Stand 31.01.2022, zuletzt aktualisiert mit der App-Version 1.17
In dieser Datenschutzerklärung erfahren Sie, wie Ihre Daten verarbeitet werden und welche Datenschutzrechte Sie haben, wenn Sie die CovPass-App zur Verwaltung der Nachweise in Form der digitalen COVID-Zertifikate zu Corona-Impfungen, negativen Corona-Testergebnissen oder durchgemachten Corona-Erkrankungen nutzen.
Bitte beachten Sie auch die Datenschutzhinweise, die Sie bei der Ausgabe eines digitalen COVID-Zertifikats (z. B. im Impf-/Testzentrum, in der ärztlichen Praxis oder in der Apotheke) bekommen.
Folgende Themen werden in dieser Datenschutzerklärung behandelt:
Sie haben Fragen zur CovPass-App? Antworten auf viele häufige Fragen finden Sie auf der offiziellen CovPass-Website des RKI (www.digitaler-impfnachweis-app.de/faq).
Diese App wird vom Robert Koch-Institut (RKI) für die deutsche Bundesregierung herausgegeben. Das RKI ist auch dafür verantwortlich, dass Ihre personenbezogenen Daten in Übereinstimmung mit den Vorschriften über den Datenschutz verarbeitet werden.
Das digitale COVID-Zertifikat ist ein Nachweis dafür, dass eine Person
Die digitalen COVID-Zertifikate gelten seit dem 01.07.2021 innerhalb der gesamten Europäischen Union (EU) als Bescheinigung von COVID-19-Impfungen und -Tests sowie der Genesung von einer COVID-19-Erkrankung. Die offizielle Bezeichnung lautet „Digitales COVID-Zertifikat der EU” (Zertifikat).
Ein Zertifikat erhalten Sie auf Wunsch nach einer Impfung, einem Test oder nach einer durchgemachten COVID-19-Erkrankung von einer zuständigen Einrichtung (Impfzentren, Teststellen, Praxen oder Apotheken).
Sie können das Zertifikat in Papierform oder in elektronischer Form auf Ihrem Smartphone bei sich führen. Jedes Zertifikat enthält einen QR-Code mit einer elektronischen Signatur des RKI zum Schutz vor Fälschungen. Wenn Sie ein Zertifikat auf Ihrem Smartphone speichern möchten, können Sie den QR-Code einfach mit der CovPass-App einscannen. Die App speichert dann eine elektronische Version des Zertifikats sicher auf Ihrem Smartphone.
Weitere Informationen zur Funktionsweise des Zertifikats erhalten Sie auf folgenden Websites:
Bitte beachten Sie, dass die QR-Codes der Zertifikate Gesundheitsdaten (Daten über Corona-Impfungen, Corona-Testergebnisse oder durchgemachte Corona-Erkrankungen) enthalten. Zeigen Sie die Zertifikate und QR-Codes nur vor, wenn Sie einen entsprechenden Nachweis erbringen möchten. Stellen Sie die QR-Codes niemandem zur Verfügung, wenn Sie nicht wollen, dass die Daten ausgelesen werden. Um einen ungewollten Zugriff auf die auf Ihrem Smartphone gespeicherten Zertifikate zu verhindern, sollten Sie auf dem Gerät eine Codesperre einrichten.
Ja, die Nutzung der App ist freiwillig. Jedes Zertifikat kann auch in Papierform als Nachweis für eine Impfung, einen Test oder die Genesung verwendet werden. Nachteile entstehen Ihnen dabei nicht, da die Papierversion und die elektronische Version des Zertifikats gleichwertig sind. Sie können jederzeit entscheiden, ob Sie den QR-Code einscannen und das Zertifikat in der App speichern möchten. Ebenso können Sie das Zertifikat jederzeit aus der App löschen.
Das RKI verarbeitet kurzfristig die notwendigen personenbezogenen Daten von Zertifikatsinhabern zur technischen Erstellung und Signierung des gewünschten Zertifikats (§ 22 Abs. 5 bis 7 Infektionsschutzgesetz). Nachdem die technische Erstellung des Zertifikats abgeschlossen ist, werden die personenbezogenen Daten beim RKI sofort wieder gelöscht. Es gibt kein zentralverwaltetes Impf- oder Zertifikatsregister.
Mit der CovPass-App können Sie ausgedruckte eigene Zertifikate und Zertifikate von Familienmitgliedern scannen und verschlüsselt auf Ihrem Smartphone speichern.
Um in den gesetzlich vorgesehenen Fällen gegenüber Dritten eine Impfung, ein negatives Testergebnis oder eine durchgemachte COVID-19-Erkrankung nachzuweisen, können Sie das entsprechende Zertifikat der prüfenden Person vorzeigen. Wenn die prüfende Person eine spezielle Prüf-Anwendung (etwa die CovPassCheck-App des RKI) nutzt, genügt es den QR-Code des Zertifikats vorzuzeigen und scannen zu lassen. Der QR-Code stellt das Zertifikat in digitaler Form dar und enthält ausschließlich die für die jeweilige Art des Zertifikats notwendigen Informationen (siehe Abschnitt 5).
Mit der Prüf-Anwendung kann der QR-Code beispielsweise von Behörden, Reiseunternehmen und anderen Dienstleistern in der EU gescannt werden, um die Gültigkeit des vorgezeigten Zertifikats zu überprüfen. Bei der Prüfung werden die im Zertifikat enthaltenen Daten ausgelesen. Damit das Zertifikat gültig ist, muss es folgende technische und inhaltliche Kriterien erfüllen:
In der Prüf-Anwendung wird angezeigt, ob das vorgelegte Zertifikat gültig ist. Im Falle eines gültigen Zertifikats wird zusätzlich der Name und das Geburtsdatum des Zertifikatsinhabers mitgeteilt und ob es sich um ein Testzertifikat handelt oder nicht. Bei Testzertifikaten wird zudem der Zeitpunkt der Probenahme angezeigt.
Der Name und das Geburtsdatum des Zertifikatsinhabers werden angezeigt, damit die prüfende Person diese Angaben mit einem Identitätsnachweis (z. B. Reisepass oder Personalausweis) abgleichen kann. Die Mitteilung, ob es sich um ein Testzertifikat handelt und der Zeitpunkt der Probenahme sind erforderlich, damit die prüfende Person beurteilen kann, ob das dem Zertifikat zugrunde liegende Testergebnis noch gültig ist.
Zum Schutz vor Fälschungen muss die Echtheit der gespeicherten Zertifikate überprüft werden. Hierzu wird die im QR-Code eines Zertifikats enthaltene elektronische Signatur verwendet. Die elektronische Signatur wird bei der Erstellung des Zertifikats vom RKI auf Basis der im Zertifikat enthaltenen Daten (siehe Abschnitt 5) erzeugt. Bei der Signatur handelt es sich um eine besondere Form der Verschlüsselung, die wie eine elektronische Unterschrift des RKI funktioniert und sicherstellt, dass es sich um ein offiziell vom RKI erstelltes digitales Dokument handelt.
Das RKI stellt zudem die zugehörigen öffentlichen Schlüssel des RKI (sogenannte Public Keys) bereit. Mit diesen öffentlichen Schlüsseln kann geprüft werden, ob die elektronische Signatur des Zertifikats tatsächlich vom RKI stammt und ob das Zertifikat nach der elektronischen Signierung manipuliert worden ist.
Zum Gesundheitsschutz von Zertifikatsinhabern und der Bevölkerung können in besonderen Fällen bestimmte Zertifikate widerrufen werden. Das kann beispielsweise dann notwendig sein, wenn eine zuständige Einrichtung (z. B. Apotheke, Impfzentrum oder Praxis) die Zertifikate irrtümlich oder in betrügerischer Absicht ausgestellt hat. Der Widerruf führt dazu, dass das Zertifikat ungültig wird und bei Überprüfungen nicht mehr anerkannt wird. Dabei spielt es keine Rolle, ob das Zertifikat bei der Überprüfung in elektronischer Form auf dem Smartphone oder im Papierformat verwendet wird. Wenn Sie ein widerrufenes Zertifikat in der App gespeichert haben, wird es als „ungültig“ angezeigt.
Um die Gültigkeit der elektronischen Signatur oder den Widerruf der gespeicherten Zertifikate feststellen zu können lädt die App regelmäßig im Hintergrund die aktuellen öffentlichen Schlüssel und Widerrufslisten des RKI und speichert diese lokal auf Ihrem Smartphone. So kann die App regelmäßig die elektronischen Signatur und damit die Echtheit sowie den Widerrufsstatus der gespeicherten Zertifikate überprüfen. Die öffentlichen Schlüssel und Widerrufslisten enthalten keine personenbezogenen Daten. Die Widerrufslisten enthalten lediglich einen kleinen Teilabschnitt aus der eindeutigen Zertifikatskennung der widerrufenen Zertifikate. Dieser Teilabschnitt ist bei allen Zertifikaten, die von der gleichen zuständigen Einrichtung (z. B. Apotheke) ausgegeben worden sind, identisch. Die CovPass-App gleicht diesen dann mit der eindeutigen Zertifikatskennung der auf dem Smartphone gespeicherten Zertifikate ab. Sofern es eine Übereinstimmung gibt, wird das betreffende Zertifikat in der CovPass-App als ungültig angezeigt. Das widerrufene Zertifikat selbst wird dabei jedoch nicht verändert. Sowohl die Prüfung der elektronischen Signatur als auch der Abgleich mit den Widerrufslisten findet ausschließlich offline in der App statt und es werden keine Daten über diesen Vorgang an das RKI weitergegeben.
Sie können mit der Funktion „Gültigkeit prüfen“ selbst prüfen, ob die in der App gespeicherten Zertifikate die offiziellen inhaltlichen Anforderungen eines bestimmten EU-Landes erfüllt. Die EU-Länder können eigene Regeln für die Gültigkeit der Zertifikate erlassen. Beispielsweise können Testzertifikate in einigen EU-Ländern eine längere Gültigkeit aufweisen als in anderen. Die EU-Länder tauschen diese Regeln über einen gemeinsamen Austausch-Server aus. Vor dem Antritt einer Reise können Sie daher mit der App die Gültigkeit der Zertifikate im Reiseland überprüfen
Wenn Sie die Gültigkeit eines Zertifikats überprüfen möchten, lädt Ihre App die jeweils aktuellen Regeln aller Mitgliedstaaten vom Serversystem der App herunter. Die App überprüft dann anhand der in einem Zertifikat enthaltenen Daten, ob das Zertifikat den Regeln entspricht und zeigt Ihnen das entsprechende Ergebnis an. Die Überprüfung findet ausschließlich offline in der App statt und es werden dabei keine Daten an das RKI oder sonstige Empfänger (andere Gesundheitsbehörden in Deutschland oder anderen Ländern und sonstige Dritte) weitergegeben.
Bitte beachten Sie, dass sich die Einreiseregeln ändern können und sowohl im Reiseland als auch bei der Rückkehr weitere Regeln gelten können. Hinweise auf die Einreisebestimmungen finden Sie auch auf dieser Website der EU: https://reopen.europa.eu/de.
Die App kann Sie daran erinnern, gespeicherte Impfzertifikate zu überprüfen, sobald die letzte Impfung länger zurückliegt. Dazu lädt die App in regelmäßigen Abständen die aktuellen Regeln für die Empfehlungen der Auffrischungsimpfungen vom Serversystem der App herunter. Die App überprüft dann anhand der in den Zertifikaten enthaltenen Daten, ob eine baldige Auffrischungsimpfung empfohlen ist. Auch diese Überprüfung findet ausschließlich offline in der App statt und es werden keine Daten über die Impfung an das RKI weitergegeben.
Sie haben die Möglichkeit ein in der CovPass-App gespeichertes Zertifikat zu exportieren, um es auszudrucken und in der Papierversion zu verwenden (z.B. auf längeren Reisen) oder das Zertifikat anschließend mit einem neuen Smartphone zu scannen und erneut in der elektronischen Version in der CovPass-App zu speichern (z.B. nach einem Gerätewechsel). Die Funktion „EU-Ausdruck“ verwendet die in der CovPass-App gespeicherten Daten des jeweiligen Zertifikats, um eine PDF-Datei zu erstellen. Diese Verarbeitung erfolgt ausschließlich lokal auf dem Smartphone. Sie haben anschließend die Möglichkeit, diese PDF-Datei zu speichern. Die Erstellung des EU-Ausdrucks ist freiwillig. Das PDF-Dokument enthält sensible Gesundheitsdaten (Daten über Corona-Impfungen, Tests oder durchgemachte Corona-Erkrankungen). Bitte bewahren Sie das gespeicherte oder ausgedruckte Zertifikat daher sicher auf und veröffentlichen oder teilen Sie das Dokument nicht. Ein EU-Ausdruck ist nur für Zertifikate möglich, die in Deutschland vom RKI erstellt wurden.
Wenn Sie bei einem Reise- oder Veranstaltungsunternehmen oder einem sonstigen Anbieter eine Ticketbuchung vornehmen, können Sie über die App ein digitales COVID-Zertifikat an den Prüfpartner des Anbieters übermitteln, damit dieser die Gültigkeit des Zertifikats für Ihre Buchung gegenüber dem Reise- oder Veranstaltungsunternehmen bestätigt.
Voraussetzung hierfür ist, dass Sie in der CovPass-App ein digitales COVID-Zertifikat hinzugefügt haben. Die App erfragt beim jeweiligen Anbieter die zur Prüfung zu verwendenden Buchungsdaten und schlägt auf Basis dieser Angaben ein geeignetes Zertifikat vor. Dieses können Sie sodann auswählen und zusammen mit den vom Anbieter bereitgestellten Buchungsdaten (siehe Punkt 5 c.) dem Prüfpartner übermitteln.
Der Prüfpartner überprüft, ob die elektronische Signatur des Zertifikats echt und das technische Ablaufdatum des Zertifikats noch nicht erreicht ist. Der Prüfpartner teilt dem Anbieter sofort das Prüfungsergebnis mit. Es wird nur mitgeteilt, ob die Prüfung erfolgreich war oder nicht. Das Prüfungsergebnis wird Ihnen auch in der CovPass-App angezeigt.
Die vom Anbieter bereitgestellten Buchungsdaten werden nur lokal in der CovPass-App verarbeitet. Das RKI kann daher nicht nachvollziehen, welche Zertifikate Sie ausgewählt und prüfen lassen haben oder welche Reisen oder Veranstaltungen Sie gebucht haben.
Für die Datenverarbeitung durch den Anbieter und den Prüfpartner ist das RKI nicht verantwortlich. Lesen Sie bitte deren Datenschutzhinweise, damit Sie wissen, wozu und wie Ihre Daten verwendet werden.
Die Zertifikate enthalten Gesundheitsdaten und werden in einem gesicherten Bereich auf Ihrem Smartphone gespeichert. Folgende Daten sind in den Zertifikaten enthalten:
Welche konkreten Informationen in einem Zertifikat enthalten sind, können Sie vollständig den Angaben auf dem jeweiligen Zertifikat (in deutscher und englischer Sprache) entnehmen. Weitere Informationen als die auf dem jeweiligen Zertifikat angegebenen Daten werden nicht gespeichert.
Diese Daten werden in der App gespeichert, sobald Sie den QR-Code auf dem ausgedruckten Zertifikat scannen. Diese Daten wurden zuvor von der Stelle, die das Zertifikat ausgegeben hat, erhoben und zur Signierung des Zertifikats an das RKI übermittelt.
Um den öffentlichen Schlüssel des RKI für die Echtheitsprüfung der elektronischen Signatur, die aktuellen Widerrufslisten und Regeln der Mitgliedstaaten für die Gültigkeit der Zertifikate und die Regeln für die Empfehlungen von Auffrischungsimpfungen herunterzuladen, wird eine Verbindung zu einem Server des RKI aufgebaut. Dabei werden durch den Server technische Zugriffsdaten verarbeitet. Diese umfassen folgende Daten:
Diese Zugriffsdaten werden verarbeitet, um die Verbindung und den Datenaustausch zwischen der App und dem Server zu ermöglichen und abzusichern. Sie werden dabei nicht als Nutzer der App persönlich identifiziert und es wird kein Nutzungsprofil erstellt. Eine Speicherung der IP-Adresse über das Ende des einzelnen Nutzungsvorgangs hinaus erfolgt nicht.
Wenn Sie über das Internet bei einem Reise- oder Veranstaltungsunternehmen oder einem sonstigen Anbieter eine Buchung vornehmen, können Sie die CovPass-App zum Nachweis eines gültigen digitalen COVID-Zertifikats gegenüber dem jeweiligen Anbieter nutzen (Zertifikat-Prüfung bei Ticketbuchungen). Voraussetzung hierfür ist, dass Sie in der CovPass-App ein digitales COVID-Zertifikat hinzugefügt haben. Zudem muss der jeweilige Anbieter an einen Überprüfungsservice angebunden sein.
Zur Zertifikatsprüfung benötigen Sie einen speziellen QR-Code, den Sie im Rahmen des Buchungsvorgangs von dem jeweiligen Anbieter erhalten. Dieser QR-Code enthält eine eindeutige Transaktions-ID, eine kurze Beschreibung des Buchungsvorgangs (z. B. „Buchungsnummer 1234“) und eine Internetadresse (URL).
Die CovPass-App nutzt diese Informationen, um beim Anbieter technische Spezifikationen sowie die folgenden Details zur Buchung abzurufen, die für die Überprüfung des COVID-Zertifikats berücksichtigt werden sollen:
Welche konkreten Informationen für die Überprüfung des COVID-Zertifikats verwendet werden sollen und welche COVID-Zertifikate als Nachweis zugelassen sind, wird vom jeweiligen Anbieter individuell festgelegt.
Das RKI verarbeitet die oben unter Abschnitt 5 a. genannten Zertifikatsdaten im Rahmen der technischen Erstellung und Signierung des gewünschten Zertifikats. Die Rechtsgrundlage für die Verarbeitung ist jeweils Art. 6 Abs. 1 lit. c, Art. 9 Abs. 2 lit. g Datenschutz-Grundverordnung (DSGVO) in Verbindung mit
Nach §§ 22 Abs. 5-7 IfSG ist das RKI zur technischen Erstellung und Signierung des gewünschten Zertifikats verpflichtet, sofern die geimpfte, genesene oder getestete Person die Ausstellung eines entsprechenden Zertifikats wünscht.
Seit dem 01.07.2021 besteht zudem eine europarechtliche Grundlage für diese Verarbeitung. Rechtsgrundlage ist insofern Art. 6 Abs. 1 lit. c, Art. 9 Abs. 2 lit. g DSGVO in Verbindung mit Art. 10 Abs. 2 der Verordnung (EU) 2021/953 des Europäischen Parlaments und des Rates vom 14. Juni 2021 über einen Rahmen für die Ausstellung, Überprüfung und Anerkennung interoperabler Zertifikate zur Bescheinigung von COVID-19-Impfungen und -Tests sowie der Genesung von einer COVID-19-Infektion (digitales COVID-Zertifikat der EU) mit der Zielsetzung der Erleichterung der Freizügigkeit während der COVID-19-Pandemie).
Im Zusammenhang mit der Funktion zur Überprüfung von COVID-Zertifikaten bei Ticketbuchungen werden Ihre Daten auf Grundlage Ihres Einverständnisses verarbeitet. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO.
Die Rechtsgrundlage für die Verarbeitung der oben unter Abschnitt 5 b. genannten Zugriffsdaten ist § 3 Bundesdatenschutzgesetz und Art. 6 Abs. 1 lit. e DSGVO.
Die CovPass-App benötigt Zugriff auf die Kamera Ihres Smartphones, wenn Sie den QR-Code scannen, um einen Impfnachweis in der App hinzuzufügen. Außerdem benötigt die App eine Internetverbindung, um von dem Serversystem des RKI das aktuelle Schlüsselmaterial herunterladen zu können. Informationen zu weiteren Berechtigungen, die die App eventuell einholt, finden Sie im Bereich „Häufige Fragen”.
Die Zertifikate werden nur in der App auf Ihrem Smartphone gespeichert. In Ihrer App werden die Zertifikate nicht automatisch gelöscht. Wenn Sie die Löschung wünschen, können Sie das betreffende Zertifikate jederzeit selbst aus der App entfernen oder die App löschen. Um das Zertifikat später wieder hinzuzufügen, müssen Sie den QR-Code des ausgedruckten Zertifikats erneut scannen.
Die für die Zertifikatsprüfung bei Ticketbuchungen erforderlichen Buchungsdaten werden nach der Prüfung wieder gelöscht.
Das RKI speichert keine personenbezogenen Daten zu den Zertifikaten dauerhaft auf dem Serversystem. Unmittelbar nach der Bereitstellung des signierten Zertifikats an die ausgebende Einrichtung werden die Daten beim RKI unwiderruflich gelöscht.
Mit dem Betrieb und der Wartung des Serversystems hat das RKI die KDO Service GmbH (KDO) beauftragt. KDO verarbeitet personenbezogene Daten im Auftrag und auf Weisung des RKI (als sog. Auftragsverarbeiter). Die Gewährleistung der datenschutzrechtlichen Anforderungen ist vertraglich sichergestellt.
Wenn Sie anderen Personen oder Einrichtungen in den gesetzlich vorgesehenen Situationen (beispielsweise europäische Grenzbehörden oder Dienstleister) ein Zertifikat vorzeigen, erlangen diese Kenntnis über alle im Zertifikat enthaltenen Daten.
Dies können Sie verhindern, indem Sie den QR-Code in der App vorzeigen, sodass dieser mit einer Prüf-Anwendung gescannt werden kann. Dann werden die im QR-Code enthaltenen Daten ausgelesen. In der Prüf-Anwendung wird dabei aber nur angezeigt, ob das vorgezeigte Zertifikat gültig ist sowie eine Erläuterung des Ergebnisses. Im Falle eines gültigen Zertifikats werden zusätzlich der Name und das Geburtsdatum des Zertifikatsinhabers in der Prüf-Anwendung angezeigt, damit die prüfende Person diese Angaben mit einem Identitätsnachweis (z. B. Reisepass oder Personalausweis) abgleichen kann. Zusätzlich wird angezeigt, ob es sich um ein Testzertifikat handelt oder nicht. Bei Testzertifikaten wird dann auch der Zeitpunkt der Probenahme angezeigt, damit die prüfende Person beurteilen kann, ob das zugrunde liegende Testergebnis noch gültig ist.
In der Prüf-Anwendung werden die angezeigten Daten nur kurzzeitig verarbeitet. Nach Abschluss der Prüfung werden die angezeigten Daten verworfen, d. h. es erfolgt keine dauerhafte Speicherung der ausgelesenen Daten.
Bei der Zertifikatsprüfung für Ticketbuchungen werden Ihre COVID-Zertifikate und die Buchungsdaten an einen Prüfpartner des Anbieters übermittelt. Der konkrete Prüfpartner wird Ihnen vor der Übermittlung in der CovPass-App angezeigt. Zum Abruf der individuellen Buchungsdaten übermittelt die CovPass-App dem Anbieter die im Buchungs-QR-Code des Anbieters enthaltene Buchungskennung.
Soweit das RKI personenbezogene Daten von Ihnen verarbeitet, stehen Ihnen folgende Datenschutzrechte zu:
Bitte beachten Sie, dass die vorgenannten Datenschutzrechte durch das RKI nur erfüllt werden können, wenn Daten, auf die sich die geltend gemachten Ansprüche beziehen, dauerhaft verarbeitet werden. Dies wäre nur möglich, wenn die an den RKI-Server übermittelten Daten zu Ihrer Person gespeichert würden. Dies ist für die Zwecke der App nicht erforderlich. Deshalb werden die vorgenannten Datenschutzrechte aus den Artikeln 15, 16, 17, 18 und 21 DSGVO in der Regel ins Leere laufen.
Fragen und Anliegen zum Datenschutz im Zusammenhang mit der CovPass-App können Sie an die behördliche Datenschutzbeauftragte des RKI senden: Robert Koch-Institut, z. H. der Datenschutzbeauftragten, Nordufer 20, 13353 Berlin oder per E-Mail an: datenschutz@rki.de.