Das Wichtigste in Kürze
- Unternehmen dürfen von Mitarbeitenden und Bewerbern keinen Nachweis über eine Corona-Schutzimpfung verlangen.
- Dies gilt auch für Unternehmen, die prioritär Impfberechtigte beschäftigten – zum Beispiel Pflegekräfte oder medizinisches Personal.
- Der staatliche Schutzauftrag legitimiert das Vorgehen bei der nationalen Impfkampagne sowie die Art und den Umfang der Verarbeitung personenbezogener Daten.
- Datenschutzrechtlich ist die Impfkampagne gut organisiert. Die Vorgehensweise erfüllt die Anforderungen und Vorgaben der DS-GVO und wird transparent kommuniziert.
In diesem Beitrag
- Menschen und Wirtschaft in Deutschland leiden massiv unter der Pandemie. Wird es bald eine Corona-Impfpflicht geben?
- Können Arbeitgeber ihre Mitarbeitenden zum Impfen auffordern?
- Dürfen Arbeitgeber oder Dritte den Impfstatuts einer Person abfragen?
- Warum sind für das Impfen allein die Impfzentren zuständig?
- Wer steckt eigentlich hinter den Impfzentren, wer organisiert und verantwortet sie?
- Wie läuft die Online-Anmeldung zur Corona-Schutzimpfung ab?
- Müssen Impfinteressenten alle geforderten Daten preisgeben?
- Was passiert mit den personenbezogenen Daten und werden sie gespeichert?
- Werden die Daten für die Impf-Surveillance auch ans Robert-Koch-Institut übermittelt?
- Auf welcher Rechtsgrundlage werden die Daten erhoben? Gibt es datenschutzrechtliche Bedenken?
- Fazit: Die Corona-Schutzimpfung ist Privatsache und datenschutzrechtlich gut organisiert
Menschen und Wirtschaft in Deutschland leiden massiv unter der Pandemie. Wird es bald eine Corona-Impfpflicht geben?
Corona-Impfungen sind in Deutschland freiwillig. Der Gesundheitsminister hat öffentlich mehrfach versichert, dass es eine Impfpflicht auch künftig nicht geben wird. Aktuell ließe sich eine Pflicht auch kaum begründen, da zum Beispiel noch völlig unklar ist, ob bereits Geimpfte weiterhin ansteckend sein können und das Virus verbreiten oder nicht. Sollten medizinische Studien zu der Erkenntnis gelangen, dass die Impfung eine Weitergabe des Virus zuverlässig verhindert, wäre eine Impfpflicht aber durchaus denkbar – ähnlich wie bei der Masernerkrankung.
Können Arbeitgeber ihre Mitarbeitenden zum Impfen auffordern?
Dies ist unabhängig vom ausgeübten Beruf unzulässig. Solange es keine Impfpflicht gibt, kann und darf der Arbeitgeber eine Corona-Schutzimpfung nicht zur Beschäftigungsvoraussetzung machen. Daran ändert selbst die Tatsache nichts, dass die Corona-Impfkampagne bestimmten Berufsgruppen – etwa in der Pflege oder der medizinischen Versorgung – eine Impfpriorität einräumt. Ein prioritärer Impfanspruch begründet keine Pflicht. Das Impfen ist freiwillig.
Dürfen Arbeitgeber oder Dritte den Impfstatuts einer Person abfragen?
Nein, solange es keine Impflicht gibt, ist auch dies unzulässig. Ohnehin dürfen Arbeitgeber von ihren Angestellten und Bewerbern ausschließlich Daten erheben, die für das Zustandekommen und die Durchführung des Beschäftigungsverhältnisses erforderlich sind. Hier gilt das Prinzip der Datensparsamkeit und Zweckbindung gemäß Art. 5 DS-GVO.
Noch höher sind die Hürden im Hinblick auf sensible Gesundheitsdaten. Hier dürfen laut Art. 9 Abs. 2 lit. i DS-GVO allenfalls einzelne Daten erhoben und verarbeitet werden – und dies auch nur in besonderen Fällen, etwa wenn „die Verarbeitung [...] aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren [...] erforderlich ist.“ Dabei ist jedoch stets die Verhältnismäßigkeit zu prüfen. Bei Mitarbeitern, die im Homeoffice arbeiten können, dürfte sie kaum gegeben sein. Eine Verhältnismäßigkeit erscheint zudem schwer vorstellbar, solange unklar ist, ob die Impfung eine Ansteckung sicher verhindert.
Warum sind für das Impfen allein die Impfzentren zuständig?
Vom Ausbruch der Corona-Pandemie bis zu den ersten Impfungen hat es keine zwölf Monate gedauert. Möglich war dies nur dank neuartiger Vakzine, sogenannter Messenger-RNA-Impfstoffe. Diese wurden nie zuvor eingesetzt. Es ist daher mit Unsicherheiten verbunden, sie für eine nationale Impfkampagne zu nutzen. Der Bund hat sich nach Abwägung der Vor- und Nachteile dafür entschieden und kommt so seinem staatlichen Schutzauftrag nach. Dieser leitet sich aus dem Grundgesetz ab. Dort heißt es in Artikel 2 Absatz 2 Satz 1: „Jeder hat das Recht auf Leben und körperliche Unversehrtheit.“
Impfen kann Leben retten und vor schweren Erkrankungen schützen. Auf der anderen Seite darf der Staat auch die Risiken nicht unbeachtet lassen, will er seinen Schutzauftrag erfüllen. Deshalb hat die Bundesregierung in der Coronavirus-Impfverordnung festgelegt, dass die Impfungen in Deutschland in staatlich organisierten Impfzentren oder von angegliederten mobilen Impfteams durchgeführt werden. Die Impfzentren melden zum Zwecke der Nachverfolgung täglich alle Impf-Vorgänge unter Angabe fest vorgegebener Informationen an ein zentrales Impf-Monitoring. Dies ermöglicht ein tagesaktuelles Impftracing, sodass der Staat im Fall der Fälle schnell reagieren kann.
Wer steckt eigentlich hinter den Impfzentren, wer organisiert und verantwortet sie?
Verantwortlich für die Einrichtung und Organisation der Impfzentren sowie der mobilen Impfteams sind die zuständigen Ministerien der Länder. In Bayern ist das Staatsministerium für Gesundheit und Pflege verantwortlich. Der Bund gibt die Rahmenbedingungen vor, die Umsetzung ist Ländersache und daher je nach Bundesland unterschiedlich organisiert. Dieser Beitrag schildert die Situation in Bayern. Zentrale Organisationsplattform im Freistaat ist das BayIMCO, das Bayerische Impfmanagement gegen Corona. Dabei handelt es sich um eine IT-Plattform, über die sowohl die Anmeldung zur Impfung als auch der Impfablauf organisiert werden.
Wie läuft die Online-Anmeldung zur Corona-Schutzimpfung ab?
Die Anmeldung ist als mehrstufiges Verfahren organisiert. Um einen Impftermin zu erhalten, müssen sich Interessenten aktiv registrieren unter www.impfzentren.bayern. Im Zuge der Anmeldung werden personenbezogene Daten abgefragt wie Name, Geburtsdatum, Geschlecht, Wohnort, E-Mail-Adresse, Telefonnummer und gegebenenfalls Angaben zur beruflichen Tätigkeit, wenn jemand beispielsweise in einem Pflegeheim oder einer Schule arbeitet. Schematisch werden auch sensible Gesundheitsdaten erfasst. Das System fragt ab, ob bestimmte Vorerkrankungen oder eine Schwangerschaft vorliegen.
Mithilfe dieser Angaben ermittelt die Plattform automatisch einen Kennwert. Je höher der Kennwert, desto höher die Impfpriorität. Priorisiert werden zunächst ältere Menschen, Pflegeheimbewohner, Menschen in Pflegeberufen und entsprechend Vorerkrankte. Die Impfzentren organisieren die Reihenfolge der Terminvergabe mithilfe des Kennwerts und verschicken die Einladungen per E-Mail.
Wer einen Impftermin bekommt, muss diesen in einem weiteren Schritt online bestätigen. Dabei fragt das System weitere Details zum aktuellen Gesundheitszustand ab. Diese werden allerdings nicht gespeichert, sondern zusammen mit den anderen persönlichen Daten in einen QR-Code umgewandelt. Der QR-Code ist Bestandteil einer automatisch generierten PDF-Datei. Dabei handelt es sich um den sogenannten Impfbogen, der ausgedruckt und zum Impftermin mitgebracht werden muss.
Müssen Impfinteressenten alle geforderten Daten preisgeben?
Ja, wer geimpft werden möchte, muss die abgefragten personenbezogenen Daten liefern. Ansonsten wird kein Impftermin vergeben. Dies gilt auch für Menschen, die beispielsweise aufgrund ihres Alters zur priorisierten Zielgruppe gehören und zweifellos Anspruch auf die Impfung haben. Eine Aufforderung zur Impfung erfolgt übrigens nicht, auch Risikogruppen werden nicht automatisch kontaktiert. Voraussetzung ist die Anmeldung.
Was passiert mit den personenbezogenen Daten und werden sie gespeichert?
Die sensiblen Gesundheitsdaten werden ebenso wie die Angaben zum Beruf nur genutzt, um den Kennwert für die Priorisierung zu ermitteln und benötigte Informationen per QR-Code an die Impfzentren zu übermitteln. Alle weiteren personenbezogenen Daten speichert BayIMCO nur bis zum Abschluss des Impfverfahrens.
Nach der zweiten Impfung überträgt BayIMCO die Daten in eine zentrale Datenbank, das „Bayerische Impf-Monitoring“. Hier werden die Daten für die Nachverfolgung, beispielsweise in Haftungsfällen, und zum Zwecke medizinischer Analysen (Impf-Surveillance) verschlüsselt gespeichert und für die Dauer von zehn Jahren oder länger aufbewahrt.
Werden die Daten für die Impf-Surveillance auch ans Robert-Koch-Institut übermittelt?
Ja, dies geschieht täglich in pseudonymisierter Form. Rechtsgrundlage dafür sind das Infektionsschutzgesetz (§13 Absatz 5 Satz 1) und die Coronavirus-Impfverordnung (§ 7 Impf-Surveillance). Demnach übermitteln die Impfzentren an das Robert-Koch-Institut folgende Daten: Patienten-Pseudonym, Geburtsmonat und -jahr, Geschlecht, Postleitzahl und Landkreis der zu impfenden Person, Kennnummer und Landkreis des Impfzentrums, Datum der Schutzimpfung, Beginn oder Abschluss der Impfserie (Erst- oder Folgeimpfung), Impfstoff-Produkt, Chargennummer und die Grundlage der Priorisierung.
Die erhobenen Daten dürfen vom Robert-Koch-Institut (RKI) nur verarbeitet werden, um die Anzahl der Impfungen und die Impfquote sowie etwaige Impfeffekte (Impf-Surveillance) festzustellen. Das RKI stellt die Daten auch dem Paul-Ehrlich-Institut zur Verfügung, damit dieses die Sicherheit der Impfstoffe überwachen kann.
Auf welcher Rechtsgrundlage werden die Daten erhoben? Gibt es datenschutzrechtliche Bedenken?
Legitimiert ist Abfrage personenbezogener Daten im Rahmen der nationalen COVID19-Impfkampagne primär durch den im Grundgesetz verankerten Schutzauftrag des Staates. Über die angewendeten Rechtsgrundlagen informiert das Bayerische Staatsministerium für Gesundheit und Pflege in seiner Datenschutzinformation zur Digitalen Impfverwaltung Bayern ausführlich und transparent. Die Datenverarbeitung geschieht erklärtermaßen auf Grundlage der DS-GVO, der Coronavirus-Impfverordnung, des Bundesdatenschutzgesetzes sowie des Bayerischen Datenschutzgesetzes.
Aus Datenschutzsicht sind damit alle wesentlichen Anforderungen zum Schutz und für die Sicherheit personenbezogener Daten erfüllt. Verbesserungspotenzial gibt es allenfalls im Hinblick auf die Darstellung der getroffenen technischen und organisatorischen Maßnahmen (TOM). Hier wäre mehr Transparenz durch umfassendere Informationen wünschenswert. Auch kann wohl zurecht hinterfragt werden, ob die beschriebene Pseudonymisierung der Personendatensätze den gesetzlichen Anforderungen tatsächlich genügt. Alles in allem gibt es aber keine größeren datenschutzrechtlichen Bedenken.
Fazit: Die Corona-Schutzimpfung ist freiwillig und datenschutzrechtlich gut organisiert
Die Corona-Schutzimpfung ist ein Angebot des Staates. Die Teilnahme ist freiwillig, eine Impfpflicht gibt es nicht. Arbeitgeber dürfen von Mitarbeitenden daher weder die Impfteilnahme noch einen Nachweis über den aktuellen Impfstatus verlangen. Der Schutz und die Sicherheit personenbezogener Daten sind formal gewährleistet, der Umfang und die Zwecke der Datenverarbeitung werden transparent dargestellt. Verstöße im Einzelfall, etwa durch menschliches Fehlverhalten, können jedoch nicht ausgeschlossen werden. Beschwerden nimmt das Bayerische Landesamt für Datenschutzaufsicht online entgegen.
