Reihentestungen in Rehabilitations- und Pflegeeinrichtungen

Im Verlauf der COVID-19-Pandemie erreichte den Bayerischen Landesbeauftragten für Datenschutz (BayLfD) eine Beratungsanfrage der behördlichen Datenschutzbeauftragten einer Kreisverwaltungsbehörde im Zusammenhang mit gesundheitsbehördlich angeordneten Reihentestungen von Bewohnerinnen, Bewohnern und des Personals in Rehabilitations- und Pflegeeinrichtungen auf den Erreger SARS-CoV-2. Über seine Antwort an die kommunale Datenschutzbeauftragte berichtet der BayLfD in seinem unten vermerkten 1. Tätigkeitsbericht 2021 vom 25.05.2022 unter Nr. 7.3 im Einzelnen Folgendes:

Erfolgt die Datenerhebung aufgrund einer behördlichen Anordnung oder aufgrund einer datenschutzrechtlichen Einwilligung?

„Zunächst wurde die Frage aufgeworfen, ob es im Wirkungsbereich einer gesundheitsbehördlich angeordneten Reihentestung in einer konkreten Pflegeeinrichtung hinsichtlich der damit beabsichtigten umfassenden Erhebung von Testergebnissen einer datenschutzrechtlichen Einwilligung der betroffenen Personen bedarf. Dabei wurde innerhalb des verantwortlichen Landratsamtes im Austausch mit der behördlichen Datenschutzbeauftragten diskutiert, ob es insofern maßgeblich auf eine Abwägung des (möglicherweise als vorrangig zu beurteilenden) öffentlichen Interesses gegenüber dem Interesse der betroffenen Personen ankommen könnte.

Dazu habe ich die folgenden datenschutzrechtlichen Hinweise gegeben: Tritt in Einrichtungen, wie zum Beispiel einem Senioren- oder Pflegeheim, ein COVID-19-Fall auf, ist aufgrund der Art der Übertragung von SARS-CoV-2 (angesichts der seinerzeit im November/Dezember 2020 noch mangelnden Verfügbarkeit eines Impfstoffs) von einem allgemeinen Ansteckungsverdacht in Bezug auf das (Pflege-)Personal sowie die Bewohnerinnen und Bewohner auszugehen.

In der Regel legitimiert dieser Ansteckungsverdacht gemäß § 25 Abs. 1, Abs. 3 Satz 2 Infektionsschutzgesetz (IfSG) die behördliche Anordnung der Reihenuntersuchung (im Gegensatz zu einer anlasslosen Reihentestung, die nach § 25 IfSG nicht erlaubt wäre) …

Gemäß § 25 Abs. 2 Satz 1 IfSG in Verbindung mit § 16 Abs. 1 Satz 2 IfSG kann die zuständige Behörde im Rahmen ihrer sogenannten Ermittlungsmaßnahmen personenbezogene Daten erheben … Die Datenschutz-Grundverordnung lässt derartige, auf Fachrecht beruhende Anordnungen, die eine datenschutzrechtliche Verarbeitungsbefugnis vermitteln, auf nationaler Ebene zu (siehe Art. 6 Abs. 1 Unterabs. 1 Buchst. e, Abs. 2, Abs. 3 Unterabs. 1 Buchst. b DSGVO).

Neben einer solchen nationalen Regelung, welche die zweckgebundene Verarbeitung von Gesundheitsdaten erlaubt, bleibt für eine datenschutzrechtliche Einwilligung grundsätzlich kein Raum. Dies verdeutlicht beispielsweise Erwägungsgrund 54 Satz 1 DSGVO:

,Aus Gründen des öffentlichen Interesses in Bereichen der öffentlichen Gesundheit kann es notwendig sein, besondere Kategorien personenbezogener Daten auch ohne Einwilligung der betroffenen Person zu verarbeiten.‘

Für das Zusammenspiel zwischen Einwilligung und gesetzlichen Erlaubnistatbeständen wird hier deutlich, dass die Einwilligung nicht als Ergänzung neben die gegebene Anordnungsbefugnis treten soll. Denn grundsätzlich ist nicht zu empfehlen, eine Verarbeitung sowohl auf eine datenschutzrechtliche Einwilligung als auch auf einen gesetzlichen Verarbeitungstatbestand zu stützen. Unzulässig sind Einwilligungen regelmäßig auch dann, wenn die Anwendung eines im Grunde einschlägigen gesetzlichen Verarbeitungstatbestands an einem Grundsatz der Verarbeitung personenbezogener Daten (Art. 5 Abs. 1 DSGVO) scheitert. Dabei soll zugleich vermieden werden, dass die datenverarbeitende Stelle etwa im Falle der Verweigerung, des Widerrufs oder der Unwirksamkeit einer Einwilligung doch wieder auf einen gesetzlichen Erlaubnistatbestand zurückgreifen könnte.[1]

Dies ist auch unter dem Aspekt der Freiwilligkeit der Einwilligung folgerichtig. Gemäß Art. 4 Nr. 11 DSGVO ist die Einwilligung eine freiwillige Willensbekundung … Von Freiwilligkeit kann jedoch keine Rede sein, sofern die betroffene Person zu einem bestimmten Tun, Dulden oder Unterlassen aufgrund einer behördlichen Anordnung verpflichtet ist.

Im Ergebnis ist festzuhalten, dass die Erhebung personenbezogener Testergebnisse durch die zuständige Behörde im Rahmen einer von ihr gemäß § 25 IfSG angeordneten Reihenuntersuchung auf den Erreger SARS-CoV-2 in einer (Rehabilitations- und Pflege-)Einrichtung keiner zusätzlichen Einwilligung der betroffenen Personen bedarf. Auf die in diesem Zusammenhang seitens des zuständigen Landratsamtes mir gegenüber als Argument in Betracht gezogene Abwägung zwischen dem öffentlichen Interesse und den privaten Interessen des Betroffenenkreises kommt es insofern nicht an.“

Besteht eine Übermittlungsbefugnis des Gesundheitsamts auf Ersuchen der Einrichtungsleitung?

„Im Anschluss wurde von Seiten der behördlichen Datenschutzbeauftragten des verantwortlichen Landratsamtes die Frage an mich herangetragen, ob das betreffende Gesundheitsamt die Ergebnisse sämtlicher aufgrund entsprechender Anordnung getesteten Personen (sowohl der Beschäftigten als auch der Bewohnerinnen und Bewohner und gegebenenfalls der Patientinnen und Patienten) an die Einrichtungsleitung (auf deren Ersuchen hin) übermitteln darf.

Aus datenschutzrechtlicher Sicht ist in Fällen dieser Art Folgendes zu beachten: Wie ich in meinem 30. Tätigkeitsbericht 2020 unter Nr. 3.3 ausgeführt habe, darf das Gesundheitsamt Testergebnisse unmittelbar an die Einrichtungsleitung übermitteln, wenn dies zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich ist und die betroffene Person aus körperlichen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben (Art. 6 Abs. 1 Unterabs. 1 Buchst. d, Art. 9 Abs. 2 Buchst. c DSGVO). Naturgemäß können diese Tatbestandsmerkmale nicht allgemein und pauschal für alle betroffenen Personenkategorien in einer Einrichtung bejaht werden; vielmehr bedarf es grundsätzlich einer eigenständigen Prüfung in jedem Einzelfall.

Diese Voraussetzungen sind bei Mitarbeiterinnen und Mitarbeitern der Einrichtung, die weder aus körperlichen noch aus rechtlichen Gründen außerstande sind, ihre Einwilligung zu erteilen, nicht gegeben. Es stellt sich dann die Frage, ob es nach geltendem Datenschutzrecht der Einwilligung jeder oder jedes einzelnen Beschäftigten bedarf, um das jeweilige Testergebnis an die Einrichtungsleitung übermitteln zu dürfen, oder ob eine anderweitige Rechtsgrundlage für die Übermittlung existiert.

Gemäß Art. 6 Abs. 1 Unterabs. 1 Buchst. e, Abs. 2, Abs. 3 Unterabs. 1 Buchst. b, Art. 9 Abs. 2 Buchst. i DSGVO kann die Verarbeitung aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren, zulässig sein, wenn dies erforderlich und in einem nationalen Gesetz vorgesehen ist, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Personen, insbesondere des Berufsgeheimnisses, vorsieht.

Nachdem sich die betroffenen Personen vorliegend nicht freiwillig, sondern aufgrund einer verpflichtenden Anordnung des Gesundheitsamtes einem Test auf SARS-CoV 2 unterzogen hatten, ist die Verbotsnorm des Art. 30 Abs. 1 Satz 3 Gesundheitsdienst- und Verbraucherschutzgesetz (GDVG) – mangels Freiwilligkeit der Testung – nicht einschlägig. Folglich ist der Anwendungsbereich des Art. 30 Abs. 2 GDVG, der Ausnahmen von diesem Verarbeitungsverbot regelt, ebenfalls nicht eröffnet.

Da sich meines Erachtens darüber hinaus auch aus dem Infektionsschutzgesetz (insbesondere aus § 27 IfSG) keine Unterrichtungs- oder Übermittlungsbefugnisse gegenüber (der Leitung von) Pflege- und Rehabilitationseinrichtungen ergeben (und ein Rückgriff auf Verarbeitungsbefugnisse aus dem BayDSG am Vorrang des spezialgesetzlichen Regelungsregimes des GDVG und des IfSG scheitert), verbleibt nur mehr die Einwilligung gemäß Art. 6 Abs. 1 Unterabs. 1 Buchst. a, Art. 9 Abs. 2 Buchst. a, Art. 4 Nr. 11, Art. 7 DSGVO als mögliche Rechtsgrundlage für eine entsprechende Datenübermittlung durch das Gesundheitsamt.

Allerdings sind im Rahmen eines ,klaren Ungleichgewichts‘ zwischen dem Verantwortlichen und der betroffenen Person generell besonders hohe Anforderungen an die Freiwilligkeit der Einwilligung zu stellen, siehe Erwägungsgrund 43 Satz 1 DSGVO:[2]

,Um sicherzustellen, dass die Einwilligung freiwillig erfolgt ist, sollte diese in besonderen Fällen, wenn zwischen der betroffenen Person und dem Verantwortlichen ein klares Ungleichgewicht besteht, insbesondere wenn es sich bei dem Verantwortlichen um eine Behörde handelt, und es deshalb in Anbetracht aller Umstände in dem speziellen Fall unwahrscheinlich ist, dass die Einwilligung freiwillig gegeben wurde, keine gültige Rechtsgrundlage liefern.‘

Dies gilt speziell für das Verhältnis zwischen Mitarbeiterinnen und Mitarbeitern und der Einrichtungsleitung. Angesichts des im Beschäftigungsverhältnis typischerweise bestehenden Abhängigkeitsverhältnisses dürfte die Freiwilligkeit einer Einwilligung im Sinne des Art. 4 Nr. 11 DSGVO daher regelmäßig zweifelhaft sein. So könnte allenfalls dann, wenn es möglich wäre, sicherzustellen, dass bei einer Einwilligungsverweigerung keinerlei Nachteile entstehen, die Unfreiwilligkeit der Einwilligung vermieden werden. Wie das konkret gelingen kann, erscheint jedoch fraglich.

Vor diesem Hintergrund dürfte es aus meiner Sicht effektiv kaum gelingen, bei Patientinnen und Patienten, bei Bewohnerinnen und Bewohnern und auch bei Beschäftigten einer (Rehabilitations- und Pflege-)Einrichtung geeignete Maßnahmen vorzusehen, die den betroffenen Personen den Einwilligungsdruck nehmen und folglich eine Freiwilligkeit der Einwilligung im Rechtssinne gewährleisten könnten. Ohne tatsächlich belegbare Maßnahmen zur Herbeiführung der Freiwilligkeit verblieben erhebliche Zweifel an der Wirksamkeit einer solchen Einwilligung.

Somit kann die Einrichtungsleitung ihre an das Gesundheitsamt gerichtete Bitte um Übermittlung sämtlicher Ergebnisse einer gesundheitsbehördlich angeordneten Reihentestung nicht auf eine wirksame Einwilligung der betroffenen Personen stützen, da es der Einrichtungsleitung regelmäßig nicht gelingen dürfte, besondere Maßnahmen zur Gewährleistung der Freiwilligkeit nachzuweisen.“

Entnommen aus Fundstelle Bayern, 19/2022, Rn. 236.

[1] Siehe Buchner/Petri, in: Kühling/Buchner, Datenschutz-Grundverordnung/Bundesdatenschutzgesetz, 3. Auflage 2020, Art. 6 DSGVO Rn. 23.

[2] Siehe zur Unfreiwilligkeit in sozialen Abhängigkeitsverhältnissen: Klement, in: Simitis/Hornung/ Spiecker gen. Döhmann, Datenschutzrecht, 2019, Art. 7 DSGVO Rn. 64.