Gesundheitsdaten in der Apotheke: DSGVO-konform mit Blutwerten umgehen

Sind Blutwerte in der Apotheke besonders geschützte Daten nach DSGVO?

Ja. Blutwerte und andere Gesundheitsangaben zählen nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung ist grundsätzlich verboten und nur zulässig, wenn eine ausdrückliche gesetzliche Ausnahme greift, etwa eine informierte Einwilligung der betroffenen Person oder ein enger Behandlungs- und Versorgungszweck.

Der besondere Schutz ergibt sich daraus, dass Gesundheitsdaten Rückschlüsse auf sehr private Lebensbereiche zulassen und bei Missbrauch schwer wiegen. Für die Apotheke bedeutet das: Sobald ein Kunde ein Testergebnis mitbringt oder Sie eine Messung durchführen, gelten strengere Anforderungen als bei einfachen Kontaktdaten. Die reine Berufsschweigepflicht ersetzt die DSGVO-Pflichten nicht, sondern kommt zusätzlich hinzu.

Auf welcher Rechtsgrundlage darf eine Apotheke Blutwerte verarbeiten?

In der Regel auf Basis einer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Zusätzlich kann Art. 9 Abs. 2 lit. h für Gesundheitsleistungen einschlägig sein. Ohne tragfähige Rechtsgrundlage ist die Verarbeitung von Gesundheitsdaten unzulässig, unabhängig vom guten Zweck.

Für Diagnostik- und Beratungsangebote als Selbstzahlerleistung ist die ausdrückliche Einwilligung der saubere Weg. Sie muss freiwillig, vor der Verarbeitung, verständlich und für den konkreten Zweck erteilt werden. Eine pauschale Zustimmung in den AGB genügt nicht. Halten Sie die Einwilligung dokumentiert vor, damit Sie die Rechtsgrundlage im Zweifel nachweisen können. Welche Ausnahme im Einzelfall trägt, sollten Sie mit Ihrem Datenschutzbeauftragten oder einer fachkundigen Beratung klären.

Was muss eine Einwilligung in die Verarbeitung von Blutwerten enthalten?

Eine wirksame Einwilligung ist ausdrücklich, freiwillig und zweckgebunden. Sie benennt den Verantwortlichen, den Zweck, die betroffenen Datenarten, mögliche Empfänger wie das Labor, die Speicherdauer und das jederzeitige Widerrufsrecht. Die Person muss sie verstehen und aktiv erteilen, nicht durch Voreinstellung oder Stillschweigen.

1. 01Wer ist Verantwortlicher: Name und Anschrift der Apotheke.
2. 02Welche Daten werden verarbeitet: konkrete Blutwerte und weitere Gesundheitsangaben.
3. 03Zu welchem Zweck: etwa Analyse, Beratung, Dokumentation.
4. 04An wen gehen die Daten: Labor als Auftragsverarbeiter oder Kooperationspartner.
5. 05Wie lange werden sie gespeichert und nach welchen Kriterien.
6. 06Hinweis auf Widerrufsrecht, Auskunftsrecht und die zuständige Aufsichtsbehörde.

Praktisch bewährt sich eine kurze, klar formulierte Einwilligungserklärung, die der Kunde vor der Blutentnahme oder Beratung unterschreibt. Vermeiden Sie Fachjargon und verschachtelte Sätze. Der Hinweis auf den Widerruf gehört sichtbar in das Dokument.

Brauche ich einen Vertrag zur Auftragsverarbeitung mit dem Labor?

Wenn ein Labor Proben oder Daten in Ihrem Auftrag und nach Ihren Weisungen verarbeitet, ist nach Art. 28 DSGVO ein Auftragsverarbeitungsvertrag erforderlich. Tritt das Labor rechtlich eigenverantwortlich auf, liegt eher eine eigenständige Verantwortlichkeit vor. Die Rollenverteilung sollte vor Beginn der Zusammenarbeit schriftlich geklärt werden.

Ob Auftragsverarbeitung oder getrennte Verantwortlichkeit vorliegt, hängt davon ab, wer über Zweck und Mittel der Verarbeitung entscheidet. In der Praxis ist die Abgrenzung nicht immer eindeutig, gerade wenn Labore eigene Befunde erstellen. Klären Sie das mit dem Laborpartner und lassen Sie sich die datenschutzrechtliche Konstellation bestätigen. Der Vertrag regelt unter anderem Weisungsbindung, technische und organisatorische Maßnahmen, Unterauftragnehmer und die Löschung nach Auftragsende.

Welche technischen und organisatorischen Maßnahmen sind sinnvoll?

Gesundheitsdaten verlangen ein erhöhtes Schutzniveau. Sinnvoll sind Zugriffsbeschränkung auf befugtes Personal, verschlüsselte Übertragung und Speicherung, ein abgetrennter Beratungsbereich, dokumentierte Löschfristen und die Verpflichtung des Teams auf Vertraulichkeit. Die Maßnahmen sollten zum Risiko passen, dokumentiert sein und regelmäßig auf Wirksamkeit überprüft werden.

Die DSGVO fordert Maßnahmen nach dem Stand der Technik, angemessen zum Risiko. Für die Offizin heißt das konkret: keine Blutwerte offen am HV-Tisch besprechen, Ergebnisse nicht ungeschützt per E-Mail versenden, digitale Systeme mit Zugriffsrollen und Protokollierung einsetzen und Papierunterlagen verschlossen aufbewahren. Bei einer Datenpanne mit Gesundheitsbezug bestehen kurze Meldefristen an die Aufsichtsbehörde. Ein knappes internes Notfallkonzept, wer im Ernstfall was tut, erspart im Fall der Fälle wertvolle Zeit.

Wie lange dürfen Blutwerte gespeichert werden und wann sind sie zu löschen?

Gesundheitsdaten dürfen nur so lange gespeichert werden, wie es für den festgelegten Zweck erforderlich ist. Danach sind sie zu löschen oder zu anonymisieren, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Betroffene können außerdem jederzeit Auskunft, Berichtigung und unter bestimmten Voraussetzungen die Löschung ihrer Daten verlangen.

Legen Sie vorab fest, wie lange Sie Ergebnisse und Einwilligungen aufbewahren, und dokumentieren Sie die Kriterien in einem Löschkonzept. Wird die Einwilligung widerrufen, endet die Verarbeitung für die Zukunft, und Sie prüfen, ob die Daten zu löschen sind. Konkrete Aufbewahrungsfristen richten sich nach den einschlägigen berufs- und steuerrechtlichen Regeln und sollten mit fachkundiger Beratung festgelegt werden. Vermeiden Sie es, Daten vorsorglich unbegrenzt zu speichern.