Sonder-Newsletter Corona-Pandemie

Liebe Leserinnen und Leser, Liebe Nutzerinnen und Nutzer,

Datenschutz gilt auch in Notzeiten, denn es macht den Rechtsstaat, in dem wir leben, gerade aus, dass der Satz "Not kennt kein Gebot" nicht gilt. Der Datenschutz steht dem Gesundheitsschutz, der zur Bekämpfung der Corona-Pandemie zwingend erforderlich ist, jedoch nicht im Weg, sondern ist ein immanenter Bestandteil der Pflicht der Verantwortlichen, bei staatlichen und privaten Maßnahmen zum Gesundheitsschutz das rechtlich gebotene Maß und die Verhältnismäßigkeit zu wahren. Aufgabe der Datenschutzaufsichtsbehörden ist es in diesem Zusammenhang, die Geltung des Datenschutzes auch in Krisenzeiten hochzuhalten und durch Informationen und Beratung die Verantwortlichen bei der Bewältigung der Krise unter Beachtung der rechtsstaatlichen Grenzen zu unterstützen und die Bürgerinnen und Bürger als betroffene Personen über ihre Rechte zu unterrichten. Der Schub an Digitalisierung, den die Pandemie ausgelöst hat, führt zu gesteigerter Nachfrage, wie digitale Anwendungen datenschutzkonform gestaltet und genutzt werden können. Vielfältige Anfragen etwa zur Gestaltung des Homeoffice oder zum Schulunterricht belegen das hohe Interesse. Diese Sonderausgabe des LfDI-Newsletters soll einen Beitrag zur Aufklärung leisten.

Das öffentliche Leben wurde eingeschränkt, was auch den Betrieb unserer Dienststelle betrifft. Im Zusammenhang mit den allgemeinen Maßnahmen zur Bekämpfung der Corona-Pandemie hat auch der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI) Vorkehrungen zur Einschränkung sozialer Kontakte und zur Reduzierung des Infektionsrisikos getroffen.

Dadurch kann es in der Behörde zu Einschränkungen bei der Erreichbarkeit und zu Verzögerungen bei der Bearbeitung von Vorgängen kommen. Bürgerinnen und Bürger sowie Verantwortliche können sich weiterhin über die Online-Services im Internet-Angebot des LfDI oder über die Kontaktdaten an den Landesbeauftragten wenden.

Angesichts der Einschränkungen des öffentlichen Lebens sowie der Beeinträchtigung von Abläufen in Wirtschaft und Verwaltung werden meine Behörde und ich im Rahmen unserer Aufsichts- und Kontrolltätigkeit Fristen gegenüber Verantwortlichen unter Berücksichtigung der Gegebenheiten angemessen handhaben. Dies gilt auch für die Verhängung und Bemessung etwaiger Zwangs- oder Bußgelder. 

Bitte bleiben Sie bedacht, informiert, zuversichtlich und gesund. Alles Gute!

Ihr Prof. Dr. Dieter Kugelmann

Inhaltsverzeichnis

I. Gesundheitsnot kennt Datenschutzgebot

II. "Datenfunk" - Sonderfolge: Beschäftigtendatenschutz in Zeiten des Corona-Virus

III. Informationen zu Corona und Beschäftigtendatenschutz

IV. Datenschutzgerechtes Arbeiten im Homeoffice

V. Videogestützte Kommunikation

VI. Homeschooling datenschutzgerecht

VII. Tracking und Ortung der Infizierten zum Infektionsschutz der Allgemeinheit?

VIII. Unterrichtung ambulanter Gesundheitseinrichtungen über die Infektion einzelner Personen

IX. Datenübermittlungen vom Gesundheitsamt an öffentliche Stellen

X. Das Recht auf Informationszugang in Zeiten von Corona

Gesundheitsnot kennt Datenschutzgebot

Die Bekämpfung der Ausbreitung des Corona-Virus soll die Gesundheit der Menschen schützen. Muss gegen den Schutz von Leben und Gesundheit jeder andere Schutzzweck zurückstehen, auch der Datenschutz? Die Antwort im Rechtsstaat lautet: Nein. Die Aussage "Not kennt kein Gebot" ist freiheitsfeindlich und hat in der rechtsstaatlichen Demokratie keinen Platz. Weiterhin gilt der Primat des Rechts – auch des Datenschutzrechts. Deswegen sind folgende Punkte in der Abwägung zwischen Datenschutz und Gesundheitsschutz elementar:

Gesundheitsschutz geht dem Datenschutz nicht ohne weiteres vor

Durch Ausgangsbeschränkungen und Kontaktsperren steigert sich der Umfang digitaler Kommunikation erheblich, sei es im Homeoffice, bei der Durchführung von Video- oder Telefonkonferenzen oder bei der Nutzung von elektronischen Kommunikationsmitteln, um den dienstlichen und privaten Kontakt zu halten. Die Regelungen des Datenschutzes, insbesondere der Datenschutz-Grundverordnung gelten dabei weiterhin. Allerdings eröffnet auch das Datenschutzrecht Spielräume in der Anwendung, die von den Datenschutzaufsichtsbehörden umsichtig genutzt werden sollten.

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DS-GVO) zur Bekämpfung der Pandemie

Besonders hohe Anforderungen sind an die Verarbeitung von Gesundheitsdaten zu stellen (Art. 9 DS-GVO). Einschlägige Verantwortliche sind etwa Ärztinnen und Ärzte, Krankenhäuser oder Gesundheitsämter. Die Bekämpfung der Pandemie erfordert die schnelle und effektive Verarbeitung von großen Mengen an Daten. Rechtsgrundlagen sind die einschlägigen innerstaatlichen Gesetze, insbesondere das Infektionsschutzgesetz. Dessen Bestimmungen zur Datenverarbeitung sind an der Datenschutz-Grundverordnung zu messen. Als einschlägige Rechtsgrundlagen kommen insbesondere die Erlaubnistatbestände nach Art. 9 Abs. 2 lit. c DS-GVO (Schutz lebenswichtiger Interessen der betroffenen Person), Art. 9 Abs. 2 lit. i DS-GVO (öffentliches Interesse im Bereich der öffentlichen Gesundheit) oder Art. 9 Abs. 2 lit. g DS-GVO (erhebliches öffentliches Interesse) als Auffangregelung in Betracht.

Akzeptanz durch transparente Rechtsstaatlichkeit

Tiefgreifende Eingriffe in Grundrechte bedürfen einer guten und offen kommunizierten Begründung. Der Appell an scheinbare Evidenzen genügt nicht. Die Bereitschaft der Bevölkerung, soziale Kontakte zu minimieren, stieg und steigt mit der Nachvollziehbarkeit der Gründe für diese Minimierung. Transparenz hilft bei der Steigerung der Effektivität der Maßnahmen, gerade wenn es auf die Mitwirkung und Einsicht der Menschen besonders ankommt. Dabei können die gesetzlich verbürgten Rechte auf Informationsfreiheit und Transparenz eine unterstützende Rolle spielen. Je mehr der Bevölkerung die Argumente einleuchten, desto eher werden die Maßnahmen auch befolgt und können Wirkung entfalten.
Den gesamten Beitrag "Gesundheitsnot kennt Datenschutzgebot" von Prof. Dr. Dieter Kugelmann finden Sie hier.

"Datenfunk" - Sonderfolge: Beschäftigtendatenschutz in Zeiten des Corona-Virus

Der Podcast des LfDI „Datenfunk“ hat sich mit Fragestellungen des Beschäftigtendatenschutzes in Zeiten des Corona-Virus beschäftigt. Darf der Arbeitgeber bei seinen Beschäftigten ohne deren Einwilligung Fieber messen? Besteht eine Auskunftspflicht der Beschäftigten über Kontakt zu Infizierten oder Reisen in Risikogebieten?

Diese Fragen und mehr werden in der aktuellen Folge "Beschäftigtendatenschutz in Zeiten des Corona-Virus" des Podcasts behandelt.

Informationen zu Corona und Beschäftigtendatenschutz

Der Landesbeauftragte hat verschiedene datenschutzrechtliche Themen und Fragen im Zusammenhang mit dem Beschäftigtendatenschutz zu Zeiten der Corona-Pandemie zusammengestellt. Diese umfassen allgemeine Hinweise der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz/DSK) im Rahmen der Orientierungshilfe "Datenschutzrechtliche Informationen zur Verarbeitung von personenbezogenen Daten durch Arbeitgeber und Dienstherren im Zusammenhang mit der Corona-Pandemie" sowie Fragen zur Angabe der privaten Erreichbarkeit – Mitteilungsverpflichtung des Beschäftigten gegenüber Arbeitgebern/Dienstherrn in Zeiten der Coronakrise bei angeordneter Heimarbeit.

Datenschutzgerechtes Arbeiten im Homeoffice

Das Arbeiten von Zuhause aus, in Telearbeit oder im sog. Homeoffice ist im Moment auch eine Maßnahme, mit der soziale Kontakte vermieden werden sollen, sowohl die Kontakte in der Arbeitsstätte als auch solche auf dem Weg dorthin.

In diesem Zusammenhang werden Datenverarbeitungen beruflicher Art in das private Umfeld getragen. Dies stellt  aus datenschutzrechtlicher – insbesondere aus technisch–organisatorischer – Sicht gewisse Anforderungen. Diese betreffen den Arbeitsplatz im Homeoffice, IT-Geräte, Datenträger, Netzwerkzugang, Telefon-/Videotelefonsysteme sowie die Nutzung von Telefon-, E-Mail- und Messenger-Diensten.

Üblicherweise ist die Einrichtung eines Heim-Arbeitsplatzes mit Vorbereitungen verbunden, um am heimischen Arbeitsplatz Datenschutz in gleichem Maße wie im Büro zu gewährleisten. Im Zuge der Corona-Pandemie verändert sich derzeit jedoch Vieles im Alltagsleben. Homeoffice-Lösungen werden gegenwärtig häufig unter improvisierten Bedingungen realisiert. Der Landesbeauftragte hat daher einige Hinweise für den Umgang mit personenbezogenen Daten im Homeoffice zusammengestellt, die auch bei provisorischen Heimarbeitssituationen beherzigt werden sollten. 

Videogestützte Kommunikation

Der Landesbeauftragte hat zudem Hinweise zum Einsatz von videogestützter Kommunikationstechnik zu Zwecken des Schulunterrichts während der Corona-Krise zusammengestellt. Diese sind auch auf den außerschulischen Bereich grundsätzlich anwendbar.

Homeschooling datenschutzgerecht

Da die Schulen im Land zumindest bis zum 17. April 2020 geschlossen sind, fragen viele Schulen beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit nach, mit welchen datenschutzkonformen Instrumenten sowohl schulisches Miteinander als auch Lerninhalte transportiert werden können.

Hierzu hat das Pädagogische Landesinstitut eine Zusammenstellung veröffentlicht.

Über die kommunalen Medienzentren stehen weitere Informationsmöglichkeiten zur Verfügung.

Hinsichtlich der Nutzung außereuropäischer Softwareprodukte ist auf den Flyer zum schulischen Datenschutz zu verweisen. Es muss sichergestellt sein, dass die Vertraulichkeit gegenüber Dritten gewährleistet ist. Unabhängig von der technischen Ausgestaltung eines Dienstes im Einzelnen (z.B. durch Ende-zu-Ende-Verschlüsselung), kann dies möglicherweise auch durch die weitest gehende Vermeidung eines Personenbezuges hergestellt werden. So können für Chaträume etwa Pseudonyme vereinbart werden und für den Ersatz von Frontalunterricht reicht möglicherweise der Stream einer Präsentation mit Audiokommentar aus, ohne dass Schülerinnen und Schüler oder auch das Lehrpersonal zu sehen sein müssen. Die Bereitstellung von Lehr- und Lernmaterial ohne Personenbezug über öffentlich verfügbare Dienste (bspw. Homepage) begegnet keinen Bedenken.

Weiterhin sollte die Schule beachten:

- Zwischen Schule und Dienstleister ist ein Vertrag zur Auftragsverarbeitung abzuschließen (Mustertext).

- Die Eltern sollten vorab über die Datenverarbeitungsvorgänge (insb. im Verhältnis zu dem Anbieter) informiert werden (Muster).

- Sofern die Schule personenbezogene Daten von Eltern oder Schülern (z.B. private E-Mail-Adressen) verarbeiten möchte, ist dies nur auf der Basis einer Einwilligungserklärung der Eltern (bzw. ab 16 Jahren der Schülerinnen und Schüler) zulässig (Muster).

Tracking und Ortung der Infizierten zum Infektionsschutz der Allgemeinheit?

Die Corona-Pandemie ist beispiellos und es verwundert nicht, dass erstmals entsprechend unserer heutigen Möglichkeiten über eine digitale Bekämpfung nachgedacht wird. Hierbei rückt die zentrale Frage der Demokratie in den Vordergrund, inwieweit die Einschränkung von Freiheit unter der Zwecksetzung Sicherheit gehen kann.

Handy-Tracking im Kampf gegen Corona, was ist hierunter zu verstehen? Gemeint ist hiermit, dass Gesundheitsbehörden Verkehrsdaten von Telefonanbietern (d.h. Standortdaten, Telefonnummer, Gesprächs- oder SMS-Partner, Gesprächsdauer) erhalten, was beispielsweise die Erstellung von Bewegungsprofilen oder die Kontrolle der Einhaltung von Quarantänevorschriften ermöglichen soll.

Hier scheint eher der Weg über eine Handy-App gangbar, die auf der Grundlage einer freiwilligen Nutzung bei relevanten Kontakten die Betroffenen informiert. Derartige Lösungen werden gegenwärtig an verschiedenen Stellen und mit teils unterschiedlichen Ansätzen verfolgt.

Vieles hängt hier an der konkreten Ausgestaltung, aber eine solche App ist möglich und auch datenschutzkonform gestaltbar. Wichtig ist, dass dabei die Bedeutung unserer Freiheitsrechte nicht verloren geht. Für den LfDI sind dabei folgende Kriterien entscheidend: die Freiwilligkeit zur Entscheidung über die Nutzung, eine enge Zweckbindung, die Pseudonymisierung der Daten sowie eine Löschung, wenn eine Infektionsgefahr nicht mehr gegeben ist.

Es ist Kern der Sache, dass nicht vorschnell Freiheit aufgegeben wird, wenn es dem effektiven Gesundheitsschutz gar nicht dient. Es besteht kein Zweifel, dass die Bekämpfung der Pandemie Priorität genießt, aber bitte im rechtsstaatlichen Rahmen, sonst erodiert die staatliche Ordnung. Weitere Ausführungen zu der Thematik sowie Informationen über die Anwendungspraxis im Ausland und die Anwendungsperspektive im Inland finden Sie hier in dem Internetangebot des LfDI.

Unterrichtung ambulanter Gesundheitseinrichtigungen über die Infektion einzelner Personen

Wiederholt ist an den LfDI die Frage herangetragen worden, ob an der Gesundheitsversorgung beteiligte ambulante Stellen wie z.B. Ärzte, Psychotherapeuten, Apotheken oder Physiotherapeuten aus datenschutzrechtlicher Sicht zulässigerweise darüber informiert werden dürfen, dass einzelne Patienten bzw. Kunden infiziert sind. Konkret ging es beispielsweise um den Schutz von Boten, die im Auftrag von Apotheken Medikamente an einzelne Haushalte ausliefern und sich nicht sicher sein können, ob im Einzelfall eine Infizierung mit dem Corona-Virus vorliegt.

Datenschutzrechtlich ist in diesem Zusammenhang zu unterscheiden, durch wen und auf welchem Wege die an der Gesundheitsversorgung beteiligten ambulanten Stellen über die Infektion einzelner Personen unterrichtet werden. Maßgeblich sind zunächst die nach dem Infektionsschutzgesetz (IfSG) vorgesehenen Kommunikationswege. § 16 IfSG stellt hierbei die zentrale Norm dar. Danach ist die zuständige Behörde befugt, die zur Abwendung der dem Einzelnen oder der Allgemeinheit durch eine übertragbare Krankheit drohenden Gefahren notwendigen Maßnahmen zu treffen. Die bei diesen Maßnahmen erhobenen personenbezogenen Daten dürfen nur für Zwecke dieses Gesetzes verarbeitet werden. Das Infektionsschutzgesetz sieht in einzelnen Fällen konkrete Unterrichtungs- und Mitteilungspflichten der zuständigen Stellen vor. Regelmäßig dürfte sich allerdings daraus keine Befugnis der Gesundheitsbehörden ergeben, rein prophylaktisch einzelne ambulante Gesundheitseinrichtungen über die örtlich ansässigen akut infizierten Personen zu unterrichten.

Darüber hinaus dürfte es auch im Regelfall keine Befugnisnorm der behandelnden Ärzten oder Krankenhäusern geben, pauschal und ohne konkreten Anlass patientenbezogene Angaben über festgestellte Infektionen an andere Stellen im Gesundheitssystem weiterzugeben. Vielmehr muss das durchaus nachvollziehbare Bedürfnis zum maximalen Schutz der an der Gesundheitsversorgung beteiligten Stellen durch Verhaltensmaßregeln erreicht werden, die den infizierten Personen sowohl allgemein über die öffentlichen Gesundheitsbehörden als auch individuell im Erkrankungsfalle über ihre behandelnden Ärzte bereit gestellt werden. Möglicherweise sollten die Heilberufskammern ihre Mitglieder insoweit noch einmal ausdrücklich sensibilisieren.

Datenübermittlungen vom Gesundheitsamt an öffentliche Stellen

An den Landesbeauftragten sind anlässlich der aktuellen Lage zahlreiche öffentliche Stellen mit der Frage herangetreten, unter welchen Umständen sie personenbezogene Daten von Corona-Infizierten vom zuständigen Gesundheitsamt erheben dürfen.

Zum Anliegen verschiedener Ortsbürgermeister, Name und Anschrift von in Quarantäne befindlichen Personen in der jeweiligen Ortsgemeinde kennen zu müssen, vertritt der LfDI den Standpunkt, dass die Kenntnis dieser Daten im Hinblick auf die einem Ortsbürgermeister übertragenen Aufgaben nicht erforderlich erscheint. Maßnahmen des Infektionsschutzes, wie die Schließung von Kinderspielplätzen, werden grds. in der Landesverordnung zur Bekämpfung des Corona-Virus geregelt. Auch bei der bloßen Benennung des Wohnortes ist es alles andere als ausgeschlossen, dass über Zusatzwissen eine Person in häuslicher Quarantäne bestimmbar ist.

Auch die Polizei des Landes Rheinland-Pfalz trat mit dem Anliegen an den LfDI heran, dass die Beamtinnen und Beamten im Streifendienst zum Eigenschutz im Falle eines Einsatzes Kenntnis über die Identität einer in Quarantäne befindlichen Person haben müssten. Dazu vertritt der LfDI, dass für die Beamtinnen und Beamten im Außendienst die Kenntnis der Straße oder eines Bezirks ausreichend sein müsste und für den Ernstfall weitere Informationen bei der Einsatzzentrale erfragt werden können.

Auch das Rettungswesen hat angefragt, ob die Möglichkeit bestünde, dass Besatzungen von Rettungswagen im Falle eines entsprechenden Einsatzes Kenntnis über die Identität einer in Quarantäne befindlichen Person bekommen, um Maßnahmen zum Eigenschutz treffen zu können. Auch hier könnte man eine gestufte Vorgehensweise wie in Bezug auf die Polizeibehörden vornehmen. § 29 S. 4 RettDG i.V.m. § 39 Abs. 3 LBKG könnte die Übermittlungsbefugnis von Gesundheitsamt an Rettungsleitstellen sein, § 29 S. 4 RettDG i.V.m § 39 Abs. 2 LBKG die Erhebungsbefugnis darstellen.

Das Recht auf Informationszugang in Zeiten von Corona

Die aktuelle Lage konfrontiert Bürgerinnen und Bürger sowie die Verwaltung gleichermaßen mit großen Herausforderungen. So müssen unter anderem Arbeitsabläufe umstrukturiert werden, um das Risiko einer Ausbreitung des Virus zu minimieren. Ungeachtet dessen haben Bürgerinnen und Bürger weiterhin einen voraussetzungslosen Anspruch auf Zugang zu den bei der Verwaltung vorhandenen amtlichen Informationen und Umweltinformationen nach Maßgabe des Landestransparenzgesetzes. Transparenz und Offenheit der Verwaltung sind auch in der momentanen Zeit notwendig zur Kontrolle und Teilhabe durch die Bürgerinnen und Bürger.

Auf Informationszugang gerichtete Anträge sind daher von den angefragten Stellen weiterhin innerhalb der gesetzlichen Fristvorgaben zu bearbeiten; der Landesbeauftragte wird auch weiterhin im Fall seiner Anrufung vermittelnd und beratend tätig. Wir bitten jedoch sowohl Bürgerinnen und Bürger als auch die Verwaltung aufgrund der Besonderheiten der momentanen Situation um Nachsicht, sofern beispielsweise aufgrund eines kapazitären Engpasses die Einhaltung einer gesetzlichen Frist durch eine transparenzpflichtige Stelle oder die Ausführung einer Mitwirkungshandlung durch eine antragstellende Person innerhalb einer von der Verwaltung gesetzten Frist versäumt wird.