Aufgrund des seit dem 1. März 2020 geltenden Masernschutzgesetztes sind Beschäftigte von Gemeinschaftseinrichtungen und medizinischen Einrichtungen (im folgenden zusammen „Einrichtungen“) sowie Schülerinnen und Schüler und in Gemeinschaftseinrichtungen betreute Kinder verpflichtet, einen Nachweis über ihren Masernschutz zu erbringen. Die Bundeszentrale für gesundheitliche Aufklärung erklärt in einem MerkblattÖffnet sich in einem neuen Fenster, wie die Masern-Impfung durch den Impfausweis konkret nachgewiesen wird. Die Leitung der Einrichtungen müssen den Impfnachweis bzw. eine ausreichende Masern-Immunität (Serostatus) kontrollieren und dokumentieren, bevor die jeweiligen Personen die Beschäftigung aufnehmen bzw. betreut werden dürfen.
Den Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI) erreichen häufig Anfragen von Einrichtungen, die sich nach einer datenschutzkonformen Vorgehensweise für diese Kontrolle und deren Dokumentation erkundigen.
I. Rechtsgrundlage
Der Nachweis des Impfschutzes kann nach § 20 Abs. 9 Infektionsschutzgesetz („IfSG“) durch Vorlage des Impfpasses oder durch ein ärztliches Attest über den Impfschutz bzw. die Masern-Immunität erbracht werden. Bei einer medizinischen Kontraindikation, die gegen eine Impfung spricht, kann stattdessen ein entsprechendes ärztliches Attest vorgelegt werden.
Die Verarbeitung dieser Gesundheitsdaten durch die Einrichtungen ist in der Regel nach Art. 6 Abs. 1 lit. c) i.V.m. Art. 9 Abs. 2 lit. i) DSGVO i.V.m. § 20 Abs. 9 IfSG und § 20 Abs. 1 Nr. 3 HDSIG bzw. § 22 Abs. 1 Nr. 1 lit. c) BDSG legitimiert. Im Beschäftigtenkontext gilt außerdem § 23a IfSG, nach welchem der Arbeitgeber unter bestimmten Voraussetzungen den Impf- und Serostatuts der Beschäftigten verarbeiten darf. Nach der Gesetzesbegründung zum MasernschutzgesetzÖffnet sich in einem neuen Fenster ist § 23a IfSG auf die Prüfung des Masern Impf- bzw. Serostatus anwendbar.
Der Schutz vor den Gesundheitsgefahren aufgrund der hoch ansteckenden Infektionskrankheit Masern stellt ein legitimes öffentliches Interesse im Sinne dieser Normen dar. Darüber hinaus sind diese Datenverarbeitungen in der Regel auch zur Verhinderung der Ausbreitung von Maserninfektionen erforderlich.
II. Kontrollmöglichkeiten
Viele Einrichtungen müssen erstmals einen Impfschutz ihrer Beschäftigten beziehungsweise betreuten Personen kontrollieren. Diese Kontrollen müssen sauber dokumentiert werden, da ohne Vorlage eines entsprechenden Nachweises die Beschäftigung bzw. Betreuung der Personen gesetzlich verboten ist. Verstöße gegen dieses Verbot können mit einem Bußgeld geahndet werden (§ 73 Abs. 1a Nr. 7b IfSG).
Eine naheliegende Vorgehensweise für die Dokumentation bestünde darin, Kopien der vorgelegten Impfausweise und Atteste anzufertigen und diese aufzubewahren. Dadurch würden Einrichtungen aber gegebenenfalls solche Gesundheitsdaten erheben und speichern, die zur Beachtung des Masernschutzgesetzes nicht benötigt werden (z.B. den Impfstatus bezüglich anderer Infektionskrankheiten). Im Hinblick auf den Grundsatz der Datensparsamkeit und den besonderen Schutz von Gesundheitsdaten ist diese Vorgehensweisen daher in der Regel nicht mit den datenschutzrechtlichen Bestimmungen in Einklang zu bringen.
Vielmehr kann die Dokumentation der Kontrolle des Masern Impf- bzw. Serostatus durch die Anfertigung einer internen Aktennotiz über Vorlage und Sichtung des Impfausweises bzw. des ärztlichen Attestes erfolgen. Durch die Hinzuziehung einer zweiten in der Einrichtung beschäftigten Person kann außerdem in datenschutzkonformer Weise Missbrauch verhindert und der Beweiswert der Aktennotiz gestärkt werden (Vier-Augen-Prinzip).
Auch im geänderten IfSG wird der Grundsatz der Datensparsamkeit (§ 20 Abs. 9 S. 1 Nr. 3 IfSG) im Rahmen des Wechsels der Einrichtung berücksichtigt. Die Beschäftigten bzw. betreuten Personen müssen in diesem Fall nicht erneut ihren Impfausweis oder eine ärztliche Bescheinigung vorlegen. Haben sie ihren Impfschutz oder ihre Immunität schon einmal gegenüber einer Einrichtung nachgewiesen, können sie sich dies von einer staatlichen Stelle oder der Leitung der alten Einrichtung bestätigen lassen. Diese Bestätigung ist als Nachweis gegenüber der neuen Einrichtung ausreichend und muss von dieser akzeptiert werden. Eine erneute Vorlage des Impfausweises ist nicht notwendig und darf nicht verlangt werden.
III. Gestaltung der Aktennotiz
Die Aktennotiz über die Kontrolle des Impfstatus sollte aufgrund des Grundsatzes der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) nur solche personenbezogenen Daten enthalten, die für die Erfüllung der Pflichten aus dem IfSG erforderlich sind. Die Einrichtungen sollten daher prüfen, ob in der Aktennotiz der Name der Ärztin/des Arztes, die/der die Impfungen durchführte, notiert werden muss. In der Regel sollte dies nicht erforderlich sein.
Im Übrigen haben die Einrichtungen bei der Speicherung der Gesundheitsdaten ihrer Beschäftigten bzw. der von ihnen betreuten Personen angemessene und spezifische Maßnahmen zur Wahrung der Interessen dieser Personen vorzusehen (§ 20 Abs. 2 HDSIG für öffentliche Stellen in Hessen, bzw. § 22 Abs. 2 BDSG für andere Stellen). Dazu zählen angemessene technische und organisatorische Maßnahmen zum Schutze der Gesundheitsdaten wie z.B. Zugriffsbeschränkungen und die Sensibilisierung der Beschäftigten.