Die Antwort wurde namens der Bundesregierung mit Schreiben des Bundesministeriums für Gesundheit vom 8. Februar 2019 übermittelt. Die Drucksache enthält zusätzlich – in kleinerer Schrifttype – den Fragetext. Deutscher Bundestag Drucksache 19/7831 19. Wahlperiode 13.02.2019 Antwort der Bundesregierung auf die Kleine Anfrage der Abgeordneten Sylvia Gabelmann, Susanne Ferschl, Simone Barrientos, weiterer Abgeordneter und der Fraktion DIE LINKE. – Drucksache 19/7367 – Datenschutz und Beratung im Arzneimittelversandhandel V o r b e m e r k u n g d e r F r a g e s t e l l e r Die Bestellung von Arzneimitteln im Internet ist besonders sensibel. Zum einen ist die Abgabe von Arzneimitteln nach § 20 Absatz 2 S. 3 Apothekenbetriebsordnung (ApBetrO) mit besonderen Beratungsverpflichtungen verbunden, die aus dem Versand kaum einzuhalten sind. So ist „bei der Abgabe von Arzneimitteln an einen Patienten oder anderen Kunden […] durch Nachfrage auch festzustellen , inwieweit dieser gegebenenfalls weiteren Informations- und Beratungsbedarf hat und eine entsprechende Beratung anzubieten.“ Bereits 2013 hat das Bundesministerium für Gesundheit klargestellt, dass aus seiner Sicht bereits die Angabe einer Telefonnummer ausreicht, um der Beratungspflicht nachzukommen (www.deutsche-apotheker-zeitung.de/news/artikel/2013/02/20/bmg-aeussertsich -zur-beratungspflicht-von-versandapotheken). Der Versandhandel mit Arzneimitteln ist aber deswegen sensibel, weil notwendigerweise Gesundheits- und andere Sozialdaten übermittelt werden. Nicht umsonst gehören Gesundheitsdaten inzwischen zu den begehrtesten Daten überhaupt (www.handelsblatt.com/technik/it-internet/cyber-kriminalitaet-hacker-sindscharf -auf-gesundheitsdaten/10843826.html?ticket=ST-8355498-GsupVfGecx E4BfBAcJvI-ap3) und sind auch nach der Datenschutzgrundverordnung (DSGVO) (www.datenschutz-grundverordnung.eu/grundverordnung/art-9-ds-gvo/) und nach dem Sozialgesetzbuch (z. B. § 35 SGB I, §§ 67a bis 85a SGB X) besonders geschützt. Die DSGVO konkretisiert: „Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist“ (Artikel 7 Absatz 2 DSGVO). Jedoch nutzen viele Versandapotheken sogenannte Remarketing- und andere Werbefunktionen externer Anbieter. Das heißt, sie geben Daten z. B. an Google, Microsoft oder Facebook weiter, z. B. damit auf externen Webseiten entsprechende personalisierte Werbung angezeigt werden kann. Wer bei DocMorris bestellt, gibt beispielsweise im Regelfall seine Einwilligung, dass Daten an folgende Firmen übermittelt werden: Google (USA), Criteo (Frankreich), Kairion, ADITION technologies AG, EPROFESSIONAL GmbH, Outbrain Vorabfassung - w ird durch die lektorierte Version ersetzt. Drucksache 19/7831 – 2 – Deutscher Bundestag – 19. Wahlperiode (USA), Active Agent AG, Affilinet, Microsoft (USA), The Reach Group, Yahoo (Kanada), NEORY, Facebook (Irland) und ADEX (www.docmorris.de/ service/bestellung/datenschutz). Bei außereuropäischen Diensten würden „in der Regel“ die IP-Adressen auf der Grundlage des EU-US Privacy Shield an Server in die USA übermittelt und dort anonymisiert. Dieser Datenweitergabe kann widersprochen werden, allerdings sind die Bedingungen „im Kleingedruckten “ versteckt, und der Widerspruch erfordert die Eigeninitiative der Bestellenden . Auch deutsche Versandapotheken nutzen derartige Funktionen. So werden bei einer Bestellung bei der Versandapotheke www.apotheke.de Daten unter anderem an Google AdSense, Google AdwordsConversion, Facebook Custom Audiences und Microsoft (Bing Universal Event Tracking) weitergegeben (www.apotheke.de/datenschutz), sofern nicht zuvor explizit widersprochen wurde. Dabei bleibt unklar, welche Daten genau weitergegeben werden und ob etwa Rückschlüsse auf bestimmte Erkrankungen oder andere Lebensumstände möglich sind, die sich aus der Bestellung von Arzneimitteln, medizinischen Diagnostika (z. B. auch Schwangerschaftstests) oder anderen Produkten ergeben. Zudem bleibt unklar, wie die externen Firmen die Daten weiterverwenden, insbesondere wenn sie vom außereuropäischen Ausland aus operieren. So heißt es zur Datenverarbeitung durch Facebook Custom Audiences: „Wir haben keinen Einfluss auf den Umfang und die weitere Verwendung der Daten, die durch den Einsatz dieses Tools durch Facebook erhoben werden“ (www.apotheke.de/ datenschutz). Drei große Versandapotheken, DocMorris, Shop Apotheke und Medpex Versandapotheke , haben nun angekündigt, aus dem Verkauf von Daten aus dem Verkauf von nichtrezeptpflichtigen (OTC-) Präparaten ein eigenes Geschäft zu machen und dafür eigens ein Gemeinschaftsunternehmen zu gründen. Die Kunden sollen überwiegend aus der Industrie kommen (www.deutsche-apothekerzeitung .de/news/artikel/2018/11/08/die-grossen-eu-versender-verkaufen-abjanuar -2019-otc-daten). 1. Inwiefern können sensible Gesundheits- und andere Sozialdaten von Versandapotheken legal weitergegeben werden, wenn dem nicht zuvor ausdrücklich widersprochen wurde? Personenbezogene Gesundheitsdaten können im Anwendungsbereich der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4. Mai 2016, S. 1; L 314 vom 22. November 2016, S. 72; L 127 vom 23. Mai 2018, S. 2) (DSGVO) nur dann von Versandapotheken zulässig an Dritte übermittelt werden, wenn die betroffenen Personen in diese Übermittlungen zu den hierfür festgelegten Zwecken ausdrücklich eingewilligt haben oder eine gesetzliche Grundlage für die Übermittlung besteht. Für den Zweck der Abrechnung der abgegebenen Arzneimittel mit den gesetzlichen Krankenkassen sind Versandapotheken auf der Grundlage des § 300 des Fünften Buches Sozialgesetzbuch (SGB V) verpflichtet, die dort genannten Angaben an die gesetzlichen Krankenkassen ggf. auch unter Einschaltung von Rechenzentren zu übermitteln. Vorabfassung - w ird durch die lektorierte Version ersetzt. Deutscher Bundestag – 19. Wahlperiode – 3 – Drucksache 19/7831 2. Inwiefern ist bei einem Bestellvorgang und fehlendem ausdrücklichem Widerspruch die Weitergabe an Google, Facebook etc. oder inländischen Remarketing -Diensten insbesondere von personenbezogenen a) genetischen oder biometrischen Daten, b) Daten, die Rückschlüsse auf bestimmte Erkrankungen oder Behinderungen erlauben, c) Daten, die Rückschlüsse auf Sexualleben oder sexuelle Orientierung erlauben und d) sonstigen Gesundheitsdaten legal? Die Rechtmäßigkeit der Verarbeitung personenbezogener Daten der Kunden von Versandapotheken richtet sich nach den Vorgaben der DSGVO. So ist in Artikel 6 DSGVO festgelegt, dass die Verarbeitung personenbezogener Daten – worunter gemäß Artikel 4 Nummer 2 DSGVO neben dem Erheben und Speichern beispielsweise auch die Offenlegung durch Übermittlung personenbezogener Daten an Dritte fällt – nur rechtmäßig ist, wenn mindestens eine der in Artikel 6 Absatz 1 Buchstaben a bis f DSGVO normierten Voraussetzungen erfüllt ist (sogenanntes Verbot mit Erlaubnisvorbehalt). Sollte es sich um eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 DSGVO handeln, so wäre die Datenverarbeitung zudem nur rechtmäßig, wenn einer der in Artikel 9 Absatz 2 DSGVO normierten Ausnahmetatbestände erfüllt ist. Zu den besonderen Kategorien personenbezogener Daten gehören gemäß Artikel 9 Absatz 1 DSGVO unter anderem genetische und biometrische Daten, Gesundheitsdaten oder Daten zur sexuellen Orientierung einer natürlichen Person. Die Verarbeitung von Kundendaten durch Versandapotheken ließe sich – sofern es sich nicht um besondere Kategorien personenbezogener Daten im Sinne des Artikels 9 DSGVO handelt – auf Artikel 6 Absatz 1 Buchstabe a DSGVO stützen . Dies setzt voraus, dass die jeweils betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten wirksam erteilt hat. Unter einer wirksamen Einwilligung wird gemäß Artikel 4 Nummer 11 DSGVO jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung verstanden, mit der die betreffende Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Sofern seitens der Versandapotheken eine (informierte) Einwilligung nicht in Form einer ausdrücklichen Erklärung eingeholt werden sollte, ist – bei Vorliegen DSGVO-konformer Information des Betroffenen über die beabsichtigte Datenverarbeitung – grundsätzlich auch eine Einwilligung durch eine sonstige eindeutige Handlung denkbar. Sollten durch Versandapotheken auch besondere Kategorien personenbezogener Daten (in Betracht kämen hier vor allem Gesundheitsdaten) verarbeitet werden, so würden an die Wirksamkeit einer Einwilligung durch Artikel 9 Absatz 2 Buchstabe a DSGVO nochmals erhöhte Anforderungen gestellt. Die betroffene Person müsste in diesem Fall in die Verarbeitung für einen oder mehrere festgelegte Zwecke ausdrücklich (und damit nicht nur konkludent) eingewilligt haben. Vorabfassung - w ird durch die lektorierte Version ersetzt. Drucksache 19/7831 – 4 – Deutscher Bundestag – 19. Wahlperiode Für die Verarbeitung von Kundendaten durch Versandapotheken käme gegebenenfalls auch Artikel 6 Absatz 1 Buchstabe f DSGVO als Rechtsgrundlage in Betracht . Ob der Einsatz von Tracking-Mechanismen, die das Verhalten von betroffenen Personen im Internet nachvollziehbar machen, oder die Erstellung von Nutzerprofilen beispielsweise mit Hilfe von Cookies überhaupt auf diese – eine im Ergebnis zugunsten des Datenverarbeiters ausgehende Interessenabwägung voraussetzende – Vorschrift gestützt werden kann, wird allerdings unter anderem von unabhängigen Datenschutzaufsichtsbehörden bezweifelt und ist gegenwärtig noch nicht abschließend geklärt. Unabhängig davon ließe sich auf diese Rechtsgrundlage die Verarbeitung ohnehin dann nicht stützen, wenn es sich um besonders sensible Daten im Sinne von Artikel 9 Absatz 1 DSGVO handeln sollte. Dies gilt umso mehr, weil einer der zusätzlich erforderlichen Ausnahmetatbestände nach Artikel 9 Absatz 2 Buchstaben b bis j DSGVO hier erkennbar nicht in Betracht kommen dürfte. Ob die konkret erfolgende Verarbeitung personenbezogener Daten der Kunden durch Versandapotheken wirksam auf eine der genannten Rechtgrundlagen des Artikels 6 bzw. des Artikels 9 DSGVO gestützt werden kann und somit diesen datenschutzrechtlichen Vorgaben entsprochen wird, ist eine Frage des Einzelfalls, die der Beurteilung der unabhängigen Datenschutzaufsichtsbehörden unterfällt. Die Bundesregierung hat in ihrer Antwort auf die Kleine Anfrage der Fraktion DIE LINKE. auf Bundestagsdrucksache 19/2598 bereits darauf hingewiesen, dass nach Artikel 57 Absatz 1 Buchstabe a DSGVO die Überprüfung der Einhaltung der Vorschriften der DSGVO und ihre Durchsetzung den jeweils zuständigen unabhängigen Datenschutzaufsichtsbehörden obliegt. 3. Inwiefern sind IP-Adressen in Kombination mit bestimmten bestellten oder angesehenen Produkten (z. B. Arzneimitteln) nach Ansicht der Bundesregierung als personenbezogene Gesundheitsdaten anzusehen? Der Europäische Gerichtshof hat in seinem Urteil vom 19. Oktober 2016 (EuGH, Rs C-582/14) festgestellt, dass die dynamische Internetprotokoll-Adresse (IP-Adresse ) eines Nutzers dann für den Betreiber der Website ein personenbezogenes Datum darstellt, wenn dieser über rechtliche Mittel verfügt, die es ihm erlauben, den betreffenden Nutzer anhand der Zusatzinformationen, über die dessen Internetzugangsanbieter verfügt, bestimmen zu lassen. Um personenbezogene Gesundheitsdaten handelt es sich gemäß Artikel 4 Ziffer 15 DSGVO, wenn daraus Informationen über den Gesundheitszustand einer natürlichen Person hervorgehen . Die Entscheidung darüber, ob IP-Adressen in Kombination mit dem Bestellen oder der Recherche nach bestimmten Produkten (z. B. Arzneimitteln) als personenbezogene Gesundheitsdaten anzusehen sind, ist abhängig vom konkreten Sachverhalt bzw. Einzelfall und obliegt der Beurteilung der unabhängigen Datenschutzaufsichtsbehörden . Vorabfassung - w ird durch die lektorierte Version ersetzt. Deutscher Bundestag – 19. Wahlperiode – 5 – Drucksache 19/7831 4. Inwiefern handelt es sich bei „klassischen Abverkaufsdaten“ nach Ansicht der Bundesregierung um „Verbraucherdaten“, und inwiefern sind diese Daten in pseudonymisierter Form noch immer Gesundheitsdaten im Besitz der Patientinnen und Patienten, wenn nicht ausdrücklich dem Weiterverkauf zugestimmt wurde (www.deutsche-apotheker-zeitung.de/news/artikel/2018/11/ 08/die-grossen-eu-versender-verkaufen-ab-januar-2019-otc-daten/chapter:2)? Bei der Pseudonymisierung personenbezogener Daten handelt es sich um eine mögliche technische Maßnahme zur Schaffung gesteigerter Datensicherheit (Artikel 4 Nummer 5 und Artikel 32 Absatz 1 Buchstabe a DSGVO), die die Herstellung des Bezuges zu einer spezifischen betroffenen Person erschwert, aber die Eigenschaft der betreffenden Daten als personenbezogene bzw. personenbeziehbare Daten nicht ändert; als personenbeziehbare Daten unterfallen pseudonymisierte Daten unverändert in vollem Umfang den Regelungen der DSGVO – einschließlich der zu erfüllenden Anforderungen an eine rechtlich zulässige Datenverarbeitung . Im Übrigen wird auf die Antwort zu Frage 2 verwiesen. 5. Welche Anforderungen bestehen nach Kenntnis der Bundesregierung für Versandapotheken bezüglich der Information der Kundinnen und Kunden über die Datenweitergabe an Dritte und der Widerspruchsmöglichkeiten? Inwiefern genügt nach Ansicht der Bundesregierung insbesondere ein Hinweis im „Kleingedruckten“ der Geschäftsbedingungen bzw. Datenschutzbestimmungen , oder muss beispielsweise explizit und erkennbar im Bestellvorgang darauf hingewiesen werden? Es bestehen keine spezifischen Regelungen bezüglich der Information der Kundinnen und Kunden über die Datenweitergabe an Dritte und der Widerspruchsmöglichkeiten für Versandapotheken. Somit gilt das allgemeine Datenschutzrecht . Wie bereits im Rahmen der Beantwortung der Frage 2 ausgeführt, setzt Artikel 4 Nummer 11 DSGVO für das Vorliegen einer wirksamen Einwilligung generell voraus, dass die betroffene Person ihre Willensbekundung in informierter Weise abgibt. Dies verdeutlicht auch die Vorschrift des Artikels 7 DSGVO, wonach das Ersuchen um eine Einwilligung in einer verständlichen und leicht zugänglichen Form sowie in einer klaren und einfachen Sprache zu erfolgen hat und von anderen Sachverhalten klar zu unterscheiden sein muss. Ob den dort dargestellten Anforderungen durch einen Hinweis im „Kleingedruckten“ der Geschäftsbedingungen bzw. Datenschutzbestimmungen entsprochen werden kann, ist eine Frage des Einzelfalls, die der Beurteilung der unabhängigen Datenschutzaufsichtsbehörden unterfällt. Zudem trifft den Verantwortlichen gemäß Artikel 12 bis 14 DSGVO die Verpflichtung , die betroffene Person über die Verarbeitung ihrer Daten zu informieren . Dieser Informationspflicht ist insbesondere durch eine entsprechende Datenschutzerklärung nachzukommen. Ob die Datenschutzerklärungen der in der Anfrage genannten Versandapotheken den in der DSGVO normierten Informationspflichten genügen, ist ebenfalls eine Frage des Einzelfalls, die der Beurteilung der hierfür zuständigen unabhängigen Datenschutzaufsichtsbehörden obliegt. Vorabfassung - w ird durch die lektorierte Version ersetzt. Drucksache 19/7831 – 6 – Deutscher Bundestag – 19. Wahlperiode 6. Inwiefern ist nach Kenntnis der Bundesregierung in der Widerspruchsmöglichkeit für die Kundinnen und Kunden ausdrücklich anzugeben, ob die Daten zu Forschungszwecken, zu eigenen Marketingzwecken oder für einen gewinnorientierten Weiterverkauf verwendet werden? Lässt die DSGVO hier die Möglichkeit einer nationalstaatlichen Regelung, und falls ja, plant die Bundesregierung, davon Gebrauch zu machen? Artikel 13 DSGVO legt die Informationspflichten bezüglich der Datenverarbeitung fest, wenn die personenbezogenen Daten bei der betroffenen Person erhoben wurden; Artikel 14 regelt dies, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden. In beiden Fällen gehört zu den Informationspflichten auch die Mitteilung über den Zweck der Datenverarbeitung sowie über die Rechtsgrundlage für die Datenverarbeitung. Gemäß Artikel 15 Absatz 1 Buchstabe a DSGVO hat die betroffene Person u. a. das Recht auf Auskunft darüber , für welche Zwecke die personenbezogenen Daten verarbeitet werden. Ein Recht auf Widerspruch besteht gemäß Artikel 21 Absatz 1 DSGVO nur bei einer Verarbeitung auf Grundlage von Artikel 6 Absatz 1 Buchstaben e oder f DSGVO. Werden personenbezogene Daten verarbeitet, um Direktwerbung zu betreiben , hat die betroffene Person gemäß Artikel 21 Absatz 2 DSGVO jederzeit das Recht, Widerspruch einzulegen. Auf ein mögliches Widerspruchsrecht ist im Zusammenhang mit den Informationspflichten hinzuweisen (Artikel 13 Absatz 2 Buchstabe b und Artikel 14 Absatz 2 Buchstabe c DSGVO). Die Bundesregierung plant über die auf der Grundlage von Artikel 23 DSGVO bestehenden Einschränkungen der Informationspflichten in den §§ 32 und 33 Bundesdatenschutzgesetz (BDSG) sowie des Widerspruchsrechts in den §§ 27, 28 und 36 BDSG hinaus diesbezüglich keine Änderungen. 7. Inwiefern dürfen nach Kenntnis der Bundesregierung bereits Daten weitergegeben werden, wenn sich Nutzerinnen und Nutzer auf den Seiten nur informiert , aber keine Bestellung ausgelöst haben? Es wird auf die Antwort zu Frage 2 verwiesen. 8. Inwiefern gelten für in- und ausländische Versandapotheken nach Kenntnis der Bundesregierung unterschiedliche datenschutzrechtliche Vorgaben? Inwiefern sind ausländische Versandapotheken insbesondere an den Sozialdatenschutz des Sozialgesetzbuches gebunden? Soweit die in der Antwort zu Frage 9 genannten Voraussetzungen vorliegen, gelten für inländische und ausländische Versandapotheken die Vorgaben der DSGVO. Sozialdaten sind personenbezogene Daten, die von einer in § 35 des Ersten Buches Sozialgesetzbuch (SGB I) genannten Stelle, wie z. B. von den Krankenkassen , im Hinblick auf ihre Aufgaben nach dem Sozialgesetzbuch verarbeitet werden . In- und ausländische Apotheken und Versandapotheken gehören nicht zu den in § 35 SGB I genannten Stellen und unterliegen insoweit nicht unmittelbar dem Sozialdatenschutz nach dieser Bestimmung. Sofern allerdings die Apotheken und Versandapotheken Sozialdaten von einer in § 35 SGB I genannten Stelle (z. B. von Kranken- und Pflegekassen oder Reha-Trägern) erhalten, haben sie die Daten in demselben Umfang geheim zu halten wie diese Stellen und die Daten nur zu dem Zweck zu verarbeiten, zu dem diese ihnen befugt übermittelt wurden (sog. verlängerter Sozialdatenschutz nach § 78 Absatz 1 Satz 1 und 3 des Zehnten Buches Sozialgesetzbuch). Vorabfassung - w ird durch die lektorierte Version ersetzt. Deutscher Bundestag – 19. Wahlperiode – 7 – Drucksache 19/7831 9. Inwiefern ist die Weitergabe sensibler personenbezogener Gesundheitsdaten durch außereuropäische Firmen wie Google, Facebook etc. auch dann legal, wenn eine nicht weiter spezifizierte Weiterverwendung der Daten durch diese Firmen erfolgen kann? Gemäß Artikel 3 Absatz 1 DSGVO findet die DSGVO auf die Verarbeitung personenbezogener Daten Anwendung, soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Europäischen Union (EU) erfolgt, und zwar unabhängig davon, ob die Verarbeitung als solche in der EU stattfindet. Darüber hinaus findet die DSGVO gemäß Artikel 3 Absatz 2 DSGVO auf die Verarbeitung personenbezogener Daten von betroffenen Personen, die sich in der EU befinden, Anwendung, sofern diese Verarbeitung im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen in der EU oder der Beobachtung des Verhaltens betroffener Personen in der EU steht (sogenanntes Marktortprinzip). Unter diesen Voraussetzungen findet die DSGVO auch auf die Verarbeitung personenbezogener Daten durch Unternehmen aus Drittstaaten, wie Google oder Facebook , Anwendung. Im Übrigen wird auf die Antwort zu Frage 2 verwiesen. 10. Inwiefern erachtet die Bundesregierung die Weitergabe von Gesundheitsdaten an Dritte für problematisch, wenn über die Weiterverarbeitung dieser Firmen keine weiteren Angaben gemacht werden oder gemacht werden können ? Gemäß Artikel 5 Absatz 1 Buchstabe b DSGVO müssen personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden. Die Beurteilung konkreter Einzelfälle hinsichtlich der Zulässigkeit des in Frage stehenden Vorgehens obliegt den unabhängigen Datenschutzaufsichtsbehörden (siehe auch Antwort zu Frage 2). 11. Welche Vorgaben gelten nach Kenntnis der Bundesregierung für die Übermittlung personenbezogener Daten an das außereuropäische Ausland im Unterschied zur innereuropäischen Weitergabe? Neben dem Vorliegen der Anforderungen nach der DSGVO für eine zulässige Datenverarbeitung setzt die Übermittlung personenbezogener Daten in Staaten außerhalb der EU bzw. des Europäischen Wirtschaftsraums (sogenannte Drittstaatenübermittlung ) voraus, dass die besonderen Anforderungen nach Kapitel V DSGVO erfüllt werden. Eine Übermittlung auf der Grundlage von Artikel 45 DSGVO darf grundsätzlich erfolgen, wenn für das Drittland durch Entscheidung der Kommission ein angemessenes Datenschutzniveau anerkannt ist. Bei der Prüfung der Angemessenheit hat die Kommission die innerstaatlichen Rechtsvorschriften und deren Anwendung , die Existenz und die wirksame Funktionsweise einer oder mehrerer unabhängiger Datenschutzaufsichtsbehörden sowie seiner eingegangenen internationalen Verpflichtungen zu berücksichtigen. Fehlt es an einem Angemessenheitsbeschluss nach Artikel 45 DSGVO, dürfen personenbezogene Daten gemäß Artikel 46 Absatz 1 DSGVO an ein Drittland nur übermittelt werden, sofern geeignete Garantien, etwa Standarddatenschutzklau- Vorabfassung - w ird durch die lektorierte Version ersetzt. Drucksache 19/7831 – 8 – Deutscher Bundestag – 19. Wahlperiode seln, verbindliche interne Datenschutzvorschriften (Artikel 47 DSGVO) oder genehmigte Verhaltensregeln verwendet werden und der betroffenen Person durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen. Liegen weder ein Angemessenheitsbeschluss der Kommission nach Artikel 45 Absatz 3 DSGVO noch geeignete Garantien nach Artikel 46 DSGVO vor, ist eine Datenübermittlung an ein Drittland nur unter besonderen, in Artikel 49 Absatz 1 DSGVO explizit abschließend genannten Bedingungen zulässig. Die DSGVO nennt hier etwa die Einwilligung der betroffenen Person in die Datenübermittlung in ein Drittland. Dies setzt voraus, dass die betroffene Person vorher ausdrücklich über bestehende mögliche Risiken derartiger Datenübermittlungen, d. h. insbesondere darüber, dass kein angemessenes Datenschutzniveau gegeben ist, aufgeklärt wurde. Weitere Ausnahmetatbestände bestehen etwa, wenn die Übermittlung zur Erfüllung eines Vertrags, aus wichtigen Gründen des öffentlichen Interesses , zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz lebenswichtiger Interessen der betroffenen Person oder anderer Personen erforderlich ist. 12. Inwiefern hat die Bundesregierung von Artikel 9 Absatz 4 DSGVO Gebrauch gemacht, demzufolge die Mitgliedstaaten zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten können, soweit die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten betroffen ist? Inwiefern hat sie das insbesondere in Bezug auf die Datenverarbeitung in Versandapotheken vor, und inwiefern hätte eine solche Regelung Bindungswirkung für ausländische Versandapotheken? Artikel 9 Absatz 4 DSGVO erlaubt, für die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten zusätzliche Bedingungen, einschließlich Beschränkungen , einzuführen oder aufrechtzuerhalten. Auf dieser Grundlage ist es u. a. zulässig, Formerfordernisse für die Einwilligung zur Verarbeitung dieser Daten beizubehalten oder festzulegen. Die Bundesregierung hat insofern von der Öffnungsklausel des Artikels 9 Absatz 4 DSGVO Gebrauch gemacht, als bestehende spezialgesetzliche Regelungen betreffend die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten grundsätzlich aufrechterhalten werden können und lediglich formal-technische Anpassungen an die DSGVO erfahren haben. Im Entwurf eines Zweiten Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (2. DSAnpUG-EU) sind darüber hinaus u. a. im SGB V, im Arzneimittelgesetz, im Transfusionsgesetz und im Elften Buch Sozialgesetzbuch Regelungen enthalten , die im Vergleich zu dem nach der DSGVO unmittelbar geltenden datenschutzrechtlichen Standard zusätzliche Bedingungen oder Einschränkungen für die Verarbeitung von Gesundheitsdaten oder von genetischen Daten auf der Grundlage der Öffnungsklausel in Artikel 9 Absatz 4 DSGVO vorsehen. Von der Öffnungsklausel wurde in Regelungen zu datenschutzrechtlichen Einwilligungserfordernissen , bei Regelungen zur Form der Einwilligung (schriftlich) sowie im Hinblick auf Spezifizierungen bei Löschpflichten Gebrauch gemacht. Da der Begriff der Gesundheitsdaten gemäß Erwägungsgrund 35 DSGVO weit zu verstehen ist und somit auch Informationen über die natürliche Person zu den Gesundheitsdaten gehören, die im Zuge der Anmeldung für sowie der Erbringung von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU des Europäischen Parlaments und des Rates vom 9. März 2011 über die Ausübung der Vorabfassung - w ird durch die lektorierte Version ersetzt. Deutscher Bundestag – 19. Wahlperiode – 9 – Drucksache 19/7831 Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung (ABl. L88 vom 4. April 2011, S. 45) für die natürliche Person erhoben werden, oder auch Nummern, Symbole oder Kennzeichen, die einer natürlichen Person zugeteilt wurden, um diese natürliche Person für gesundheitliche Zwecke eindeutig zu identifizieren, unterfallen die vom Leistungserbringer und vom Leistungsträger im Rahmen der Kranken- und Pflegeversicherung verarbeiteten personenbezogenen Daten insgesamt der Öffnungsklausel des Artikels 9 Absatz 4 DSGVO. Es sind keine Neuregelungen in Bezug auf die Datenverarbeitung in Versandapotheken vorgesehen. 13. Inwiefern ist der Weiterverkauf der Daten an interessierte weitere Datenhändler , Arbeitgeber oder Versicherungen durch Dritte nach Ansicht der Bundesregierung ausgeschlossen, nachdem sie legal an Google, Facebook etc. weitergegeben wurden? Es wird auf die Antwort zu Frage 2 verwiesen. 14. Inwiefern kann nach Kenntnis der Bundesregierung nationalstaatlich die Weiterverarbeitung zu Marketingzwecken bei der Einlösung von Kassenrezepten eingeschränkt werden? Eine Einschränkung der Verarbeitung personenbezogener Daten durch Apotheken oder durch in deren Auftrag tätige Rechenzentren erfolgt auch im Hinblick auf Marketingzwecke im Rahmen der Abrechnung mit den gesetzlichen Krankenkassen durch § 300 SGB V. Danach darf eine Verarbeitung der Daten nur für im Sozialgesetzbuch bestimmte Zwecke und nur in einer auf diese Zwecke ausgerichteten Weise erfolgen. Lediglich anonyme Daten dürfen auch für andere Zwecke verarbeitet werden, weil die Verarbeitung nicht personenbezogener Daten keinen datenschutzrechtlichen Vorgaben unterliegt. Im Übrigen wird auf die Antwort zu Frage 2 verwiesen. 15. Können die Kundinnen und Kunden nach Kenntnis der Bundesregierung eine verbindliche Auskunft darüber verlangen, wer Kenntnis von ihren Daten erlangen konnte und ob eine Weitergabe an Datenhändler, Arbeitgeber oder Versicherungen ausgeschlossen werden kann? Artikel 15 DSGVO regelt das Auskunftsrecht der betroffenen Person. Diese kann u. a. Auskunft über die Verarbeitungszwecke und Empfänger verlangen, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden. 16. Inwiefern werden nationalstaatliche Bestimmungen beim Datenschutz bei der Festlegung der sogenannten Länderliste beim Deutschen Institut für Medizinische Dokumentation und Information (DIMDI) für legalen Arzneimittelversand aus dem Ausland berücksichtigt? Plant die Bundesregierung hier Änderungen? Nationalstaatliche Bestimmungen beim Datenschutz wurden bei der Festlegung der sogenannten „Länderliste“ nicht berücksichtigt. Derzeit sind keine Änderungen hierzu vorgesehen. Vorabfassung - w ird durch die lektorierte Version ersetzt. Drucksache 19/7831 – 10 – Deutscher Bundestag – 19. Wahlperiode 17. Bleibt die Bundesregierung bei ihrer Rechtsauslegung, dass Präsenzapotheken gemäß § 20 Absatz 2 Satz 3 ApBetrO aktiv eine Beratung anbieten müssen , Versandapotheken aber nicht (vgl. www.deutsche-apotheker-zeitung. de/news/artikel/2013/02/20/bmg-aeussert-sich-zur-beratungspflicht-vonversandapotheken )? 18. Inwiefern reicht dafür nach Ansicht der Bundesregierung insbesondere ein schriftlicher Standardhinweis, und inwiefern wäre ein solcher schriftlicher Hinweis oder die Angabe einer Telefonnummer auch für Präsenzapotheken ausreichend, um der Pflicht zum aktiven Beratungsangebot nachzukommen? Inwiefern sieht die Bundesregierung hier eine systematische Ungleichbehandlung ? 19. Geht die Bundesregierung davon aus, dass vor allem Menschen bei Versendern bestellen, die weniger Beratungsbedarf haben, und inwiefern findet hier nach Ansicht der Bundesregierung Rosinenpickerei statt? 20. Inwiefern ist die Pflicht zum aktiven Beratungsangebot laut ApBetrO der Tatsache geschuldet, dass sich Beratungsbedarf der Patientinnen und Patienten oft erst im Gespräch herausstellt, und inwiefern sind die Kundinnen und Kunden von Versandapotheken unter diesem Gesichtspunkt weniger gut versorgt als Patientinnen und Patienten von Präsenzapotheken? Die Fragen 17 bis 20 werden aufgrund ihres Sachzusammenhanges gemeinsam beantwortet. Auch Versandapotheken sind grundsätzlich zur Beratung verpflichtet. Durch die unterschiedlichen Modalitäten für Präsenz- und Versandapotheken wird den tatsächlichen Besonderheiten des Versandhandels Rechnung getragen. Wegen des fehlenden persönlichen Kontakts zu den Kunden gelten für den Versandhandel jedoch gesonderte Reglungen. Insbesondere hat der Apothekenleiter nach § 17 Absatz 2a Satz 1 Nummer 7 der Apothekenbetriebsordnung (ApBetrO) bei dem nach § 11a des Apothekengesetzes (ApoG) erlaubten Versand sicherzustellen, dass die behandelte Person darauf hingewiesen wird, dass sie als Voraussetzung für die Arzneimittelbelieferung mit ihrer Bestellung eine Telefonnummer anzugeben hat, unter der sie durch pharmazeutisches Personal der Apotheke mit Erlaubnis zum Versand apothekenpflichtiger Arzneimittel gemäß § 11a ApoG auch mittels Einrichtungen der Telekommunikation ohne zusätzliche Gebühren beraten wird; die Möglichkeiten und Zeiten der Beratung sind ihnen mitzuteilen. Dadurch wird den Kunden ermöglicht und angeboten, eine telefonische Beratung in Anspruch zu nehmen. Unabhängig hiervon darf nach § 17 Absatz 2a Satz 2 ApBetrO die Versendung eines Arzneimittels nicht erfolgen, wenn zur sicheren Anwendung des Arzneimittels ein Informations- oder Beratungsbedarf besteht, der auf einem anderen Wege als einer persönlichen Information oder Beratung durch einen Apotheker oder eine Apothekerin nicht erfolgen kann. Vorabfassung - w ird durch die lektorierte Version ersetzt. Deutscher Bundestag – 19. Wahlperiode – 11 – Drucksache 19/7831 21. Inwiefern greift die Logik der Apothekenhonorierung nach Ansicht der Bundesregierung bei Versandapotheken fehl, da der Fixanteil für die Beratung gedacht ist, die aber in Versandapotheken nicht aktiv angeboten werden muss und vermutlich erheblich weniger oft stattfindet? Inwiefern erwägt die Bundesregierung, die Beratungspauschale für Versandapotheken abzusenken? Der Festzuschlag nach der Arzneimittelpreisverordnung dient der Deckung des Aufwandes der Apotheke bei der Abgabe eines verschreibungspflichtigen Arzneimittels , soweit dieser nicht von anderen Zuschlägen nach der Arzneimittelpreisverordnung gedeckt wird. Dies schließt u. a. die Bereitstellung des Beratungsangebots und die tatsächliche Erbringung der Beratungsleistung ein. Eine preisliche Differenzierung danach, ob und in welchem zeitlichen oder inhaltlichen Umfang Kunden der Apotheke das Beratungsangebot oder die Beratungsleistung jeweils tatsächlich in Anspruch nehmen, findet nicht statt und wäre im Übrigen auch nicht sachgerecht. Im Übrigen wird auf die Antwort zu den Fragen 17 bis 20 verwiesen. 22. Wie hoch ist nach Kenntnis der Bundesregierung der Anteil der Verkäufe von Versandapotheken, zu denen eine persönliche pharmazeutische Beratung stattfindet? Der Bundesregierung liegen hierzu keine Angaben vor. Vorabfassung - w ird durch die lektorierte Version ersetzt. Satz: Satzweiss.com Print, Web, Software GmbH, Mainzer Straße 116, 66121 Saarbrücken, www.satzweiss.com Druck: Printsystem GmbH, Schafwäsche 1-3, 71296 Heimsheim, www.printsystem.de Vertrieb: Bundesanzeiger Verlag GmbH, Postfach 10 05 34, 50445 Köln, Telefon (02 21) 97 66 83 40, Fax (02 21) 97 66 83 44, www.betrifft-gesetze.de ISSN 0722-8333