Beschluss des Verfassungsgerichtshof des Saarlandes v. 28.08.2020, Az. Lv 15/20

Die Kontaktnachverfolgung gibt es in der einen oder anderen Form in allen Bundesländern. Sie dient der Unterbrechung von Infektionsketten, da mit dem Sars-CoV-2-Virus infizierte Menschen auch dann andere anstecken können, wenn sie selbst nur leichte, mäßige oder auch gar keine Symptome haben. Es soll erfasst werden, wer möglicherweise engeren Kontakt mit einem Infizierten hatte, damit er/sie sich in (Selbst-)Quarantäne begeben und testen lassen kann, um nicht evtl. ungewollt weitere Menschen anzustecken.

Im Saarland regelt Art. 2 § 3 CP-VO die Kontaktnachverfolgung. Danach werden Verantwortliche von Gaststätten- und anderen Gastronomiebetrieben, kulturellen Einrichtungen und Veranstaltungen, Indoor-Spielplätzen, Gottesdiensten und Bestattungen, Sport- und sonstigen in Bezug genommenen Veranstaltungen nach Art. 2 § 6 CP-VO, Hotels und anderen Beherbergungsunternehmen sowie von Prostitutionsbetrieben verpflichtet, Vor- und Familienname, Wohnort, Erreichbarkeit sowie die Ankunftszeit je eines Vertreters der anwesenden Haushalte zu erfassen und die Informationen aufzubewahren. Auf Anforderung sind diese an die Gesundheitsbehörden auszuhändigen. Ferner ist vorgesehen, dass diese Daten binnen eines Monats gelöscht werden.

Anm.: Das bayerische Pendant dieser Regelung ist das „Hygienekonzept Gastronomie“ vom 14.05.2020 (https://www.verkuendung-bayern.de/baymbl/2020-270/). Darin heißt es unter 3.2.9: «Um eine Kontaktpersonenermittlung im Falle eines nachträglich identifizierten COVID-19-Falles unter Gästen oder Personal zu ermöglichen, sollte eine Gästeliste mit Angaben von Namen, Telefonnummern und Zeitraum des Aufenthaltes geführt werden. Die Gästeliste ist so zu führen und zu verwahren, dass Dritte sie nicht einsehen können. Die Daten sind nach Ablauf eines Monats zu vernichten.»

Die Bedenken des saarländischen Verfassungsgerichtshofs:

Der Verfassungsgerichtshof sah hierin einen erheblichen Eingriff in das „Grundrecht auf Datenschutz“. Durch die Erfassung, Speicherung und ggf. auch Weitergabe von Adress- und Kontaktdaten könnten Bürger – Grundrechtsträger – mittelbar davon abgehalten werden, bestimmte Veranstaltungen bzw. Orte zu besuchen. Tatsächlich kann der Gedanke furchterregend sein, wenn genau dokumentiert und ggf. dem Staat mitgeteilt wird, von wann bis wann man welche Gaststätte, politische, religiöse oder kulturelle Veranstaltung besucht hat. Von politischen Veranstaltungen sind lediglich solche ausgenommen, die zur Tätigkeit von Parteien oder Wählergruppen gehören.

Anm.: Die bayerische Regelung sieht dem Wortlaut nach zwar nicht die Speicherung der gesamten Adresse vor, sondern „nur“ von Namen, Telefonnummern und Zeitraum des Aufenthalts. Allerdings findet dadurch kein geringerer Eingriff in den Datenschutz als im Saarland statt. Denn diese beiden Angaben genügen ebenfalls, um den Betroffenen eindeutig zu identifizieren. Genau aus diesem Grund ist im Hygienekonzept ja die Erfassung dieser Daten gewollt. Auch ist in der bayerischen Regelung gar keine Aussage dazu getroffen, wann, ob oder an wen die Daten weitergegeben werden dürfen. Die bayerischen Bürger sind bzgl. der Datenweitergabe also eher noch schlechter gestellt. Folglich kann auch für Bayern der Argumentation des saarländischen Gerichtshofs ohne weiteres gefolgt werden und durch die praktizierte Regelung zur Kontaktnachverfolgung ein Eingriff in das Grundrecht auf Datenschutz bejaht werden.

Eine Zweckbindung, so das Verfassungsgericht, erschließe sich „nur durch Interpretation“. Weiter rügte das Gericht, dass die Norm keine Vorgaben zur Ausgestaltung der Kontaktdatenerhebung mache. Das führe besonders im Bereich der Gastronomie vielfach dazu, dass nachfolgende Gäste aufgrund der häufig gebräuchlichen „Ringbucherfassung“ erkennen und sich erinnern könnten, wer vor ihnen das Unternehmen besucht hat und wie er über Telefonnummer, Mailanschrift oder Anschrift erreichbar ist.

Anm.: Zur Ausgestaltung der Kontaktdatenerhebung sagt die bayerische Regelung immerhin, dass die Gästeliste so zu führen und zu verwahren ist, dass Dritte diese nicht einsehen können, Hygienekonzept Gastronomie 3.2.9., s.o. Es wird aber nicht spezifiziert, wie eine Datenerhebung in diesem Sinne konkret aussieht. Digital oder auf Papier? Einzelzettel oder eine fortlaufende Liste, die wo und wie aufbewahrt werden? Auch wenn mit dem Hinweis in der bayerischen Regelung ein gewisser Schutz vor der Einsichtnahme durch Dritte besteht, so ist durch die mangelnde konkrete Vorgabe eines genauen datensicheren Ablaufs auch hier die Gefahr gegeben, dass zeitgleich anwesende oder nachfolgende Gäste die Daten einsehen können, wenn z.B. die Eintragungszettel länger auf den Tischen liegen bleiben.

Ein derart weitgehender, gravierender Eingriff in das Grundrecht auf Datenschutz kann nach dem Verfassungsgerichtshof nicht einfach per Regierungsverordnung beschlossen werden. Auch weil es nicht (mehr) um eine kurzfristige Notsituation, sondern um eine Regelung gehe, die aller Voraussicht nach länger gelten solle, sei ein parlamentarisches Gesetz erforderlich. Hierbei handele es sich auch keineswegs um eine „verzichtbare bloße Formalität“.

Anm.: In Bayern ist die Kontaktverfolgung im Hygienekonzept Gastronomie geregelt, s.o. Bei diesem Hygienekonzept handelt es sich um eine gemeinsame Bekanntmachung von zwei Ministerien, nämlich dem Ministerium für Gesundheit und Pflege und dem Ministerium für Wirtschaft, Landesentwicklung und Energie. Fraglich ist, inwiefern mit dieser Bekanntmachung überhaupt Regelungen getroffen werden dürfen, die in Grundrechte wie das Grundrecht auf Datenschutz eingreifen. Grundsätzlich bedarf es für einen legitimen Grundrechtseingriff eines formellen Gesetzes bzw. einer Ermächtigungsgrundlage. Eine solche könnte hier die Sechste Bayerische Infektionsschutzmaßnahmenverordnung sein. In den Erläuterungen zum Hygieneplan Gastronomie heißt es: „Dieses Rahmenkonzept für die Hygiene in Gastronomiebetrieben ist zu beachten, soweit in einer Rechtsverordnung des Staatsministeriums für Gesundheit und Pflege auf Grund des § 32 IfSG darauf als Grundlage für betriebliche Schutz- und Hygienekonzepte verwiesen wird.“ Die Sechste Bayerische Infektionsschutzmaßnahmenverordnung verweist auf das Hygienekonzept Gastronomie in § 13 IV S.3. Dort heißt es: „Der Betreiber hat ein Schutz- und Hygienekonzept auf der Grundlage eines von den Staatsministerien für Wirtschaft, Landesentwicklung und Energie und für Gesundheit und Pflege bekannt gemachten Rahmenkonzepts für die Gastronomie auszuarbeiten und auf Verlangen der zuständigen Kreisverwaltungsbehörde vorzulegen.“ Dies ist allerdings der einzige Verweis in der BayIfSMV auf das Hygienekonzept Gastronomie. Es wird nur in Bezug auf die eigenen Hygienekonzepte der Gastronomiebetriebe auf das Rahmenkonzept verwiesen, nicht jedoch konkret im Zusammenhang mit einer Kontaktverfolgung. Es ist zweifelhaft, ob dieser Verweis überhaupt ausreicht, um so durch § 13 IV S.3 i.V.m dem Hygienekonzept Gastronomie einen Grundrechtseingriff zu regeln. § 13 BayIfSMV selbst erwähnt in seinem Wortlaut nicht, dass Kontaktnachverfolgung erfolgen soll bzw. dass solche Regelungen im Hygienekonzept zu finden sind. Insofern greift m.E. das Argument, dass § 13 BayIfsMV gar keine hinreichend bestimmte Rechtsgrundlage für die Regelung der Kontaktverfolgung enthält.

Das Hygienekonzept Gastronomie könnte auch als eigenständige Verordnung angesehen werden. Hiergegen spricht jedoch schon allein die Bezeichnung in der Bekanntmachung: „Rahmenkonzept für betriebliche Schutz- und Hygienekonzepte von Gastronomiebetrieben.“ Folglich liegt in Bayern also nicht einmal eine durch Rechtsverordnung geregelte Grundlage für den Grundrechtseingriff vor. Das Hygienekonzept ist „zum Vollzug des Infektionsschutzgesetzes“ im Ministerialblatt bekannt gemacht, vgl. erster Satz im BayMBl. 2020 Nr. 270. Demnach soll es sich bei dem Hygienekonzept um eine Vollzugsanordnung handeln. Eine bloße Vollzugsanordnung kann aber allein ebenfalls keine Rechtsgrundlage für Grundrechtseingriffe sein. Als eigenständige Rechtsgrundlage zur Regelung eines Grundrechtseingriffs kommt das Rahmenkonzept zum Hygieneplan in der Gastronomie somit nicht in Betracht, denn es ist für sich allein stehend keine Rechtsverordnung, sondern eine Ergänzung zu einer solchen.

Allenfalls kommt als zugrunde liegende Rechtsverordnung § 13 BayIfSMV i.V.m dem Hygienekonzept Gastronomie in Betracht, s.o. Dann würde aber auch in Bayern (wie im Saarland) ein Grundrechtseingriff nicht durch ein parlamentarisches Gesetz, sondern durch eine Rechtsverordnung erfolgen.

Anders als eine Regierungsverordnung gewährleistet ein parlamentarisches Gesetz die Debatte von Für und Wider vor dem Forum der Öffentlichkeit. Eine Verordnung wird bis zu ihrer Veröffentlichung bestenfalls  in der Regierung erarbeitet und beraten und ohne Beteiligung des Parlaments beschlossen. Bei länger dauernden grundrechtlichen Belastungen ist der parlamentarische Gesetzgeber dafür zuständig, Inhalt und Grenzen der Regelung zu bestimmen.

Anm.: Dies trifft auch auf Bayern zu. Sowohl die BayIfSMV als auch das Hygienekonzept Gastronomie sind nur im Internum der Exekutive beraten worden, da sie aus den Ministerien stammen. Auch in Bayern handelt es sich um länger andauernde grundrechtliche Belastungen. Das Hygienekonzept Gastronomie gilt schon seit 14. Mai 2020, und es ist bis auf Weiteres keinerlei zeitliche Befristung der Maßnahmen ersichtlich. Daher ist m.E. auch für Bayern der Argumentation zu folgen, dass bei länger dauernden grundrechtlichen Belastungen der parlamentarische Gesetzgeber dafür zuständig ist, Inhalt und Grenzen der Regelung zu bestimmen.

Zudem könne nach Auffassung des Gerichts (die) im Rahmen der Kontaktnachverfolgung anfallende Datenverarbeitungen nicht auf die Rechtsgrundlage der Einwilligung, Art. 6 Abs. (1) a) DSGVO, gestützt werden. Die Freiwilligkeit, eine elementare Voraussetzung der Einwilligung, sei nicht gegeben, wenn die Verweigerung der Zustimmung nur für den Preis des weitgehenden Verzichts an der Teilnahme am sozialen Leben möglich sei. Auch sonst biete Art. 6 DSGVO keine Rechtsgrundlage, sondern nur eine Begrenzung für die Verarbeitung personenbezogener Daten. Insbesondere seien Art. 6 Abs. (1) c) (rechtliche Verpflichtung des Verantwortlichen und Art. 6 Abs. (1) e) DSGVO (öffentliches Interesse) selbst keine Rechtsgrundlage zur Datenverarbeitung, sondern setzen eine solche voraus. Dies ergebe sich bereits aus dem Wortlaut des Art. 6 Abs. (3) DSGVO. Auf den Tatbestand des Art. 6 (1) f) DSGVO (Abwägung zwischen dem berechtigten Interesse des Verantwortlichen oder Dritten und Interesse des Betroffenen) ging das Gericht allerdings nicht ein.

Anm.: Da die DSGVO im gesamten europäischen Raum gilt, gelten an dieser Stelle für Bayern natürlich dieselben Überlegungen wie für das Saarland.

Der Verfassungsgerichtshof kam daher zu dem Schluss:

„Die Verpflichtung zur Gewährleistung einer Kontaktnachverfolgung durch Erhebung personenbezogener Daten durch Private ist als Eingriff in das Grundrecht auf Datenschutz ohne Vorliegen einer Anlass, Art, Umfang und Verwendung der zu erhebenden persönlichen Informationen bestimmt und normenklar regelnden parlamentarischen gesetzlichen Grundlage verfassungswidrig.“

Anm.: Der Eingriff in das Grundrecht auf Datenschutz erfolgt in Bayern bestenfalls auch nur durch Rechtsverordnung und damit ohne eine normenklar regelnde parlamentarische gesetzliche Grundlage und ist daher ebenfalls verfassungswidrig. In Bayern kommt noch der weitere Problemkreis hinzu, dass der hier vorliegende Grundrechtseingriff möglicherweise überhaupt keine Rechtsgrundlage hat, nicht einmal die einer Rechtsverordnung, da die entsprechende Verordnung, die BayIfSMV, in § 13 nicht hinreichend bestimmt auf die Kontaktverfolgung im Hygienekonzept Gastronomie verweist.