Ist die aktuelle Corona-Kontaktdatenerfassung in Hessen nach Neufassung des § 28a Infektionsschutzgesetz in Teilen rechtswidrig?

Datenschutzrheinmain/ Dezember 4, 2020/ alle Beiträge, Beschäftigten- / Sozial- / Verbraucherdaten-Datenschutz, Datenschutz in Zeiten von Corona, Hessische Landespolitik, Polizei und Geheimdienste (BRD)/ 2 comments

Diese Frage richtet ein Hessischer Bürger an den Hessischen Datenschutzbeauftragten. Seine Anfrage hat er der Bürgerrechtsgruppe dieDatenschützer Rhein Main zur Veröffentlichung in anonymisierter Form zur Verfügung gestellt.

Hintergrund der Anfrage ist die Praxis der Polizeibehörden aus mehreren Bundesländern (auch Hessen), die in den letzten Monaten Corona-Kontaktlisten nach eigenem Gutdünken für eigene Zwecke genutzt haben.

Beim Blick in die vom anfragenden Bürger genannten Rechtsgrundlagen erscheinen seine Fragen und seine Kritik an der hessischen Corona-Kontakt- und Betriebsbeschränkungsverordnung berechtigt.

• § 28a Abs. 1 Ziff. 17 Infektionsschutzgesetz (IfSG) lautet: „Notwendige Schutzmaßnahmen im Sinne des § 28 Absatz 1 Satz 1 und 2 zur Verhinderung der Verbreitung der Coronavirus-Krankheit-2019 (COVID-19) können für die Dauer der Feststellung einer epidemischen Lage von nationaler Tragweite nach § 5 Absatz 1 Satz 1 durch den Deutschen Bundestag insbesondere sein… 17. Anordnung der Verarbeitung der Kontaktdaten von Kunden, Gästen oder Veranstaltungsteilnehmern, um nach Auftreten einer Infektion mit dem Coronavirus SARS-CoV-2 mögliche Infektionsketten nachverfolgen und unterbrechen zu können.“
• § 28a Abs. 4 Infektionsschutzgesetz (IfSG) lautet: „Im Rahmen der Kontaktdatenerhebung nach Absatz 1 Nummer 17 dürfen von den Verantwortlichen nur personenbezogene Angaben sowie Angaben zum Zeitraum und zum Ort des Aufenthaltes erhoben und verarbeitet werden, soweit dies zur Nachverfolgung von Kontaktpersonen zwingend notwendig ist. Die Verantwortlichen haben sicherzustellen, dass eine Kenntnisnahme der erfassten Daten durch Unbefugte ausgeschlossen ist. Die Daten dürfen nicht zu einem anderen Zweck als der Aushändigung auf Anforderung an die nach Landesrecht für die Erhebung der Daten zuständigen Stellen verwendet werden und sind vier Wochen nach Erhebung zu löschen. Die zuständigen Stellen nach Satz 3 sind berechtigt, die erhobenen Daten anzufordern, soweit dies zur Kontaktnachverfolgung nach § 25 Absatz 1 erforderlich ist. Die Verantwortlichen nach Satz 1 sind in diesen Fällen verpflichtet, den zuständigen Stellen nach Satz 3 die erhobenen Daten zu übermitteln. Eine Weitergabe der übermittelten Daten durch die zuständigen Stellen nach Satz 3 oder eine Weiterverwendung durch diese zu anderen Zwecken als der Kontaktnachverfolgung ist ausgeschlossen…“
• In der hessischen Corona-Kontakt- und Betriebsbeschränkungsverordnung (Stand: 26.11.2020) ist in § 1 Abs. 2a Ziff. 3 für „Zusammenkünfte von Glaubensgemeinschaften“ geregelt: „Name, Anschrift und Telefonnummer der Teilnehmerinnen und Teilnehmer ausschließlich zur Ermöglichung der Nachverfolgung von Infektionen von der Veranstalterin oder dem Veranstalter erfasst werden; diese haben die Daten für die Dauer eines Monats ab Beginn der Zusammenkunft, Trauerfeierlichkeit oder Bestattung geschützt vor Einsichtnahme durch Dritte für die zuständigen Behörden vorzuhalten und bei bestätigter Infektion mindestens einer Teilnehmerin oder eines Teilnehmers diesen zu übermitteln sowie unverzüglich nach Ablauf der Frist sicher und datenschutzkonform zu löschen oder zu vernichten; die Bestimmungen der Art. 13, 15, 18 und 20 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr… (Datenschutz-Grundverordnung)… zur Informationspflicht und zum Recht auf Auskunft zu personenbezogenen Daten finden keine Anwendung; die Teilnehmerinnen und Teilnehmer sind über diese Beschränkungen zu informieren“.
• Eine inhaltlich gleiche Regelung für andere „Zusammenkünfte… und Veranstaltungen“ findet sich in § 1 Abs. 2b Ziff. 2 der Verordnung.

Ob mit dieser Regelung in der hessischen Corona-Kontakt- und Betriebsbeschränkungsverordnung der Zugriff von Ermittlungsbehörden auf die Kontaktdaten ausgeschlossen ist, geht aus dem Wortlaut leider nicht hervor. Dass hier Fragen berechtigt und notwendig sind, wird auch beim Blick in die Neunte Bayerische Infektionsschutzmaßnahmenverordnung vom 30.11.2020 deutlich, in der in §4 Abs. 3 ausdrücklich festgelegt ist: „Die Befugnisse der Strafverfolgungsbehörden bleiben unberührt.“

Und dann fallen noch <Kleinigkeiten> auf, so z. B., dass die Frist für die Aufbewahrung der Kontaktdaten nach § 28a Abs. 4IfSG vier Wochen beträgt, nach der hessischen Corona-Kontakt- und Betriebsbeschränkungsverordnung aber auf einen Monat festgelegt wird.

Auf die Stellungnahme des Hessischen Datenschutzbeauftragten zur oben dokumentierten Anfrage darf man gespannt sein.