Beschränkungen der Rechte und Pflichten aus den Artikeln 12 bis 22 der DS-GVO können nach Art. 23 DS-GVO nur unter strengen Voraussetzungen durch nationales Recht vorgenommen werden. Diese Voraussetzungen waren bei dem Ausschluss von Betroffenenrechten durch die Hessische Coronavirus-Schutzverordnung (CoSchuV) nicht vollständig erfüllt. Der HBDI hat sich erfolgreich für die Aufhebung dieser Einschränkungen und für den Schutz der Betroffenenrechte eingesetzt.
I. Ausschluss der Betroffenenrechte
§ 4 Nr. 3 der Hessischen Coronavirus-Schutzverordnung (CoSchuV) in der Fassung vom 22.06.2021 regelte, dass die Artikel 13, 15, 18 und 20 der DS-GVO bei der Corona-Kontaktdatenerhebung keine Anwendung finden.
Bei der nach § 28a Abs. 4 des Infektionsschutzgesetzes (IfSG) i.V.m. der CoSchuV verpflichtenden Kontaktdatenerhebung für Gastronomen, Veranstalter oder andere Einrichtungen mussten die betroffenen Personen daher nicht nach Art. 13 DS-GVO informiert werden. Auch der Auskunftsanspruch nach Art. 15 DS-GVO und die Rechte auf Einschränkung der Verarbeitung (Art. 18 DS-GVO) und Datenübertragbarkeit (Art. 20 DS-GVO) waren ausgeschlossen.
II. Rechtliche Bewertung
Nach Art. 23 DS-GVO können die Rechte und Pflichten gemäß Art. 12 bis 22 DS-GVO durch Rechtsvorschriften der Mitgliedsstaaten im Wege von Gesetzgebungsmaßnahmen beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die eines der in Art. 23 Abs. 1 lit. a bis j DS-GVO genannten Ziele sicherstellt.
Grundsätzlich können Beschränkungen nach Art. 23 DS-GVO auch durch Rechtsverordnungen erfolgen, da nach Erwägungsgrund 41 der DS-GVO eine „Gesetzgebungsmaßnahme“ nicht notwendigerweise einen von einem Parlament angenommenen Gesetzgebungsakt erfordert.
Auch ein berechtigtes Ziel der Einschränkungen in Form des Schutzes sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses im Bereich der öffentlichen Gesundheit (Art. 23 Abs. 1 lit. e DS-GVO) konnte angenommen werden.
Zweifelhaft war aber, ob die Einschränkungen zur Verfolgung dieses Ziels überhaupt erforderlich waren. Die Zweifel rührten daher, dass der Bundesgesetzgeber generell keinen Bedarf für die Einschränkungen gesehen hat, obwohl er die Kontaktnachverfolgung in § 28a Abs. 4 IfSG ausführlich geregelt hat.
Auch im Übrigen war die Notwendigkeit und die Verhältnismäßigkeit des Ausschlusses der Betroffenenrechte nicht erkennbar. Die Erfüllung der Betroffenenrechte ist für die verantwortlichen Stellen insbesondere nicht mit einem ungewöhnlich hohen Aufwand verbunden, der die Kontaktnachverfolgung wesentlich erschweren würde.
III. Betroffenenrechte im Einzelnen
Die Voraussetzungen des Art. 23 Abs. 1 DS-GVO müssten darüber hinaus für jede Einschränkung eines Betroffenenrechts und für jede Kategorie von Verantwortlichen gesondert vorliegen.
Die Informationspflicht nach Art. 13 DS-GVO kann durch die Gastronomen, Veranstalter und sonstigen Einrichtungen durch Bereitstellung einer entsprechenden Erklärung ohne größeren Aufwand erfüllt werden. Hierbei können Musterdokumente verwendet werden. Die Betreiber der Luca App stellen z.B. auch ein konkretes Musterdokument für eine Information nach Art. 13 DS-GVO zur Nutzung des Luca Systems zur Verfügung.
Auch die Notwendigkeit und Verhältnismäßigkeit des pauschalen Ausschlusses der Rechte aus Art. 15, 18 und 20 DS-GVO war nicht ersichtlich.
Bei dem Auskunftsrecht nach Art. 15 DS-GVO handelt es sich um eines der elementarsten Betroffenenrechte der DS-GVO, durch das die betroffene Person einen Überblick über die Verarbeitung ihrer Daten bekommen soll. Stichhaltige Gründe für die grundsätzliche Unanwendbarkeit dieses Rechts waren nicht erkennbar.
Ebenso war der pauschale Ausschluss der Rechte auf Einschränkung der Verarbeitung und Datenübertragbarkeit nicht gerechtfertigt, auch wenn diesen Rechten bei der Kontaktdatenerhebung eher eine geringere Bedeutung zukommt.
IV. Intervention durch den HBDI
Der HBDI hat sich aus diesen Gründen für eine Streichung des § 4 Nr. 3 CoSchuV eingesetzt. Mit der Überarbeitung der CoSchuV zum 19.08.2021 wurde diese Forderung vom Verordnungsgeber berücksichtigt und § 4 Nr. 3 CoSchuV ersatzlos gestrichen. Die Betroffenenrechte nach der DS-GVO sind nunmehr auch bei der Kontaktdatenerfassung uneingeschränkt anwendbar.
Stand: 19.08.2021