„Klare Informationen wären schön gewesen“

In Baden-Württemberg versteht man dies zunächst wie Douglas: Als Teil der Maßnahmen zur Vermeidung der Erstellung unrichtiger Impfzertifikate müsse „eine Dokumentation (und zwar wohl durch die Apotheke) erfolgen, und zwar über die vorgenommene Identitäts- und Authentizitätsprüfung, über eine durchzuführende Belehrung, über die Konsequenzen der Vorlage einer unrichtigen Impfdokumentation‘ und über die Ausstellung des Impfzertifikats“ erfolgen. „Daran ist bemerkenswert, dass diese (ohnehin – z. B. hinsichtlich des Detailgrads der Dokumentation und der Speicherdauer – nicht ganz klaren) Vorstellungen der Autoren des Gesetzes im Gesetz kaum einen Niederschlag gefunden haben“. Wieso nur die in der Begründung genannten Maßnahmen geeignet und damit zwingend sein sollten, erschließe sich nicht vollständig.

Und wie ist nun mit dieser Differenz zwischen Gesetzesbegründung und Gesetzeswortlaut umzugehen? Das konnte man in Baden-Württemberg bis vergangene Woche noch nicht abschließend klären. „Wir werden uns hierzu mit den Datenschutzaufsichtsbehörden des Bundes und der Länder, mit der Landesapothekerkammer und anderen beteiligten Institutionen ins Benehmen setzen, um möglichst zu einer einheitlichen Auffassung zu gelangen“, so der Pressesprecher.

Bis dahin sieht man dort – im Ergebnis wie die ABDA – keine Veranlassung dafür, dass die Apotheker im Rahmen der Erstellung des Impfzertifikats personenbezogene Daten der Geimpften in eigener Verantwortung speichern. Die Ausführungen des Bundestagsausschusses für Gesundheit verstehe man bislang so, „dass die Dokumentation in einer personenbezogenen Weise durch die Apotheker vorgenommen werden muss“. Eine personenbezogene Speicherung durch die Apotheke selbst vorzunehmen, erscheint den Landesdatenschützern auch nicht erforderlich, um zu prüfen, „ob eine Eintragung beim RKI (bei dem ja die wesentlichen Informationen im Sinne des übermittelten Datensatzes gespeichert werden) tatsächlich von einer bestimmten Apotheke veranlasst wurde“. Für derartige Kontrollzwecke sei vielmehr ausreichend, wenn bei der Apotheke die Umstände vermerkt würden, dass zu einem bestimmten Zeitpunkt in einer bestimmten Apotheke nach Durchführung bestimmter Prüfungen und Erteilung von Hinweisen und gegebenenfalls durch eine bestimmte Person ein Zertifikat beim RKI eingeholt wurde, ohne dass weitere individualisierbare Merkmale der geimpften Person gespeichert werden müssten.

Hinweis auf Datenminimierung

Und der Landesdatenschützer schwenkt noch mehr auf ABDA-Linie: „Wir sehen daher derzeit nicht nur keine Verpflichtung, sondern auch keine Berechtigung der Apotheke, personenbezogene Daten der geimpften Person zu speichern. Für die Speicherung solcher Daten bedürfte es neben einer Rechtsgrundlage eines legitimen Zwecks und der Wahrung des Grundsatzes der Datenminimierung nach Artikel 5 Absatz 1 Buchstaben a, b, c DSGVO. Solange allein die Vorlage des Impfnachweises und die Authentifizierung ohne die Verarbeitung personenbezogener Daten rechtlich verbindlich vorgesehen sind, können wir einen legitimen Zweck für die Speicherung der Daten nicht erkennen“.

Auch mit Blick auf das Risiko, wegen Ausstellung unrichtiger Gesundheitszeugnisse strafrechtlich belangt zu werden, sei eine personenbezogene Speicherung nicht zuzulassen – schließlich sei hier nur die vorsätzliche Begehungsweise strafbar.