereinbarung gemäß Art. 28 DSGVO zu regeln sei.