Neues Infektionsschutzgesetz plant Weitergabe von personenbezogenen Daten

Am Abend des 14. Oktober 2020 legte das Bundesministerium für Gesundheit (BMG) dem Bundesdatenschutzbeauftragten Professor Ulrich Kelber einen ersten Entwurf der Formulierungshilfe für ein „Drittes Pandemieschutzgesetz“ mit einer Frist zur Stellungnahme bis zum 16. Oktober 2020 vor. Eine veränderte und teilweise ergänzte Version wurde ihm am 23. Oktober 2020 morgens mit Frist zur Stellungnahme bis 18 Uhr desselben Tages, übersandt.

„Diese extrem kurzen Fristen erschweren eine sachgerechte Bearbeitung erheblich und erscheinen zu einem Zeitpunkt, zu dem die Pandemie-Lage seit mehr als sieben Monaten besteht, nicht angemessen“, kritisiert Kelber in seiner Stellungnahme zum geplanten Gesetzentwurf, die der Epoch Times vorliegt.

Zudem sei in der ihm vorliegenden Fassung eines Entwurfs eines Kabinettsbeschlusses eine nunmehr enthaltene neue Vorschrift des Paragrafen 28a Infektionsschutzgesetz noch nicht einmal enthalten gewesen.

Allgemein sehe ich mit Besorgnis, dass die Gewinnung von Erkenntnissen zunehmend gesetzlich vorgesehen und bundesweit zwingend durch staatliche Stellen vorgesehen wird“, kritisiert Kelber den Gesetzentwurf.

Dies übergehe die in Deutschland durchaus vorhandenen Möglichkeiten klinischer und wissenschaftlicher Forschung, die üblicherweise unter Zustimmung der Betroffenen erfahrungsgemäß zuverlässige Ergebnisse liefere.

„Erneut werden mit dem Gesetz verschiedene Meldepflichten oder Übermittlungen personenbezogener Daten eingeführt oder erweitert, ohne zu berücksichtigen, dass die Verarbeitung von Gesundheitsdaten, also besonders geschützten personenbezogenen Daten, einen Eingriff in das Grundrecht auf informationelle Selbstbestimmung darstellt und daher sorgfältig zu begründen und zu rechtfertigen ist und besondere flankierende Maßnahmen zum Schutz der sensiblen Daten vorzusehen sind“, erklärt Kelber.

Vorschläge des Datenschutzbeauftragten ignoriert

Sein Vorschlag, einen Satz zu ergänzen, mit dem eine Überprüfung der aufgrund der Pandemie eingeführten Vorschriften im Nachhinein ermöglicht wird, habe das Bundesgesundheitsministerium „leider nicht aufgegriffen“.

Kelber kritisiert, dass nach Willen des Bundesgesundheitsministeriums nunmehr die Ortsangaben bei den Meldungen zur Landesbehörde und zum Robert Koch-Institut bei Nachweis eines Krankheitserregers „verfeinert“ werden soll. Nun werde der achtstellige Gemeindeschlüssel verlangt und nicht mehr nur die Angabe des Landkreises oder der kreisfreien Stadt.

Diese Verfeinerung erhöht das Re-Identifikationsrisiko und ist aus datenschutzrechtlicher Sicht nachteilig“, betont Kelber.

Auch eine Begründung, warum diese „Verfeinerung“ notwendig sei, enthalte der Gesetzentwurf nicht. Diese wäre aber nötig gewesen, damit der Datenschutzbeauftragte überhaupt bewerten kann, ob hier der Grundsatz der Datensparsamkeit nach Artikel 5 Abs. 1 c Datenschutz-Grundverordnung beachtet wurde.

Zwar könne man aufgrund der aktuellen hohen Fallzahlen nachvollziehen, dass die genauere Angabe zur Bewertung des Pandemiegeschehens beitrage, allerdings handele es sich um eine allgemeine Regelung. Diese gilt also auch für alle anderen meldepflichtigen Krankheitserreger – auch außerhalb des Pandemiefalls. Insoweit rät Kelber dazu, diese Angaben nur auf SARS-CoV-2 und den Fall der Pandemie zu begrenzen.

Verwahrung von Untersuchungsmaterial und Weitergabe von personenbezogenen Angaben

In dem neuen Entwurf ist in Paragraf 13 geregelt, dass Untersuchungsmaterial und Isolate von Krankheitserregern zum Zwecke weiteren Untersuchung und der Verwahrung an bestimmte Einrichtung der Spezialdiagnostik abzuliefern sind. Kelbers Bitte, dass Vorschriften zum Vernichten des Untersuchungsmaterials und zum Löschen der Daten und des Personenbezugs vorzusehen sind, sei das Bundesgesundheitsministerium „leider nicht gefolgt“.

Ebenso sei die Bitte, dass Übermittlungen in „anonymisierter“ Form vorgesehen werden, unberücksichtigt geblieben.

Weiterhin kritisiert Kelber, dass eine Vielzahl von personenbezogenen Angaben zu Schutzimpfungen einschließlich Diagnosen von Kassenärztlichen Vereinigungen nicht nur wie bisher an das RKI, sondern zusätzlich an das Paul-Ehrlich-Institut übermittelt werden soll.

Zur Begründung sei nur „pauschal auf die Aufgaben des Paul-Ehrlich Instituts“ verwiesen worden, was aus Sicht des Datenschutzbeauftragten „angesichts der Sensibilität der besonders geschützten Gesundheitsdaten zu kurz“ greife. Eine konkrete Darlegung von Gründen liege nicht vor.

„Dass auch hier die Angabe des Ortes verfeinert wird, indem statt drei Stellen nun alle fünf Stellen der Postleitzahl übermittelt werden sollen, wird in der Gesetzesbegründung nicht erwähnt. Ebenso wenig wird erwähnt, dass nun neben den Kassenärztlichen Vereinigungen auch die Impfzentren diese Angaben machen sollen“, kritisiert Kelber.

Da es sich Gesundheitsdaten handelt, sehe er diese Knappheit als „Ausdruck einer mangelnden Sensibilität für Belange des Datenschutzrechtes und des Persönlichkeitsschutzes“.

Elektronische Einreiseanmeldung

Mit dem neu gefassten Paragrafen 36 Absatz 8 kann die Bundesregierung zukünftig per Verordnung eine elektronische Einreiseanmeldung vorschreiben.

Zwar begrüße Kelber, dass hier auf die Angabe von Gesundheitsdaten verzichtet  und eine kurze Löschfrist vorgesehen werde, aber Absatz 10 gebe erneut Anlass zu Bedenken.

Demnach sollen nicht nur Behörden, „sondern auch private Beförderer umfängliche Gesundheitsdaten, wie Impfdokumentationen, Testergebnisse und Angaben zu Krankheitsanzeichen zur Kenntnis erhalten, erheben und übermitteln müssen“, erklärt der Datenschutzbeauftragte.

Dies sei aus Datenschutzsicht kritisch zu bewerten, zumal die Regelungen keine zusätzlichen Maßgaben vorsehen, um die sensiblen Daten zu schützen.

Ebenso bleibt die Begründung jegliche Ausführungen schuldig, auf welcher Grundlage diese Datenverarbeitung erfolgt.“

Nach Paragraf 36 Absatz 11 könnten bei Grenzkontrollen, die vor allem in den Bereich der Bundespolizei fallen, stichprobenhaft zukünftig Impfdokumentationen, ärztliche Zeugnisse oder Testergebnisse sowie Aussagen über den Gesundheitszustand verlangt werden.

„Es ist fraglich, ob sich diese Befugnis tatsächlich der grenzpolizeilichen Aufgabenwahrnehmung zuordnen lässt, da es hier nicht um den Schutz der Grenze im eigentlichen Sinne geht“, gibt Kelber zu bedenken.

Hier die Stellungnahme des Bundesdatenschutzbeauftragten Professor Ulrich Kelber in kompletter Fassung.