Sehr geehrteAntragsteller/in hiermit beantrage ich gem §§ 2, 3 AuskunftspflichtG die Erteilung folgender Auskunft:

Sehr geehrtAntragsteller/in Sie brachten unter der Nummer 2461 der Seite FragdenStaat.at folgende Anfrage ein: Die maschinenlesbaren QR-Codes des "Grüner Passes" enthalten schützenswerte personenbezogene Daten und Gesundheitsdaten. Zur fälschungssicheren Kontrolle des "Grüner Passes" ist es unumgänglich, dass diese QR-Codes durch informationstechnische Systeme erfasst und ausgewertet werden. Zu diesen Kontrollen sind nicht nur öffentliche Stellen befugt bzw. verpflichtet, sondern u.a. auch Betreiber:innen von Betriebs- und Arbeitsstätten. Für Bürger:innen welche einer Kontrolle des "Grüner Passes" durch Betreiber von Betriebs- und Arbeitsstätten unterzogen werden ist es nicht nachvollziehbar, wie die eingesetzten informationstechnischen Systeme die gewonnenen Daten verarbeiten. Frage 1: Wurde im Zusammenhang mit der Einführung des "Grüner Passes" das Risiko einer missbräuchlichen Verwendung der beim Scan der QR-Codes gewonnenen Daten durch Betreiber:innen von Betriebs- und Arbeitsstätten und die Folgen eines solchen Datenmissbrauchs abgeschätzt? Frage 2: Wenn Frage 1 mit "ja" beantwortet wird, was war das Ergebnis dieser Abschätzung? Frage 3: Wenn Frage 1 mit "nein" beantwortet wird, warum wurde eine solche Abschätzung nicht durchgeführt? Frage 4: Ist es vorgesehen, dass die von Betreiber:innen von Betriebs- und Arbeitsstätten eingesetzten informationstechnischen Systeme zur Erfassung und Auswertung der QR-Codes stichprobenartig forensisch untersucht werden, um einen missbräuchliche Verwendung der gewonnenen Daten auszuschließen? Frage 5: Wenn Frage 4 mit "nein" beantwortet wird, warum sind solche Kontrollen nicht vorgesehen? Hierzu kann Ihnen durch das BMSGPK das Folgende mitgeteilt werden: Frage 1: Wurde im Zusammenhang mit der Einführung des "Grüner Passes" das Risiko einer missbräuchlichen Verwendung der beim Scan der QR-Codes gewonnenen Daten durch Betreiber:innen von Betriebs- und Arbeitsstätten und die Folgen eines solchen Datenmissbrauchs abgeschätzt? Etwaige Risiken für die Betroffenen wurden in der Datenschutz-Folgeabschätzung (DSFA) behandelt, welche im Rahmen des Gesetzgebungsverfahrens zum "Grünen Pass" legistisch vorweggenommen wurde. Sie finden die DSFA unter folgender Web-Adresse: https://www.gesundheit.gv.at/service/me… Frage 2: Wenn Frage 1 mit "ja" beantwortet wird, was war das Ergebnis dieser Abschätzung? Wie in der Datenschutzfolgenabschätzung auf Seite 25 ausgeführt, ergibt sich nach Einschätzung des BMSGPK eine mittlere Einstufung des Risikos. Weitere Details entnehmen Sie bitte der DSFA. Frage 3: Wenn Frage 1 mit "nein" beantwortet wird, warum wurde eine solche Abschätzung nicht durchgeführt? - Frage 4: Ist es vorgesehen, dass die von Betreiber:innen von Betriebs- und Arbeitsstätten eingesetzten informationstechnischen Systeme zur Erfassung und Auswertung der QR-Codes stichprobenartig forensisch untersucht werden, um einen missbräuchliche Verwendung der gewonnenen Daten auszuschließen? Die Verifizierung von Zertifikaten durch Betreiber:innen von Betriebs- und Arbeitsstätten als Überprüfende iSd § 4f Abs. 1 EpiG erfolgt in deren alleiniger datenschutzrechtlicher Verantwortlichkeit gem. Art. 4 Z 7 DSGVO. Damit obliegt die Wahl der Mittel zur Verifizierung der Zertifikate, d.h. die Wahl der Prüf-App, auch alleinig den Betreiber:innen. Insbesondere die amtswegige Überprüfung von Verantwortlichen auf die Einhaltung der Anforderungen der DSGVO obliegt gemäß § 18 DSG ausschließlich der Datenschutzbehörde (DSB). Eine solche Prüfung kann daher vom BMSGPK nicht veranlasst werden. Frage 5: Wenn Frage 4 mit "nein" beantwortet wird, warum sind solche Kontrollen nicht vorgesehen? In § 4f Abs. 6 EpiG ist lediglich die Kompetenz zur Überprüfung des Quellcodes von App-Anbietern durch das BMSGPK vorgesehen. Mangels amtlicher Kenntnis etwaiger Verfehlungen von App-Anbietern, gab es bisher keinen Anlass zur Durchführung einer solchen. Es ist darauf hinzuweisen, dass diese Befugnis ohnehin nur eine technische Prüfung erlaubt, jedoch keine datenschutzrechtliche, die die Zuständigkeit der DSB gemäß § 18 DSG tangieren würde. Wir hoffen, Ihnen geholfen zu haben. Bundesministerium für Soziales, Gesundheit Pflege und Konsumentenschutz S7 Krisenstab Covid-19