Datenschutzrechtliche Anforderungen für die Erhebung von Gesundheitsdaten durch Private im Zusammenhang mit der Pandemiebekämpfung

22.01.2021 - Bei der Bekämpfung der Covid-Pandemie kommen zunehmend digitale Applikationen zum Einsatz, die auf Smartphones installiert werden, auf denen sich meist umfangreiche Spuren der digitalen Lebensführung ihrer Besitzer befinden. So die vom Bund lancierte SwissCovid App oder sogenannte «Tracing Apps», welche von Privaten angeboten werden und das Contact Tracing in den Kantonen erleichtern sollen.

Nachdem Schnelltests und Impfungen gegen die Bekämpfung der aktuellen Pandemie verfügbar geworden sind, haben verschiedene private Anbieter angekündigt, dass sie erwägen, den Zugang zu Gütern oder Leistungen zu gegebener Zeit von der Bekanntgabe von Testresultaten oder Impfnachweisen abhängig zu machen. 

Beschaffen Private von ihren Mitbürgern im Kontext der Pandemie Gesundheitsdaten, haben sie nebst den öffentlich-rechtlichen Vorgaben zu den entsprechenden Corona-Schutzkonzepten auch die Vorgaben des Datenschutzgesetzes des Bundes (DSG) und die dort verankerten Grundsätze der Verhältnismässigkeit und Zweckgebundenheit der Datenbearbeitung zu beachten. Machen Private den Zugang zu Gütern oder Leistungen von der Preisgabe von Gesundheitsdaten abhängig, kann dies die Persönlichkeit der Betroffenen verletzen. Gemäss Art. 28 Abs. 2 ZGB und 13 DSG ist eine solche Verletzung nur zulässig, wenn sie durch Einwilligung der Verletzten, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist. 

Ob die Einforderung und allfällige Weiterbearbeitung von Test- oder Impfdaten eine Persönlichkeitsverletzung darstellt und diese gegebenenfalls gerechtfertigt ist, hängt von den konkreten Umständen des Einzelfalls ab, zumal weder das öffentliche noch das private Recht diesbezüglich umfassende Regelungen enthalten. Der EDÖB begrüsst deshalb, dass die zuständigen Bundesämter derzeit zuhanden des Bundesrats eine Auslegeordnung über allfällige Regelungen und deren Konsequenzen erarbeiten.

Unabhängig davon, ob oder wann es zu entsprechenden Regelungen kommt, muss der Beauftragte im aktuellen Umfeld der Pandemie jederzeit damit rechnen, dass Private zu systematischen Beschaffungen von Impf- und Testdaten sowie anderen Personendaten schreiten könnten. Der EDÖB weist deshalb nachfolgend auf die datenschutzrechtlichen Anforderungen hin, deren Erfüllung Private sicherzustellen haben, ehe sie den Zugang zu Gütern oder Leistungen von der Preisgabe solcher Personendaten abhängig machen:

• Geeignetheit der Bearbeitung: Um den datenschutzrechtlichen Grundsatz der Verhältnismässigkeit zu erfüllen, muss die Beschaffung und Weiterbearbeitung der Personendaten geeignet sein, den verfolgten Zweck zu erfüllen. Bei der Beurteilung, ob die private Beschaffung und allfällige Weiterbearbeitung von Test- und Impfresultaten geeignet sind, signifikant zum Schutz vor Übertragung und Erkrankung beizutragen, sind Stellungnahmen der zuständigen Gesundheitsbehörden, namentlich des Bundesamtes für Gesundheit, zur Aussagekraft der Tests und zu den Auswirkungen der Impfung zu berücksichtigen. Die datenschutzrechtliche Beurteilung erfolgt auf der Grundlage der Einschätzungen und Publikationen dieser Fachbehörden.
• Zumutbarkeit der Bearbeitung: Von der Beschaffung der erwähnten Personendaten ist abzusehen, wenn der Zugang zu Gütern oder Leistungen davon abhängen würde, der Verzicht auf diese unzumutbar wäre und der Zugang auch nicht anderweitig in zumutbarer Weise gewährleistet wäre.
• Umfang der Bearbeitung und Datensicherheit: Nach der Beurteilung des Zugangs ist auf eine Speicherung oder Weitergabe der beschafften Personendaten zu verzichten, soweit eine Weiterbearbeitung dieser Daten nicht unbedingt nötig und sachlich begründet oder von Betroffenen ausdrücklich verlangt ist. Im Falle einer notwendigen Weiterbearbeitung ist diese hinsichtlich Umfang und Dauer auf das für den Zweck der Pandemiebekämpfung notwendige Minimum zu beschränken. Zudem ist die Datensicherheit durch geeignete technische und organisatorische Massnahmen sicherzustellen. 
• Art der Bearbeitung: Es gibt Personen, die nicht willens sind, ein mit einem bestimmten Programm bestücktes Smartphone vorzuzeigen, weil sie sich vor einem Zugriff auf die dort vorhandenen Daten ihrer digitalen Lebensführung fürchten. Und es gibt Menschen, die dazu aufgrund ihres Alters, ihrer Gesundheit oder wegen Behinderungen gar nicht in der Lage sind. Diesen Personen sind zumutbare Alternativen zur digitalen Beschaffung der erwähnten Personendaten unter vergleichbaren Bedingungen anzubieten.
• Transparenz der Bearbeitung: Die Betroffenen sind umfassend und verständlich über den Zweck und die Modalitäten der Datenbeschaffung und allfälligen Weiterbearbeitung der erwähnten Personendaten zu informieren. 

Der EDÖB verfolgt die weitere Entwicklung und behält sich aufsichtsrechtliche Massnahmen gegen Private vor, sollte er zum Schluss kommen, dass diese die vorgenannten Anforderungen des Datenschutzgesetzes missachten. Neue Entwicklungen und wissenschaftliche Erkenntnisse, die eine Neubeurteilung oder Ergänzung der vorgenannten Anforderungen nötig machen, bleiben vorbehalten.