Der vorliegende Entwurf wurde am 31. Dezember 2020 spätnachmittags versendet; die Begutachtungsfrist endet am 3. Jänner 2021 (Sonntag) um 12:00 Uhr. Die Begutachtungsfrist umfasst somit nicht einmal drei volle Tage und keinen einzigen Werktag. Vor diesem Hintergrund ist den Ausführungen im Begleitschreiben, wonach im Falle des Nichteinlangens einer Stellungnahme angenommen werde, dass der Entwurf keinen Anlass zu Bemerkungen gibt, entgegenzutreten.
Es wird darauf hingewiesen, dass die Begutachtungsfrist auch unter Berücksichtigung der besonderen Umstände, die eine verkürzte Begutachtung erforderlich machen können, in dieser vorgegebenen Begutachtungszeit eine umfassende und abschließende Begutachtung des übermittelten Gesetzesentwurfs, der weitreichende verfassungs- und grundrechtliche Fragestellungen aufwirft, absolut unmöglich ist.
In diesem Zusammenhang wird insbesondere darauf hingewiesen, dass gemäß § 14 Abs. 2 Z 3 DSG dem Datenschutzrat Gelegenheit zur Stellungnahme zu Gesetzesentwürfen der Bundesministerien, soweit diese datenschutzrechtlich von Bedeutung sind, zu geben ist. In der vorgegebenen Begutachtungsfrist kann keine Sitzung des Datenschutzrates stattfinden, womit ihm auch die nach § 14 Abs. 2 Z 3 DSG gesetzlich zustehende Gelegenheit zur Stellungnahme schlichtweg verunmöglicht wird.
Es wird darauf hingewiesen, dass die Übereinstimmung des im Entwurf vorliegenden Bundesgesetzes mit dem Recht der Europäischen Union vornehmlich vom do. Bundesministerium zu beurteilen ist.
II. Inhaltliche Bemerkungen
Zu Art. 1 (Änderung des Epidemiegesetzes 1950):
Zu Z 1 (§ 5a Abs. 1):
Im Hinblick auf die vorgeschlagene Ausdehnung der in Abs. 1 geregelten Zwecke von Screeningprogrammen ist zu bemerken, dass dem neuen Zweck „Ermöglichung des Betretens von Betriebsstätten und des Besuchs von Veranstaltungen“ kein einschlägiger Typus von Screeningprogrammen (Z 1 bis 4) gegenübersteht. Die in Z 1 bis 4 vorgesehenen Screeningprogramme dienen der Feststellung von Prävalenz des Vorkommens der Erkrankung in der Bevölkerung, der Feststellung besonders betroffener Gebiete oder Einrichtungen und dem Screening bestimmter Risikogruppen und Berufsgruppen. Der Zweck eines „Freitestens“, um eine Ausnahme von allfälligen Betretungs- bzw. Teilnahmeverboten in Anspruch nehmen zu können, kann unter diese Programmtypen sowohl aus inhaltlichen als auch aus systematischen Gründen kaum subsumiert werden.
Zu Z 2 (§ 5a Abs. 3):
Die Verarbeitung personenbezogener Daten im Rahmen von Screeningprogrammen nach § 5a wurde bisher – ausweislich der Materialien – auf die Rechtsgrundlage der Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) gestützt (s. IA 484/A BlgNr. XXVII. GP 6). Nach den Erläuterungen zur nunmehr vorgeschlagenen Änderung der Abs. 3 bietet nunmehr Art. 9 Abs. 2 lit. i DSGVO (Gründe des öffentlichen Interesses im Bereich der öffentlichen Gesundheit) die datenschutzrechtliche Rechtsgrundlage für die damit einhergehende Verarbeitung personenbezogener Gesundheitsdaten.
Die Auswirkungen des hier vorgenommenen Wechsels der Rechtsgrundlage sollten in den Erläuterungen näher dargelegt werden. Überdies wäre zu prüfen, ob im Hinblick auf den Wegfall der Möglichkeit zum Widerruf der (nunmehr nicht mehr erforderlichen) Einwilligung allfällige Vorkehrungen zu treffen sind, um eine Diskriminierung von Personen, die nicht an einem Screeningprogramm teilnehmen (können), hintanzuhalten.
Zu Z 3 (§ 5a Abs. 7):
Der vorgeschlagene Abs. 7 enthält eine umfassende Verordnungsermächtigung des Bundesministers für Soziales, Gesundheit, Pflege und Konsumentenschutz zur Festlegung der zur Ausstellung der Bestätigung über das Testergebnis befugten Stellen, Form, Inhalt und Rechtswirkungen der Bestätigung.
Diesbezüglich wird darauf hingewiesen, dass eine Verarbeitung von personenbezogenen Daten bereits aus dem Gesetz „vorhersehbar“ sein muss, um in einer Verordnung angeordnet werden zu können. Insbesondere wird auf die Rechtsprechung des Verfassungsgerichtshofes zur Ermächtigungsnorm iSd § 1 Abs. 2 DSG hingewiesen, welche ausreichend präzise, also für jedermann vorhersehbar, bezeichnen muss, unter welchen Voraussetzungen die Ermittlung bzw. die Verarbeitung der Daten für die Wahrnehmung konkreter Verwaltungsaufgaben zulässig ist (VfSlg. 18.146/2007; 16.369/2001; zuletzt Erkenntnis vom 11.12.2019, G 72-74/2019 ua., Rz 64 ff).
Im Hinblick darauf, dass in § 5a Abs. 7 weder der Verantwortliche (zur Ausstellung der Bestätigung befugte Stelle), noch die Datenarten (Inhalt) oder allfällige weitere Datenverarbeitungen (Rechtswirkungen) geregelt werden, sondern die Festlegung zur Gänze der Verordnung vorbehalten wird, genügt die vorgesehene Verordnungsermächtigung keinesfalls den Anforderungen des § 1 Abs. 2 DSG.
Überdies ist zu bemerken, dass es sich vorliegend (auch) um die Verarbeitung besondere Kategorien personenbezogener Daten iSd Art. 9 Abs. 1 DSGVO (Gesundheitsdaten) handelt. Eine Regelung, die die Verarbeitung solcher Daten vorsieht, muss aufgrund des § 1 Abs. 2 DSG sowie des – hier einschlägigen – Art. 9 Abs. 2 lit. i DSGVO angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person vorsehen. Auch insoweit genügt die Verordnungsermächtigung, die keinerlei derartige Maßnahmen trifft, den datenschutzrechtlichen Anforderungen nicht.
Im Übrigen passt die Formulierung in § 5 Abs. 3 nicht: "...Einschränkung auf die in Verordnung ....". Es müsste heißen "in dieser Verordnung".
Zu Z 4 (§ 5c Abs. 2):
In § 5c Abs. 2 Epidemiegesetz sollen nunmehr auch Zusammenkünfte von politischen Parteien von der durch VO aufzuerlegenden Verpflichtung zur Erhebung von Kontaktdaten ausgenommen werden. Hier sollte eine Erweiterung der Ausnahme um "Zusammenkünfte im Wirkungsbereich der Organe der Gesetzgebung und Vollziehung" überlegt werden.
Zu Z 5 (§ 15 Abs. 2 Z 5):
§ 15 Abs. 2 Z 5 sieht als mögliche Auflage für Veranstaltungen, die ein Zusammenströmen größerer Menschenmengen mit sich bringen, den „Nachweis über eine lediglich geringe epidemiologische Gefahr des Teilnehmers durch ein negatives Testergebnis oder durch eine in den letzten drei Monaten erfolgte und aktuell abgelaufene Infektion“ vor. Den Erläuterungen zufolge handelt es sich um eine analoge Regelung zum COVID‑19-Maßnahmengesetz.
1. Die Auflagemöglichkeit nach § 15 Abs. 2 Z 5 ist nicht auf COVID‑19 beschränkt und soll –zumal kein Außerkrafttreten mit dem Ende der Pandemie vorgesehen ist – offenbar in den dauernden Bestand des EpiG aufgenommen werden. Im Hinblick darauf, dass mit dieser Auflage erhebliche Eingriffe in das Grundrecht auf Datenschutz ermöglicht werden, wäre eine solche Regelung jedenfalls einer angemessenen Begutachtung zuzuführen, was vorliegend nicht der Fall ist (siehe die diesbezügliche allgemeine Anmerkung). Soweit eine solche unter den aktuellen Umständen nicht möglich ist, müsste die Regelung jedenfalls befristet werden.
2. Die Erforderlichkeit und Verhältnismäßigkeit einer solchen Auflage wäre in den Erläuterungen zu begründen. Die Erläuterungen verweisen lediglich auf analoge Regelungen im COVID‑19‑MG, was im Hinblick auf den erheblich weiteren Anwendungsbereich des EpiG von vornherein jedenfalls unzureichend ist. Im Übrigen wird auf die Anmerkungen zu Art. 2 Z 2 (§ 1 Abs. 5 Z 5 COVID‑19‑MG verwiesen).
3. Der Entwurf sieht keine zur genannten Auflage korrespondierende Regelung über die mit dem Nachweis eines negativen Testergebnisses bzw. einer rezent durchgemachten Infektion verbundenen Verarbeitungen personenbezogener Daten – einschließlich besonderer Kategorien personenbezogener Daten (Gesundheitsdaten) – vor. Insbesondere ist nicht geregelt, wer in diesem Zusammenhang zur Verarbeitung welcher Arten von personenbezogenen Daten ermächtigt oder verpflichtet ist, in welcher Form und zu welchen Zwecken diese Daten verarbeitet werden dürfen, wie lange diese aufbewahrt werden dürfen, welche Datensicherheitsmaßnahmen zu treffen sind usw. Dies wäre aber erforderlich, zumal die Datenverarbeitung durch den Verantwortlichen, dem die Auflage erteilt wurde, in der Folge offenbar auf die Rechtsgrundlage des Art. 6 Abs. 1 lit. c DSGVO (Erfüllung einer rechtlichen Verpflichtung) gestützt werden soll.
Eine solche Regelung, die – in Form einer möglichen Auflage – eine Datenverarbeitung klar antizipiert, aber sämtliche inhaltliche Parameter zur Datenverarbeitung völlig ungeregelt lässt, genügt den Vorgaben des § 1 Abs. 2 DSG sowie der DSGVO jedenfalls nicht, zumal Art und Umfang der rechtlichen Verpflichtung im Gesetz nicht ausreichend vordeterminiert sind. Aus datenschutzrechtlicher Sicht wäre daher die Verarbeitung personenbezogener Daten im Rahmen einer Auflage nach § 15 Abs. 2 Z 5 klar zu regeln (etwa nach dem Vorbild der Regelung über die Erhebung von Kontaktdaten in § 5c).
4. Vor dem Hintergrund, dass § 15 – anders als das COVID‑19‑MG – für alle anzeigepflichtigen Krankheiten nach dem EpiG gilt, ist die Anknüpfung an eine „in den letzten drei Monaten erfolgte und aktuell abgelaufene Infektion“ nicht nachvollziehbar, zumal dies offenbar auch für Krankheiten gelten würde, die zu einer kürzeren oder längeren (bis hin zu lebenslangen) Immunität führen. Im Hinblick auf derartige Krankheiten wäre die Annahme einer dreimonatigen Immunität sachlich nicht zu begründen und eine Verarbeitung personenbezogener Daten weder erforderlich noch verhältnismäßig im Sinne des § 1 Abs. 2 DSG sowie des Grundsatzes der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO).
Zu Art. 2 (Änderung des COVID-19-Maßnahmengesetzes):
Zu Z 2 (§ 1 Abs. 5 Z 5):
Zur Möglichkeit, den Nachweis über eine geringe epidemiologische Gefahr durch ein negatives SARS-CoV‑2-Testergebnis oder eine rezent durchgemachte Erkrankung als Auflage nach dem COVID‑19‑MG vorzusehen, wird auf die Anmerkungen zu Art. 1 Z 5 (§ 15 Abs. 2 Z 5 EpiG) verwiesen. Auch hier wäre eine (gesetzliche) Regelung über die Verarbeitung personenbezogener Daten erforderlich und die Notwendigkeit und Verhältnismäßigkeit der Maßnahme in den Erläuterungen zu begründen. Auch die Dauer der mit drei Monaten angenommenen Immunität nach durchgemachter Erkrankung müsste jedenfalls näher begründet werden.
Zu Z 3 (§ 5 Abs. 3):
Die Verordnungsermächtigung ermöglicht es dem Bundesminister für Soziales, Gesundheit, Pflege und Konsumentenschutz, mit Verordnung festzulegen, dass eine (mit Verordnung festgelegten) Ausgangsbeschränkung für Personen, von denen lediglich eine geringe epidemiologische Gefahr der Weiterverbreitung ausgeht, weil sie ein negatives Testergebnis oder eine in den letzten drei Monaten erfolgte und aktuell abgelaufene Infektion aufweisen, nicht gilt (sog. „Freitesten“). Den Erläuterungen zufolge wird damit klargestellt, „dass ein negatives Testergebnis auf SARS-CoV-2 auch als Auflage gemäß § 3 für das Betreten (und Befahren) von Betriebsstätten und gemäß § 4 Abs. 2 für das Betreten (und Befahren) von bestimmten Orten und öffentlichen Orten in ihrer Gesamtheit bestimmt werden kann.“
Soweit die Inanspruchnahme einer solche Ausnahme mit der Verarbeitung personenbezogener Daten – einschließlich besonderer Kategorien personenbezogener Daten (Gesundheitsdaten) – verbunden ist (insbesondere Kontrolle und allfällige Aufbewahrung des Nachweises eines negativen Testergebnisses oder einer rezent durchgemachten Infektion), wird auf die Anmerkungen zu Art. 1 Z 3 (§ 5a Abs. 7 EpiG) verwiesen, die auch auf die vorliegende Verordnungsermächtigung zutreffen, sowie auf die Anmerkungen zu Art. 1 Z 5 (§ 15 Abs. 2 Z 5 EpiG) und zu Art. 2 Z 2 (§ 1 Abs. 5 Z 5 COVID-19-MG) betreffend Auflagen.
Zu § 5 Abs. 2 Z 4a:
In § 5 Abs. 2 COVID-19-Maßnahmengesetz sollte gleichfalls eine Ausnahme aufgenommen werden "Regelung unaufschiebbarer behördlicher oder gerichtlicher Angelegenheiten, einschließlich der Teilnahme an öffentlichen Sitzungen der allgemeinen Vertretungskörper und an mündlichen Verhandlungen der Gerichte und Verwaltungsbehörden zur Wahrung des Grundsatzes der Öffentlichkeit.
03. Jänner 2021