Datenschutz bei SARS-CoV-2-Testungen an öffentlichen Schulen

Auch für den Bayerischen Landesbeauftragten für Datenschutz (BayLfD) war der Berichtszeitraum 2021 auch im Schulbereich stark von der COVID-19-Pandemie und den daraus für alle bayerischen öffentlichen Stellen resultierenden Herausforderungen geprägt.

Im Berichtszeitraum 2021 erreichten den BayLfD, insbesondere als zunächst eine grundsätzliche Testobliegenheit sowie später der PCR-Pooltest als neues Testverfahren eingeführt wurden, eine Vielzahl von Beschwerden und Zuschriften Erziehungsberechtigter, die im Hinblick auf den Schutz der personenbezogenen Daten ihrer Kinder besorgt waren. Die an ihn in Bezug auf bayerische – insbesondere staatliche und kommunale – öffentliche Schulen herangetragenen Fragestellungen hat der BayLfD in seinem unten vermerkten 31. Tätigkeitsbericht 2021 vom 25.05.2022 unter Nr. 9.1 zusammenfassend wie folgt beantwortet:

1. SARS-CoV-2-Selbsttestungen in Schulen

„Im Laufe des Berichtszeitraums kamen an den bayerischen öffentlichen Schulen regelmäßig Corona-Selbsttests zum Einsatz. Diese Tests führten Schülerinnen und Schüler unter Aufsicht einer Lehrkraft durch. Die in Zuschriften an mich geäußerten Datenschutzbedenken zu diesem Verfahren konnte ich zwar nachvollziehen, weil so regelmäßig Mitschülerinnen und Mitschüler von einem positiven Testergebnis erfahren. Gleichwohl führte dies nicht dazu, dass eine Datenverarbeitung unzulässig war.“

1.1 Rechtsgrundlage zur Datenverarbeitung

„Nach Art. 6 Abs. 1 DSGVO darf auch eine Schule personenbezogene Daten der Schülerinnen und Schüler nur aufgrund einer Rechtsgrundlage verarbeiten. Dies gilt auch dann, wenn Schulen im Rahmen einer Testobliegenheit für den Präsenzunterricht personenbezogene Daten verarbeiten, wie etwa ein negatives Ergebnis eines PCR- oder PoC-Antigentests oder das Testergebnis des in der Schule unter Aufsicht durchgeführten Selbsttests.

Auch Gesundheitsdaten dürfen aufgrund von gesetzlichen Rechtsgrundlagen verarbeitet werden (vgl. Art. 9 Abs. 2 Buchst. g oder i DSGVO). Der Gesetzgeber hat in den im Berichtszeitraum erlassenen Bayerischen Infektionsschutzmaßnahmenverordnungen die rechtlichen Voraussetzungen für eine Datenverarbeitung durch die Schulen geschaffen … Zwar wurden die Bestimmungen der Bayerischen Infektionsschutzmaßnahmenverordnungen kontinuierlich fortgeschrieben und in Details geändert. Jedoch lassen sich die zentralen normativen Vorgaben zu den Selbsttests in der Schule während des Berichtszeitraums wie folgt beschreiben:

,Die Teilnahme am Präsenzunterricht, an sonstigen Schulveranstaltungen oder schulischen Ferienkursen in Präsenz sowie an der Mittags- und Notbetreuung ist Schülerinnen und Schülern nur erlaubt, wenn sie drei Mal wöchentlich einen in der jeweiligen Bayerischen Infektionsschutzmaßnahmenverordnung näher geregelten Testnachweis (PCR-Test, PoC-PCR-Test, PoC-Antigentest) erbringen oder in der Schule unter Aufsicht einen über die Schule zur Verfügung gestellten und dort zu verwendenden Selbsttest mit negativem Ergebnis vorgenommen haben. Die Schule verarbeitet das Testergebnis für die Zwecke der Aufrechterhaltung des Präsenzunterrichts. Eine Übermittlung von Testdaten an Dritte findet im Übrigen vorbehaltlich von Meldepflichten nach dem Infektionsschutzgesetz nicht statt. Das Testergebnis wird höchstens 14 Tage aufbewahrt.‘[1]

Die Schulen konnten sich somit auf die gesetzliche Befugnis zur Datenverarbeitung nach Art. 85 Abs. 1 Satz 1 Bayerisches Gesetz über das Erziehungs- und Unterrichtswesen (BayEUG) in Verbindung mit dieser Regelung der jeweils geltenden Bayerischen Infektionsschutzmaßnahmenverordnung berufen.

Beim Selbsttest im Klassenverband konnten Schülerinnen und Schüler bemerken, wenn bei einer oder einem anderen ein positives Testergebnis vorlag. In diesem Fall sollte sich die betroffene Person sofort absondern und der Schulbesuch durfte nicht weiter fortgesetzt werden. Spätestens bei Abholung einer positiv getesteten Schülerin oder eines positiv getesteten Schülers durch einen Erziehungsberechtigten erfuhren die übrigen Schülerinnen und Schüler faktisch das Testergebnis.

Selbst wenn man in dieser eben geschilderten Möglichkeit der Kenntnisnahme nicht nur einen faktischen Umstand sieht, sondern rechtlich eine Datenverarbeitung der Schule, so war sie durch die gesetzliche Befugnis im Grundsatz nach Art. 85 Abs. 1 Satz 1 BayEUG in Verbindung mit der oben genannten Regelung der jeweiligen Bayerischen Infektionsschutzmaßnahmenverordnung gedeckt. Soweit eine gesetzliche Befugnis die Datenverarbeitung – wie hier – erlaubt, ist die Einholung einer Einwilligung der betroffenen Personen nicht erforderlich.“

1.2 Speicherung der Testergebnisse der Selbsttests

„Abgesehen von der eben erwähnten zeitlichen Vorgabe zur Speicherung der Testergebnisse für höchstens 14 Tage machten die Bayerischen Infektionsschutzmaßnahmenverordnungen keine weiteren Vorgaben zur Aufbewahrung der Testergebnisse. Insofern gelten die allgemeinen Vorgaben des Datenschutzrechts. Nach dem Grundsatz der Integrität und Vertraulichkeit (Art. 5 Abs. 1 Buchst. f DSGVO) müssen personenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen.

Nach Art. 32 Abs. 1 DSGVO trifft der Verantwortliche unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Sachgerechte Lösungen waren vor dem Hintergrund dieser Vorgaben an den Schulen vor Ort zu entwickeln. Hierbei sollte die oder der behördliche Datenschutzbeauftragte eingebunden werden. Neben der Aufbewahrung der Dokumentation der Testergebnisse im Schultresor kam auch eine Ablage der Informationen zum Beispiel in einem verschließbaren Aktenschrank an einem allgemein nicht beliebig zugänglichen beziehungsweise absperrbaren Ort, etwa dem Sekretariat oder dem Büro der Schulleitung, in Betracht.“

1.3 Alternative: Externe PCR- oder PoC-Antigentests

„In diesem Zusammenhang ist noch hervorzuheben, dass die oben dargestellten Regelungen der Bayerischen Infektionsschutzmaßnahmenverordnungen als Alternative zum Selbsttest in der Schule die Möglichkeit boten, ein aktuelles negatives Ergebnis eines außerhalb der Schule durchgeführten PCR- oder PoC-Antigentests vorzuweisen. Somit konnte jeder, der keinen Selbsttest in der Schule im Klassenverband durchführen wollte, selbst außerhalb der Schule einen PCR- oder PoC-Test durchführen lassen und dessen aktuelles (negatives) Ergebnis in der Schule vorweisen, um den Präsenzunterricht besuchen zu können. Das Ergebnis war von der Schule in geeigneter Weise zu dokumentieren (zum Beispiel durch einen Aktenvermerk). Die Aufbewahrung des Originals oder einer Kopie des PCR- oder PoC-Testergebnisses, etwa in der Schülerakte, war jedoch nicht erforderlich und somit datenschutzrechtlich grundsätzlich nicht zulässig (Art. 5 Abs. 1 Buchst. e DSGVO).“

2. PCR-Pooltests an Grund- und Förderschulen

2.1 Testverfahren

„Im Schuljahr 2021/22 wurden in den Jahrgangsstufen 1 bis 4 sowie an Förderschulen mit den Schwerpunkten geistige Entwicklung, körperliche und motorische Entwicklung sowie Sehen die Corona-Selbsttests in den Schulen grundsätzlich durch das PCR-Pooltestverfahren abgelöst. Bei einem PCR-Pooltest werden Speichelproben von mehreren Personen gemeinsam in einer Gesamtprobe (dem ,Pool‘) untersucht. Dies geschieht, indem die Schülerinnen und Schüler für 30 Sekunden an einem Abstrichtupfer lutschen (wie an einem Lolli). Alle Abstrichtupfer einer Klasse kommen gemeinsam in einen Behälter. Es entsteht eine anonyme Sammelprobe. Im Anschluss werden die Speichelproben in ein Labor transportiert und mithilfe des PCR-Verfahrens ausgewertet. Zusätzlich zur Poolprobe wird noch eine Einzelprobe genommen. Diese wird ausschließlich dann ausgewertet, wenn der Pooltest positiv ausfällt. In diesem Fall kann schnell ermittelt werden, welches Kind betroffen ist. Ist der Pooltest negativ, werden die Proben entsorgt. Auch zu den PCR-Pooltests erreichten mich viele Anfragen und allgemeine Beschwerden. Insbesondere wurde dabei die Freiwilligkeit eingeholter datenschutzrechtlicher Einwilligungen und die Übermittlung der anonymisierten Daten von den Laboren an das Institut für Medizinische Informationsverarbeitung Biometrie und Epidemiologie (IBE) an der Ludwig-Maximilians-Universität München (LMU) thematisiert.“

2.2 Wissenschaftliche Begleitstudie

„Das Kultusministerium hat auf seiner Webseite[2] weitergehende umfangreiche Informationen insbesondere zum Testverfahren, zur Ergebnisübermittlung an die Erziehungsberechtigten, zur Einwilligungserklärung und zum Datenschutz sowie zur wissenschaftlichen Begleitstudie veröffentlicht. Danach werde die Speichelprobe der Schülerinnen und Schüler selbst nicht an die Forschungsgruppe weitergegeben. Das Forschungsinstitut erhalte nur die Auswertungsergebnisse der Poolproben und gegebenenfalls der Einzelproben. Diese Daten würden vollständig anonymisiert an das Forschungsinstitut weitergegeben, eine Rückverfolgung hin zu den Poolteilnehmerinnen und Poolteilnehmern sei dem IBE oder der LMU nicht möglich. Es werde somit nicht – wie in einigen an mich herangetragenen Anfragen und Beschwerden befürchtet wurde – mit der DNA der Schülerinnen und Schüler geforscht.“

2.3 Rechtsgrundlage zur Datenverarbeitung

„Die Teilnahme an zwei wöchentlichen PCR-Pooltests, die nun an die Stelle der Selbsttestungen treten konnte, war – ebenso wie die Teilnahme an den vorstehend bereits beschriebenen Selbsttests – für die Schülerinnen und Schüler freiwillig. Schülerinnen und Schülern, die nicht am PCR-Pooltest teilnehmen wollten, blieb auch hier die Möglichkeit, den geforderten negativen Testnachweis alternativ durch die Vorlage externer PCR- oder PoC-Antigentests zu erbringen. Diese Tests waren für die betroffenen Schülerinnen und Schüler kostenlos (§ 4a Coronavirus- Testverordnung – TestV).

Die Verarbeitung der personenbezogenen Daten der Schülerinnen und Schüler bei der Teilnahme an den PCR-Pooltests wurde, auch im Hinblick auf die Beteiligung von Laboren, auf eingeholte datenschutzrechtliche Einwilligungen der betroffenen Schülerinnen und Schüler beziehungsweise der Erziehungsberechtigten gestützt. Die Freiwilligkeit dieser Einwilligungen habe ich wegen der verbleibenden alternativen Nachweismöglichkeiten grundsätzlich als gewährleistet angesehen. Bei der erfolgten Ausgestaltung habe ich im Berichtszeitraum somit keinen Anlass zu aufsichtsrechtlichen Maßnahmen gesehen.[3]

Gleichwohl werde ich auch das Verfahren der PCR-Pooltests im Rahmen meiner Aufsichtszuständigkeit für die Verarbeitung personenbezogener Daten durch bayerische öffentliche Stellen weiter aufmerksam verfolgen.“

3. Verarbeitung des Impf- oder Genesenenstatus

„Mit zunehmendem Fortschritt der Impfkampagne und der Zulassung von Corona- Impfstoffen für jüngere Alterskohorten stellte sich auch die Frage, ob und wie die Schulen den Impf- oder Genesenenstatus der Schülerinnen und Schüler verarbeiten durften. Die hierzu im Berichtszeitraum eingegangenen Anfragen und Beschwerden habe ich auf Grundlage folgender Erwägungen beantwortet:“

3.1 Status befreit von der Testobliegenheit

„Die COVID-19-Schutzmaßnahmen-Ausnahmenverordnung stellte geimpfte Personen und genesene Personen mit negativ getesteten Personen gleich, wenn eine landesrechtliche Vorschrift vorgibt oder voraussetzt, dass eine Person negativ auf eine Infektion mit dem Coronavirus SARS-CoV-2 getestet ist. Somit konnten sich geimpfte oder genesene Schülerinnen und Schüler im Berichtszeitraum von der Testobliegenheit beziehungsweise Nachweispflicht eines negativen PCR- oder PoC-Antigentests nach der oben genannten Regelung der jeweiligen Bayerischen Infektionsschutzmaßnahmenverordnung befreien, wenn sie der Schule ihren Impfstatus oder ihren Genesenenstatus offenbarten. Ohne entsprechend negative Testung oder einen gleichgestellten Status konnte der Präsenzunterricht nicht besucht werden.“

3.2 Rechtsgrundlage zur Datenverarbeitung

„Bayerische öffentliche Schulen konnten im Berichtszeitraum nach Art. 85 Abs. 1 Satz 1 BayEUG in Verbindung mit der oben genannten Regelung der jeweiligen Bayerischen Infektionsschutzmaßnahmenverordnung und der COVID-19-Schutzmaßnahmen-Ausnahmenverordnung die Daten von Schülerinnen und Schülern verarbeiten, die erforderlich waren, um die bestehende Ausnahme vom Erfordernis eines negativen Testnachweises aufgrund des Status ,geimpft‘ oder ,genesen‘ festzustellen. Auch wenn es sich um Gesundheitsdaten handelte, konnten sie aufgrund von gesetzlichen Rechtsgrundlagen verarbeitet werden (vgl. Art. 9 Abs. 2 Buchst. g oder i DSGVO).

Eine Einwilligung war nicht notwendig. Aufgrund der Beschulung im Klassenverband war eine Kenntnisnahme des Status der anderen Schülerinnen und Schüler bereits durch die Abläufe nicht vermeidbar und insoweit auch von der gesetzlichen Regelung mit umfasst. Wer im Klassenverband nicht an der Testung teilnahm und auch keinen Testnachweis vorlegte, jedoch den Unterricht besuchte, war für die Mitschülerinnen und Mitschüler regelmäßig bereits dadurch als ,geimpft‘ oder ,genesen‘ erkennbar.

Datenschutzrechtlich war auch nichts dagegen einzuwenden, wenn die Schule Einsicht in den Nachweis des Impf- oder Genesenenstatus nahm und hierüber einen Aktenvermerk zwecks Dokumentation des Status in Bezug auf die Befreiung von der Testpflicht nach den Bayerischen Infektionsschutzmaßnahmenverordnungen anfertigte. Dies konnte etwa auch in Form der Führung einer Klassenliste (mit entsprechenden Markierungen zum Namen) geschehen. Eine solche Liste durfte aus Datenschutzsicht freilich nicht allgemein offen einsehbar sein.“

3.3 Freiwillige Offenbarung des Impf- oder Genesenenstatus

„Eine Auskunftspflicht der Schülerinnen und Schüler oder ihrer Erziehungsberechtigten über den Impf- oder Genesenenstatus gegenüber der Schule konnte ich allerdings nicht erkennen. Vielmehr erfolgte die Angabe des Impf- oder Genesenenstatus freiwillig. Für die Befreiung von der Testobliegenheit nach der jeweiligen Bayerischen Infektionsschutzmaßnahmenverordnung war die (freiwillige) Offenbarung des Impf- oder Genesenenstatus gleichwohl die Bedingung.

Aus Datenschutzsicht konnten mit diesem Befund daher grundsätzlich auch keine Einwände dagegen erhoben werden, wenn die Schule die Erziehungsberechtigten oder die Schülerinnen und Schüler nach dem Nachweis eines Impf- oder Genesenenstatus fragte, um auf diese Weise festzustellen, ob eine Befreiung von der Testobliegenheit vorliegt. Selbstverständlich sollte die Schule dabei nicht den Eindruck erwecken, dass eine Pflicht zur Offenbarung des Impf- oder Genesenenstatus bestehe. Den Schulen war daher zu empfehlen, die Erziehungsberechtigten vorab entsprechend zu informieren.“

Der 31. Tätigkeitsbericht des Bayerischen Landesbeauftragten für den Datenschutz vom 25.5.2022 ist hier abrufbar.

 

Entnommen aus der Fundstelle Bayern, Heft 17/2022, Rn. 211.

 

[1] Vgl. etwa § 12 Abs. 2 der 15. Bayerischen Infektionsschutzmaßnahmenverordnung (15. Bay- IfSMV) vom 23.11.2021 (BayMBl Nr. 816).

[2] Siehe https://www.km.bayern.de/allgemein/meldung/7451/haeufig-gestellte-fragen-faq-zuden- pooltests.html

[3] Siehe auch Bayerischer Verwaltungsgerichtshof, Beschluss vom 11.10.2021 – 25 NE 21.2525, BeckRS 2021, 30069, Rn. 14, 26, 30; Verwaltungsgericht Regensburg, Beschluss vom 21.10.2021 – RN 5 E 21.1961, BeckRS 2021, 32314, insbesondere Rn. 37.