Ein Schwerpunkt im Berichtszeitraum war wieder die Erhebung und Sammlung von Gesundheitsdaten der Versicherten durch Krankenkassen, insbesondere beim Kran-kengeldfallmanagement (s. Nr. 10.1.1). Dabei soll einerseits eine sachgerechte Be-treuung der Versicherten gewährleistet werden, andererseits soll sichergestellt wer-den, dass die sensiblen medizinischen Daten zuständigkeitshalber nicht bei der Krankenkasse, sondern, soweit erforderlich, beim Medizinischen Dienst der Kran-kenversicherung liegen. Auch der Medizinische Dienst war in Bezug auf den Umgang mit den sensiblen Informationen zu beraten.
Ein Dauerthema ist die Elektronische Gesundheitskarte (eGK). Die Umsetzung des Projekts zieht sich, wohl wegen Verständigungsschwierigkeiten im System der selbstverwaltenden Gesundheitsversorgung und technischen Fragen, weiter hin. Aus datenschutzrechtlicher Sicht sind die sichere Anmeldung im System und die sichere Kommunikation von Interesse. Mit dem Gesetz für sichere digitale Kommunikation und Anwendungen im Gesundheitswesen (E-Health-Gesetz) wurde der Versuch un-ternommen, den Aufbau der grundlegenden Telematikinfrastruktur zu beschleunigen.
Nicht nur die „klassischen“ Verwendungen der eGK, wie die Notfalldaten, eRezept oder der Medikationsplan, sollen künftig Standard werden, sondern z. B. auch Arzt-briefe, Laborbefunde, vom Versicherten zur Verfügung gestellte Daten.
Das Thema Digitalisierung des Gesundheitswesens wird den Datenschutz zukünftig in steigendem Maß beschäftigen. Aktuelle Entwicklungen betreffen die Einführung einer elektronischen Gesundheitsakte (bei den Krankenversicherungen) und einer elektronischen Patientenakte (in Krankenhäusern). Auch wird die Telemedizin auf
Basis einer sicheren Kommunikationsinfrastruktur ein die Zukunft prägendes Thema (s. Nr. 10.1.4).
Angesichts der demographischen Entwicklung und der schwindenden Arztdichte in ländlichen Regionen bedarf es einer modernen digitalen medizinischen Versorgung.
Seit vielen Jahren wird auf allen Ebenen an entsprechenden Projekten gearbeitet.
Beispiele sind telemedizinische Projekte zur Schlaganfall-Akutversorgung (Kommu-nikation zwischen Schwerpunktklinik und Landarzt), Vernetzungen zur Palliativver-sorgung, Projekte zur umfassenden wohnortnahen Betreuung und Versorgung (z. B.
Wundkontrolle per Video) oder zum fachkundigen Austausch in Bezug auf Menschen mit seltenen Erkrankungen. Unterstützendes Medium für solche Projekte soll die elektronische Patientenakte sein. Doppeluntersuchungen sollen vermieden und die Qualität der Versorgung verbessert werden. Big Data-Anwendungen sollen neue Di-agnosemöglichkeiten eröffnen. Die Erweiterung der digitalen Gesundheitsversorgung erfährt eine Zusage der Unterstützung in der Digitalen Agenda für das Land Sach-sen-Anhalt vom 19. Dezember 2017.
Diese Entwicklungen führen auch zu zunehmenden Beratungsbedarfen im Hinblick auf datenschutzkonforme Umsetzungen. Es muss in jedem Projekt sichergestellt sein, dass die Patientensouveränität gewahrt bleibt. Schon im XI. Tätigkeitsbericht wurde über den gesetzlich verbesserten Schutz der Patientenrechte informiert (s.
Nr. 10.1.8, Patientenrechtegesetz). Weiterer Verbesserungsbedarf besteht. Die Pati-enten müssen zum Selbstmanagement befähigt werden. Sie müssen bestimmen können, wem sie welche Daten anvertrauen. Unbefugter Zugriff muss ausgeschlos-sen, der Zugriff kontrollierbar sein.
Werden die digitalen Datenschätze gehoben (zuhause, über Smartphone, Wearables oder Tablet), muss zudem die Spreu vom Weizen getrennt werden. Seriöse medizi-nische Verfahren sind von den unzähligen Apps zur Freizeitinformation zu unter-scheiden. Und auch hierbei geht es nicht ohne Datenschutz (s. Nr. 10.1.5).
Grundlegende Voraussetzungen sind in jedem Projekt die Transparenz und die Ein-holung einer informierten Einwilligung. Weiter dürfen Patienten nicht durch systemi-sche oder monetäre Anreize angehalten sein, mehr Daten zur Verfügung zu stellen, als für die Versorgung jeweils notwendig ist. Die Datenvolumina müssen steuerbar bleiben. Der Patient hat auch ein Recht auf Nichtwissen.
Die zunehmende digitale Optimierung der Gesundheitsversorgung darf nur un-ter Wahrung der Patientenhoheit einschließlich seiner informationellen Selbst-bestimmung erfolgen.
10.1.1 Krankengeldfallmanagement
In seinem XII. Tätigkeitsbericht (Nr. 11.1.1) hatte der Landesbeauftragte über Fest-stellungen aus einer Kontrolle bei einer Krankenkasse berichtet. Dabei hatte er es besonders kritisch gesehen, dass sich umfangreiche medizinische Unterlagen von Versicherten in den Fallakten der Krankengeldfallmanager der Krankenkasse befan-den. Die Unterlagen waren für die Bearbeitung des Krankengeldantrags durch die Krankenkasse nicht erforderlich, denn bei Zweifeln an der Arbeitsunfähigkeit sind die Krankenkassen verpflichtet, eine gutachtliche Stellungnahme des Medizinischen
Dienstes der Krankenversicherung (MDK) einzuholen (§ 275 Abs. 1 Nr. 3 SGB V).
Die Leistungserbringer sind verpflichtet, die für eine gutachterliche Stellungnahme des MDK erforderlichen versichertenbezogenen Daten diesem unmittelbar zu über-senden (§ 276 Abs. 2 Satz 2 SGB V).
Das Prüfverfahren konnte inzwischen abgeschlossen werden. Der Landesbeauftrag-te konnLandesbeauftrag-te erreichen, dass die Krankenkasse medizinische UnLandesbeauftrag-terlagen nicht mehr für sich selbst anfordert und in den Krankengeldfallakten aufbewahrt. Im Rahmen örtli-cher Erhebungen zu einer weiteren Prüfung stellte der Landesbeauftragte später fest, dass sich tatsächlich keine Unterlagen mehr in den Fallakten befanden, die nicht für die Bearbeitung im Rahmen des Krankengeldfallmanagements erforderlich waren. Die umfassende Umsetzung der Prüfungsergebnisse ist datenschutzrechtlich zu begrüßen.
10.1.2 Individuelle Beratung zum Krankengeld
Krankenkassen möchten die Versicherten bei der Reintegration in das Arbeitsleben unterstützen und setzen dabei auch auf eine umfassende Beratung und Unterstüt-zung des Versicherten. Mit der Frage, ob sich die Krankenkassen dabei immer auf dem datenschutzrechtlich vorgesehenen Weg befinden, hat sich der Landesbeauf-tragte bereits in früheren Tätigkeitsberichten ausführlich auseinandergesetzt (s.
XII. Tätigkeitsbericht, Nr. 11.1.1, 11.1.2 sowie XI. Tätigkeitsbericht, Nr. 10.1.6).
2016 prüfte der Landesbeauftragte erneut eine Krankenkasse zu der Frage, ob die Krankenkasse den ihren Versicherten nach § 44 Abs. 4 SGB V zustehenden Bera-tungs- und Unterstützungsanspruch datenschutzgerecht umsetzt. Dabei hat der Lan-desbeauftragte festgestellt, dass die Krankenkasse zwar in einer Vielzahl der Kran-kengeldfälle eine Einwilligung der Versicherten für die Inanspruchnahme der indivi-duellen Beratungs- und Unterstützungsleistungen einholt, diese aber kaum zur Erhe-bung und Nutzung von zusätzlichen Daten nutzt. Beratungs- und Unterstützungsleis-tungen, die über allgemeine Beratungen hinausgehen und mit erweiterten Datener-hebungen verbunden sind, waren lediglich in einzelnen Fällen erkennbar, z. B. als Hilfe zum Ausfüllen von Rentenanträgen. Eine Pflicht zur Entgegennahme von Ren-tenanträgen haben die Krankenkassen allerdings schon nach § 16 SGB I.
Eine Erhebung und Speicherung im Rahmen der Beratungsbefugnis nach § 44 Abs. 4 SGB V bleibt auch weiterhin immer dann unzulässig, wenn der gesetzliche Aufgabenbereich des MDK tangiert wird. Die sich aus der gesetzlichen Regelung ergebenden erweiterten Datenerhebungsmöglichkeiten dürfen nicht dafür genutzt werden, dass Krankenkassen Daten erheben, die lediglich der MDK für seine Aufga-benerfüllung erheben darf.
Der Landesbeauftragte konnte in seiner Prüfung feststellen, dass die Krankenkasse die bestehenden Grenzen beachtet hat.
10.1.3 Datenübermittlung der Krankenkasse an das Sozialamt
Der Datenaustausch zwischen Sozialleistungsträgern ist immer wieder ein Thema, mit dem sich der Landesbeauftragte beschäftigen muss. Im Berichtszeitraum be-schwerte sich eine Petentin über ihre Krankenkasse. Sie hatte einen Antrag auf
Un-terstützung bei der Anschaffung dringend notwendiger Brillengläser für ihre Tochter gestellt und dabei deren erhebliche gesundheitliche Einschränkungen, die zu schuli-schen Problemen führen, angegeben. Außerdem wies sie darauf hin, dass die Kos-ten für eine neue Brille, da sie alleinstehend sei, für sie eine erhebliche Belastung darstelle. Die Krankenkasse habe sich, so die Petentin, nicht zuständig gefühlt und den Antrag an das Sozialamt weitergeleitet, ohne sie zu unterrichten und ihre Zu-stimmung einzuholen. Sie sei entsetzt darüber, wie mit ihren privaten Informationen umgegangen worden sei.
Dem Vorgang war zu entnehmen, dass die Krankenkasse die Kosten für die Brille lediglich in Höhe der Festbeträge übernehmen konnte. Da die Petentin den Antrag aus finanziellen Gründen gestellt hatte, hielt sich die Krankenkasse nicht für den al-lein zuständigen Sozialleistungsträger, sondern leitete den Antrag auf den – den Festbetrag übersteigenden – Betrag sowie die Kosten der Entspiegelung der Brille an das Sozialamt weiter.
Rechtliche Grundlage für die Weiterleitung des Antrags war § 14 SGB IX. Träger der Sozialhilfe können als Rehabilitationsträger für Leistungen der medizinischen Reha-bilitation, zu denen gem. § 26 Abs. 2 Nr. 6 SGB IX a. F. bzw. § 42 Abs. 2. Nr. 6 SGB IX n. F. auch Hilfsmittel zählen, in Betracht kommen. Stellt ein Leistungsträger fest, dass er für eine Leistung nicht oder nicht umfassend zuständig ist, leitet er gem.
§ 14 Abs. 1 Satz 2 SGB IX den Antrag unverzüglich dem nach seiner Auffassung zuständigen Rehabilitationsträger zu. Nach dieser Rechtsvorschrift ist für den Fall einer Weiterleitung des Antrages lediglich eine Unterrichtung des Antragstellers vor-gesehen, die in diesem Fall unverzüglich durch die Krankenkasse erfolgt war. Eine Zustimmung des Antragstellers ist hingegen nicht vorgesehen.
Der Landesbeauftragte konnte in diesem Fall deshalb der Petentin mitteilen, dass sich die Krankenkasse aus datenschutzrechtlicher Sicht korrekt verhalten hatte.
10.1.4 Telemedizinprojekt
Dem Landesbeauftragten wurde ein Telemedizinprojekt zur Strukturierung eines Versorgungssystems vorgestellt. Das Ziel des Projekts bestand darin, die Sicherheit der Behandlung zu gewährleisten und die Eigenständigkeit und Lebensqualität von Patienten im Wohnumfeld zu sichern. Krankenpfleger oder Sozialarbeiter könnten mit Hilfe von mobilen Mess- und Kommunikationssystemen bei den Patienten in den Wohnungen oder in einer Einrichtung im Wohnumfeld die Erhebung aktueller Vitalpa-rameter unterstützen, die letztlich dem behandelnden Arzt zur Verfügung stehen sol-len. Für den Transfer der Daten und deren Speicherung war angedacht, dass ein Provider die datenspeichernde Plattform stellen soll und die Datenflüsse über ein sicheres Netz laufen könnten.
Der Landesbeauftragte hat das Projekt mit umfänglichen Hinweisen zu datenschutz-relevanten Aspekten unterstützt. Die Vorlage eines abschließenden Konzepts zur näheren Bewertung bleibt abzuwarten.
10.1.5 Wearables und Gesundheits-Apps
Am Körper getragene Kleincomputer (sog. Wearables) und auf mobilen Endgeräten installierte medizinisch ausgerichtete Anwendungsprogramme (sog. Gesundheits-Apps) sammeln und dokumentieren auswertungsfähige Körperdaten. In der Regel werden diese Daten über das Internet an Hersteller, Internetanbieter und sonstige Dritte weitergeleitet. Gesammelte und ausgewertete gesundheitsbezogene Daten können durchaus der persönlichen Lebensqualität dienen. Allerdings stehen den Vor-teilen auch Risiken gegenüber. Zahlreiche Wearables und Gesundheits-Apps geben die aufgezeichneten Daten an andere Personen oder Stellen ohne ausdrückliche Zustimmung der betroffenen Personen weiter. Zudem können erhebliche Sicher-heitsdefizite dazu führen, dass sich auch Unbefugte Zugriff auf die Gesundheitsdaten verschaffen können. Deshalb hat die Konferenz der unabhängigen Datenschutzbe-hörden des Bundes und der Länder am 6. und 7. April 2016 mit der Entschließung
„Wearables und Gesundheits-Apps – Sensible Gesundheitsdaten effektiv schützen!“
(Anlage 1) auf einige wichtige Gesichtspunkte hingewiesen:
Hersteller sollten den Grundsatz der Datenminimierung beachten. Datenschutz-freundliche Technologien und Voreinstellungen sind einzusetzen und Möglichkeiten zur pseudonymen oder verschlüsselten Verarbeitung einzuräumen. Eine Weitergabe von Gesundheits- und Verhaltensdaten an Dritte sollte transparent sein, möglichst einer medizinischen Behandlung dienen und auf einer gesetzlichen Grundlage oder einer wirksamen und informierten Einwilligung beruhen. Im Hinblick auf die rechtli-chen Grundlagen und die technisrechtli-chen Rahmenbedingungen sieht die Datenschutz-konferenz bei diesen zahlreichen Apps im Gesundheitsbereich den Gesetzgeber in der Pflicht. Lediglich einige wenige medizinische Produkte müssen ein sog. Konfor-mitätsbewertungsverfahren nach dem Medizinproduktegesetz durchlaufen; dieses stellt aber nur auf die Produktsicherheit und die Leistungsfähigkeit ab.
Aber auch der einzelne Anwender sollte sich genau ansehen, wem er seine gesund-heitsbezogenen Daten anvertraut. So hatte das Bayerische Landesamt für Daten-schutzaufsicht im Jahr 2016 mit einigen weiteren Aufsichtsbehörden sog. Wearables geprüft (Fitness-Armbänder, Smart Watches mit Gesundheitsfunktionen, Apps der Hersteller). Dabei wurden zahlreiche Datenschutzmängel bei den Fitness-Trackern festgestellt. Insbesondere war nicht transparent, was mit den eigenen Daten passiert.
Teilweise werden die Nutzung zu Forschungszwecken und für Marketing und die Weitergabe an verbundene Unternehmen in den Nutzungsbedingungen zwar er-wähnt, nähere Einzelheiten bleiben aber offen (s. Bayerisches Landesamt für Daten-schutzaufsicht, 7. Tätigkeitsbericht, Nr. 3.11; vgl. auch Landesbeauftragte für den Datenschutz und die Informationsfreiheit Nordrhein-Westfalen, 23. Datenschutz- und Informationsfreiheitsbericht 2017, Nr. 10.6).
Die Hersteller sog. Wearables sind gehalten, für Transparenz und Datenmini-mierung (Datenschutz durch Technikgestaltung) zu sorgen. Der Gesetzgeber ist aufgerufen, Rechtsgrundlagen und Rahmenbedingungen zu formulieren. Die Nutzer sollten sich genau ansehen, wem sie ihre Daten anvertrauen.
10.1.6 Klinisches Krebsregister Sachsen-Anhalt
Die bundesgesetzlich gebotene Einrichtung einer flächendeckenden klinischen Krebsregistrierung gem. § 65c SGB V hat der Landesbeauftragte im XII. Tätigkeits-bericht (Nr. 11.1.9) dargestellt. Umfängliche Beratungen des Ministeriums für Arbeit, Soziales und Integration auch unter Beteiligung der von der notwendigen Neurelung betroffenen bisherigen regionalen Krebsregister gaben Gelegenheit, auf die ge-botene Berücksichtigung der Persönlichkeitsrechte der betroffenen Krebskranken hinzuwirken. Sehr viele Anregungen des Landesbeauftragten wurden in das Gesetz über die Krebsregistrierung im Land Anhalt (Krebsregistergesetz Sachsen-Anhalt – KRG LSA; GVBl. LSA 2017, S. 173) aufgenommen.
Das Gesetz sieht vor, dass ein zentrales Landeskrebsregister in Form einer gGmbH in alleiniger Trägerschaft der Ärztekammer Sachsen-Anhalt und in Verantwortung des Landes mit den Aufgaben des § 65c SGB V beliehen wird. Zur Gewährleistung des gebotenen Schutzes der sensiblen Daten wird vorgegeben, dass das Register ein Datenschutzkonzept erstellt, in dem die Datenverarbeitung differenziert geregelt wird. Auf die Einrichtung von selbständigen, räumlich, organisatorisch und personell getrennten Vertrauens- und Registerstellen wird angesichts der geringen Größe der Einrichtung verzichtet. Es soll jedoch lediglich einem detailliert abgegrenzten Perso-nenkreis möglich sein, auf die Identitätsdaten der Patienten (Name, Anschrift usw.) zuzugreifen. Durch technische und organisatorische Maßnahmen soll sichergestellt werden, dass Zugriffe auf diese Identitätsdaten sowie auf die medizinischen Daten nur im Rahmen der Erforderlichkeit für die konkrete Aufgabenerfüllung möglich sind.
Innerhalb der IT-Infrastruktur wird somit eine logische Trennung der Datenverarbei-tung nach unterschiedlichen VerarbeiDatenverarbei-tungszwecken gewährleistet. Der Landesbeauf-tragte wird die konkrete Ausgestaltung des Datenschutzkonzeptes und seine techni-sche Umsetzung durch die Klinitechni-sche Krebsregister Sachsen-Anhalt gGmbH intensiv begleiten.
Im Rahmen des Gesetzgebungsverfahrens blieb aus datenschutzrechtlicher Sicht zu bemängeln, dass das grundsätzlich positiv zu bewertende Widerspruchsrecht gegen die Speicherung der Daten sich nicht mehr auf die Daten bezieht, die für das epide-miologische Gemeinsame Krebsregister in Berlin vorgesehen sind. Damit wird das bisher bestehende Recht auf Widerspruch gegen die Registrierung im Gemeinsamen Krebsregister abgeschafft. Dagegen gibt es beim klinischen Krebsregister ein Wider-spruchsrecht, allerdings werden hierbei die Identitätsdaten gespeichert. Dies ist zwar sinnvoll, um bei weiteren Meldungen zu wissen, dass ein Widerspruch vorliegt. Eine Nutzung von Kontrollnummern (Pseudonymisierung) würde dem Ziel der Datenmini-mierung aber eher entsprechen. Kritisiert wurden auch Regelungen zum sehr um-fangreichen Austausch von Daten unter den Krebsregistern der Länder. Auch war nicht nachvollziehbar, warum die Daten personenbezogen bis 50 Jahre nach dem Tod oder 130 Jahre nach der Geburt gespeichert bleiben müssen. Auch hier wäre eine Pseudonymisierung der Daten zu bevorzugen gewesen.
Auch in Bezug auf das epidemiologische Register gemäß dem Staatsvertrag über das Gemeinsame Krebsregister der Länder Berlin, Brandenburg, Mecklenburg-Vorpommern, Sachsen-Anhalt und der Freistaaten Sachsen und Thüringen erfolgte eine Anpassung (GVBl. LSA 2017, S. 190). Es geht u. a. um die Wahrnehmung von neuen Aufgaben nach dem Bundeskrebsregisterdatengesetz, die Abstimmung mit Neuregelungen zu den klinischen Krebsregistern (Abgleich von Daten aus den
Mel-deregistern und den Leichenschauscheinen) und die Anpassung an die aktuelle Krebs-Früherkennungsrichtlinie des Gemeinsamen Bundesausschusses. Die daten-schutzrechtliche Begleitung erfolgte durch die Berliner Landesbeauftragte für Daten-schutz und Informationsfreiheit, die die anderen Landesbeauftragten beteiligt hatte.
10.1.7 Auswertung der Prüfung der Webshops bei Apotheken – Medikamenten-bestellung mithilfe von WhatsApp
Den Landesbeauftragten erreichten bereits vor dem Berichtszeitraum einige Be-schwerden, deren Gegenstand Verletzungen des Datenschutzes beim Betrieb der Webshops von Versandapotheken waren. Er entschloss sich daher, größere Ver-sandapotheken in Sachsen-Anhalt hinsichtlich der Einhaltung datenschutzrechtlicher Vorschriften zu überprüfen. Die Überprüfung führte zu folgenden Feststellungen:
Bestellbestätigung per E-Mail
Mitunter wurden Bestellungen von Medikamenten durch die Versandapotheken mit-tels unverschlüsselter E-Mail bestätigt. Eine Bestellbestätigung ist zwar gemäß
§ 312i Abs. 1 Nr. 3 BGB erforderlich. Durch eine unverschlüsselte E-Mail ist dies aber nur dann zulässig, wenn die Bestätigungsmail keine personenbezogenen Ge-sundheitsdaten enthält, da die Kenntnisnahme Unberechtigter beim Versand unver-schlüsselter E-Mails nicht ausgeschlossen werden kann. Sofern die Bestellbestäti-gung nicht verschlüsselt erfolgt, wurde den Apotheken geraten, den Kunden lediglich z. B. mitzuteilen "Ihre Bestellung vom... ist bei mir eingegangen und wird bearbeitet."
Eine weitere Möglichkeit wäre, die Bestellbestätigung unmittelbar im Anschluss an den erfolgreichen Bestellvorgang unter Aufrechterhaltung der HTTPS-Verbindung im Browser anzuzeigen, sodass der Kunde sie abspeichern oder ausdrucken kann.
Berufung auf die Einwilligung in Datenschutzerklärungen
Bei einigen Versandapotheken enthielt die Datenschutzerklärung die Aussage, dass die Datenverarbeitung im Rahmen von Bestellvorgängen auf die Einwilligung der Kunden gestützt wird. Wurden personenbezogene Daten für die Begründung, Durch-führung oder Beendigung von Schuldverhältnissen erhoben, verarbeitet oder genutzt, war § 28 Abs. 1 BDSG die Rechtsgrundlage. Die Berufung auf die Einwilligung täuschte hier vor, dass der Kunde Einfluss auf die Datenverarbeitung hat, diese aber tatsächlich vom abzuschließenden Geschäft abhängt. Auf die Einwilligung sollte nur dann verwiesen werden, wenn eine Datenverarbeitung nicht auf einer Erlaubnisvor-schrift beruht. So war die Erhebung und Speicherung von LieferanErlaubnisvor-schriften auf der Grundlage von § 28 BDSG möglich, ein Hinweis auf die Einwilligung verwirrte hier nur.
Bonitätsabfragen
Einige AGB bzw. die Datenschutzerklärungen der Versandapotheken enthielten un-klare Formulierungen zur Durchführung von Bonitätsabfragen, sodass für den Kun-den nicht erkennbar war, wann diese wirklich erfolgen.
Bonitätsabfragen durften gemäß § 28 Abs. 1 Nr. 2 i. V. m. § 29 Abs. 2 Satz 1 BDSG durchgeführt werden, soweit sie zur Wahrung berechtigter Interessen der Apotheke erforderlich waren und kein Grund zu der Annahme bestand, dass das
schutzwürdi-ge Interesse des Kunden an dem Ausschluss der Verarbeitung oder Nutzung über-wog.
Dies war regelmäßig nur dann gegeben, wenn es um Geschäftsabschlüsse ging, die mit einem wirtschaftlichen Risiko verbunden waren – besonders dann, wenn eine Vorleistung erbracht werden sollte, zum Beispiel beim Kauf auf Kredit, nicht aber bei sofortiger Bezahlung. Darauf sollte auch in den AGB eindeutig hingewiesen werden.
Werbung
Einige AGB enthielten ungenaue, teilweise auch falsche Ausführungen zur Daten-nutzung für Werbezwecke. Dazu wurde folgender Hinweis erteilt:
Datenschutzrechtlich wird bei der Nutzung von personenbezogenen Daten für Wer-bezwecke gem. § 7 Abs. 3 UWG zwischen Bestands- und Neukunden und zwischen Briefpost und elektronischer Post (bzw. SMS, Telefon, Telefax) unterschieden. Diese rechtlich gebotene Differenzierung muss sich auch in den AGB widerspiegeln, soweit Sie personenbezogene Daten für Werbezwecke nutzen wollen. Näheres dazu ist in dem Merkblatt „Was darf Werbung?“ zu entnehmen, welches auf der Homepage6 des Landesbeauftragten abrufbar ist oder bei diesem bestellt werden kann.
Verschlüsselung der Webseiten
Ein Hauptproblem stellt die oft nicht durchgängige Verschlüsselung der Webseiten dar. So war bei einigen der überprüften Versandapotheken der eigentliche Online-Shop zwar verschlüsselt. Beim Kundenlogin, der Registrierung als Neukunde und der Bestellung als Gast erfolgte die Übertragung personenbezogener Daten jedoch un-verschlüsselt. Auch das Kontaktformular war häufig unun-verschlüsselt. Das hat zur Fol-ge, dass die Vertraulichkeit der übertragenen und i. d. R. besonders sensiblen Ge-sundheits- oder Bankdaten nicht gewährleistet ist, da unbefugte Dritte diese während der Übertragung zur Kenntnis nehmen können.
Gemäß § 13 Abs. 7 des Telemediengesetzes (TMG) war der Diensteanbieter ver-pflichtet, die geschäftsmäßig angebotenen Telemedien gegen Verletzungen des Schutzes personenbezogener Daten zu sichern. Die getroffenen Vorkehrungen mussten dem jeweiligen Stand der Technik entsprechen, z. B. Verschlüsselungsver-fahren. Um eine sichere Verbindung zwischen dem Endgerät des Kunden und dem Server der Apotheke zu gewährleisten, sollte derzeit mindestens das Verschlüsse-lungsprotokoll Transport Layer Security (TLS) 1.2 verwendet werden (s. Nr. 4.10).
Ältere TLS-Versionen sind nicht ausreichend sicher und entsprechen damit nicht mehr dem Stand der Technik.
Im Übrigen stellte die fehlende oder nicht durchgängige Verschlüsselung bei der Übertragung personenbezogener Daten eine Ordnungswidrigkeit gemäß § 16 Abs. 2 Nr. 3 TMG dar, die gemäß § 16 Abs. 3 TMG mit einer Geldbuße bis zu 50.000 € ge-ahndet werden konnte.
6 http://lsaurl.de/WasDarfWerbung
Verwendung von Webtracking-Tools
Um das Verhalten der Nutzer ihrer Webseiten zu analysieren, verwenden viele Apo-theken Webtracking-Tools wie z. B. Google Analytics. Gemäß § 15 Abs. 3 TMG durf-ten Diensteanbieter Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht. Dabei ist zu beachten, dass es sich bei
Um das Verhalten der Nutzer ihrer Webseiten zu analysieren, verwenden viele Apo-theken Webtracking-Tools wie z. B. Google Analytics. Gemäß § 15 Abs. 3 TMG durf-ten Diensteanbieter Nutzungsprofile bei Verwendung von Pseudonymen erstellen, sofern der Nutzer dem nicht widerspricht. Dabei ist zu beachten, dass es sich bei