© 2019 Deutscher Bundestag WD 9 - 3000 - 022/19 Weitergabe und Verarbeitung von Daten zu meldepflichtigen Krankheiten nach dem Infektionsschutzgesetz Sachstand Wissenschaftliche Dienste Die Wissenschaftlichen Dienste des Deutschen Bundestages unterstützen die Mitglieder des Deutschen Bundestages bei ihrer mandatsbezogenen Tätigkeit. Ihre Arbeiten geben nicht die Auffassung des Deutschen Bundestages, eines seiner Organe oder der Bundestagsverwaltung wieder. Vielmehr liegen sie in der fachlichen Verantwortung der Verfasserinnen und Verfasser sowie der Fachbereichsleitung. Arbeiten der Wissenschaftlichen Dienste geben nur den zum Zeitpunkt der Erstellung des Textes aktuellen Stand wieder und stellen eine individuelle Auftragsarbeit für einen Abgeordneten des Bundestages dar. Die Arbeiten können der Geheimschutzordnung des Bundestages unterliegende, geschützte oder andere nicht zur Veröffentlichung geeignete Informationen enthalten. Eine beabsichtigte Weitergabe oder Veröffentlichung ist vorab dem jeweiligen Fachbereich anzuzeigen und nur mit Angabe der Quelle zulässig. Der Fachbereich berät über die dabei zu berücksichtigenden Fragen. Wissenschaftliche Dienste Sachstand WD 9 - 3000 - 022/19 Seite 2 Weitergabe und Verarbeitung von Daten zu meldepflichtigen Krankheiten nach dem Infektionsschutzgesetz Aktenzeichen: WD 9 - 3000 - 022/19 Abschluss der Arbeit: 28. März 2019 Fachbereich: WD 9: Gesundheit, Familie, Senioren, Frauen und Jugend Wissenschaftliche Dienste Sachstand WD 9 - 3000 - 022/19 Seite 3 Inhaltsverzeichnis 1. Vorbemerkung 4 2. Aufgaben des Robert Koch-Instituts 4 3. Bestimmungen nach dem Infektionsschutzgesetz 5 3.1. Meldepflichtige Krankheiten und Krankheitserreger 5 3.2. Meldepflichtige Personen 5 3.3. Namentliche Meldung an das Gesundheitsamt 6 3.4. Nichtnamentliche Meldung an das RKI 7 3.5. Software 7 3.6. Löschfristen 8 3.7. Zugriff 8 4. Europäische Datenschutzgrundverordnung 8 Wissenschaftliche Dienste Sachstand WD 9 - 3000 - 022/19 Seite 4 1. Vorbemerkung In Deutschland gilt für bestimmte Krankheiten und Erreger eine Meldepflicht. Welche Krankheiten und Erreger zu melden sind, regelt das Infektionsschutzgesetz (IfSG)1, das am 1. Januar 2001 in Kraft getreten ist. Ziel des IfSG ist, übertragbaren Krankheiten beim Menschen vorzubeugen, Infektionen frühzeitig zu erkennen und ihre Ausbreitung zu verhindern. Das Robert Koch-Institut (RKI) fungiert dabei als infektionsepidemiologische Stelle in Deutschland.2 Die Erhebung von Gesundheitsdaten ist Voraussetzung für die Aufgabenerfüllung des öffentlichen Gesundheitsdienstes . Die Meldepflicht macht die Verarbeitung auch personenbezogener Daten erforderlich. Für die Rechtmäßigkeit der Datenverarbeitung von Gesundheitsdaten sind das IfSG sowie die Datenschutzgrundverordnung (DSGVO) relevant. Auftragsgemäß behandelt der Sachstand unterschiedliche Fragen zur Meldepflicht nach dem IfSG sowie Fragen zur Verarbeitung der Daten, die im Zuge dessen erhoben werden. 2. Aufgaben des Robert Koch-Instituts § 4 IfSG legt die Aufgaben des RKI fest. So hat das RKI etwa die Aufgabe, Konzeptionen zur Prävention übertragbarer Krankheiten sowie zur frühzeitigen Erkennung und Verhinderung der Weiterverbreitung von Infektionen zu entwickeln. Gemäß § 4 Abs. 2 Nr. 4 IfSG veröffentlicht das RKI periodisch infektionsepidemiologische Auswertungen und stellt die Ergebnisse den in § 4 Abs. 2 Nr. 3 gelisteten Behörden und Institutionen zur Verfügung. Zum Zwecke der Prävention, Bekämpfung und Behandlung von Infektionskrankheiten veröffentlicht das RKI unter anderem wöchentlich das „Epidemiologische Bulletin“ 3 mit ausführlichen Hinweisen zu einzelnen Krankheiten sowie jährlich das „Infektionsepidemiologische Jahrbuch“4 meldepflichtiger Krankheiten. Zugriff auf die infektionsepidemiologischen Auswertungen durch das RKI haben zum einen ausgewählte Behörden und Institutionen (vgl. § 4 Abs. 2 Nr. 3 IfSG), zum anderen gemäß § 4 Abs. 2 Nr. 4 IfSG die Öffentlichkeit. Mit „SurvNet@RKI“ stellt das RKI ausschließlich den Gesundheitsämtern und Landesstellen eine Software zur Erfassung, Auswertung und Weiterleitung der Meldedaten gemäß IfSG zur Verfügung.5 Diese Software ist zu unterscheiden von dem Online-Dienst „SurvStat@RKI“, womit das RKI der Öffentlichkeit die Möglichkeit bietet, meldepflichtige Krankheitsfälle und Erregernachweise abzufragen und nach eigenem Bedarf Tabellen und Grafiken zu 1 Gesetz zur Verhütung und Bekämpfung von Infektionskrankheiten beim Menschen, Gesetz zur Verhütung und Bekämpfung von Infektionskrankheiten beim Menschen (Infektionsschutzgesetz - IfSG) vom 20. Juli 2000 (BGBl. I S. 1045), das zuletzt durch Artikel 6 des Gesetzes vom 11. Dezember 2018 (BGBl. I S. 2394) geändert worden ist, abrufbar unter https://www.gesetze-im-internet.de/ifsg/IfSG.pdf . 2 Erdle, Helmut, Infektionsschutzgesetz, Kommentar, 6. Überarbeitete Auflage, 2018, S. 17, § 4 IfSG, S. 24. 3 RKI, Epidemiologisches Bulletin, Nr. 11/12, 14. März 2019, abrufbar unter: https://www.rki.de/DE/Content/Infekt /EpidBull/Archiv/2019/Ausgaben/11_12_19.pdf?__blob=publicationFile; dieser und alle weiteren Links wurden zuletzt abgerufen am: 28. März 2019. 4 RKI, Infektionsepidemiologisches Jahrbuch meldepflichtiger Krankheiten für 2016, abrufbar unter: https://www.rki.de/DE/Content/Infekt/Jahrbuch/Jahrbuch_2016.pdf?__blob=publicationFile. 5 RKI, Software - SurvNet@RKI, abrufbar unter: https://www.rki.de/DE/Content/Infekt/IfSG/Software/software_inhalt .html. Wissenschaftliche Dienste Sachstand WD 9 - 3000 - 022/19 Seite 5 erstellen; es handelt sich dabei um einen Auszug aus dem Originaldatenbestand der jeweils letzten Ausgabe des Epidemiologischen Bulletins.6 3. Bestimmungen nach dem Infektionsschutzgesetz Das IfSG regelt, welche Krankheiten und Erreger meldepflichtig sind, welche Personen meldeverpflichtet sind, welche Angaben die Meldung jeweils enthalten muss sowie den Melde- und Übermittlungsweg der Daten. 3.1. Meldepflichtige Krankheiten und Krankheitserreger § 6 IfSG enthält einen Katalog der Krankheiten, die bei Verdacht, Erkrankung oder Tod namentlich (Abs. 1) oder nicht namentlich (Abs. 3) zu melden sind. § 7 IfSG regelt, welche Nachweise von Krankheitserregern meldepflichtig sind. § 7 IfSG unterscheidet dabei nach Erregern, die eine direkte Maßnahme durch das Gesundheitsamt erfordern könnten und deshalb namentlich an das jeweils zuständige Gesundheitsamt zu melden sind (§ 9 Abs. 2, 3 S. 1 oder 3 IfSG) und Erregernachweisen , bei denen das Gesundheitsamt nicht unmittelbar tätig werden muss und die daher nach § 10 Abs. 2 IfSG nicht namentlich und direkt an das RKI gemeldet werden. Die Kataloge werden auf Bundesebene durch die Verordnung zur Anpassung der Meldepflichten nach dem Infektionsschutzgesetz an die epidemische Lage (IfSG-Meldepflicht-Anpassungsverordnung - IfSGMeldAnpV7) ergänzt. Hinzu kommen in den einzelnen Bundesländern Gesetze und Verordnungen , die die Meldepflichten nach dem IfSG erweitern.8 Das RKI erarbeitet regelmäßig eine Übersichtstabelle9 zu den Krankheiten und Erregernachweisen, die namentlich sowie nichtnamentlich zu melden sind, einschließlich der bundeslandspezifischen Meldepflichten. 3.2. Meldepflichtige Personen § 8 IfSG benennt die Personen, die zur Meldung verpflichtet sind. Im Falle eines Krankheitsverdachts , der Erkrankung oder des Todes an einer in § 6 IfSG genannten Krankheit sind der feststellende Arzt und daneben in Krankenhäusern auch der leitende (Abteilungs-) Arzt (vgl. § 8 Abs. 1 Nr. 1 IfSG) meldeverpflichtet. Daneben können auch Personen anderer Berufsgruppen zur Meldung verpflichtet sein, so etwa Tierärzte nach § 8 Abs. 1 Nr. 4 IfSG im Falle von Verletzungen 6 RKI, abrufbar unter: https://www.rki.de/DE/Content/Infekt/SurvStat/survstat_node.html. 7 https://beck-online.beck.de/Dokument?vpath=bibdata%2Fges%2FIfSGMeldAnpV%2Fcont%2FIfSGMeld- AnpV.inh.htm. 8 Vgl. Berlin: Verordnung über die Ausdehnung der Meldepflicht für Krankheiten und Krankheitserreger nach dem Infektionsschutzgesetz (IfSG-MeldepflichtV), vom 19. März 2013, abrufbar unter: http://gesetze.berlin .de/jportal/portal/t/z0f/page/bsbeprod.psml?pid=Dokumentanzeige&showdoccase=1&js_peid=Trefferliste &documentnumber=1&numberofresults=1&fromdoctodoc=yes&doc.id=jlr-IfSGMeldpflVBErahmen &doc.part=X&doc.price=0.0&doc.hl=1#focuspoint. 9 RKI, Meldepflichtige Krankheiten und Krankheitserreger, Übersichtstabelle, Stand: September 2017, abrufbar unter: https://www.rki.de/DE/Content/Infekt/IfSG/Meldepflichtige_Krankheiten/Meldepflichtige_Krankheiten _Erreger.pdf?__blob=publicationFile. Wissenschaftliche Dienste Sachstand WD 9 - 3000 - 022/19 Seite 6 durch ein ansteckungsverdächtiges Tier bzw. die Berührung eines solchen Tieres.10 Nachweise von Krankheitserregern gemäß § 7 IfSG sind gemäß § 8 Abs. 1 Nr. 2 IfSG durch die Leiter von Medizinaluntersuchungsämtern und sonstigen privaten oder öffentlichen Untersuchungsstellen einschließlich der Krankenhauslaboratorien zu melden. § 8 Abs. 1 Nr. 3 IfSG enthält eine weitere Sondermeldepflicht für Leiter von Einrichtungen der pathologischen Diagnostik, die sie im Falle der §§ 6 und 7 IfSG zur Meldung verpflichtet. 3.3. Namentliche Meldung an das Gesundheitsamt Das IfSG legt für meldepflichtige Krankheiten ein konkretes Melde- und Übermittlungsverfahren fest. Zu unterscheiden sind die namentliche Meldung an das Gesundheitsamt und die nichtnamentliche Meldung an das RKI.11 Bei ersteren melden meldeverpflichtete Personen wie Ärztinnen und Ärzte oder Labore die in § 6 Abs. 1 Nr. 1 oder § 7 Abs. 1 IfSG benannten Krankheiten bzw. Erreger namentlich an das zuständige Gesundheitsamt (vgl. § 9 Abs. 4 IfSG). So ist im Falle von Meldungen durch einen Arzt etwa das Gesundheitsamt zuständig, in dessen Bezirk sich die betroffene Person derzeitig aufhält oder zuletzt aufhielt. Die Meldung hat nach § 9 Abs. 3 S. 1 IfSG unverzüglich, spätestens innerhalb von 24 Stunden zu erfolgen. Das Gesundheitsamt nimmt dann eigene Ermittlungen zu der Meldung vor und leitet im Zweifel Infektionsschutzmaßnahmen ein. Handelt es sich um bundesweit einheitlich meldepflichtige Krankheiten bzw. Erreger oder erfüllt die Meldung andere vom RKI aufgestellte Kriterien12, meldet das Gesundheitsamt gemäß § 11 Abs. 1 S. 1 IfSG spätestens am folgenden Arbeitstag die Daten pseudonymisiert13, d. h. ohne Angabe personenbezogener Daten, an die zuständige Landesbehörde14. Diese übermittelt die Daten wiederum ebenfalls spätestens am nächsten Arbeitstag an das RKI zum Zwecke infektionsepidemiologischer Erfassung. 15 Eine Erhebung oder Übermittlung von personenbezogenen Daten durch die zuständige Landesbehörde findet nicht statt. 10 Dies gilt im Falle des § 6 Abs. 1 Nr. 4 IfSG und im Falle des § 7 Abs. 1 Nr. 38 IfSG. 11 Vgl. hierzu folgende Infografik: Apotheken Umschau, Ratgeber, Unter Kontrolle, Meldepflicht, Ob Grippe, Hepatitis oder Norovirus: Ein Überwachungssystem soll die Ansteckungsgefahr minimieren, 12/2017, abrufbar unter: https://www.rki.de/DE/Content/Infekt/Infografik_Meldesystem_IfSG.pdf?__blob=publicationFile; RKI, Infektionsepidemiologisches Jahrbuch meldepflichtiger Krankheiten für 2016, S. 15, Abb. 2. 2. 1. (Melde- und Übermittlungsweg gemäß IfSG). 12 Vgl. § 11 Abs. 2 IfSG; RKI, Meldepflichtige Krankheiten und Krankheitserreger, Übersichtstabelle, Stand: September 2017, abrufbar unter: https://www.rki.de/DE/Content/Infekt/IfSG/Meldepflichtige_Krankheiten/Meldepflichtige _Krankheiten_Erreger.pdf?__blob=publicationFile. 13 „Pseudonymisierung“ ist nach Art. 4 Nr. 5 Datenschutzgrundverordnung „die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten , dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden“. 14 In Berlin etwa ist das Landesamt für Gesundheit und Soziales die zuständige Landesbehörde. 15 RKI, Infektionsepidemiologisches Jahrbuch meldepflichtiger Krankheiten für 2016, S. 14 ff. Wissenschaftliche Dienste Sachstand WD 9 - 3000 - 022/19 Seite 7 3.4. Nichtnamentliche Meldung an das RKI Besteht eine Meldepflicht nach § 7 Abs. 3 IfSG – wie etwa bei HIV gem. § 7 Abs. 1 Nr. 2 IfSG –, hat die Meldung innerhalb von zwei Wochen formblattmäßig durch Arzt oder Labor direkt gegenüber dem RKI zu erfolgen (§ 10 Abs. 2 IfSG). Das RKI stellt entsprechende Meldebögen zur Verfügung .16 Die nichtnamentliche Meldung nach § 7 Abs. 3 IfSG veranlasst die Gesundheitsbehörden nicht zu unmittelbarem Handeln, sondern dient infektionsepidemiologischen Erhebungen in Hinblick auf die Notwendigkeit bzw. den Erfolg von Präventions- und Aufklärungsmaßnahmen.17 3.5. Software Das RKI stellt für die Gesundheitsämter und Landesstellen die Software „SurvNet@RKI“ zur Verfügung , die der Erfassung, Auswertung und Weiterleitung der Meldedaten gemäß IfSG dient. Aktuell entwickelt das RKI das „Deutsche Elektronische Melde- und Informationssystem für den Infektionsschutz “ (DEMIS), das das zurzeit bestehende Surveillancesystem für Infektionskrankheiten modernisieren soll. Handlungsgrundlage hierfür bildet § 14 IfSG. DEMIS soll die Zusammenarbeit zwischen Meldenden und dem Gesundheitsdienst sowie die Zusammenarbeit zwischen lokalen Behörden, Landesbehörden und nationalen Behörden in Deutschland vereinfachen. Die Zusammenarbeit von Bund und Ländern bei der Umsetzung von DEMIS wird gemäß § 14 Abs. 1 S. 3 IfSG durch einen gemeinsamen Planungsrat koordiniert.18 Der Projektbeginn war am 1. Januar 2016, die Entwicklung und Implementierung soll innerhalb einer Projektlaufzeit von fünf Jahren bis zum 31. Dezember 2020 erfolgen.19 Im Rahmen dessen werden unter anderem auch der Zugriff auf Daten neu gestaltet und geregelt, vgl. § 14 Abs. 6 IfSG. Die personenbezogenen Daten werden in DEMIS nach dem neuesten Stand der Technik verschlüsselt. Zugriff auf die verschlüsselten Daten hat dann nur das jeweils zuständige Gesundheitsamt. 20 16 Vgl., RKI, Meldebogen zur Echinokokkose, https://www.rki.de/DE/Content/Infekt/IfSG/Meldeboegen/Labormeldungen /Meldung_Echinokokkose.pdf?__blob=publicationFile. 17 Erdle, Helmut, Infektionsschutzgesetz, Kommentar, 6. Überarbeitete Auflage, 2018, S. 17, § 7 IfSG, S. 34. 18 RKI, Epidemiologisches Bulletin, 21. Februar 2019,Nr. 8, abrufbar unter: https://www.rki.de/DE/Content/Infekt /EpidBull/Archiv/2019/Ausgaben/08_19.pdf?__blob=publicationFile, S. 76 f. 19 RKI, DEMIS − Deutsches Elektronisches Melde- und Informationssystem für den Infektionsschutz, abrufbar unter : https://www.rki.de/DE/Content/Infekt/IfSG/DEMIS/DEMIS_node.html;jsessionid =62EAEFCFCBEB153DA32B42276F11C634.1_cid390. 20 Robert Koch-Institut, Deutsches elektronisches Meldesystem für den Infektionsschutz (DEMIS), Berlin, Mai 2017, Häufige Fragen, abrufbar unter: https://www.rki.de/DE/Content/Infekt/IfSG/DE- MIS/Flyer.pdf?__blob=publicationFile; Vgl. Gesetzentwurf der Bundesregierung, Entwurf eines Gesetzes zur Modernisierung der epidemiologischen Überwachung übertragbarer Krankheiten, Drucksache18/10938, 23. Januar 2017, abrufbar unter: http://dipbt.bundestag.de/doc/btd/18/109/1810938.pdf, S. 61. Wissenschaftliche Dienste Sachstand WD 9 - 3000 - 022/19 Seite 8 3.6. Löschfristen § 1 a IfSG – eingeführt durch Änderungsgesetz vom 17. Juli 2017 – weitet die auf das Gesundheitsamt bezogene Pflicht zum Schutz personenbezogener Daten (§ 9 Abs. 5 a. F. IfSG) auf alle beteiligten Stellen aus. Gemäß der Norm sind die zur Erfüllung der Aufgaben nach Maßgabe der Zwecke dieses Gesetzes verarbeiteten personenbezogenen Daten zu löschen, wenn diese zur Erfüllung der Aufgaben nicht weiter benötigt werden.21 So ist etwa auch die zuvor geltende Löschfrist von drei Jahren für personenbezogene Daten bei der Hepatitis-C-Meldung mit der IfSG-Änderung vom 25. Juli 17 entfallen.22 3.7. Zugriff Gem. § 9 Abs. 3 IfSG hat die namentliche Meldung an das zuständige Gesundheitsamt zu erfolgen . Zuständig ist nach Abs. 4 das Gesundheitsamt, in dessen Bezirk sich die betroffene Person derzeitig aufhält oder zuletzt aufhielt. Nur dieses Gesundheitsamt hat grundsätzlich Zugriff auf die Gesundheitsdaten. Gem. § 9 Abs. 5 IfSG können die Gesundheitsdaten auch an das Gesundheitsamt übermittelt werden, in dessen Bezirk die betroffene Person ihre Hauptwohnung hat oder zuletzt hatte (Nr. 1) oder in dessen Bezirk sich die betroffene Person gewöhnlich aufhält, falls ein Hauptwohnsitz nicht feststellbar ist oder falls die betroffene Person sich dort gewöhnlich nicht aufhält (Nr. 2). Dies ist etwa der Fall, wenn ein Patient eine namentlich meldepflichtige Infektionskrankheit hat und in der Zeit beispielsweise aufgrund eines Umzugs seinen Aufenthaltsort wechselt. Das Gesundheitsamt schickt die Gesundheitsdaten dann an das jeweils zuständige Gesundheitsamt , sofern die Daten weiterhin relevant sind für die Aufgabenerfüllung des öffentlichen Gesundheitsdienstes. 4. Europäische Datenschutzgrundverordnung Neben dem IfSG ist im Rahmen der Datenverarbeitung insbesondere auch die DSGVO sowie das Verhältnis dieser zu den bestehenden bereichsspezifischen Datenschutzvorschriften im Gesundheitssektor zu beachten. Die Meldepflichten und sonstigen Vorschriften nach IfSG, die eine solche Datenerhebung von Gesundheitsdaten23 erlauben, bleiben trotz der DSGVO künftig anwend- 21 Erdle, Helmut, Infektionsschutzgesetz, Kommentar, 6. Überarbeitete Auflage, 2018, § 1 a IfSG, S. 17. 22 Vgl. § 9 Abs. 5 S. 2 IfSG a. F. (gültig ab 15. Juli 2016 bis 24. Juli 2017). 23 Gesundheitsdaten werden unter der DSGVO definiert als „personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen , beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen“, vgl. Art. 4 Nr. 15 DSGVO. Wissenschaftliche Dienste Sachstand WD 9 - 3000 - 022/19 Seite 9 bar, da die Verarbeitung von Gesundheitsdaten nach der DSGVO aufgrund eines der abschließend aufgezählten Erlaubnistatbestände des Art. 9 DSGVO zulässig ist. 24 Rechtsgrundlage für die Verarbeitung von Gesundheitsdaten ist Art. 9 II h) DSGVO iVm § 22 I Nr. 1 b) Bundesdatenschutzgesetz (BDSG). Die Rechtmäßigkeit der Meldungen und Übermittlungen von Gesundheitsdaten bleibt somit vom Inkrafttreten der DSGVO unberührt. *** 24 Kampert, David, DSGVO Art. 9 Verarbeitung besonderer Kategorien personenbezogener Daten, in: Sydow, Europäische Datenschutzgrundverordnung, 2. Auflage 2018, abrufbar unter: https://beck-online.beck.de/Dokument ?vpath=bibdata%2Fkomm%2Fsydowkoedsgv_2%2Fewg_dsgvo%2Fcont%2Fsydowkoedsgv .ewg_dsgvo.a9.glc.glii.gl3.htm&pos=12&hlwords=on, Rn. 78; Schulz, DS-GVO Art. 9 Verarbeitung besonderer Kategorien personenbezogener Daten, in: Gola, Datenschutz-Grundverordnung, 2. Auflage 2018, abrufbar unter: https://beck-online.beck.de/Dokument?vpath=bibdata%2Fkomm%2Fgolakodsgvo _2%2Fewg_dsgvo%2Fcont%2Fgolakodsgvo.ewg_dsgvo.a9.glb.glii.gl9.htm&pos=15&hlwords=on, Rn. 39-41.