Beschluss der DSK vom 13. April 2022: Zur Verarbeitung personenbezogener Daten im Zusammenhang mit der einrichtungsbezogenen Impfpflicht

Für gesetzlich bestimmte Einrichtungen und Unternehmen aus dem Gesundheitsbereich gilt seit dem 15. März 2022 eine einrichtungsbezogene Impfpflicht, § 20a Absatz 1 IfSG. Seit diesem Zeitpunkt dürfen in diesen nur Personen tätig sein, die gegen das Coronavirus SARS-CoV-2 geimpft oder von diesem genesen sind oder bei denen einen medizinische Kontraindikation hinsichtlich einer Impfung gegen das Coronavirus SARS-CoV-2 vorliegt.

Für die genannten Personen besteht eine Nachweispflicht über ihre Impfung, Genesung oder das Vorliegen einer medizinischen Kontraindikation, § 20a IfSG.

• Für wen genau gilt die einrichtungsbezogene Impfpflicht?

Die einrichtungsbezogene Impfpflicht gilt für alle Personen, die in den in § 20a IfSG benannten Einrichtungen/Unternehmen tätig sind. Dies sind nicht allein die unmittelbaren Beschäftigten, sondern auch weitere vor Ort tätige Personen, wie Handwerker, Leiharbeitnehmerinnen und Leiharbeitnehmer, Praktikantinnen und Praktikanten usw.

Der Wortlaut der gesetzlichen Regelung lässt offen, ob diese auch auf Arbeitskräfte Anwendung findet, die sich nur kurze Zeit im Gebäude aufhalten. Bitte wenden Sie sich in Zweifelsfällen an die für die Anwendung des Infektionsschutzgesetzes für Sie zuständige jeweilige öffentliche Stelle.

• Was gilt als Nachweis über eine Impfung, Genesung oder medizinische Kontraindikation?

Was im Einzelnen als Nachweis für die Impfung und Genesung gilt, ist wiederum in § 22a Absatz 1 und Absatz 2 IfSG geregelt. Der vorgelegte Nachweis muss den genannten Regelungen entsprechen, § 20a Absatz 2 Nummer 1 und 2 IfSG.

Als Nachweis über eine medizinische Kontraindikation gilt ein ärztliches Zeugnis darüber, dass die betroffene Person auf Grund einer medizinischen Kontraindikation nicht gegen das Coronavirus SARS-CoV-2 geimpft werden kann, § 20a Absatz 2 Nummer 4 IfSG. Nach dem Wortlaut des Gesetzes ist es ausreichend, dass in dem ärztlichen Zeugnis das Vorliegen einer medizinischen Kontraindikation an sich bestätigt wird. Konkrete Gesundheitsdaten, wie Diagnosen, dürfen seitens der Leitung der unter § 20a IfSG fallenden Einrichtung/des Unternehmens nicht gefordert werden.

Sollte es sich bei den medizinischen Kontraindikationen lediglich um vorübergehende handeln, wird in dem Zeugnis voraussichtlich auch ein Enddatum für das Vorliegen der medizinischen Kontraindikation benannt sein.

Alternativ können schwangere Personen, die in den in § 20a IfSG benannten Einrichtungen/Unternehmen tätig sind, ein ärztliches Zeugnis darüber vorlegen, dass sie sich im ersten Schwangerschaftsdrittel befinden, § 20a Absatz 2 Nummer 3 IfSG.

• Gegenüber wem ist der Nachweis über eine Impfung, Genesung oder medizinischen Kontraindikation zu erbringen?

Der Nachweis ist gegenüber der Leitung der Einrichtung/des Unternehmens zu erbringen, § 20a Absatz 2 IfSG. Zum Begriff der „Leitung“ siehe auch § 2 Nummer 15a, b IfSG.

Auch Personen, die nicht unmittelbar in einem Arbeitsverhältnis zu den unter § 20a IfSG fallende Einrichtungen/Unternehmen stehen, in diesen aber, zum Beispiel als Handwerker, tätig sind, müssen den Nachweis nur gegenüber den genannten Leitungen erbringen.

Delegationsmöglichkeiten werden im Folgenden behandelt.

• Können die Leitungen der Einrichtungen/Unternehmen die Pflicht zur Entgegennahme des Nachweises auf andere Personen übertragen?

In der Praxis bestimmen die Leitungen der jeweiligen Einrichtungen/Unternehmen oftmals intern Beschäftigte, zum Beispiel aus der Personalabteilung, denen der Nachweis vorzulegen ist. Dies ist grundsätzlich datenschutzrechtlich möglich (siehe auch § 2 Nummer 15a Buchstabe a und § 2 Nummer 15b Buchstabe a IfSG; Deutscher Bundestag, Drucksache 20/250, Seite 60). An dieser Stelle muss allerdings insbesondere darauf geachtet werden, dass die Nachweise tatsächlich nur von den hierfür bestimmten Beschäftigten eingesehen werden und diese auf ihre Verschwiegenheitspflicht hingewiesen werden.

Darüber hinaus kann die Leitung der in § 20a IfSG genannten Einrichtungen/Unternehmen die Entgegennahme des Nachweises alternativ an geeignete Dritte, wie zum Beispiel externe Personalverwaltungen, delegieren. Zu diesem Zweck müssten sie mit diesen einen Auftragsverarbeitungsvertrag schließen beziehungsweise einen bereits mit diesen geschlossenen Auftragsverarbeitungsvertrag gegebenenfalls aktualisieren, Artikel 28 DS-GVO.

• Datenschutzkonformer Umgang mit dem Nachweis

Die genannten Personen müssen den Nachweis nur vorlegen. Das bedeutet, in den Nachweis darf zunächst nur Einsicht genommen werden. Dieser Nachweis darf daraufhin geprüft werden, ob er den oben genannten gesetzlichen Bestimmungen entspricht.

Bei allen in den Einrichtungen/Unternehmen tätigen Personen darf nur jeweils notiert werden, dass ein Nachweis entsprechend § 20a IfSG vorgelegt worden ist und gegebenenfalls das Ablauf-/Enddatum dieses Nachweises, zum Beispiel bei den Genesenennachweisen sowie digitalen Impfnachweisen oder auch den Nachweisen über eine temporäre Kontraindikation. Darüber hinaus sieht das Gesetz in § 22a Absatz 1 IfSG bei bestimmten Impfnachweisen als Ablaufdatum den 30. September 2022 vor, zum Beispiel bei Personen bei denen nur zwei Einzelimpfungen nachweislich vorliegen. Auch dieses Ablaufdatum darf notiert werden.

Denn nach Ablauf des jeweiligen Nachweises, muss ein dann gültiger Nachweis vorgelegt werden. Sofern dies nicht binnen Monatsfrist erfolgt, haben die Leitungen der in § 20a IfSG  genannten Einrichtungen/Unternehmen dies an das jeweils für sie zuständige Gesundheitsamt zu melden und die personenbezogenen Daten der betroffenen Person an dieses zu übermitteln, § 20a Absatz 4 IfSG. Der vorgelegte Nachweis darf nicht kopiert oder eingescannt und aufbewahrt werden.

Bei Personen, die keine unmittelbaren Beschäftigten der genannten Einrichtungen/Unternehmen sind, dürfen darüber hinaus natürlich auch der Vor- und Zuname und deren Kontaktdaten erhoben werden.

Mangels Erforderlichkeit dürfen weitere Daten wie zum Beispiel Impfmittel, das Datum der einzelnen Impfung usw. nicht notiert werden.

• Wie oft muss der Nachweis vorgelegt werden?

Personen, die bereits in den genannten Einrichtungen tätig sind, mussten den Nachweis einmalig bis zum 15. März 2022 vorlegen. Hat der Nachweis ein Ablauf-/Enddatum, siehe oben, muss nach dessen Ablauf ein aktueller Nachweis ebenso einmalig vorgelegt werden und zwar innerhalb eines Monats nach Ablauf der Gültigkeit des bisherigen Nachweises, § 20a Absatz 4 Satz 1 IfSG. Die Leitung der unter § 20a IfSG fallenden Einrichtungen und Unternehmen dürfen die betroffenen Personen vor Ablauf der eben genannten Monatsfrist auffordern, den jeweiligen Nachweis vorzulegen. Die betroffenen Personen müssen aber vor Fristende der Aufforderung nicht nachkommen.

Personen, die erst nach dem 15. März 2022 ihre Tätigkeit aufnehmen, haben den Leitungen der genannten Einrichtungen/Unternehmen oder den von diesen bestimmten Personen vor Aufnahme ihrer Tätigkeit den Nachweis vorzulegen.

• Was passiert wenn ein Nachweis nicht fristgerecht vorgelegt wird oder aber Zweifel an der Gültigkeit eines Nachweises bestehen?

Personen, die bereits in den Einrichtungen/Unternehmen tätig sind:

Die Leitungen der genannten Einrichtungen/Unternehmen oder von diesen hierfür bestimmte Personen müssen unverzüglich das für die Einrichtung/das Unternehmen zuständige Gesundheitsamt informieren und dürfen zu diesem Zweck personenbezogene Daten der Person, die keinen Nachweis vorgelegt hat oder aber bei der Zweifel an der Echtheit oder inhaltlichen Richtigkeit ihres Nachweises bestehen, an dieses übermitteln, § 20a Absatz 2 Satz 2 IfSG.

In diesem Zusammenhang dürfen auf der Grundlage des § 20a IfSG neben dem Übermittlungsanlass (Nichtvorlage/Echtheits- oder Richtigkeitszweifel) personenbezogene Daten höchstens im Umfang des § 2 Nummer 16 IfSG (insbesondere Vor- und Zuname, Kontaktdaten) an das Gesundheitsamt übermittelt werden. Der  Grundsatz der „Datenminimierung“ (Artikel 5 Absatz 1 Buchstabe c DS-GVO) ist zu beachten.

Darüber hinaus besteht auf der Basis einer Einwilligung die Möglichkeit, Informationen über bereits vereinbarte Impftermine durch die Einrichtungen/Unternehmen zu erheben und an das zuständige Gesundheitsamt weiterzuleiten, sofern sich dies im weiteren Verfahren zugunsten der betroffenen Personen auswirken kann. Die weiteren Voraussetzungen für die Rechtmäßigkeit der Verarbeitung von personenbezogenen Daten aufgrund einer Einwilligung sind stets zu beachten.

Auf Anforderung des zuständigen Gesundheitsamtes haben diese Personen den jeweiligen Nachweis diesem vorzulegen, § 20a Absatz 5 Satz 1 IfSG. Bei Zweifeln an der Echtheit oder inhaltlichen Richtigkeit eines Nachweises  kann das zuständige Gesundheitsamt eine Untersuchung der betroffenen Person anordnen, ob eine medizinische Kontraindikation betreffend die Impfung gegen das Coronavirus SARS-CoV-2 vorliegt, § 20a Absatz 5 Satz 2 IfSG. Legt die betreffende Person dem Gesundheitsamt ihren Nachweis nicht vor oder leistet gegebenenfalls einer Anordnung einer ärztlichen Untersuchung nicht Folge, kann das Gesundheitsamt der betreffenden Person das Betreten der Einrichtung/des Unternehmens oder das Tätigwerden in dieser/diesem untersagen, § 20a Absatz 5 Satz 3 IfSG.

Personen, die in den Einrichtungen/Unternehmen nach dem 15. März 2022 tätig sein sollen:

Legen Personen, die nach dem 15. März 2022 in einer Einrichtung/einem Unternehmen tätig werden sollen, vor Beginn ihrer Tätigkeit keinen Nachweis vor, dürfen sie in der Einrichtung/dem Unternehmen nicht tätig werden, § 20a Absatz 3 Satz 4 IfSG.

Bestehen Zweifel an der Gültigkeit des Nachweises ist seitens der Leitungen der Einrichtungen/Unternehmen wie oben dargestellt zu verfahren.

• Meldepflicht der Pflegeeinrichtungen über den prozentualen Anteil geimpfter Personen (Impfquoten) an das Robert-Koch-Institut (RKI) 20a Absatz 7 Satz 1 IfSG enthält eine weitere gesetzliche Meldepflicht: Es sind monatlich Impfquoten an das RKI zu melden.

Für wen gilt diese Meldepflicht?

Nicht alle in § 20a IfSG benannten Einrichtungen/Unternehmen sind zur Meldung von Impfquoten an das RKI verpflichtet. Vielmehr gilt diese Meldepflicht nur für die voll- oder teilstationäre Einrichtungen zur Betreuung und Unterbringung älterer, behinderter oder pflegebedürftiger Menschen oder vergleichbare Einrichtungen, die zugelassene Pflegeeinrichtungen im Sinne des § 72 des Elften Buches Sozialgesetzbuchs sind.

Ausnahme von der Meldepflicht

Bevor die Leitungen der genannten Einrichtungen Daten für die Erfüllung der Meldepflicht nach § 20a Absatz 7 Satz 1 IfSG verarbeiten, sollte geprüft werden, ob für die Einrichtung eine Ausnahme von der Meldepflicht nach § 20a Absatz 7 Satz 1 IfSG vorliegt. Denn wenn die nachfolgenden Voraussetzungen erfüllt sind, entfällt die Meldepflicht, § 20a Absatz 7 Satz 5 IfSG:

• Es gibt landesrechtliche Meldeverfahren, die bereits vor/am 19. März 2022 bestanden und
• auf Bundesrecht beruhen und
• die zu den durch das RKI zu erhebenden Daten über die Impfquoten anschlussfähig sind und
• die Bundesländer nach Kreisen und kreisfreien Städten aufgeschlüsselte Daten direkt an das RKI übermitteln.

Zur Feststellung, ob Sie von der Meldepflicht nach § 20a Absatz 7 Satz 1 IfSG befreit sind, wenden Sie sich in Zweifelsfällen an die für die Anwendung des Infektionsschutzgesetz für Sie zuständige jeweilige öffentliche Stelle.

Welche Daten dürfen zur Erfüllung der Meldepflicht wie verarbeitet werden?

Wenn keine Ausnahme von der Meldepflicht vorliegt, müssen die in § 20a Absatz 7 Satz 1 IfSG benannten Einrichtungen an das RKI folgende Impfquoten übermitteln:

Anteil der Personen, die gegen das Coronavirus SARS-CoV-2 geimpft sind, jeweils bezogen auf die Personen,

• die in der Einrichtung beschäftigt sind,
• behandelt, betreut oder gepflegt werden oder
• untergebracht sind.

In § 20a Absatz 7 Satz 1 IfSG ist ausdrücklich geregelt, dass an das RKI Daten nur in anonymisierter Form übermittelt werden dürfen.

Um die Meldepflicht gegenüber dem RKI zu erfüllen, dürfen die in § 20a Absatz 7 Satz 1 IfSG benannten Einrichtungen den jeweiligen Impfstatus der

• Beschäftigten oder,
• Behandelten, Betreuten, Gepflegten oder
• Untergebrachten

verarbeiten.

Diesbezüglich dürfen die in § 20a Absatz 7 Satz 1 IfSG benannten Einrichtungen zur Erfüllung ihrer Meldepflicht den jeweiligen Impfstatus ihrer Beschäftigten, Behandelten, Betreuten, Gepflegten oder Untergebrachten bei diesen abfragen und für den Zweck „Erfüllung der Meldepflicht gegenüber dem RKI“ speichern, § 20a Absatz 7 Satz 2 IfSG.

Beurteilung der Gefährdungslage anhand von Impfdaten

Besteht eine Meldepflicht und werden für deren Erfüllung bereits Impfdaten nach § 20a Absatz 7 Satz 2 verarbeitet, dürfen diese – soweit erforderlich – durch die Leitungen der in § 20a Absatz 7 Satz 1 IfSG benannten Einrichtungen zur Beurteilung der Gefährdungslage in der Einrichtung im Hinblick auf die Coronavirus-Krankheit-2019 (COVID-19) verarbeitet werden, § 20a Absatz 7 Satz 3 IfSG.

Technische und Organisatorische Maßnahmen

Die Einrichtungen gemäß § 20a Absatz 7 Satz 1 IfSG müssen bei der Verarbeitung der Impfdaten für die Erfüllung ihrer Meldepflicht sowie für ihre Beurteilung der Gefährdungslage in der Einrichtung im Hinblick auf COVID-19 angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Personen treffen, § 20a Absatz 7 Satz 4 IfSG in Verbindung mit § 22 Absatz 2 BDSG.

• Wann sind die Daten spätestens zu löschen?

Grundsätzlich haben die Leiterinnen und Leiter der genannten Einrichtungen/Unternehmen beziehungsweise deren Auftragsverarbeiter alle Daten zu löschen, wenn der Zweck für die Verarbeitung der personenbezogenen Daten entfällt, Artikel 17 Absatz 1 Buchstabe a DS-GVO.

Unabhängig von einer Löschpflicht nach Artikel 17 Absatz 1 Buchstabe a DS-GVO sieht § 20a Absatz 7 Satz 7 IfSG für die im Zusammenhang mit der Meldepflicht und Beurteilung der Gefährdungslage anhand von Impfquoten verarbeiteten Daten vor, dass diese spätestens am Ende des sechsten Monats nach ihrer Erhebung gelöscht werden müssen. Jedenfalls muss eine Löschung aller auf Grundlage des § 20a IfSG verarbeiteten Daten spätestens mit Ablauf der Rechtsgrundlage am 31. Dezember 2022 erfolgen.