Was ist die DSGVO?

Die Datenschutz-Grundverordnung (DSGVO) regelt den Schutz personenbezogener Daten und gilt seit dem 25. Mai 2018. Sie wird durch nationale Vorschriften ergänzt. Personenbezogene Daten sind Informationen über identifizierte oder identifizierbare Menschen, etwa Kontaktdaten, berufliche Nutzerprofile oder bestimmte Online-Kennungen.

Der Anwendungsbereich richtet sich nicht allein nach der Staatsangehörigkeit. Neben Niederlassungen in der EU können auch Angebote an Menschen in der EU und die Beobachtung ihres dortigen Verhaltens relevant sein. Die Grundlagen des Europäischen Datenschutzausschusses erläutern diese Einordnung.

Welche Rechtsgrundlagen gibt es?

Einwilligung ist eine mögliche Grundlage, aber nicht die einzige. Je nach Zweck kommen beispielsweise Vertragserfüllung, gesetzliche Pflichten oder berechtigte Interessen infrage. Eine Grundlage muss für den konkreten Verarbeitungsvorgang passen; eine vorhandene Adresse ist noch keine Erlaubnis für beliebige Marketingzwecke.

Gesundheitsdaten gehören zu besonders geschützten Datenkategorien. Zusätzlich zur allgemeinen Rechtsgrundlage ist eine einschlägige Voraussetzung nach Artikel 9 erforderlich. Ausdrückliche Einwilligung ist eine Möglichkeit; das Gesetz kennt weitere, jeweils begrenzte Voraussetzungen, etwa in Versorgung, öffentlicher Gesundheit oder Forschung.

Was bedeutet das für Pharma-Marketing?

Berufliche Kontaktdaten von Ärzt:innen sind ebenfalls personenbezogen. Unternehmen müssen Zweck, Umfang und Aufbewahrung festlegen und die erforderlichen Informationen bereitstellen. Für E-Mail-Werbung und Endgerätezugriffe sind zusätzlich unter anderem UWG und TDDDG zu prüfen.

Ein Fachkreise-Login, ein CRM-Eintrag oder ein Newsletter-Abonnement sind unterschiedliche Vorgänge. Daten aus einem dieser Bereiche dürfen nicht ohne Prüfung für einen anderen Zweck zusammengeführt werden. Auch selbst erhobene First-Party-Daten unterliegen diesen Anforderungen.

Wie wird Datenschutz praktisch organisiert?

Verantwortliche legen die Zwecke und wesentlichen Mittel fest. Auftragsverarbeiter handeln nach dokumentierten Weisungen; nicht jeder Dienstleister hat automatisch diese Rolle. Zugriffsrechte, Löschfristen, geeignete Sicherheitsmaßnahmen und gegebenenfalls Regeln für internationale Übermittlungen müssen zu den tatsächlichen Datenflüssen passen.

Betroffenenrechte umfassen unter ihren jeweiligen Voraussetzungen etwa Auskunft, Berichtigung, Löschung und Widerspruch. Datenübertragbarkeit gilt nicht für jede Verarbeitung. Bei voraussichtlich hohem Risiko ist eine Datenschutz-Folgenabschätzung zu prüfen. Die Übersicht der Rechtsgrundlagen unterstützt die grundlegende Zuordnung.

Fazit: Zwecke und Verantwortlichkeiten nachvollziehbar machen

Datenschutz beginnt mit einer klaren Frage: Welche Daten werden wofür benötigt? Begrenzte Erhebung, nachvollziehbare Berechtigungen und verlässliche Prozesse helfen, Healthcare-Kommunikation verantwortungsvoll zu gestalten. Eine Einwilligung ersetzt dabei nicht die übrigen Datenschutzanforderungen.