Kurzer Service-Tread für alle aus dem #TeamDatenschutz, die sich gerade mit der datenschutzrechtlichen Zulässigkeit von Abwehrmaßnahmen gegen #COVID19de beschäftigen:
Seit November 2019 gibt es neu den § 22 Abs. 1 Nr. 1 d) BDSG. Dieser nutzt die Öffnungsklausel des Art. 9 Abs. 2 g) DSGVO und kann für Corona-Abwehrmaßnahmen grds. als RGL herangezogen werden. 
Die Vorschrift ist mit dem Zweiten Datenschutzanpassungsgesetz im November 2019 explizit zum Zweck der Pandemiebekämpfung auch für private Unternehmen geöffnet worden. Hier ein Auszug aus der Gesetzesbegründung: dipbt.bundestag.de/dip21/btd/19/0…
Inhaltlich ist dabei der heutige § 22 Abs. 1 Nr. 1 d) verschoben worden. Er rückte aus dem Bereich, der nur von öffentlichen Stellen genutzt werden kann (Nr. 2) in den Bereich, der sowohl öffentlichen als auch nicht-öffentlichen Stellen zugänglich ist.
Gleichzeitig hat der Gesetzgeber die Pflicht zur Durchführung einer Interessenabwägung (§ 22 Abs. 1 BDSG am Ende) auf den neuen Buchstaben d) ausgedehnt. Falls und soweit private Stellen den Buchstaben d) nutzen wollen, müssen sie also eine solche Interessenabwägung duchführen.
Außerdem gilt die Pflicht, spezifische TOMs einzuführen (§ 22 Abs. 2 BDSG). Dieser Teil wurde nicht geändert.
Ich weise darauf hin, weil die Änderung so neu ist, dass sie offenbar noch in keinem der BDSG-Kommentare eingearbeitet ist (?). Auch die deutschen Datenschutzbehörden erwähnen in ihren Corona-Hinweisen zwar verschiedene Teile des § 22 BDSG, aber nicht den neuen Buchstaben d).
Auf § 22 Abs. 1 d) BDSG lässt sich nicht jede beliebige Überwachungsmaßnahme stützen, weil die Datenverarbeitung zur Corona-Abwehr "zwingend erforderlich" sein muss. Aber: Die Vorschrift ist flexibler anwendbar als Art 9 DSGVO und die übrigen Teile von § 22 BDSG. Deshalb wichtig!
PS: @winfriedveil, Du müsstest einmal deinen (tollen) DSGVO/BDSG-Abgleich aktualisieren: cr-online.de/blog/wp-conten…
