Datenschutzkonformes Auslesen und Prüfen digitaler Impfnachweise

Der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) hat die Nr. 40 seiner sog. „Aktuelle Kurz-Information (AKI)“ dem datenschutzkonformen Auslesen und Prüfen digitaler Impfnachweise gewidmet.

Ein digitales Zertifikat enthält neben den Grunddaten (Name und Vornamen, Geburtsdatum und Typ des Nachweises) insbesondere folgende Daten:

• bei einem Impfnachweis: Impfstoff; Impfstoffhersteller; Anzahl der Impfungen; jeweiliges Datum der einzelnen Impfungen; Land, in dem die jeweilige Impfung erfolgte;
• bei einem Testnachweis: Art des Tests; Herstellerdaten; Datum der Testdurchführung; Ergebnis des Tests; Testzentrum; Land, in dem die Testung stattfand;
• bei einem Genesenennachweis: Datum des ersten positiven Tests; Land, in dem der Test durchgeführt wurde.

Der BayLfD schildert fasst die Kernaussagen der AKI 40 wie folgt zusammen:

• Ein gesicherter digitaler Impfnachweis ist nur im QR-Code enthalten und kann zuverlässig mit technischen Hilfsmitteln geprüft werden.
• Zur Prüfung kann die CovPassCheck-App verwendet werden. Die CovPass-App oder die Corona-WarnApp darf dafür nicht verwendet werden.
• Bei der Prüfung muss der Grundsatz der Datenminimierung beachtet werden.

Nach Auffassung des BayLfD ist für eine Prüfung ausschließlich eine Prüf-App zu nutzen (CovPassCheck) und nicht eine App, die zum Speichern der Zertifikate verwendet wird (CovPass- oder CoronaWarn-App), da ansonsten die Zertifikate nicht geprüft, sondern auf dem Mobiltelefon der prüfenden Person dauerhaft gespeichert würden.
Wichtige Hinweise erfolgen auch unter dem Aspekt der Datensparsamkeit gem. Art. 5 Abs. 1 lit. c) DS-GVO .

Danach müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Möchte ein Verantwortlicher beispielsweise den 3G-Status einer Person prüfen, so sieht der BayLfD es nicht als nicht notwendig an, den verwendeten Impfstoff zu erheben. Grundsätzlich sei es im Rahmen von 3G-Zutrittsregeln nicht einmal nötig, zwischen Impf-, Genesenen- und Testnachweis zu unterscheiden.

Der Bayerische Landesbeauftragte für den Datenschutz (BayLfD)

(Foto: lettas – stock.adobe.com)