Häufig gestellte Fragen im Zusammenhang mit der hessischen Impfkampagne

Wie erfolgt die Verarbeitung meiner personenbezogenen Daten, wenn ich mich für einen Impftermin in einem der hessischen Impfzentren registriere? Der Hessische Beauftragte für Datenschutz und Informationsfreiheit informiert über die Impfkampagne.

Fotolia_171059478_S.jpg

Businessmen and their customer are negotiating a trade agreement.

I. Wer ist datenschutzrechtlich verantwortlich für die Verarbeitung personenbezogener Daten im Rahmen der hessischen Impfkampagne und welche weiteren Stellen sind an der Datenverarbeitung beteiligt?

Die datenschutzrechtliche Verantwortlichkeit liegt bei den Landkreisen und kreisfreien Städten. Diese sind gem. § 2 Abs. 1 Hessisches Gesetz über den öffentlichen Gesundheitsdienst (HGöGD) Träger des öffentlichen Gesundheitsdienstes und haben im Rahmen dieser Aufgabe über Mittel und Zwecke der Verarbeitung personenbezogener Daten im Sinne des Art. 4 Nr. 7 Datenschutz-Grundverordnung (DS-GVO) bei der hessischen Impfkampagne zu entscheiden.

Die eingesetzten IT-Dienstleister, insbesondere die ekom21 als kommunaler IT-Dienstleister und die Firma Jupitec, welche die Softwarelösung für die Impfkampagne bereitstellt sowie die Betreiber der Telefonhotline, die Firma MD Medicus, sind Auftragnehmer der Landkreise und kreisfreien Städte und damit weisungsgebunden. Sie verarbeiten personenbezogene Daten der zu impfenden Personen im Auftrag der Landkreise und kreisfreien Städte auf der Grundlage eines Auftragsdatenverarbeitungsvertrages nach Art. 28 DS-GVO.

II. Wie kann ich mich über die Verarbeitung meiner Daten im Rahmen der Impfterminregistrierung informieren?

Die vom Hessischen Ministerium des Innern und für Sport bereitgehaltene Art. 13 DS-GVO-Information zur Datenverarbeitung bei der Terminvergabe für die hessischen Impfzentren ist abrufbar unter folgendem Link:

https://impfterminservice.hessen.de/sites/impfterminservice.hessen.de/fi...

III. Wer hat Zugriff auf die Terminvergabedatenbank und die dort verarbeiteten personenbezogenen Daten?

Auf die Terminvergabedatenbank haben Beschäftige der Impfzentren und der Callcenter Zugriff. Die Beschäftigten der hessischen Impfzentren können über eine passwort-basiertes Authentifikation auf die Datensätze der Bürger ihres Einzugsbereichs zugreifen. Die Beschäftigten der Callcenter können nach Eingabe der Registrierungsnummer sowie des Geburtsdatums eines Anrufers auf dessen bestehenden Datensatz zugreifen oder bei Neu-Registrierungen neue Datensätze anlegen.

Die Datenbanken der hessischen Impfzentren und die Terminvergabeplattform sind nicht miteinander verknüpft. Die Zugriffe auf die Datensätze der Terminvergabeplattform sind über eine Webanwendung möglich, die mittels einer VPN-Verbindung gesichert ist.

In der Terminvergabedatenbank kann der Check-In und der Check-Out im jeweiligen Impfzentrum dokumentiert werden. Dies dient dazu, bei nicht wahrgenommenen Impfterminen einen neuen Impftermin anbieten zu können und bei wahrgenommenen Impfangeboten, weitere Terminvergaben zu verhindern.

IV. Muss ich bei der telefonischen Impfterminvergabe oder bei der Online-Registrierung meine Vorerkrankungen oder berufliche Situation preisgeben?

Mit Wegfall der Priorisierung zum 07.06.2021 werden Nachweise zu Vorerkrankungen oder der beruflichen Situation nicht mehr verlangt und auch bei der Registrierung nicht mehr abgefragt.

Personen, die sich vor Wegfall der Priorisierung um einen Impftermin über den landesweiten Impfservice bemüht haben, mussten nach Mitteilung des Hessischen Ministeriums des Innern und für Sport sowie des eingesetzten Callcenter-Unternehmens bei der telefonischen Terminvergabe oder bei der Online-Registrierung nur angeben, dass sie aus medizinischen oder beruflichen Gründen einen priorisierten Impfanspruch haben und welcher Priorisierungsgruppe sie angehören. Eine konkrete Diagnose für eine aus medizinischen Gründen priorisiert zu impfende Person wurde dabei nicht abgefragt und auch nicht im System gespeichert. Gleiches gilt für Priorisierungen aus beruflichen Gründen. Der Nachweis eines entsprechenden priorisierten Impfanspruchs erfolgt erst im jeweiligen Impfzentrum.

Personen, die sich vor Wegfall der Priorisierung um einen Impftermin beworben haben, müssen auch nach Wegfall der Priorisierung entsprechende Nachweise im Impfzentrum vorlegen.

V. Dürfen Sammelmails für Beschäftigte bestimmter Berufsgruppen zur gemeinsamen Wahrnehmung eines Impftermins versandt werden?

Nein. Sofern bestimmte Arbeitgeber oder Leiter von Einrichtungen und Behörden für ihre Mitarbeiterinnen und Mitarbeiter Impftermine organisieren, sollte auf den Schutz der personenbezogenen Daten der Mitarbeiterinnen und Mitarbeiter geachtet werden. Etwa sollten keine Sammelmails versandt werden, die die Namen, Impftermine oder E-Mail-Adressen aller Beschäftigten in einer E-Mail enthalten. Auch sollte davon Abstand genommen werden, innerhalb einer Einrichtung Listen auszulegen, die die Namen von impfwilligen Personen enthalten. Impftermine sollten individuell mitgeteilt bzw. vereinbart werden. Aus „Sammelnachrichten“ oder frei zugänglichen „Impflisten“ könnten unberechtigte Dritte Rückschlüsse darauf ziehen, wer sich impfen lassen möchte und wer nicht. Die Impfung gegen das Corona-Virus ist freiwillig. Es soll verhindert werden, dass über eine soziale Ausgrenzung mittelbar ein Impfzwang eingeführt wird.

VI. Wie erfolgt die Verarbeitung meiner personenbezogenen Daten im Impfzentrum und wo erhalte ich konkrete Informationen zur Datenverarbeitung?

Im Impfzentrum werden die folgenden personenbezogenen Daten verarbeitet: Name, Adresse, Geburtsdatum, Impftermin und zu verabreichender Impfstoff, Vorgangskennung, Telefonnummer oder E-Mailadresse und ggf. Notfallkontakt und Priorisierungsgrund sowie Gesundheitsdaten etwa aus dem Anamnesebogen oder eines ärztlichen Aufklärungsgesprächs. Die Verarbeitungen beruhen auf der folgenden Rechtsgrundlage: Art. 6 Abs. 1 lit. b) DS-GVO, Art. 9 Abs. 2 lit. h), i) DS-GVO i. V. m. § 630a ff. BGB, § 20 Abs. 1 Nr. 2, 3 HDSIG, § 13 Abs. 5 IfSG.

Personenbezogene Daten aus den Impfzentren werden vor Ort gespeichert, Zugriff haben Mitarbeiterinnen und Mitarbeiter des Gesundheitsamts und solche Personen, die vor Ort im Impfzentrum tätig sind. Die Zugriffsrechte vor Ort sind beschränkt auf die jeweils übernommene Funktion im Impfzentrum. IT-Dienstleister haben im Rahmen der IT-Fernwartung Zugriff auf die personenbezogenen Daten, soweit dies für ihre Aufgabenerfüllung erforderlich ist.

Die Daten werden auf einem All-in-One-PC oder Notebook eingetragen, die Daten verbleiben auf Servern im jeweiligen Impfzentrum. Nach Abschluss der Impfkampagne verbleiben die Server im Verantwortungsbereich der datenschutzrechtlich verantwortlichen Landkreise und kreisfreien Städte.

Personen, die sich im Impfzentrum impfen lassen, sollten mit der Registrierung oder spätestens im jeweiligen Impfzentrum eine Information nach Art. 13 DS-GVO erhalten, die konkret über die Verarbeitung ihrer Daten und weitere Aspekte der Datenverarbeitung informiert.

VII. Muss ich meine gesetzliche Krankenkassenkarte im Impfzentrum vorlegen?

Die Abrechnung der Impfung erfolgt nicht über die Krankenkasse der zu impfenden Person. Die Vorlage und das Einlesen der Krankenkassenkarte ist für die Impfung daher grundsätzlich nicht erforderlich und nur aufgrund der Rechtsgrundlage der Einwilligung der betroffenen Person zulässig. Ein Auslesen der Krankenkassenkarte im Impfzentrum dient meist der Beschleunigung der Anmeldung, da die Daten der zu impfenden Personen dann nicht händisch eingetragen werden müssen.

VIII. Muss ich meine Vorerkrankungen zum Nachweis eines priorisierten Impfanspruchs preisgeben?

Personen, welche sich vor dem Wegfall der Priorisierung aus medizinischen Gründen für eine priorisierte Impfung im Impfportal des Landes registriert hatten, müssen ihren priorisierten Impfanspruch im konkreten Impfzentrum mittels eines ärztlichen Zeugnisses nachweisen. Dieses Attest muss nicht die konkrete Diagnose enthalten, welche den priorisierten Impfanspruch auslöst. Ausweislich einer Erklärung des Bundesgesundheitsministeriums genügt eine formlose ärztliche Bescheinigung: https://www.kbv.de/html/1150_50250.php.

Etwas Anderes galt für Personen, die sich vor dem Wegfall der Priorisierung mittels eines Härtefallantrags bei ihrem örtlich zuständigen Gesundheitsamt für einen Impftermin beworben hatten. Diese Personen mussten gegenüber dem jeweiligen Gesundheitsamt die konkrete Diagnose offenlegen. Nach § 6 Abs. 6 CoronaImpfV a.F. waren für diese Fälle die Gesundheitsämter alleinzuständig. Ein einfaches ärztliches Zeugnis genügte in diesen Fällen nicht.

IX. Wie lange werden für die Impfung erhobene personenbezogene Daten gespeichert?

Daten der Impf-Terminvergabe werden bis zur Schließung der Impfzentren vorgehalten und anschließend gelöscht. Dies dient der Verhinderung von Doppelregistrierungen.

Daten aus den Impfzentren werden entsprechend der Vorgabe des § 630f BGB für zehn Jahre aufbewahrt. Nach Abschluss der Impfkampagne werden die Datensätze von den zuständigen kreisfreien Städten und Landkreisen für die restliche Aufbewahrungszeit verwahrt.

SERVICE