3. Rechtfertigung ohne Rücksicht auf eine erteilte Einwilligung

Damit stellt sich die Frage, ob fü r die Erhebung von Testergebnissen und/oder qualifizierten Auskü nften durch die Schulen und unabhä ngig vom Vorliegen einer Einwilligung eine andere tragfä hige Rechtsgrundlage gegeben ist.

Mangels einer erteilten Einwilligung der betroffenen Person (Art. 9 Abs. 2 lit. a DSGVO) und aufgrund der grundsä tzlichen rechtlichen Bedenken gegen eine Freiwilligkeit bei der Abgabe solcher Einwilligungserklä rungen kommen fü r die Erhebung der Gesundheitsdaten von Schü lerinnen und Schü lern durch die Schule als Rechtsgrundlagen nur die folgenden Rechtfertigungsgrü nde der DSGVO in Betracht:

· Art. 9 Abs. 2 lit. g (erhebliches ö ffentliches Interesse),

· Art. 9 Abs. 2 lit. h (Versorgung im Gesundheitsbereich),

· Art. 9 Abs. 2 lit. i (Verarbeitung aus Grü nden des ö ffentlichen Interesses im Bereich der ö ffentlichen Gesundheit) und

· Art. 9 Abs. 2 lit. j (Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats fü r statistische Zwecke).

Da die Testpflicht im Schulwesen nicht der individuellen Gesundheitsvorsorge dient, sondern ö ffentliche Gesundheitsinteressen verfolgt, kommt vorliegend ausschließ lich Art. 9 Abs. 1 lit. i DSGVO als Rechtsgrundlage fü r die Verarbeitung von Gesundheitsdaten von Schü lerinnen und Schü lern in Betracht. Daran ist jegliche Vorschrift zu messen, welche den Zutritt zum Schulgelä nde vom Nachweis eines negativen Tests abhä ngig macht.

Art. 9 Abs. 1 lit. i DSGVO stellt an die Datenschutzkonformitä t einer Rechtsvorschrift folgende Anforderungen:

„(…) die Verarbeitung ist aus Grü nden des ö ffentlichen Interesses im Bereich der ö ffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzü berschreitenden Gesundheitsgefahren (…), auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene und spezifische Maß nahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, (…), vorsieht, erforderlich (…)“

Das Zutrittsverbot ohne negativen Test soll dem ö ffentlichen Interesse im Bereich der ö ffentlichen Gesundheit Rechnung tragen und kommt daher als „Recht eines Mitgliedstaats, das angemessene und spezifische Maß nahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person vorsieht“ grundsä tzlich in Betracht. Es mü sste sich bei der Vorschrift, welche ein solches Zutrittsverbot statuiert, um das Rechts eines Mitgliedstaats handeln, das angemessene und spezifische Maß nahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person vorsieht (vgl. § 9 Abs. 1 lit. i DSGVO). Andernfalls wä re eine Erhebung der beabsichtigten Gesundheitsdaten durch die Schulen auf der Grundlage von Corona-Schutzverordnungen datenschutzwidrig und es kö nnte eine Untersagung der Teilnahme am Prä senzunterricht nicht von dem Fehlen einer solchen datenschutzwidrigen Datenerhebung abhä ngig gemacht werden.

Gemä ß Erwä gungsgrund 75 der DSGVO sind die Rechte und Freiheiten betroffener Personen unter anderem verletzt im Falle von

• Diskriminierung (Kinder mit positivem Testergebnis oder Kinder, die eine Einwilligung in die Durchfü hrung von Tests verweigern werden z. B. ausgegrenzt und stigmatisiert)
• Identitä tsdiebstahl oder -betrug (z. B. missbrä uchliche Verwendung etwaiger unzulä ssig erhobener genetischer Sequenzierungen)
• finanziellem Verlust (z. B. Verdienstausfä lle bei positiv Getesteten und Kontaktpersonen von positiv Getesteten aufgrund der Anordnung von Quarantä ne)
• Rufschä digung (z. B. Verleumdung als sog. „Corona-Leugner“ bei Verweigerung einer Einwilligung in die Durchfü hrung von Tests oder als „Seuchenbringer“, falls auf jemand auf dem Schulgelä nde in einer fü r andere Schulangehö rige sichtbaren Weise positiv getestet wird)
• Verlust der Vertraulichkeit (z. B. Bekanntwerden von Gesundheitsdaten ü ber den Kreis von zur Verarbeitung Berechtigten hinaus),
• Verlust der Kontrollmö glichkeit von Gesundheitsdaten (z. B. unzulä ssige Weiterverarbeitung von positiven Testergebnissen durch Unbefugte)
• anderen wirtschaftlichen oder gesellschaftlichen Nachteilen (z. B. Untersagung der Teilnahme an Prä senzunterricht bei unzutreffenden Testergebnissen,

die sich aus Datenschutzverletzungen ergeben kö nnen.

Um solchen Rechts- und Freiheitsverletzungen infolge von Datenschutzverletzungen vorzubeugen, mü sste die einschlä gige Corona-Schutzverordnung gemä ß Art. 9 Abs. 2 lit. i DSGVO also angemessene und spezifische Maß nahmen fü r den Datenschutz vorsehen.

Die Verordnung mü sste also spezifisch regeln, wie bei der Erhebung von Gesundheitsdaten den datenschutzrechtlichen Grundsä tzen nach Art. 5 Abs. 1 DSGVO entsprochen wird, um Datenschutzverletzungen und infolge dessen Verletzungen von Rechten und Freiheiten der Betroffenen auszuschließ en. Dabei handelt es sich um die Grundsä tze

• der Rechtmä ß igkeit (Verbot mit Erlaubnisvorbehalt) gemä ß Art. 5 Abs. 1 lit. a DSGVO,
• von Treu und Glauben gemä ß Art. 5 Abs. 1 lit. a DSGVO,
• der Transparenz gemä ß Art. 5 Abs. 1 lit. a DSGVO,
• der Zweckbindung gemä ß Art. 5 Abs. 1 lit. b DSGVO,
• der Datenminimierung gemä ß Art. 5 Abs. 1 lit. c DSGVO,
• der Richtigkeit gemä ß Art. 5 Abs. 1 lit. d DSGVO,
• der Speicherbegrenzung gemä ß Art. 5 Abs. 1 lit. e DSGVO,
• der Integritä t und Vertraulichkeit gemä ß Art. 5 Abs. 1 lit. f DSGVO.

Diese Schutzvorkehrungen werden durch die Corona-Schutzverordnungen und durch die Schulträ ger in ganz erheblichem Umfang nicht bereitgestellt (hier muss die konkrete VO ausgewertet werden; die wahrscheinlichsten Versä umnisse werden nachfolgend aufgelistet). So fehlt es bereits an der Benennung einer Rechtsgrundlage, auf die die Erhebung der Gesundheitsdaten von Schü lerinnen und Schü lern nach der DSGVO gestü tzt werden soll (Art. 5 Abs. 1 lit. a DSGVO). Es sind ferner keine spezifischen Maß nahmen vorgesehen, wie Betroffene ausreichend transparent ü ber die beabsichtigten Datenverarbeitungen nach den Art. 13, 14 DSGVO informiert werden sollen (Art. 5 Abs. 1 lit. a DSGVO). Soweit solche Informationen im Rahmen der Einholung von Einwilligungserklä rungen erteilt werden, ist dies nicht ausreichend, da entsprechende Einwilligungserklä rungen mangels Freiwilligkeit unwirksam wä ren/sind. Nicht benannt werden ferner die konkreten Verarbeitungszwecke der erhobenen Gesundheitsdaten und auch keine Maß nahmen, wie einer zweckwidrigen Verarbeitung vor Durchfü hrung der Lö schung vorgebeugt werden soll (Art. 5 Abs. 1 lit. b DSGVO). Der Grundsatz der Datenminimierung erfordert, dass ausschließ lich solche personenbezogenen Daten verarbeitet werden dü rfen, deren Verarbeitung fü r den angestrebten Zweck unbedingt erforderlich ist (Art. 5 Abs. 1 lit. a DSGVO). Hier mü sste in der einschlä gigen Corona-Schutzverordnung hinreichend bestimmt geregelt sein, welche konkreten Daten erforderlich sind und erhoben werden sollen, um die Datenschutzkonformitä t bei der Verarbeitung der personenbezogenen Daten der Betroffenen sicherzustellen. Aufgrund der hohen Fehleranfä lligkeit von Schnelltests mü sste in der Verordnung auch geregelt sein, wie gleichwohl eine Richtigkeit der erhobenen Gesundheitsdaten sichergestellt werden soll (Art. 5 Abs. 1 lit. d DSGVO).

Vergeblich sucht der Rechtsanwender in der Verordnung nach ausreichend spezifischen Maß nahmen, wie die Integritä t und Vertraulichkeit im Rahmen der Datenverarbeitung sichergestellt werden soll. Jene Verordnung sieht insofern nicht in dem erforderlichen Umfang spezifische Maß nahmen vor, um die Rechte und Freiheiten der betroffenen Personen ausreichend zu schü tzen. Eine Prü fung der Angemessenheit solcher Maß nahmen ist daher noch nicht einmal mö glich.

Fü r die Erfassung und Dokumentation von qualifizierten Rechtsauskü nften und Testergebnissen durch die Schulen fehlt es daher bereits an einer den Anforderungen des Art. 9 Abs. 2 lit. a DSGVO entsprechenden Rechtsgrundlage.