Von den kirchlichen Datenschutzgerichten hat man bisher wenig zu Fällen aus der Corona-Zeit gehört; die erste größere Entscheidung, die das DSG-EKD in zweiter Instanz im Juli 2021 zur Frage nach dem Einsichtsrecht des leitenden Pfarrers in Corona-Anwesenheitslisten aufgrund der Bedeutung besonders schnell gefällt hatte, war bisher die einzige – und wie viele Entscheidungen aus der Corona-Hochphase doch sehr großzügig damit, was die Gerichte Verantwortlichen durchgehen lassen. Jetzt wurde eine weitere Entscheidung veröffentlicht (IDSG 04/2021 vom 17. Juli 2024).

Aufmerksamen Lesenden von Tätigkeitsberichten war der Fall war schon bekannt: Im Tätigkeitsbericht für 2020 hat die KDSA Ost darüber unter der Überschrift »5.3.3 Befreiung von Mund-Nasen-Bedeckung« berichtet. Es ging darum, ob eine Schule ein unzureichendes Masken-Attest ohne es zu anonymisieren ans zuständige Gesundheitsamt weiterleiten darf, um mit ihm weitere Schritte zu besprechen.

Der Fall

Eine Schülerin an einer Schule in Trägerschaft des Erzbistums Berlin hatte zu Beginn des Schuljahres 2020/21 ein Attest vorgelegt, laut dem sie keine Maske tragen könne. Die Schule bezweifelte, dass das ohne Gründe vorgelegte Attest ausreicht, die Eltern kamen der Aufforderung nicht nach, ein qualifiziertes Attest nachzureichen. Die Schule gab eine Kopie des Attests in einem verschlossenen Umschlag an das Bezirksgesundheitsamt weiter mit der Bitte um Beratung, ob gesundheitliche Beeinträchtigungen vorlägen, die eine Befreiung von der Maskenpflicht rechtfertigten.

Beschwerde, Bescheid und Rechtsmittel

Gegen die Weitergabe legte die Schülerin Beschwerde bei der Datenschutzaufsicht ein. Der Schulleiter gab an, gemäß dem von der Senatsverwaltung vorgeschlagenen Vorgehen vorgegangen zu sein.

Die KDSA Ost gab der Beschwerde statt: Bestenfalls hätte bei Zweifeln zum weiteren Vorgehen eine anonymisierte Übersendung ans Gesundheitsamt genügt. Außerdem hätte der Schulleiter die Möglichkeit gehabt, das Kind auf Grundlage der Rahmenschulordnung des Erzbistums vom Unterricht auszuschließen. Die Aufsicht verpflichtete die Schule außerdem, künftig in Zweifelsfällen über die Richtigkeit eines ärztlichen Masken-Attestes das Gesundheitsamt ausschließlich anonymisiert um Unterstützung zu ersuchen.

Die Schule klagte gegen den Bescheid und sah ihn schon formell als rechtswidrig an, weil die Weitergabe des Attests weder eine automatisierte Verarbeitung sei noch eine nicht-automatisierte Verarbeitung in einem Dateisystem. Materiell sei die Weitergabe auf Grundlage der damals geltenden Infektionsschutzverordnung zulässig: »Die aufgrund der fehlenden Angaben im Attest erforderliche medizinische Überprüfung einschließlich schulärztlicher Untersuchung des Attestes wäre ohne seine die personenbezogenen Daten enthaltende Vorlage nicht möglich gewesen«, gibt das Gericht den Vortrag wieder. Die Rechte der zu schützenden Schüler*innen und Lehrkräfte überwöge das Interesse der Schülerin, die Daten nicht weiterzugeben, außerdem seien die besonderes schutzbefürftigen Daten des Attests durch den verschlossenen Umschlags angemessen geschützt geworden. Die Übermittlung zur Überprüfung sei im übrigen auch ein milderes Mittel im Vergleich zum Unterrichtsausschluss.

Die Aufsicht sieht sich auf den Vortrag der Schule hin weiter als zuständig an: »Bei dem streitbefangenen Attest handele es sich um eine längerfristige Urkunde, die in die Schülerakte aufgenommen werde, was eine nicht automatisierte Verarbeitung personenbezogener Daten im Sinne dieser Vorschrift darstelle. Ferner stelle das Kopieren des Attestes eine automatisierte Verarbeitung dar.« Für die Weitergabe gebe es keine Rechtsgrundlage, sie sei auch nicht erforderlich gewesen.

Die Entscheidung

Das Gericht sieht das Datenschutzrecht als einschlägig an und folgt damit der Entgegnung der Aufsicht: »Es handelt sich um die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, denn als die das Schulleben der Schülerin betreffende Urkunde ist das Attest dazu bestimmt, in ihrer Schülerakte abgelegt zu werden.« Ob eine Kopie schon eine automatisierte Verarbeitung bedeutet, ließ es offen. (Das ist ein etwas misslicher Aspekt des Datenschutzrechts: Nebensächliche technische Kanäle können begründen oder verhindern, dass eine automatisierte Verarbeitung vorliegt – so wie nur das Medium Videokonferenz im Fall Weißenfels das Datenschutzrecht eröffnet hat, während ein Ausplaudern in einer persönlich-gegenwärtigen Versammlung wohl keine datenschutzrechtlichen Konsequenzen gehabt hätte.)

In der Sache wird die Aufsicht teilweise bestätigt: Es fehle an einer Rechtsgrundlage für die Weitergabe, die nicht-anonymisierte Übermittlung sei nicht erforderlich. Einen Ausschluss vom Unterricht sah das Gericht in diesem Fall nicht als zulässig an. Ausführlich diskutiert es die Frage, wann und nach welchen Rechtsgrundlagen ein Ausschluss und eine Durchführung einer amtsärzlichen Untersuchung zulässig ist. (Was eigentlich nicht zu den engeren Aufgaben des Datenschutzgerichts gehört.)

Aufgehoben wird die Auflage der Aufsicht, wie künftig vorzugehen sei, also künftig nur noch anonymisiert Zweifel mit dem Gesundheitsamt zu klären: »Diese Anordnung ist nicht durch § 47 Abs. 5 Satz 1 KDG gedeckt, wonach der Beanstandungsbescheid der Datenschutzaufsicht Anordnungen enthalten kann, um einen rechtmäßigen Zustand wiederherzustellen oder Gefahren für personenbezogene Daten abzuwehren.« Dazu sei die Anordnung nicht geeignet. Im vorliegenden Fall habe es sich auch nicht um einen Zweifelsfall gehandelt, bei dem das Gesundheitsamt eingeschaltet werden müsste: »Die Einschaltung des Gesundheitsamts kommt ausschließlich dann in Betracht, wenn das vorgelegte Attest Zweifelsfragen aufwirft, die sich nur unter Hinzuziehung von – dem Berufsgeheimnis unterliegenden – Fachpersonal im Sinne des § 11 Abs. 3 KDG beantworten lassen.« Das müsse aber am Einzelfall beurteilt werden.

Bewertung

Mit etwas Abstand scheint wieder eine kritischere Betrachtung der Gerichte Einzug zu halten. (Soweit man das auf der Grundlage einer Entscheidung schon als Trend konstatieren will, und soweit man die eine andere Entscheidung aus der Corona-Zeit in den Trend zurückhaltender rechtlicher Maßstäbe einordnen will, der bisweilen beklagt wurde.) Mitnehmen sollte man aus der Entscheidung vor allem, sich als Verantwortlicher immer die Frage nach der tatsächlichen Erforderlichkeit zu stellen. Die Frage nach der Rechtsgrundlage war hier kompliziert. Die Erforderlichkeit dagegen wäre einfacher zu prüfen gewesen.

Interessant sind auch zwei weitere Teile der Entscheidung: Etwas knapp ist die Argumentation des Gerichts, warum die Anordnung nicht zulässig ist. Hilfreich ist dabei die Beschreibung in der nicht-amtlichen Beschreibung: »Zur Frage der Geeignetheit einer generellen Anordnung der Datenschutzaufsicht an den Verantwortlichen zu seinem zukünftigen Verhalten, wenn dessen datenschutzrechtliche Bewertung von individuellen Umständen abhängig ist.« Damit wird klar, worauf die Entscheidung abzielt: Grundsätzlich wären nach dieser Lesart ähnliche Anordnungen zwar zulässig, aber nur dann, wenn sich die Fälle auch tatsächlich verallgemeinern lassen. Damit sollten die Aufsichten in der Lage sein, rechtssichere Auflagen zu erteilen.

Die Entscheidung, hier das Datenschutzrecht als einschlägig zu erkennen, folgt dem Wortlaut des KDG: Der sachliche Anwendungsbereich für die nichtautomatisierte Verarbeitung ist bereits dann eröffnet, wenn sie »in einem Dateisystem […] gespeichert werden sollen«, und das gelte für das Attest: »denn als die das Schulleben der Schülerin betreffende Urkunde ist das Attest dazu bestimmt, in ihrer Schülerakte abgelegt zu werden.« Interessant ist, wann etwas gespeichert werden soll. Es kam in dem Fall nicht auf die Absicht der Eltern oder der Schülerin an (die womöglich gar nicht der Ansicht sind, dass das Attest gespeichert werden soll) oder auf den Zweck der Herstellung der Urkunde an (der ja die Befreiung von der Maskenpflicht und nicht die Füllung der Schulakte ist), sondern auf die objektive Feststellung, dass es sich um ein Dokument handelt, das in die Schulakte gehört. Damit ist wohl alles vom Datenschutzrecht erfasst, was zu verakten oder archivwürdig ist. Auch damit kann man arbeiten.