Der Kampf gegen das Coronavirus führte in den vergangenen drei Jahren zu einer Vielzahl an neuen gesetzlichen Regelungen. Diese änderten sich so häufig, dass nicht nur die datenschutzrechtliche Umsetzung und Dokumentation (im Verzeichnis der Verarbeitungstätigkeiten oder in den Datenschutzinformationen) kaum mithalten konnte.
Eine dieser Regelungen betraf die einrichtungsbezogene Impfpflicht nach § 20a Infektionsschutzgesetz (IfSG), die ab dem 15.03.2022 in Gesundheitseinrichtungen galt. Bezüglich der damit verbundenen Frage der Dokumentations- und Nachweispflichten finden Sie Informationen in unserem Beitrag über die einrichtungsbezogene Impfpflicht.
Durch die Änderung des Art. 5 des Gesetzes zur Stärkung der Impfprävention gegen COVID-19 und zur Änderung weiterer Vorschriften im Zusammenhang mit der COVID-19-Pandemie wurde der § 20a IfSG zum 01.01.2023 aufgehoben.
Je nachdem, wie die Einrichtungen mit den Dokumentations- und Nachweispflichten umgegangen sind, stellt sich nunmehr die Frage, wie mit den in diesem Zusammenhang ggf. erhobenen Daten zu verfahren ist. Art. 17 Abs. 1 lit. a DSGVO zwingt zu einer Löschung, wenn die Daten für die Zwecke, für die sie erhoben bzw. verarbeitet wurden, nicht mehr notwendig sind. Also ganz einfach: § 20a IfSG ist aufgehoben, Impfstatusdaten sind zu löschen? Leider nicht immer!
Corona-Verordnungen
Nach § 28b Abs. 1 Nr. 3 IfSG müssen Beschäftigte insbesondere von Krankenhäusern, von Rehabilitationseinrichtungen, in denen eine den Krankenhäusern vergleichbare medizinische Versorgung erfolgt, sowie von voll- oder teilstationären Einrichtungen mindestens dreimal pro Kalenderwoche einen Corona-Test vorlegen. Nach verschiedenen Landes-Corona-Verordnungen (z. B. § 4 Abs. 1 S. 1 Niedersächsische Corona-Verordnung) reduziert sich die Testpflicht auf zwei Tests pro Woche, wenn ein Impfnachweis vorgelegt wird.
Infektionsschutzgesetz (IfSG)
Nach § 35 Abs. 6 IfSG sind voll- und teilstationäre Einrichtungen zur Betreuung und Unterbringung älterer, behinderter oder pflegebedürftiger Menschen oder vergleichbare Einrichtungen verpflichtet, dem Robert Koch-Institut (RKI) monatlich Angaben zum Anteil der Personen, die gegen das Coronavirus SARS-CoV-2 geimpft sind, jeweils bezogen auf die Personen, die in der Einrichtung beschäftigt sind oder behandelt, betreut oder gepflegt werden oder untergebracht sind, in anonymisierter Form zu übermitteln.
Damit diese Übermittlung erfolgen kann, muss die Einrichtungsleitung wissen, welche Personen als geimpft gelten. Jedenfalls bis April 2023, weil nach § 35 Abs. 6 S. 10 IfSG die zu übermittelnden Angaben letztmalig für den Monat April 2023 vom RKI erhoben werden.
Lieber behalten. Wer weiß, was noch kommt.
Nun könnte man argumentieren, dass eine zeitlich unbegrenzte und ungefilterte Aufbewahrung der Daten durchaus sinnvoll ist. Schließlich könnte sich, nicht zuletzt mit Blick auf die aktuelle Situation in China, die Corona-Lage wieder verschärfen. Wenn die Daten dann weg sind, müssen diese erneut erhoben werden. Das bedeutet eine vermeintlich vermeidbare Arbeitsbelastung sowie ggf. Unverständnis seitens der Beschäftigten. Dem muss jedoch entgegengehalten werden, dass die weitere Entwicklung in der „Causa Corona“ aktuell nicht vorhersehbar ist. Es obliegt dem Gesetzgeber im Rahmen der Einschätzungsprärogative zu entscheiden, welche Maßnahmen zu ergreifen sind. Eine fortgesetzte Speicherung der Daten durch die verantwortlichen Stellen wäre als unzulässige Vorratsdatenspeicherung zu bewerten, die die Aufsichtsbehörden auf den Plan rufen kann.
Fazit
Mit dem Ende der einrichtungsbezogenen Impfpflicht geht nicht per se die Löschung der entsprechenden Daten einher. Je nach Einrichtung bestehen zumindest temporär noch rechtliche Grundlagen für die fortgesetzte Speicherung.
Wenn diese Regelungen jedoch auch aufgehoben werden, muss eine zeitnahe Datenlöschung erfolgen. Und das bedeutet vereinzelt wiederum eine Herausforderung für die Einrichtungen, je nachdem, wo die Daten gespeichert sind (z. B. im Krankenhausinformationssystem (KIS)) und ob hier eine Datenlöschung ohne Weiteres möglich ist.