(openPR) Apotheker sind dazu verpflichtet, ihre Abrechnungsdaten mit den Krankenkassen elektronisch abzugleichen. Auf Grund ihrer geringen Größe nutzen sie dafür Apotheken Rechenzentren als Dienstleister. Wie sieht jedoch der Datenschutz bei diesen aus und wer haftet?
Nach § 300 des SGB V sind alle Apotheker dazu verpflichtet, ihre Abrechnungen an die Krankenkassen elektronisch zu übermitteln. Gleichzeitig erlaubt ihnen dieser Paragraph diese Aufgabe an sogenannte ARZ (Apotheken Rechenzentrum) abzugeben. Dies ist der Tatsache geschuldet, dass Apothekerinnen und Apotheker als Einzelunternehmer nicht über die ausreichende betriebswirtschaftliche Größe verfügen, die Daten in der verlangten Form zu übertragen. Ebenfalls wird in diesem Paragraphen die anonymisierte Weiternutzung der Daten erlaubt.
Zu dieser Thematik veröffentlichten vor kurzem mehrere ARZ-Betreiber ein Positionspapier (http://goo.gl/ioBkh), in dem sie betonen, dass sie sich in ihrem Handeln an die gesetzlichen Vorschriften des SGB V halten. Dem gegenüber steht ein datenschutzrechtliches Gutachten des ehemaligen Datenschutzbeauftragten von Sachsen (http://goo.gl/Qod0G).
Als Quintessenz dieser beiden Dokumente lassen sich mehrere Aspekte festhalten. So ist es den ARZ-Betreibern erlaubt, anonymisierte Daten weiter zu verkaufen. Dies bedeutet nicht nur eine Aggregation beispielsweise auf Bundeslandebene, sondern auch die Weitergabe von Einzelinformationen, insofern es nur mit unverhältnismäßig großem Aufwand möglich ist, diese Daten einer bestimmten Person zuzuweisen. Diese Personen können Patienten, Apotheker, Ärzte, aber auch juristische Personen wie Arzneimittelhersteller sein. Dabei müssen die ARZ-Betreiber darauf achten, dass alle Informationen entfernt wurden, die zu einer möglichen Identifizierung, auch mit Hilfe anderer verfügbarer Daten, führen können.
Problematisch muss das Verhältnis zwischen ARZ-Betreibern und Apothekern gesehen werden, da ein starkes Ungleichgewicht zwischen diesen beiden Parteien herrscht. So beauftragt der „kleine“ Apotheker den „großen“ ARZ-Betreiber. Im Vergleich dazu findet die Beauftragung bei den Ärzten nicht durch den einzelnen Arzt, sondern durch seine Vereinigung statt, wodurch sich in etwa gleichgroße Parteien gegenüber stehen.
Dieses Ungleichgewicht hat auch für den Apotheker folgen, da er als Auftraggeber einer Auftragsdatenverarbeitung, neben der Leitung des ARZ, für die Einhaltung der datenschutzrechtlichen Bedingungen persönlich haftend ist.
Für den einzelnen Apotheker bedeutet dies, dass er den Dienstleister für die Abrechnung genau vor der Auftragsvergabe untersuchen muss, da er sonst bis zu zwei Jahren Haftstrafe riskiert. Auf lange Sicht sollte die Politik dafür Sorge tragen, dass auch bei den Apothekern dieses Ungleichgewicht, wie bei den Ärzten, aufgehoben wird, da es für den einzelnen Apotheker faktisch unmöglich ist, ein Rechenzentrum wirklich auf seine Datenschutzkonformität hin zu untersuchen.
