Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) veröffentlichte am 22. Januar 2021 datenschutzrechtliche Anforderungen für die Erhebung von Gesundheitsdaten durch Private im Zusammenhang mit der Pandemiebekämpfung.
Der EDÖB begründet dies mit der Erwägung verschiedener privater Anbieter, "den Zugang zu Gütern oder Leistungen zu gegebener Zeit von der Bekanntgabe von Testresultaten oder Impfnachweisen abhängig zu machen".
In diesem Zusammenhang hält er u.a. folgendes fest: "Machen Private den Zugang zu Gütern oder Leistungen von der Preisgabe von Gesundheitsdaten abhängig, kann dies die Persönlichkeit der Betroffenen verletzen. Gemäss Art. 28 Abs. 2 ZGB und 13 DSG ist eine solche Verletzung nur zulässig, wenn sie durch Einwilligung der Verletzten, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist".
Im schweizerischen Datenschutzrecht gilt der Grundsatz der Erlaubnis mit Verbotsvorbehalt. Danach ist im Privatbereich weder eine datenschutzrechtliche Einwilligung noch ein anderer datenschutzrechtlicher Rechtfertigungsgrund als Voraussetzung für die Bearbeitung von Personendaten erforderlich, sofern insbesondere die (i) Bearbeitungsgrundsätze (Art. 4 ff. DSG i.V.m. Art. 12 Abs. 2 lit. a DSG) eingehalten werden, (ii) keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile an echte Dritte bekanntgegeben werden (Art. 12 Abs. 2 lit. c DSG) und (iii) kein ausdrücklicher Widerspruch der betroffenen Person vorliegt (Art. 12 Abs. 2 lit. b DSG).
Vor diesem Hintergrund ist die oben genannte Anforderung des EDÖB so zu verstehen, dass ein Rechtfertigungsgrund nur dann erforderlich ist, wenn die Voraussetzungen von (i) - (iii) nicht eingehalten werden.
Des Weiteren verweist der EDÖB auf nachfolgende Vorgaben:
(a) Geeignetheit der Bearbeitung: "Um den datenschutzrechtlichen Grundsatz der Verhältnismässigkeit zu erfüllen, muss die Beschaffung und Weiterbearbeitung der Personendaten geeignet sein, den verfolgten Zweck zu erfüllen. Bei [dieser] Beurteilung (...) sind Stellungnahmen der zuständigen Gesundheitsbehörden, namentlich des Bundesamtes für Gesundheit, zur Aussagekraft der Tests und zu den Auswirkungen der Impfung zu berücksichtigen (...)".
(b) Zumutbarkeit der Bearbeitung: "Von der Beschaffung der erwähnten Personendaten ist abzusehen, wenn der Zugang zu Gütern oder Leistungen davon abhängen würde, der Verzicht auf diese unzumutbar wäre und der Zugang auch nicht anderweitig in zumutbarer Weise gewährleistet wäre".
(c) Umfang der Bearbeitung und Datensicherheit: "Nach der Beurteilung des Zugangs ist auf eine Speicherung oder Weitergabe der beschafften Personendaten zu verzichten, soweit eine Weiterbearbeitung dieser Daten nicht unbedingt nötig und sachlich begründet oder von Betroffenen ausdrücklich verlangt ist (...)".
(d) Art der Bearbeitung: "Es gibt Personen, die nicht willens sind, ein mit einem bestimmten Programm bestücktes Smartphone vorzuzeigen (...). Diesen Personen sind zumutbare Alternativen zur digitalen Beschaffung der erwähnten Personendaten unter vergleichbaren Bedingungen anzubieten".
(e) Transparenz der Bearbeitung: "Die Betroffenen sind umfassend und verständlich über den Zweck und die Modalitäten der Datenbeschaffung und allfälligen Weiterbearbeitung der erwähnten Personendaten zu informieren".
Diese Anforderungen (insbesondere (b) sowie (d)) sind im Lichte der Privatautonomie sowie Vertragsfreiheit und der grundsätzlich fehlenden direkten Drittwirkung von Grundrechten im Privatbereich zu betrachten. Danach wäre bspw. eine echte Pflicht für Alternativangebote im Privatbereich nur in Ausnahmefällen denkbar.
Michal Cichocki