Es erreicht uns in der Apotheke ein handgeschriebener Brief mit einer Kundenreklamation. Der Kunde – nennen wir ihn Herr Sommer, beklagt sich (schön geschrieben) darüber, dass er beim Bezug von Codein-Lutschtabletten schon zwei Mal seine Daten angeben musste und jedes Mal einer langwierigen, verhörähnlichen Befragung unterworfen wurde (!). Ausserdem wurde auf den Verkaufspreis (von etwa 10 Franken) ein Zuschlag (von 7 Franken) erhoben. Er verzichte in Zukunft auf den Bezug der Pastillen und bittet uns, seinen Namen aus unserer Kundenliste zu streichen und alle damit verbundenen Daten zu löschen.
Alles korrekt. Beim Bezug der Codein Lutschtabletten (die neu Liste B minus sind) wurde die Abgabe dokumentiert wie vorgeschrieben und dafür die Pauschale verlangt. Dass er das nicht mehr will, ist kann man verstehen und ist seine Entscheidung … aber das mit dem Daten löschen?
Wir haben natürlich, wie vorgeschrieben eine Datenschutzerklärung auf unserer Webseite. Da steht drauf, was für Daten wir in der Apotheke erheben (Name, Geburtsdatum, Adresse, eventuell Versicherungsinformationen …) und für was wir die Daten benötigen (damit wir in der Apotheke unsere Arbeit korrekt machen können und aus Sicherheitsgründen) und dass wir die Daten nur bearbeiten mit einer gesetzlichen oder vertraglichen Basis oder für Dinge, die im öffentlichen Interesse liegen (wie anonymisierte Nebenwirkungsmeldungen).
Da drin steht auch, dass wir die Daten teils weitergeben – dann beruht das immer auf einer gesetzlichen Pflicht, einer Vertragserfüllung, einer Einwilligung des Patienten selber, einem öffentlichen Interesse oder einem berechtigten Interesse unsererseits an der Datenweitergabe.
Da steht auch drin, dass eine Einwilligung (die man beim einem Verkauf oder ähnlichem automatisch mit Angabe der Daten gibt) jederzeit wiederrufbar ist.
Als Patient / Kunde hat man Rechte, was die eigenen Daten angeht. Man darf jederzeit Auskunft verlangen über die bei uns gespeicherten Daten und man hat das Recht Löschung oder Einschränkung der Bearbeitung zu verlangen.
Zusätzlich unterstehen wir in der Apotheke natürlich dem Patientengeheimnis … weshalb wir eigentlich jedes kleinste Zettelchen mit einem Patientennamen drauf vernichten – nicht einfach nur wegwerfen.
Da das ein erstes Mal ist, dass wir so einen Löschungsantrag bekommen, frage ich bei unserer Rechtabteilung nach. Danach soll ich Herrn Sommer erst Mal schreiben, dass das Löschbegehren bei uns eingetroffen ist, wir aber – damit wir sicher die richtigen Daten löschen – von ihm einen Ausweis benötigen.
Der kommt dann auch postwendend: eine ID-Kopie am Brief.
Also nochmal Rechtsabteilung, die fragen noch nach, was bei uns für Daten von ihm gespeichert sind (nur die beiden Abgaben der Lutschtabletten, er ist sonst kein Kunde, hat keine Kundenkarte und ansonsten haben wir keine Daten von ihm) und sagen, dass sie ihm innert den 30 Tagen, die sie anhand der Datenschutzerklärung Zeit haben, nach dem Löschantrag, einen Brief senden.
Da steht dann drin:
Ihren Antrag auf Datenlöschung haben wir von ihnen erhalten, Sie haben ihre Identität mit ihrer ID ausreichend nachgewiesen, gerne kommen wir ihrem Wunsch nach Löschung ihrer Daten nach. Wir haben sämtliche Personendaten von ihnen auf unseren Systemen gelöscht, sofern nicht eine gesetzliche Archivierungspflicht besteht.
Gemacht haben wir in der Apotheke in dem Fall: Nichts. Denn: alles was wir von ihm haben sind Daten, für die eine gesetzliche Archivierungsfrist besteht: Seine Personalien und seine Bezüge von rezeptpflichtigen Arzneimitteln ohne Rezept (Codeinpastillen der Liste B minus). Diese Angaben dürften wir auch auf Geheiss des Kunden nicht löschen. Sie müssen von Gesetzes wegen mind. 10 Jahre gespeichert bleiben. So steht das im kantonalen Gesundheitsgesetz und der eidgenössischen Arzneimittelverordnung, welche die Dokumentation der Abgaben von B- ebenfalls vorschreibt.
Solche Daten dürfen auch auf Aufforderung hin nicht gelöscht werden. Sonst könnte jeder, der einen Eintrag im Strafregister oder Betreibungsregister hat, verlangen, dass seine Daten sofort gelöscht werden müssen. Soweit geht das Datenschutzgesetz nicht.
Das war interessant. Eine Einmalige Sache, dachte ich, bis ich ein paar Tage später eine Anfrage bekomme von einem anderen Kunden, nennen wir ihn Herr Herbst. Herr Herbst möchte gerne wissen, ob er bei uns in der Apotheke erfasst ist und was erfasst ist (ein Datenauskunftsbegehren). Und er verbietet uns per sofort und auf weiteres jede Datenweitergabe seiner Personendaten an Dritte, speziell Krankenkassen und behandelnde Ärzte.
Kurios. Aber jetzt wissen wir ja schon etwas mehr. Er weist sich mit ID aus. Ich bestätige, dass er bei uns erfasst ist – als Patient, der schon Rezepte bei uns eingelöst hat. Löschen kann ich das (aus oben genannten Gründen) auch hier nicht, das war aber nicht sein Anliegen. Ich hinterlege bei ihm also einen Kommentar. In Zukunft wird er, falls er bei uns ein Rezept einlöst, die Medikamente selber bezahlen müssen – dann geht seine Information auch nicht an die Krankenkasse. Wenn ich das direkt mit der Kasse abrechnen soll, dann bekommen die gezwungenermassen auch die (dafür nötige) Info. Aber wenn ich beim Arzt etwas nachfragen muss – dann habe ich ein Problem, denn das darf ich nun nicht mehr ohne Ausdrückliche Erlaubnis des Kunden. Falls das ein ernstes medizinisches Problem wäre (zum Beispiel wegen Wechselwirkungen) oder Missbrauch (wenn ich sehe, dass er von vielen Ärzten Mengen an Schlafmittel verschreiben lässt), dann würde ich in dem Fall aber eine Abgabe verweigern, weil es mir nicht erlaubt, meine Arbeit korrekt zu machen.
So ganz verstehe ich das hier aber nicht. Bezogen hat er bisher 2x etwas – und absolut unverdächtiges. Aber okay – wenn er das so will….
Ich frage mich bei sowas nur: haben die Leute einen Facebook-Account? Wie handeln sie da?
Pharmamas Blog 