Spenderdokumentation und Datenschutz in Blutspendeeinrichtungen im Licht der Datenschutz-Grundverordnung der EU

Blutspendeeinrichtungen haben sich nicht nur mit der Frage auseinanderzusetzen, welche Dokumente wie lange aufzubewahren sind, sondern werden auf dem Weg zur digitalen Datenwirtschaft künftig auch von der EU-Datenschutz-Grundverordnung (DSGVO) [1] betroffen sein. Diese europäische Rechtsnorm wird ab dem 25. Mai 2018 Anwendung finden [2] und gilt auch für Blutspendeeinrichtungen. In diesem Zuge hat der deutsche Gesetzgeber durch das sogenannte Datenschutz-Anpassungsgesetz [3] ein neues Bundesdatenschutzgesetz (BDSG) zur Ergänzung der DSGVO erlassen. Dieses wird zeitgleich am 25. Mai 2018 zur Anwendung kommen. Mit der folgenden Darstellung sollen die für Blutspendeeinrichtungen wichtigsten Neuerungen im Datenschutzrecht erläutert werden.

Neben den hier betrachteten materiellen Datenschutzvorschriften sollten Einrichtungen auch nicht die eher organisatorischen Datenschutzpflichten, wie die Pflicht zur Bestellung eines Datenschutzbeauftragten, das Führen einer Verarbeitungsübersicht, das Vornehmen von Datenschutzfolgenabschätzungen sowie die Meldepflichten bei Datenschutzverstößen, außer Acht lassen.

• Quellen und Anmerkungen

• 1 Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. EU Nr. L119/1 vom 4. Mai 2016).
• 2 Artikel 99 DSGVO.
• 3 Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU) vom 30. Juni 2017 (BGBl. I S. 2097).
• 4 Artikel 288 Abs. 3 AEUV.
• 5 Artikel 288 Abs. 2 AEUV.
• 6 Vgl. Erwägungsgründe 9 und 10 der Verordnung (EU) 2016/679.
• 7 Artikel 1 Abs. 1 Verordnung (EU) 2016/679.
• 8 Artikel 1 Abs. 2 und 3 Verordnung (EU) 2016/679.
• 9 Vgl. Artikel 3 Abs. 2 lit. a) DSGVO.
• 10 Nicht in der Union niedergelassene Verantwortliche oder Auftragsverarbeiter haben nach Artikel 27 DSGVO einen Vertreter in der Union zu bestellen.
• 11 Gesetz zur Regelung des Transfusionswesens (Transfusionsgesetz) in der Fassung der Bekanntmachung vom 28. August 2007 (BGBl. I S. 2169), zuletzt geändert durch Gesetz vom 18. Juli 2017 (BGBl. I S. 2757).
• 12 Ausführlich hierzu Hasskarl/Bakhschai, Aufbewahrungsfristen für Aufzeichnungen im Zusammenhang mit der Gewinnung von Blut und Blutbestandteilen, der Herstellung von Blutprodukten und der Anwendung von Blutprodukten, in: Transfusion Medicine and Hemotherapy 2010, Nr. 37, S. 213 – 219.
• 13 Siehe hierzu Bundesgerichtshof, Urteil vom 17. Januar 2012, Az.: VI ZR 336/10. abrufbar unter: http://www.bundesgerichtshof.de (Schadensersatzanspruch gegenüber einer Heilpraktikerin wegen angeblich bei Durchführung einer Eigenbluttherapie erworbener Hepatitis-C-Infektion).
• 14 Vgl. § 28 TFG.
• 15 Bei hämatopoetischen Stammzellzubereitungen aus dem peripheren Blut oder aus dem Nabelschnurblut ist für die Rückverfolgung zusätzlich die eindeutige Spendennummer gemäß § 2 Nummer 21 der Arzneimittel- und Wirkstoffherstellungsverordnung zu protokollieren und aufzubewahren (§ 11 Abs. 1a S. 1 TFG).
• 16 Vgl. § 10 Abs. 3 MBO-Ä 1997, zuletzt geändert durch Beschluss im Jahr 2015.
• 17 Bürgerliches Gesetzbuch in der Fassung der Bekanntmachung vom 2. Januar 2002 (BGBl. I S. 42, 2909; 2003 I S. 738), zuletzt geändert durch Gesetz vom 20. Juli 2017 (BGBl. I S. 2787).
• 18 Vgl. § 11 Abs. 2 S. 1 TFG.
• 19 Zur Definition „Verantwortlicher“ siehe Punkt I. 3 c.
• 20 Siehe Klammerdefinition in Artikel 4 Nr. 1 DSGVO (Punkt I. 3 a).
• 21 Vgl. § 11 Abs. 2 S. 2 TFG, Unterrichtungspflichten im Rahmen der Hämovigilanz nach § 16 TFG sowie Dokumentations- und Meldepflichten des Zulassungsinhabers nach § 63 c AMG.
• 22 Zur Definition „Verarbeitung“ siehe Punkt I. 3 b.
• 23 Siehe Artikel 5 Abs. 2 DSGVO.
• 24 Siehe Artikel 12 DSGVO.
• 25 Vgl. § 11 TFG.
• 26 Spenderausschluss.
• 27 Siehe zu Artikel 9 Abs. 2 i) DSGVO unter Punkt II. 2 b bb.