Privilegien für Geimpfte

[Brainiac]

Ich sehe es wie OJ 1988: wenn sicher feststeht, dass von Geimpften keine Gefahr mehr ausgeht, fehlt es an einer Rechtfertigung für den Eingriff in die Grundrechte der Geimpften.

Dieser Bedingungseintritt ist freilich ausgeschlossen. Selbst wenn eine erfolgreiche Impfung dazu führt, dass man selbst nicht mehr erkranken und auch keine Dritte mehr anstecken kann, ist immer noch die Impfwirksamkeit, die ja irgendwo zwischen ca. 70 und 95 % pendelt, zu beachten. Bestenfalls kann damit nur zu 95 % feststehen, dass von einem Geimpften keine Gefahr mehr ausgeht. Sicher (iSv 100 %) wird das nie sein.

Ergo: Grundrechtsdogmatisch wird selbst bei flächendeckender Impfung noch ein legitimer Zweck infolge Einschätzungsprärogative für Verbote bestehen. Es kommt also auch unter Zugrundelegung dieses Impfszenarios auf eine Abwägung an.
Bei der bisherigen Abwägungsdurchführung des Gesetzgebers und der Exekutive würde ich hier keinen großen Verdacht hegen, dass da eine schnelle Abkehr von der bisherigen Vorgehensweise erfolgt (die natürlich gerichtlich angegriffen werden kann, für uns aber zunächst einmal maßgeblich sein wird). Im ersten Lockdown und auch jetzt wurden und werden ja auch andere Verhaltensweisen verboten, bei denen eine Ansteckungsgefahr praktisch zu fast 100 % ausgeschlossen ist (verschiedene Beispiele hatte ich im allgemeinen Corona-Thread schon im Frühjahr/Sommer mal gepostet).

Ein legitimer Zweck (Gesundheitsschutz) liegt so oder so vor. Fraglich ist die Geeignetheit von Maßnahmen, die "Ungefährlichen" etwas verbietet. Hier hat der Gesetzgeber eine Einschätzungsprärogative.

Jo, stimmt. Das o.g. passt aber auch zur Geeignetheit. Es läuft m.E. auf eine Abwägung iRd Angemessenheit (VHM i.e.S.) hinaus.

[Theopa]

Artikel 4 Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

2.„Verarbeitung” jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung

Dazu der Kommentar:

Erheben (collection) ist das Beschaffen von Daten über den Betroffenen (vgl. § 3 Abs. 3 BDSG aF). Solange die Beschaffung gezielt erfolgt (zufällige Kenntnisnahme wird bei einer Verwendung zB im Wege der Niederschrift zum Erfassen oder zur Speicherung), spielt die Art und Weise keine Rolle. Der Verarbeiter kann Daten elektronisch abrufen, Unterlagen anfordern oder Personen befragen.
(Paal/Pauly/Ernst, 3. Aufl. 2021 Rn. 23, DS-GVO Art. 4 Rn. 23)

Wer also einen Impfnachweis fordert, "erhebt" damit das betreffende Datum.

Wortlaut des Art 2 Abs. 1 DSGVO: "Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen."

Also ja, das Fragen nach einem Impfausweis kann genügen, wenn diese Daten anschließend gespeichert werden sollen. Das ist bei einer Eingangskontrolle nicht der Fall.

[Joshua]

Aber muss die erfolgte Impfung nicht irgendwo in einer Art "Patientenakte" vermerkt werden? Jeder Arzt hat doch entsprechende Dokumentationspflichten, da eine Impfung erst einmal eine ärztliche Behandlung bzw. darstellt. Auch wenn durch Pflegepersonal geimpft wird, muss dem immer eine ärztliche Anordnung zugrunde liegen:

Grundsätzlich sind Impfstoffe Arzneimittel, die nur der Arzt verordnen darf. Es gibt allerdings keine gesetzliche Vorschrift, die die Durchführung einer Impfung ausschließlich dem Arzt vorbehält. Pflegekräfte, Arzthelferinnen und Arzthelfer mit entsprechender Ausbildung dürfen auch Arzneimittel verabreichen. Die Injektionstechniken werden bei der Berufsausbildung dem Pflegepersonal auch vermittelt. Ob das Personal in der Lage ist, eine Impfung korrekt zu verabreichen, ist von fachlichen Vorgesetzten oder dem Arbeitgeber vor einer selbstständigen Ausübung zu überprüfen. Notwendig ist jeweils eine gesonderte ärztliche Anordnung, Überwachung und Dokumentation

Quelle: https://www.rki.de/SharedDocs/FAQ/Impfe ... FAQ01.html

Und diese Akten müssten doch zwingend Dateicharakter haben; entsprechendes wird jedenfalls für die ganz normalen "Papierakten" des Hausarztes vertreten:

Bei Papierpatientenakten, die als (analoges) Dateisystem anzusehen sind, sollte man immer die Anwendbarkeit der DS-GVO bejahen und die Datenverarbeitung mittels dieser Akten an den Anforderungen der DS-GVO messen.
(MAH MedR, § 23 Datenschutz im Gesundheitswesen)

Und ist nicht jeder "Impfausweis" bzw. "Impfnachweis" dann eine Art Auszug aus dieser Patientenkartei? Ist nicht die Kontrolle des "Impfnachweises" somit eine Erhebung der - letztlich als Datei - gespeicherten Daten?

[Tibor]

Es geht darum, dass die Datenerhebung zur Speicherung führt, nicht dass eine sonst in einem Dateisystem auf sonstigem Weg zur Kenntnis gebracht wird.

Natürlich wird bei Impfung durch den Hausarzt etwas in der Patientenakte stehen; auch die Impfung im Impfzentrum erfolgt gegen Belehrung/Dokumentation. Nach erfolgter Impfung erhält man zudem den Aufkleber der Impfung in den Impfausweis.

Davon unabhängig ist aber, wenn nun bspw ein Restaurant sagt: Zeig mir nen Impfausweis oder du kommst nicht rein. Erst wenn sonst weiter mein Aufenthalt dokumentiert wird und damit ein Zusammenhang der Daten erstellt wird, haben wir ne Verarbeitung. Das wäre bspw der Fall, wenn Lufthansa nur Buchungen zulässt, wenn man den Impfausweis einscannt oder klar ist, dass alle geflogenen Passagiere den positiven Impfausweis vorgezeigt haben.

[Joshua]

§ 2 bezieht sich auch auf Daten, die bereits gespeichert sind.

[Joshua]

Die Erhebung zum Zwecke der Speicherung ist also nicht die einzige Alternative des sachlichen Anwendungsbereichs.

[Tibor]

§ 2 bezieht sich auch auf Daten, die bereits gespeichert sind.

Art, nicht §!

Natürlich, aber es geht ja darum, welche Person (Datenverarbeiter) du durch Normen binden willst.

Um es deutlich zu machen, wenn irgendwann 20 Mio Bürger nen positiven Impfausweis haben und der lokale Dorfkino-Betreiber seine Eintrittskarten bar und ohne Erfassung eines Namens nur über den Tisch gibt, wenn man ihm einen Impfausweis vorlegt, dann hat er sich zwar Zugang zu den Daten verschafft, es liegt in seiner Person aber keine relevante Datenverarbeitung iS der DSGVO vor, weil der Personenbezug fehlt.

[Joshua]

Definiere bitte mal "relevante Datenverarbeitung". ME legst du den Begriff der "Erhebung" ersichtlich zu eng aus.

IE wird die Datenschutzrechtswidrigkeit an Art. 6 DSGVO scheitern:

Die Personen, die geimpft sind, willigen ja gerade in die "Erhebung" des betreffenden Datums ein, wenn sie sich entsprechend ausweisen.

Und diejenigen, die nicht reingelassen werden, weil sie nicht geimpft sind, fallen nicht unter das Datenschutzrecht, weil für sie ja gar keine Daten ärztlicherseits erhoben und in Dateiform "gegossen" wurden (sie unterfielen ja gerade noch keinem dokumentationspflichtigem Impfvorgang).

[thh]

Relevant ist das allerdings nur, wenn die Datenverarbeitung automatisiert erfolgt oder die Daten in einer nicht-automatischen Datei (vulgo "Kartei") gespeichert werden. Die bloße Abfrage - auch die Kontrolle eines Ausweises - unterliegt nicht der DGSVO.

[...]Wer also einen Impfnachweis fordert, "erhebt" damit das betreffende Datum.

Die Regelungen der DSGVO sind nur von Bedeutung, wenn die DSGVO überhaupt anwendbar ist. Solange die Datenverarbeitung nicht automatisiert erfolgt und die Daten ansonsten nicht organisiert gespeichert werden, ist die DSGVO irrelevant.

Aber muss die erfolgte Impfung nicht irgendwo in einer Art "Patientenakte" vermerkt werden? Jeder Arzt hat doch entsprechende Dokumentationspflichten, da eine Impfung erst einmal eine ärztliche Behandlung bzw. darstellt.

Natürlich. Der Arzt (oder das Impfzentrum) unterliegt der DSGVO.

Grundsätzlich sind Impfstoffe Arzneimittel, die nur der Arzt verordnen darf. Es gibt allerdings keine gesetzliche Vorschrift, die die Durchführung einer Impfung ausschließlich dem Arzt vorbehält. Pflegekräfte, Arzthelferinnen und Arzthelfer mit entsprechender Ausbildung dürfen auch Arzneimittel verabreichen. Die Injektionstechniken werden bei der Berufsausbildung dem Pflegepersonal auch vermittelt. Ob das Personal in der Lage ist, eine Impfung korrekt zu verabreichen, ist von fachlichen Vorgesetzten oder dem Arbeitgeber vor einer selbstständigen Ausübung zu überprüfen. Notwendig ist jeweils eine gesonderte ärztliche Anordnung, Überwachung und Dokumentation

Und diese Akten müssten doch zwingend Dateicharakter haben; entsprechendes wird jedenfalls für die ganz normalen "Papierakten" des Hausarztes vertreten:[...]

Es ist wenig zielführend, allerlei Texte zusammenzusuchen und zu kopieren; wichtiger ist es, sie zu verstehen.

Natürlich ist die Impfung eine heilkundliche Maßnahme, die durch den Arzt selbst oder unter ärztlicher Verantwortung erfolgen muss. Natürlich muss der Arzt das dokumentieren, natürlich ist die ärztliche Dokumentation - auch auf Papier - regelmäßig eine Kartei, natürlich ist darauf die DSGVO anwendbar, und natürlich sind das besonders geschützte Gesundheitsdaten.

Aber das ist doch alles gar nicht die Frage; dass eine Datenverarbeitung durch den Arzt der DSGVO unterliegt, ist klar.

Die Frage ist, ob auch die Erhebung des Impfstatus - bspw. durch Vorzeigen des Ausweises - durch den Betreiber eines Restaurants oder eines Kinos der DSGVO unterliegt, und das ist bei der bloßen Ausweiskontrolle zu verneinen.

Und ist nicht jeder "Impfausweis" bzw. "Impfnachweis" dann eine Art Auszug aus dieser Patientenkartei? Ist nicht die Kontrolle des "Impfnachweises" somit eine Erhebung der - letztlich als Datei - gespeicherten Daten?

Nein. Ein Impfausweis ist ein Impfausweis und kein Auszug aus einer Patientenkartei. Aber letztlich ist das auch egal.

Denn dadurch, dass Arzt A diese Daten in einer Datei speichert, ist Barbetreiber B nicht betroffen. B erhebt die Daten bei seinem Kunden K, und für die Frage, ob die DSGVO anwendbar ist, kommt es darauf an, was B mit den Daten macht, nicht darauf, was irgendjemand anderes tut.

§ 2 bezieht sich auch auf Daten, die bereits gespeichert sind.

Die DSGVO hat keinen "§ 2", aber ja: der Zugriff auf eine bestehende Kartei oder Datei ist auch erfasst.

Das tut der Barbesitzer B aber nicht. Er lässt sich ein Blatt Papier vorlegen, nickt, wenn das passt, und damit hat es sich. Eine Kartei kommt da nicht vor. Auch wenn er sich den Personalausweis zeigen lässt, der - in Deiner Diktion - eine Art Auszug aus dem Einwohnermelderegister ist, um die Volljährigkeit des Gastes zu prüfen, unterliegt das nicht der DSGVO, weil er mit den in Dateiform gespeicherten Daten nichts zu tun hat.

IE wird die Datenschutzrechtswidrigkeit an Art. 6 DSGVO scheitern:

Die Personen, die geimpft sind, willigen ja gerade in die "Erhebung" des betreffenden Datums ein, wenn sie sich entsprechend ausweisen.

Das wäre zu einfach, denn ansonsten ließen sich über eine verpflichtende Einwilligung alle Regelungen der DSGVO aushebeln - "wenn Du meinen Onlinedienst nutzen willst, musst Du jeder beliebigen Datenverwendung zustimmen, sonst lasse ich Dich nicht mitmachen". Das Problem ist nämlich, dass die Einwilligung freiwillig erteilt werden muss, und dabei ist besonders zu berücksichtigen, ob die Einwilligung zur Voraussetzung eines Vertrages gemacht wurde, für dessen Erfüllung die Verarbeitung dieser Daten gar nicht nötig ist (Art. 7 Abs. 4 DSGVO); siehe dazu auch Erwägungsgrund 43. Unter dem Stichwort "Koppelungsverbot" findest Du dazu mehr, wenn Du tiefer einsteigen willst.

[OJ1988]

Irgendwie symptomatisch, dass als größte Hürde zielsicher sofort wieder der Datenschutz identifiziert wurde.

[thh]

Irgendwie symptomatisch, dass als größte Hürde zielsicher sofort wieder der Datenschutz identifiziert wurde.

Nun, das ist bei einer Datenverarbeitung immer die größte rechtliche Hürde

[Joshua]

Das tut der Barbesitzer B aber nicht. Er lässt sich ein Blatt Papier vorlegen, nickt, wenn das passt, und damit hat es sich. Eine Kartei kommt da nicht vor. Auch wenn er sich den Personalausweis zeigen lässt, der - in Deiner Diktion - eine Art Auszug aus dem Einwohnermelderegister ist, um die Volljährigkeit des Gastes zu prüfen, unterliegt das nicht der DSGVO, weil er mit den in Dateiform gespeicherten Daten nichts zu tun hat.

Auf deine - wie hier mittlerweile üblich - persönlich-diffamierenden Gehalte (belehrendes Vorhalten eines offensichtlichen Flüchtigkeitsfehlers "§/Art."; andere verstehen nichts; andere kopieren nur Texte etc.) gehe ich nicht weiter ein.

Das ist die Denkschule von Personen, der hier als Mod. ein schlechtes Vorbild sind und dieses Forum immer weiter in die Bedeutungslosigkeit treiben.

Zur Sache:

Genau das ist der entscheidende Punkt. Und genau hier kann ich dir nicht zustimmen, weil es nach dem Schutzzweck genügen muss, wenn mittelbar (hier: vermittelt über einen Impfnachweis) auf anderweitig systematisierte Daten zugegriffen wird. Andernfalls könnte man durch Auszüge anderweitig systematisch erfasster Daten stets die DSGVO aushebeln. Der Begriff der "Erhebens" muss auch diese "mittelbaren Konstellationen" erfassen.

Ich lasse mich aber gerne umstimmen, wenn die Sachargumente überzeugen.

[Liz]

Ich weiß nicht, ob du das schon gesehen hast, aber es gibt seit kurzem erste Studien, welche darauf hindeuten, dass Geimpfte jedenfalls deutlich weniger ansteckend sind (https://www.faz.net/aktuell/politik/aus ... 79526.html).

Das bezieht sich aber auch nur auf den Impfstoff von AstraZeneca, der gerade eben erst zugelassen worden ist und eine zweite Impfung nach 9-12 Wochen erfordert. D. h. selbst wenn man davon ausgeht, dass es eine signifikante Reduzierung der Ansteckungsfähigkeit beim Impfstoff von AstraZeneca gibt, werden frühestens Anfang Mai die ersten Geimpften den vollen Impfschutz haben und eine nennenswerte Anzahl an Geimpften, für die es sich „lohnt“ exklusiv zu öffnen, wird man wahrscheinlich frühestens im Juni/Juli haben. Insgesamt gesehen, denke ich, werden wir nicht so schnell eine ausreichende Klarheit über die Effektivität der Impfung, als dass man dies wirklich zum Maßstab einer Differenzierung erheben müsste.

Ohne es rechtlich bereits abschließend einordnen zu könne, meine ich aber, dass auch berücksichtigt werden müsste, dass

a) die Chancen, die Impfung zu erhalten z.Zt. noch vollkommen ungleich verteilt sind, und zwar auf Grundlage einer Entscheidung, die der Priorisierung nach Gesundheitsgefahr folgte, ohne dass also eine (Mit-) Abwägung der Freiheitsgrundrechte stattfand;

(...)

Das scheint mir durchaus ein Problem zu sein. Man kann zwar ohne weiteres rechtfertigen, dass bestimmte Personengruppen bevorzugt geimpft werden, weil für sie eine Erkrankung besonders gefährlich wäre oder sie bei ihrer Tätigkeit einem besonders hohen Infektionsrisiko ausgesetzt sind oder ihre Tätigkeit für das Gemeinwohl besonders wichtig ist. Aber wenn die Impfung auch die Tür zum gesellschaftlichen Leben öffnet, scheint es mir schwierig begründbar zu sein, warum A drei Monate vor B wieder ins Kino oder Restaurant dürfen können soll.

[Omnimodofacturus]

Zur Sache:

Genau das ist der entscheidende Punkt. Und genau hier kann ich dir nicht zustimmen, weil es nach dem Schutzzweck genügen muss, wenn mittelbar (hier: vermittelt über einen Impfnachweis) auf anderweitig systematisierte Daten zugegriffen wird. Andernfalls könnte man durch Auszüge anderweitig systematisch erfasster Daten stets die DSGVO aushebeln. Der Begriff der "Erhebens" muss auch diese "mittelbaren Konstellationen" erfassen.

Ich lasse mich aber gerne umstimmen, wenn die Sachargumente überzeugen.

Aber jedes personenbezogene Datum ist doch anderweitig von einem Dritten systematisiert. Es würde die Grenzen des Datenschutzrechts - das ja bewusst auf die individuelle Beziehung zwischen Betroffenen und seinem Vertragspartner abstellt - vollständig sprengen, wenn dem Vertragspartner jetzt die vollständige Verantwortlichkeit für alle überhaupt auf der ganzen Welt über irgendjemand abgespeicherten Daten aufgebürdet würde, von der er möglicherweise gar nichts weiß.

[Omnimodofacturus]

Das scheint mir durchaus ein Problem zu sein. Man kann zwar ohne weiteres rechtfertigen, dass bestimmte Personengruppen bevorzugt geimpft werden, weil für sie eine Erkrankung besonders gefährlich wäre oder sie bei ihrer Tätigkeit einem besonders hohen Infektionsrisiko ausgesetzt sind oder ihre Tätigkeit für das Gemeinwohl besonders wichtig ist. Aber wenn die Impfung auch die Tür zum gesellschaftlichen Leben öffnet, scheint es mir schwierig begründbar zu sein, warum A drei Monate vor B wieder ins Kino oder Restaurant dürfen können soll.

Aber kann dann die einzige Lösung sein, dass weder A noch B ins Kino oder Restaurant dürfen.