Stellungnahme zur Verantwortlichkeit bei der Nutzung von Kontaktnachverfolgungssystemen wie der Luca App vom 21. Mai 2021

1. Wenn und soweit das Landesrecht keine besonderen Regelungen zur datenschutzrechtlichen Verantwortung trifft, erachtet die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder die Gestaltung von Kontaktnachverfolgungsdiensten wie Luca der culture4life GmbH im Verhältnis zu den Veranstaltern sowohl als Auftragsverarbeitung als auch als gemeinsame Verantwortlichkeit datenschutzrechtlich für vertretbar.

Besonders sorgfältiger vertraglicher und praktischer Ausgestaltung bedürfen die Mechanismen

1. zur effektiven Durchsetzung von Betroffenenrechten z.B. durch Festlegung konkreter Ansprechpartner
2. zur Haftung der Beteiligten und
3. zur Erfüllung der Meldepflicht nach Art. 33 DS-GVO und Durchführung einer Datenschutzfolgenabschätzung.

2. Gesondert zu betrachten bleiben Datenverarbeitungen der Gesundheitsverwaltung, denen gesetzliche Regelungen zu Grunde liegen, die insoweit eine gesonderte eigene Verantwortlichkeit begründen.