Sorgfalt sollte über Geschwindigkeit gehen

Auch für Kelber nahm die Pandemie im vergangenen Jahr viel Raum ein. Datenschutzfragen stellten sich z. B. im Hinblick auf die Corona-Warn-App. Für Kelber ist sie ein positives Beispiel dafür, „wie durch die konsequente Einbindung einer Datenschutzaufsichts­behörde im gesamten Entwicklungsprozess ein aus datenschutzrechtlicher Sicht hervorragendes Produkt an den Markt gebracht werden konnte“. Doch an vielen anderen Stellen hätte Kelber gern mehr Einfluss genommen und sich für seine Behörde bei Stellungnahmen zu Gesetzgebungsvorhaben mehr Zeit gewünscht. Als Beispiel führte Kelber die Änderungen des Infektionsschutzgesetzes in der Corona-Pandemie an. Beim ersten Bevölkerungsschutz­gesetz habe seine Behörde nur vier Stunden Zeit für eine Stellungnahme bekommen. Dabei gab es in den Pandemie-Gesetzen höchst sensible Regelungen: Ausgeweitete Meldepflichten und Vorgaben für Verkehrsunternehmen und den Veranstaltungssektor seien oft erhebliche Eingriffe in das Grundrecht auf informationelle Selbstbestimmung, betonte ­Kelber. „Die Tragweite der Gesetzesänderungen würde eigentlich besondere Sorgfalt erfordern. Das Verhalten des Bundesministeriums für Gesundheit widerspricht dem“, so Kelber.

Problemkind E-Rezept

Auch ohne Pandemie hätte seine Behörde zudem alle Hände voll zu tun gehabt, so Kelber weiter. Einer der weiteren Punkte ist die Digitalisierung des Gesundheitswesens. Insbesondere das Patientendaten-Schutzgesetz (PDSG) nimmt der Datenschutzbeauftragte ins Visier. Bekanntermaßen ist er überzeugt, dass dessen Regelungen zur elektronischen Patientenakte (ePA) in ihrer Ausgestaltung zum Zugriffsmanagement gegen die Datenschutz-Grundverordnung (DSGVO) verstoßen. Kritisch seien auch die Vorschriften zum elektronischen Rezept. Das E-­Rezept wird die erste medizinische Pflichtanwendung der ePA sein. Die elektronischen Verordnungen sollen im Rahmen der vertragsärztlichen Versorgung immer in einem zentralen Speicher in der Telematikinfrastruktur abgelegt werden. Kelber hatte für eine dezentrale Lösung plädiert. Diese hätte gegen Ausfälle zentraler Dienste robuster ausgestaltet werden können, meint er.

Schutzmasken nur gegen Daten?

Die Apotheken kommen im Tätigkeitsbericht im Zusammenhang mit der Schutzmaskenausgabe im Rahmen der Schutzmaskenverordnung vor. Kurz vor Weihnachten haben die Apotheken in einer ersten Tranche nach eigener Bedürftigkeitsprüfung FFP2-Masken an Risikogruppen ausgegeben. Einige Apotheken dokumentierten anfänglich Kundendaten – die meisten wollten wohl wirklich nicht mehr, als vermeiden, dass gewisse Kunden mehrfach Masken abholten. In Kelbers Tätigkeitsbericht heißt es: „Einige Apotheker sahen dies als Chance, auch für andere Zwecke an die Daten ihrer Kunden zu kommen.“

So wurden ihm Beschwerden zugetragen, dass in Apotheken Ausweise kopiert wurden. Manche Apotheker hätten zudem nur dann kostenlose Schutzmasken aushändigen wollen, wenn die Betroffenen zuvor einen Antrag für eine Kundenkarte ausgefüllt und sich bereit erklärt hätten, ihre Daten (für Werbezwecke) an Dritte übermitteln zu lassen. Da er selbst nicht für die Apotheken zuständig ist, gab er die Hinweise an seine Länderkollegen weiter – mit dem Hinweis, zu prüfen, ob hier nicht Bußgelder nach der DSGVO zu verhängen sind. |