Auf dem Weg aus der Corona-Pandemie zurück zur Normalität kommt man an der 2G-Regel (geimpft oder genesen) oder 3G-Regel (getestet, geimpft oder genesen) nicht vorbei.

Zutritt, bspw. zu Veranstaltungen, Museen und Schwimmbädern, wird nach diesem Prinzip nur gewährt, wenn nachgewiesen werden kann, dass eine der zwei bzw. drei Anforderungen vorliegt. Jedenfalls beim digitalen Impfnachweis ist das mit der CovPassCheck-App, einer Prüf-App, relativ einfach möglich:

Der geimpfte Gast nutzt z. B. die CovPass-App oder die Corona-Warn-App, in der die Impfzertifikate als QR-Code hinterlegt sind.

Die kontrollierende Person benutzt ein mobiles Endgerät mit der CovPassCheck-App. Über diese kann der QR-Code des Impfzertifikates gescannt werden. Anschließend wird angezeigt:

  • Zertifikat gültig / ungültig
  • Name des Zertifikatinhabers
  • Geburtsdatum des Zertifikatinhabers

Name und Geburtsdatum dienen dem Abgleich mit einem Ausweisdokument, um festzustellen, ob Gast und Zertifikatsinhaber*in identisch sind.

Datenschutz anwendbar?

Name und Geburtsdatum sind personenbezogene Daten, der Impfstatus als Gesundheitsdatum sogar eine besondere Kategorie personenbezogener Daten. Der Anwendungsbereich der DSGVO ist auch eröffnet, da mit dem Einscannen des Impfzertifikates (QR-Code) und der Umwandlung in die oben genannten Daten eine automatisierte Verarbeitung personenbezogener Daten erfolgt.

Aufgrund dessen bedarf es einer (bzw. zweier) Rechtsgrundlage(n) für die Verarbeitung der Daten:

  1. Name und Geburtsdatum:  Art. 6 Abs. 1 S. 1 lit. c DSGVO (Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt) i. V. m. Art. 10 Abs. 2 EU Digital COVID Certificate VO
  2. Gesundheitsdatum zur Impfung bzw. Genesung: Art. 9 Abs. 2 lit. g DSGVO (Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats erforderlich) i. V. m. Art. 10 Abs. 2 EU Digital COVID Certificate VO

Geburtsdatum notwendig? Missbrauchsgefahr?

Zu der Thematik erreichte uns eine Anfrage über den Blog. In der Abfrage der Daten, bspw. durch den oder die Türsteher*in einer Disko werde ein erhebliches Missbrauchsrisiko gesehen. Zudem wurde die Frage aufgeworfen, ob die Abfrage des Geburtsdatums wirklich erforderlich, und der Name nicht ausreichend sei.

Die zusätzliche Abfrage des Geburtsdatums ist erforderlich, denn andernfalls ist eine Identitätsprüfung kaum möglich: Man könnte das Zertifikat einer Person gleichen Namens als eigenes ausgeben und sich dadurch den Zutritt zu einer Veranstaltung oder einem Gebäude verschaffen, der eigentlich nicht zu gewähren wäre. Somit dient das Geburtsdatum der zusätzlichen Absicherung durch den Abgleich mit dem Ausweisdokument.

Wie sieht es mit der Missbrauchsgefahr aus? Bleiben wir beim Türsteher bzw. bei der Türsteherin. Es gibt viele Konstellationen, bei denen diesen Personen eine Vielzahl an Daten bereitgestellt werden, wenn man Zutritt zum Club oder in die Disko begehrt:

Über den „Mutti- oder Partyzettel“, ohne den Minderjährige nicht in die Disko kommen, werden viele Daten bereitgestellt, die zudem langfristig (drei Jahre) aufbewahrt werden müssen. Im Einzelnen sind dies: Name des/der Sorgeberechtigen, Anschrift, Geburtsdatum und Telefonnummer; Name des/der Minderjährigen und dessen/deren Geburtsdatum; Name der Begleitperson, dessen/deren Anschrift, Geburtsdatum und Telefonnummer.

Bereits über die Sichtung des Personalausweises, wenn die Türsteher*innen Zweifel an der Volljährigkeit haben, können diese eine Vielzahl an Daten erheben. Diese müssen sie sich allerdings merken. Es wird wohl kaum Gelegenheiten geben, die gesehenen Daten direkt zu dokumentieren.

Auch bei der Nutzung der CovPassCheck-App und dem damit verbundenen Abgleich mit dem Ausweisdokument können entsprechende Daten durch Sichtung erhoben werden. Die CovPassCheck-App hilft dem Dokumentationswilligen nicht weiter. Zwar werden die Daten angezeigt, sie werden aber mit dem Scan des nächsten Zertifikates unwiderruflich überschrieben. Sicherlich könnte man einen Screenshot des Zertifikates machen, um Name, Geburtsdatum und Status des Zertifikates dauerhaft zu speichern. Das ist aber auch nicht ohne Weiteres nebenbei und unbemerkt möglich. Selbst wenn dies gelingen sollte, erscheint die Missbrauchsgefahr, da es gerade an weiteren Informationen zur betroffenen Person mangelt, eher gering.

Fazit

Die CovPassCheck-App erscheint datensparsam programmiert, sodass der Grundsatz privacy by design erfüllt scheint. Das Risiko eines Missbrauchs der Daten bei der Überprüfung des Zertifikates erscheint marginal und unterscheidet sich kaum von den Missbrauchsmöglichkeiten, die auch vor der Corona-Pandemie bestanden.

Alternativ kann der „analoge“ Impfpass als Nachweis genutzt werden: Neben dem Impfausweis in Papierform (meist das gelbe Impfheft) muss natürlich auch in diesem Fall ein Ausweisdokument zum Abgleich vorlegt werden. Hier bestünde ebenfalls die Möglichkeit, dass sich die kontrollierende Person die Daten im Kopf merkt. Zudem sind auf dem Impfheft unter dem Namen auch die Adressdaten eingetragen, die ggf. noch aktuell sein könnten. Doch auch bei diesem Nachweis ist die Gefahr eines Missbrauchs der personenbezogenen Daten gering, denn diese im Gedächtnis zu behalten und später zu notieren – gerade bei einer Vielzahl von Kontrollen hintereinander – ist eher unwahrscheinlich.

| | | , , , , , , , , ,