Auf Mastodon teilen

Sehr << Anrede >> meine Informationsfreiheitsanfrage „Welches Verfahren wurde vom Robert Koch-Institut für die Bildung des Patienten-Pseudonyms gemäß § 13 Absatz 5 Satz 1 Nummer 1 IfSG gewählt?“ vom 02.06.2021 (#221701) wurde von Ihnen nicht in der gesetzlich vorgeschriebenen Zeit beantwortet. Sie haben die Frist mittlerweile um 6 Tage überschritten. Bitte informieren Sie mich umgehend über den Stand meiner Anfrage. Mit freundlichen Grüßen Antragsteller/in Antragsteller/in Anfragenr: 221701 Antwort an: <<E-Mail-Adresse>> Laden Sie große Dateien zu dieser Anfrage hier hoch: https://fragdenstaat.de/a/221701/

Sehr << Anrede >> ich bitte um Vermittlung bei einer Anfrage nach dem Informationsfreiheitsgesetz Bund (IFG, UIG, VIG). Die bisherige Korrespondenz finden Sie hier: https://fragdenstaat.de/a/221701/ Ich bin der Meinung, die Anfrage wurde zu Unrecht auf diese Weise bearbeitet, weil sie jetzt schon seit zwei Monaten von der Behörde unbeantwortet geblieben ist, ohne dafür einen konkreten Grund anzugeben. Eine Nachfrage nach einen konkreten Grund für die Verspätung blieb unbeantwortet. Sie finden auch alle Dokumente zu dieser Anfrage als Anhang zu dieser E-Mail. Sie dürfen meinen Namen gegenüber der Behörde nennen. Mit freundlichen Grüßen Antragsteller/in Antragsteller/in Anhänge: - 221701.pdf Anfragenr: 221701 Antwort an: <<E-Mail-Adresse>> Laden Sie große Dateien zu dieser Anfrage hier hoch: https://fragdenstaat.de/a/221701/

Sehr [geschwärzt], auf Ihre Nachricht vom 02.09.2021 ([geschwärzt]#[geschwärzt]) teile ich Ihnen folgendes mit. Entgegen der Behauptung des Robert Koch-Instituts (RKI), wonach es am 27..08.2021 meine Anfrage beantwortet haben soll, wurde meine Anfrage nicht beantwortet. Das RKI teilte mir lediglich mit, dass eine Pseudonymisierung durchgeführt wird und an welchen Stellen. Eine Beantwortung meiner Frage welches konkrete Verfahren dabei verwendet wird, blieb es mir schuldig. Zur Begründung wurde angegeben: "Eine genauere Beschreibung des Verfahrens kann wegen des Schutzes personenbezogener Daten (hier: Gesundheitsdaten) nicht erfolgen, da sonst möglicherweise Rückschlüsse auf die Identität von geimpften Personen gezogen werden könnten." Das ist vollkommen unzureichend! Schon beim Gesetzgebungsverfahren hatte der BfDI Prof. Ulrich Kelber an dem Gesetzesvorhaben zur Impfsurveillance eine nicht nachvollziehbare Ausweitung der Datenerhebung moniert (vgl. Stellungnahme des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zum Entwurf des Dritten Gesetzes zum Schutz der Bevölkerung bei einer epidemischen Lage von nationaler Tragweite (BT-Drs. 19/23944 vom 3. November 2020), Seite 3): "Dass auch hier die Angabe des Ortes verfeinert wird, indem statt drei Stellen nun alle fünf Stellen der Postleitzahl übermittelt werden sollen, wird in der Gesetzesbegründung nicht erwähnt. Ebenso wenig wird erwähnt, dass nun neben den Kassenärztlichen Vereinigungen auch die Impfzentren diese Angaben machen sollen. Da es sich insgesamt um die Übermittlung von Gesundheitsdaten handelt, sehe ich diese Knappheit als Ausdruck einer mangelnden Sensibilität für Belange des Datenschutzrechtes und des Persönlichkeitsschutzes." Bei der Verwendung einer unzureichenden Pseudonymisierung wie bspw. bei der Verarbeitung von Meldedaten zu HIV (§ 10 Abs. 3 IfSG), könnten sehr einfach Rückschlüsse auf einen beträchtlichen Teil der Bevölkerung in Verbund mit den anderen unzureichend anonymisierten Angaben in § 13 Abs. 5 Satz 1 IfSG möglich sein. Um genau dies festzustellen wollte ich in Erfahrung bringen, welches konkrete Verfahren zur Bildung des Patienten-Pseudonyms angewandt wird. Des Weiteren ist es überhaupt fraglich ob eine Regelung, die dem Verarbeiter - hier RKI - die Bestimmung eines Pseudonymisierungsverfahrens erlaubt mit der DSGVO überhaupt vereinbar ist. Dazu müsste erstens gesichert sein, dass ohne Hinzuziehung zusätzlicher Informationen die Zuordnung zu einer spezifischen betroffenen Person nicht möglich ist, und zweitens, dass diese Informationen gesondert aufbewahrt und durch entsprechende technische und organisatorische Maßnahmen so behandelt werden, dass sie nicht für eine Zuweisung der Daten zu der betroffenen Person verwendet werden. Wenn nicht beide Bedingungen erfüllt sind, handelt es sich nicht um eine Pseudonymisierung gemäß Art. 4 Nr. 5 DSGVO (vgl. Hansen in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 1. Auflage 2019, Art. 4 Nr. 5 DSGVO Rn. 33 m.w.N.; Bischoff, PharmR 2020, 309 (312)). Da die Zuordnungsinformation beim Verantwortlichen (RKI) verbleibt, hat er aber weiter die technische Möglichkeit, die pseudonymisierten Daten über die Zuordnungsinformation wieder einer Person zuzuordnen. Durch geeignete technisch-organisatorische Maßnahmen wäre eigentlich sicherzustellen, dass das RKI, welches Zugriff auf die pseudonymisierten Daten hat, nicht gleichzeitig Zugriff auf die Zuordnungsinformation hat. Dies ist hier eindeutig nicht der Fall. Die Begründung des RKI zur Ablehnung der Beantwortung meiner Frage, gibt mir außerdem Grund zur Besorgnis. Da es der Ansicht ist, dass alleine die Kenntnis dieses Verfahrens möglicherweise Rückschlüsse auf die Identität von geimpften Personen ermöglicht, ist es unter Umständen unzureichend eine Reidentifizierung von Geimpften zu verhindern. Um so wichtiger ist es in Erfahrung zu bringen, welches Schutzniveau bei der Bevorratung der Gesundheitsdaten von Millionen von Bürgern seitens des RKI gewährleistet wird. Aus den hier angegeben Gründen besteht meine Vermittlungsbitte fort. Ich möchte weiterhin wissen, welches konkrete Verfahren vom RKI für die Bildung des Patienten-Pseudonyms gemäß § 13 Absatz 5 Satz 1 Nummer 1 IfSG gewählt wurde. Mit freundlichen Grüßen [geschwärzt] Anfragenr: 221701 Antwort an: [geschwärzt] Laden Sie große Dateien zu dieser Anfrage hier hoch: [geschwärzt] Postanschrift [geschwärzt] [geschwärzt], [geschwärzt], [geschwärzt], [geschwärzt]