Datenschutzbeauftragter zu Bürgertests und Impfzertifikaten Patrick Hollstein, 05.04.2022 15:06 Uhr
Der Bundesdatenschutzbeauftragte Professor Dr. Ulrich Kelber wies Vorwürfe zurück, ein übertriebener Datenschutz habe die Eindämmung der Corona-Pandemie behindert. Gesundheitsdaten müssten streng geschützt werden, damit beispielsweise Menschen mit seltenen Erkrankungen nicht zurückverfolgt werden könnten. Kritisch äußerte er sich über Testzentren und Impfnachweise.
„Auch für die Bürgerteststellen gilt: Bei der Verarbeitung von Gesundheitsdaten bedarf es besonderer Sicherheiten – wie beispielsweise der beruflichen Schweigepflicht“, so Kelber. Bei den frühen Fassungen der Testverordnung (TestV) habe er zunächst keinen Anlass zu Bedenken gesehen: „Mit den Testungen waren zunächst neben dem Gesundheitsamt nur Arztpraxen und später auch Apotheken befasst, also Personen, die einer beruflichen Schweigepflicht unterliegen. Zudem sollte die Abrechnung gerade ohne Angaben zu den getesteten Personen auskommen.“
Zeitgleich mit Einführung der kostenfreien Bürgertests sei aber der Kreis auf „weitere geeignete Dritte“ erweitert worden. Hier wären aus seiner Sicht alternative Vorgaben notwendig gewesen, zumal die Anbieter fortan neben Name und Adresse auch Gesundheitsdaten verarbeiten mussten und ein positives Ergebnis zudem zur Meldung ans Gesundheitsamt verpflichtete. Daher hätte er erwartet, dass die Landesbehörden bei der Umsetzung der Verordnung den Teststellen Vorgaben zu Datenschutz und Datensicherheit machen. „Dies war jedoch nicht durchgehend der Fall.“
Offenbar sei der Eindruck erweckt worden, dass die Schulung das wesentliche Kriterium für eine zulässige Beauftragung sei. „Jedenfalls entstanden in der Folge eine Vielzahl von Schnelltestzentren – in Zelten, Containern, leerstehenden Veranstaltungsräumen oder Ladenlokalen. Ob die Datenverarbeitung der jeweiligen Verantwortlichen im Einklang mit den Vorgaben der DSGVO für Gesundheitsdaten stand, war zuweilen zweifelhaft; es wurden verschiedene, auch größere Pannen bekannt. Erst mit der Änderungsverordnung vom 12. November 2021 wurde auf meinen Hinweis hin die Vorgabe aufgenommen, dass auch die weiteren Leistungserbringer zur Verschwiegenheit verpflichtet sein müssen.“
Problem: Dokumentation
Für Unklarheiten habe auch die Verpflichtung gesorgt, die Auftrags- und Leistungsdokumentation aufzubewahren. „Für Ärztinnen und Ärzte entspricht diese Vorgabe der üblichen Praxis. Was sie allerdings für die ‚geeigneten Dritten‚ bedeutet und ob darin eine hinreichende Grundlage für die Speicherung von personenbezogenen Gesundheitsdaten lag, war zweifelhaft. Es führte außerdem zu Unsicherheit bei den Anwendern und Diskussionen bei den Datenschutzbehörden.“
Nachdem erste Fälle von Abrechnungsbetrug bekannt wurden, seien die Vorgaben zur Dokumentation konkretisiert worden. „Sogar das Testergebnis, ein besonders zu schützendes Gesundheitsdatum, sollte danach bis Ende 2024 aufbewahrt werden. Der Sinn erschließt sich nicht: Die Vergütung gibt es unabhängig vom Testergebnis und die Prüfung der zuverlässigen Meldung positiver Tests ist nur zeitnah zielführend. Eine Aufbewahrung wäre daher allenfalls für einige Monate erforderlich. Auf meine entsprechenden Hinweise wurde in der Fassung vom Oktober wenigstens eigens für die Testergebnisse eine verkürzte Frist bis Ende 2022 vorgesehen.“
Kritisch sieht Kelber auch den vorübergehenden Wegfall der Bürgertestung, nach dem nur noch berechtigte Personen einen Anspruch hatten und diesen nachweisen mussten. „Hier stellte ich gegenüber dem BMG klar: Auch Schwangere haben Anspruch auf ein Attest, das nur die nötigen Angaben enthält; sie müssen nicht den Mutterpass mit einer Vielzahl von Befunden verwenden. Und ein Attest über eine medizinische Kontraindikation darf keine Diagnose enthalten, da diese hier nicht erheblich ist.“
Besonders problematisch war für ihn auch das nachträgliche Ausstellen von Impfnachweisen: Das Ziel sei zwar nachvollziehbar, die Regelung gehe jedoch weit darüber hinaus: „Sie ist allgemein gefasst und damit nicht auf die Corona-Impfungen beschränkt. Die Nachtragung oder Bestätigung durch eine Person, die die Impfung nicht selbst vorgenommen hat, birgt dabei immer ein Risiko hinsichtlich der inhaltlichen Richtigkeit.“
Risiko für Apotheken
Zum Zeitpunkt des Starts seien bereits Fälschungen von Impfnachweisen „in erheblichem Umfang“ im Umlauf gewesen. „Durch die Nacherfassung durch Apotheken unter der eigenen elektronischen Signatur übernimmt die jeweils nacherfassende Person die Verantwortung auch für die inhaltliche Richtigkeit. Das Risiko, in erheblichem Umfang hierdurch inhaltlich falsche digitale Impfnachweise zu generieren, hielt ich für beachtlich und ein Interesse an falschen Nachweisen aufgrund der damit verbundenen Vorteile für hoch.“
Diesem Risiko sei durch den Gesetzentwurf in keiner Weise begegnet worden. Erst später seien flankierend überhaupt die Straftatbestände im Strafgesetzbuch angepasst, um gegen bekannt gewordene Fälschungen vorgehen zu können. „Es wurde leider nicht geprüft, ob eine anderweitige Unterstützung von Impfzentren und Arztpraxen möglich wäre, die – entsprechend meiner Empfehlung – eine zuverlässige, inhaltlich richtige Nacherfassung durch die impfende Institution selbst gewährleisten würde. Ebenso wurde entgegen meiner Empfehlung die Nacherfassung allgemein zugelassen; es wurde darauf verzichtet, sie auf besondere Fälle – wie die Impfungen vor der Möglichkeit zur digitalen Erfassung oder besondere Ausnahmen oder auch nur auf Corona-Impfungen – zu begrenzen oder zu befristen. Hier soll eine risikogeneigte Datenverarbeitung zur Methode werden. Bei der zu erwartenden Evaluation des Infektionsschutzgesetzes sollte dieser Passus auf der Agenda stehen.“
Kelber warnt auch davor, Gesundheitsdaten dauerhaft für bestimmte Berechtigungsnachweise heranzuziehen. In der Corona-Pandemie sei es Alltag geworden, beim Betreten von Restaurants, Kinos, Stadien und anderen öffentlichen Orten mit einer App seinen Impfstatus nachzuweisen. „Das ist praktisch und unter den Umständen auch datenschutzfreundlich gelöst.“ Es dürfe aber auf keinen Fall zum Standard werden, dass Gesundheitsdaten überall als eine Art Eintrittskarte verwendet würden, sagte Kelber.
Verhindert werden müsse auch, dass Arbeitgeber dauerhaft Einblick in sensible Daten erhalten. „In der Debatte über die Impfpflicht an Arbeitsplätzen haben wir erlebt, dass einige sich wünschen, mehr dieser Daten dauerhaft auch als Arbeitgeber verarbeiten zu dürfen.“ Gesundheitsdaten seien aber eine besonders zu schützende Kategorie. Bei einem Verstoß gegen diesen Grundsatz würden Daten gegenüber einem Dritten offenbart, mit dem man ohnehin in einem ungleichen Machtverhältnis stehe. „Das darf nicht passieren.“
Lobende Worte fand Kelber über die Corona-Warn-App: „Sie ist eine Referenz, sowohl technologisch als auch datenschutzrechtlich.“ Die App sei auf eine minimale Datenerhebung ausgerichtet und konzentriere sich auf die eigentliche Aufgabe, nämlich auf eine mögliche Gefahr einer Infektion hinzuweisen, ohne Umweg über Gesundheitsämter und
ohne Verzögerungen.
Kritisch bewertete der Datenschutzbeauftragte die Pläne der Politik, bei der Modernisierung der öffentlichen Register auf ein zentrales Identifikationsmerkmal zu setzen. „Der Deutsche Bundestag und die Bundesregierung haben sich entschieden, dazu in allen Register die Steuer-ID einzuführen. Aus unserer Sicht steht das in einem Konflikt mit der Entscheidung des Bundesverfassungsgerichtes, dass es keine einheitliche Identifikation der Bürgerinnen und Bürger über alle Lebensbereiche geben darf“, sagte Kelber. Als Alternative haben man eine Technologie vorgeschlagen, bei der jedes Register über eine eigenständige Identifikation verfüge, die dann im Hintergrund verknüpft werden kann.