Digitales COVID-Zertifikat der EU

Aktuell

• Ich erhalte die Meldung, dass die Gültigkeit eines Zertifikats bald abläuft. Was muss ich tun?

  Die technische Gültigkeit der digitalen COVID-Zertifikate läuft nach 365 Tagen automatisch ab. Sollte das bei Ihnen bald der Fall sein, erhalten Sie dazu 28 Tage vor Ablauf eine Mitteilung in der CovPass-App.

  Um Ihren Impfstatus weiterhin nachweisen zu können, muss das Zertifikat Ihrer letzten Impfung sowie Ihr Genesenenzertifikat erneuert werden. Die dazu notwendige Neuausstellung können Sie in der App mit wenigen Klicks selbst durchführen. Folgen Sie hierfür den Anweisungen in der Übersicht Ihrer Zertifikate unter "Zertifikate verwalten".

• Verliere ich meinen Impfstatus, wenn eines meiner Zertifikate abläuft?

  Ihr Impfstatus ändert sich durch den Ablauf eines Zertifikats nicht. Sie müssen das entsprechende Zertifikat lediglich in der App neu ausstellen, um Ihren Impfstatus auch in Zukunft über die CovPass-App nachweisen zu können. Folgen Sie hierfür den Anweisungen in der Übersicht Ihrer Zertifikate (Button "Zertifikate verwalten").

• Ich kann ein Zertifikat in der App nicht erneuern. Woran kann das liegen?
  • ​​​​​​​Lediglich für den Impfstatus relevante Zertifikate können erneuert werden, beispielsweise Auffrischimpfungen oder Genesenenzertifikate.
  • Das Zertifikat ist noch länger als 28 Tage gültig.
  • Das Zertifikat ist bereits vor mehr als 90 Tagen abgelaufen. In diesem Fall ist die Neuausstellung innerhalb der App nicht mehr möglich. Bitte wenden Sie sich an eine Apotheke, um ein neues Zertifikat zu erhalten.
  • Die Anzahl der Neuausstellungen ist auf drei Neuausstellungen je Zertifikat begrenzt. Dazu zählen auch Erneuerungen, die Sie für das gleiche Zertifikat auf anderen Mobiltelefonen oder in der Vergangenheit in der Corona-Warn-App durchgeführt haben (Fehlercode R429).
  • Nur in Deutschland ausgestellte Zertifikate können über die CovPass-App erneuert werden.
  • Ihre App ist nicht auf dem neuesten Stand. Bitte nehmen Sie ein Update im App Store vor.
• Ich war an COVID-19 erkrankt und bin genesen. Wie kann ich einen vollständigen Immunschutz nachweisen?

  Anspruch auf ein Genesenenzertifikat hatten bis zum 30. März 2023 alle Personen, die eine Infektion mit dem Coronavirus SARS-CoV-2 durchgemacht haben und dies mit einem positiven PCR-Test-Ergebnis nachweisen konnten. Der PCR-Test durfte maximal 90 Tage alt sein. Gültig ist das Genesenenzertifikat in Deutschland ab dem 28. Tag nach dem PCR-Test und für eine Dauer von 90 Tagen nach dem PCR-Test. Seit dem 30. März 2023 werden keine Genesenenzertifikate mehr ausgestellt.

  Haben Sie vor der Genesung noch keine Impfung erhalten, brauchen Sie nach Ablauf des Genesenenzertifikats zwei Impfungen, um einen vollständigen Immunschutz nachweisen zu können.

  Das digitale COVID-Impfzertifikat der EU für die Genesenenimpfungen mit den Nummern 1/1 und 2/1 erhalten Sie in Apotheken, Arztpraxen, Gesundheitsämtern, Krankenhäusern oder Impfzentren.

• Wie lange ist das digitale Impfzertifikat der EU gültig?

  Gültigkeit in Deutschland
  Das Zertifikat für eine Auffrischimpfung ist unbefristet gültig. Nach 365 Tagen läuft die sogenannte technische Gültigkeit innerhalb der CovPass-App ab. Das Zertifikat kann mit wenigen Klicks erneuert werden.

  Grenzüberschreitende Reisen in die EU
  Abweichend von den in Deutschland geltenden Vorschriften des IfSG ist bei Reisen in andere EU-Mitgliedsstaaten Folgendes zu beachten: Die EU-Kommission hat für das digitale Impfzertifikat der EU nach dem Abschluss der Grundimmunisierung (d.h. nach zwei Impfdosen) eine EU-einheitliche Anerkennungsdauer von mindestens 270 Tagen festgelegt. Diese Regelung findet seit dem 1. Februar 2022 Anwendung. Das Zertifikat für eine Auffrischimpfung ist unbefristet gültig. Für unter 18-jährige ist auch das Impfzertifikat über den Abschluss der Grundimmunisierung unbefristet gültig.

• Ist mein Zertifikat auch im Ausland gültig?

  Die digitalen COVID-Zertifikate der EU für die Impfung oder Genesung können im EU-Ausland sowie in vielen weiteren Nicht-EU-Ländern genutzt werden. Zeigen Sie das Zertifikat mit dem QR-Code in der CovPass-App oder in Papierform vor. Auch der gelbe Impfpass gilt weiterhin als Nachweis.

  Seit Mai 2023 ist die Prüfung von Einreiseregeln in andere Länder in der CovPass-App nicht mehr möglich.

  Informationen über die in europäischen Ländern jeweils geltenden Corona-Maßnahmen und Reisebeschränkungen finden Sie unter anderem auf der Seite www.reopen.europa.eu/de. Die Aktualisierung obliegt den jeweiligen Ländern.

• Warum kann ich die Einreiseregeln in andere Länder nicht mehr prüfen?

  Seit Mai 2023 ist die Prüfung der Einreiseregeln in andere Länder in der CovPass-App nicht mehr möglich. Falls Sie dazu eine Fehlermeldung erhalten, aktualisieren Sie die CovPass-App auf die neuste Version.

• Muss ich die Ausdrucke der digitalen COVID-Zertifikate der EU aufheben?

  Es ist empfehlenswert, die Ausdrucke aufzubewahren, da Sie zum Nachweis Ihres Impfschutzes auch den Ausdruck vorweisen können.

• Ist der gelbe Impfpass weiterhin gültig?

  Ja, der gelbe Impfpass der Weltgesundheitsorganisation (WHO) ist ein international anerkanntes Dokument, das Sie weiterhin benutzen können, um Ihre Impfungen zu belegen.

• Wer gilt in Deutschland als vollständig geimpft?

  Seit dem 1. Oktober 2022 sind in Deutschland nach § 22a Abs. 1 Infektionsschutzgesetz (IfSG) der Nachweis über drei Ereignisse (3 Impfungen oder 2 Impfungen und 1 Infektion) notwendig, um als vollständig geimpft zu gelten. Davon müssen mindestens zwei Ereignisse Impfungen sein. Um dies vorweisen zu können, muss eine Person eines der folgenden Szenarien durchlaufen haben:

  • Drei Impfungen, wobei die letzte Impfung mit einem Mindestabstand von drei Monaten nach der zweiten Impfung verabreicht werden muss.
  • Zwei Impfungen und eine nachfolgende Infektion, wobei die Infektion mittels PCR-Test nachgewiesen wurde und 28 Tage seit der Testung vergangen sind.
  • Eine Impfung und eine Infektion, welche mittels PCR-Test nachgewiesen wurde, und eine weitere Impfung.
  • Eine mittels PCR-Test nachgewiesene Infektion gefolgt von zwei Impfungen.
  • Ein positiver Antikörpertest gefolgt von zwei Impfungen.
• Ich habe meinen Namen geändert (Heirat, Scheidung etc.). Was muss ich tun?

  Sobald Sie ein Ausweisdokument mit Ihrem aktuellen Namen haben, können Sie sich in einer Apotheke ein neues Zertifikat ausstellen lassen. Alternativ benutzen Sie als Nachweis Ihren gelben Impfpass und ändern Sie Ihren Namen selbstständig auf dem Deckblatt.

• Wie kann ich meine Daten bzw. einzelne Zertifikate in der CovPass-App löschen?

  Wenn Sie die CovPass-App löschen, werden auch alle Ihre gespeicherten Daten entfernt.

  Möchten Sie nur einzelne Zertifikate aus der App entfernen, so tippen Sie auf den QR-Code auf dem Startbildschirm und gehen Sie in die Übersicht Ihrer Zertifikate auf den Button "Zertifikate verwalten". Dort können Sie einzelne Zertifikate aufrufen und durch Tippen auf das Mülleimer-Symbol (rechts oben) löschen.

• Warum wird bei Kindern unter 12 Jahren ein unvollständiger Impfschutz angezeigt, auch wenn sie 2x geimpft sind?

  Der Status „vollständig geimpft“ in der CovPass-App richtet sich nach dem Infektionsschutzgesetz (IfSG). Die Vorgaben für einen vollständigen Impfschutz im IfSG unterscheiden nicht nach dem Alter. Sie gelten daher grundsätzlich auch für Kinder unter 12 Jahren.

  Die Empfehlungen der Ständigen Impfkommission (STIKO) weichen vom IfSG ab (Epidemiologisches Bulletin 08/2023).

CovPass-App

• Wie funktioniert die CovPass-App?

  Mit der CovPass-App können Sie Corona-Impfungen oder die Genesung von einer Corona-Infektion bei Bedarf sicher und digital nachweisen.

  Das digitale COVID-Zertifikat der EU enthält einen QR-Code. Scannen Sie den QR-Code mit der CovPass-App. Das digitale COVID-Zertifikat der EU wird anschließend in der App gespeichert. Für jede einzelne Corona-Impfung kann ein QR-Code als Nachweis erzeugt werden, der nach dem Scannen direkt in der App angezeigt wird.

  Bei der Überprüfung des QR-Codes mit der offiziellen CovPassCheck-App werden nur die für die Überprüfung notwendigen Informationen angezeigt: Status des Zertifikats, Name, Vorname(n) und Geburtsdatum. Zeigen Sie dafür einfach den QR-Code in der CovPass-App vor.

  Die Nutzung der CovPass-App ist freiwillig.

• Bin ich verpflichtet, die CovPass-App zu nutzen?

  Nein. Sie entscheiden selbst, ob Sie die CovPass-App nutzen wollen. Die Nutzung der App ist freiwillig. Ziel der CovPass-App ist es, digitale COVID-Zertifikate der EU schnell und sicher nachzuweisen. Sie können die App jederzeit löschen. Damit werden auch alle von der App gespeicherten Informationen von Ihrem Smartphone entfernt. Alternativ können Sie Ihren Corona-Impfschutz auch mit dem ausgedruckten Impfzertifikat oder Ihrem gelben Impfpass nachweisen.

• Wo kann ich die CovPass-App herunterladen?

  Die CovPass-App ist in den offiziellen, deutschen und US-amerikanischen App Stores verfügbar. Im Apple App Store, im Google Play Store und in der Huawei AppGallery können Sie die App in deutscher und englischer Sprache kostenlos herunterladen.

• Gibt es die CovPass-App auch auf Englisch?

  In den Smartphone-Einstellungen kann die Sprache auf Englisch umgestellt werden.

• Mit welchen Smartphones kann man die CovPass-App nutzen?

  Die CovPass-App wird unterstützt ab iOS-Version 12.0 und Android-Version 6.0. Zum Scannen der QR-Codes benötigt Ihr Smartphone eine Kamera. Die Entwicklung der App orientiert sich an den in der Bevölkerung mehrheitlich genutzten Systemen.

• Warum erhalte ich in der CovPass-App die Meldung "Änderung bei Ihren Zertifikaten"?

  Seit Februar 2022 werden EU-weit einige Zertifikate, die eine zweite Impfung nachweisen, nicht mehr wie bisher mit der Nummer 2/2, sondern mit der Nummer 2/1 ausgestellt. Dies betrifft folgende Fälle:

  • Zweite Impfung nach einer Erstimpfung mit Johnson & Johnson
  • Zweite Impfung nach einer Genesung und einer ersten Impfung (Auffrischimpfung)

  Wenn Sie in Ihrer CovPass-App eine entsprechende Meldung mit der Aufforderung zur Erneuerung Ihres Zertifikates erhalten, trifft einer der oben genannten Fälle auf Sie zu. Ihr hinterlegtes Zertifikat entspricht nicht den aktuellen EU-Vorgaben zur Nummerierung der Zertifikate und sollte daher mittels der Neuausstellungsfunktion in der App angepasst werden. Dies ist wichtig, damit Ihre Auffrischimpfung bei Prüfungen von der CovPassCheck-App erkannt wird.

  Nach der erfolgreichen Neuausstellung sind sowohl das alte (2/2), als auch das neue Zertifikat (2/1) hinterlegt. Das alte Zertifikat benötigen Sie nicht mehr und es kann gelöscht werden.

• Welchen QR-Code kann ich mit der CovPass-App einscannen?

  Die CovPass-App kann ausschließlich Zertifikate (QR-Codes) einlesen, die den europäischen Vorgaben entsprechen. Diese Zertifikate sind mit der Überschrift "Digitales COVID-Zertifikat der EU" versehen. Sie werden von Impfzentren, Arztpraxen, Gesundheitsämtern und Apotheken ausgegeben. Andere QR-Codes, die ebenfalls im Zusammenhang mit COVID-19 Impfungen ausgestellt werden (z.B. Einladungscodes für einen Impftermin, Impfbescheinigungen ohne Beachtung der europäischen Zertifikatsvorgaben), sind nicht für den Nachweis in der CovPass-App konzipiert und können von dieser auch nicht erkannt werden.

• Warum lässt sich mein QR-Code nicht einscannen?
  •  
  • Stellen Sie sicher, dass Sie den QR-Code auf dem Impfzertifikat mit der Überschrift "Digitales COVID-Zertifikat der EU" vorliegen haben. Dieses erhalten Sie in Impfzentren, Arztpraxen, Gesundheitsämtern oder Apotheken.
  • Stellen Sie sicher, dass das Smartphone den QR-Code richtig scannen kann. Bewegen Sie das Handy hin und her und variieren Sie den Abstand der Kamera zum QR-Code. Oft hilft es, den Abstand zu vergrößern.
  • Halten Sie sich in einer hellen Umgebung auf oder schalten Sie die Taschenlampenfunktion in der App zu.
  • Stellen Sie sicher, dass das Blatt flach auf dem Tisch liegt und am QR-Code keine Wölbung oder Knick hat.
  • Ist Ihre App auf dem aktuellsten Stand? Gegebenenfalls aktualisieren Sie die App im Appstore, um die neueste Version zu laden.
  •  
  •  
  • Überprüfen Sie Ihr Betriebssystem: Die CovPass-App wird unterstützt ab iOS-Version 12.0 und Android-Version 6.0.
  • Hatten Sie schon einmal ein Zertifikat eingescannt und wieder gelöscht? In diesem Fall löschen Sie bitte die App und installieren Sie sie neu. Nun sollte das Einscannen des Codes wieder funktionieren.
  • Vergewissern Sie sich, dass Sie die CovPass-App und NICHT die CovPassCheck-App verwenden.
• Kann ich Zertifikate auch für mehrere Personen in der App speichern?

  Digitale Zertifikate von Kindern, Partnern oder anderen Angehörigen können zusammen auf einem Smartphone gespeichert werden.

• Welche personenbezogenen Daten werden im QR-Code und in der CovPass-App gespeichert?

  In der CovPass-App werden bei einem Impfzertifikat alle wichtigen Informationen zum Corona-Impfschutz gespeichert: Name, Vorname, Geburtsdatum, Krankheit, gegen die geimpft wird (Corona), Impfstoff, Produkt, Hersteller, Nummer der Impfung, Impfdatum, Land und Aussteller des techn. Zertifikates sowie die einzigartige Identifikationsnummer für das Zertifikat (kurz UVCI).

  Bei einem Testzertifikat werden alle wichtigen Informationen zum Test gespeichert: Name, Vorname, Geburtsdatum, Krankheit (gegen die getestet wird), Art des Tests, Produktname, Testhersteller, Datum und Uhrzeit der Probenahme, Testergebnis, Testzentrum oder -einrichtung, Land der Testung, Zertifikataussteller und Zertifikaterkennung.

  Bei einem Genesenenzertifikat werden alle wichtigen Informationen zur Genesung gespeichert: Name, Vorname, Geburtsdatum, Krankheit von der der Bürger oder die Bürgerin genesen ist, Datum des ersten positiven Testergebnisses, Land der Testung, Zertifikataussteller, Gültigkeit und Zertifikaterkennung.

  Der QR-Code enthält dieselben Daten wie das digitale COVID-Zertifikat der EU. Bei der Überprüfung des QR-Codes mit der CovPassCheck-App werden jedoch nur der Status des Zertifikats, der Name, der Vorname und das Geburtsdatum angezeigt.

• Wo werden meine Daten gespeichert?

  Bei Erstellung der digitalen COVID-Zertifikate der EU werden Ihre Daten einmalig durch die ausstellende Stelle (Impfzentrum, Arztpraxis, Apotheke) erhoben und zur Signierung an das RKI übermittelt. Die Daten werden dort sofort wieder gelöscht. Wenn Sie das digitale COVID-Zertifikat der EU in der App hinzufügen, werden Ihre persönlichen Daten nur lokal auf Ihrem Smartphone verwaltet. Beim Löschen der CovPass-App werden alle gespeicherten Daten rückstandslos entfernt.

• Wie wird ein Missbrauch meiner Daten verhindert? Werden meine Daten beim Löschen der CovPass-App entfernt?

  Die digitalen COVID-Zertifikate der EU dürfen nur von autorisierten Personen ausgestellt werden. Die Zertifikate sind mittels einer kryptografischen Signatur gegen Manipulation und Fälschung gesichert. Bei der Überprüfung des EU Digitalen COVID Zertifikats ist ergänzend ein Ausweisdokument vorzulegen. Beim Löschen der Anwendung werden alle Ihre gespeicherten Daten in der CovPass-App rückstandslos entfernt.

• Kann ich den QR-Code auch ohne Internetverbindung vorzeigen?

  Ja. Sobald der QR-Code in der CovPass-App angezeigt wird, können Sie ihn jederzeit ohne eine bestehende Internetverbindung vorzeigen.

• Welche Daten werden bei der Überprüfung des QR-Codes angezeigt?

  Bei Überprüfung können Sie den QR-Code mit der CovPass-App vorzeigen. Nach dem Scannen des QR-Codes mit der CovPassCheck-App sind bei einem Impf- und Genesenenzertifikat zu sehen: Gültigkeit des Zertifikats, Name, Vorname und Geburtsdatum.

• Wieso sehe ich im Startbildschirm der CovPass-App nur einen QR-Code, obwohl ich mehrere Zertifikate gespeichert habe?

  Die Darstellung der Zertifikate in der App unterliegt einer vorgegebenen Reihenfolge. So wird zum Beispiel ein gültiges Zertifikat immer vorrangig auf dem Startbildschirm angezeigt.

• Was tue ich, wenn ich kein Smartphone besitze oder es verloren habe?

  Bei Verlust oder Wechsel des Smartphones muss das digitale COVID-Zertifikat der EU nochmals in die App hochgeladen werden. Laden Sie dazu die CovPass-App auf Ihr neues Smartphone herunter und scannen Sie das Zertifikat erneut.

  Personen ohne Smartphone können Ihren Immunschutz auch mit dem ausgedruckten digitalen COVID-Zertifikat der EU oder dem gelben Impfpass nachweisen.

• Wie barrierefrei ist die CovPass-App?

  Informationen zur Barrierefreiheit der CovPass-App finden Sie weiter unten auf dieser Seite.

• Kann ich mein Zertifikat als PDF herunterladen?

  Ihre in der CovPass-App gespeicherten Zertifikate können Sie in der Detailansicht Ihrer Zertifikate über den Button „PDF erstellen” herunterladen und bei Bedarf ausdrucken.

CovPassCheck-App

• Wie funktioniert die CovPassCheck-App?

  Die CovPassCheck-App ist für Personen, die die Gültigkeit eines digitalen COVID-Zertifikats der EU in den gesetzlich vorgesehenen Fällen datenschutzkonform und digital prüfen möchten.

  Hierzu zeigt die zu überprüfende Person den QR-Code in der CovPass-App oder auf dem ausgedruckten digitalen COVID-Zertifikat der EU vor. Die prüfende Person scannt den QR-Code mit der CovPassCheck-App und sieht sofort, ob die geprüfte Person ein gültiges Zertifikat für die Corona-Impfung, für die Genesung von einer Corona-Infektion oder für ein negatives Corona-Testergebnis besitzt.

  Dabei sind nur der Status des Zertifikats, der Name, Vorname sowie das Geburtsdatum zu sehen. Die CovPassCheck-App verarbeitet den QR-Code nur im Arbeitsspeicher des Smartphones und speichert keine Daten.

  Darüber hinaus wird ein Ausweisdokument zum Datenabgleich benötigt.

• Wo kann ich die CovPassCheck-App herunterladen?

  Die CovPassCheck-App können Sie kostenlos für iOS und Android aus dem Apple App Store, dem Google Play Store und der Huawei AppGallery laden.

• Welche Voraussetzungen benötige ich für die CovPassCheck-App?

  Die CovPassCheck-App wird unterstützt ab iOS-Version 12.0 und Android-Version 6.0. Um die CovPassCheck-App vollumfänglich nutzen zu können, benötigt Ihr Smartphone eine Kamera.

• Kann ich die Gültigkeit der Zertifikate auch ohne Internetverbindung prüfen?

  Ja, grundsätzlich ist es möglich, die QR-Codes auch im Offline-Modus zu scannen und zu prüfen. Die Prüfregeln und die Liste der vertrauenswürdigen Zertifikatsaussteller werden ab dem 30. Mai 2023 nicht mehr aktualisiert.

• Wie barrierefrei ist die CovPassCheck-App?

  Informationen zur Barrierefreiheit der CovPassCheck-App finden Sie weiter unten auf dieser Seite.

Allgemein

• Was ist der digitale Impfnachweis?

  Das digitale COVID-Zertifikat der EU ist eine Möglichkeit, um Corona-Impfungen und Genesungen von einer Corona-Infektion zu dokumentieren und bequem auf dem Smartphone nachweisen zu können. Es kann von einem Impfzentrum, einer Arztpraxis, einer Apotheke oder einem Gesundheitsamt ausgestellt werden.

  Die digitalen COVID-Zertifikate der EU können durch das Scannen der QR-Codes in die CovPass-App übernommen werden. Die CovPass-App verwaltet die Zertifikate lokal auf dem Smartphone der Nutzerin bzw. des Nutzers. Die App steht kostenfrei zum Download in den bekannten App-Stores bereit.

  Der digitale Impfnachweis ist ein Projekt im Auftrag des Bundesministeriums für Gesundheit. Die Anwendung wurde von den Unternehmen UBIRCH, IBM Deutschland, govdigital und Bechtle entwickelt. Das Robert Koch-Institut ist als Herausgeber verantwortlich für die Ausgestaltung der Anwendung sowie für die sorgfältige Prüfung der Anforderungen an Datenschutz und Datensicherheit.

• Wie erhalten Erwachsene und Kinder die digitalen COVID-Zertifikate der EU?

  Alle geimpften Bürgerinnen und Bürger können auf Wunsch ein digitales COVID-Zertifikat der EU erhalten. Die Ausstellung erfolgt in Impfzentren, Arztpraxen, Gesundheitsämtern oder Apotheken. Bringen Sie dafür Ihre Bescheinigung für die erhaltene(n) Corona-Impfung(en) oder Ihren gelben Impfpass sowie ein Ausweisdokument mit. Für jede einzelne Impfung gibt es ein eigenes Zertifikat mit einem QR-Code.

  Auf www.mein-apothekenmanager.de finden Sie teilnehmende Apotheken.

  Genesenenzertifikate und Testzertifikate werden seit dem 30. März 2023 nicht mehr ausgestellt.

  Kinder können sich außer mit dem eigenen amtlichen Lichtbildausweis (Schülerausweis, Kinderpersonalausweis oder Kinderreisepass) auch mit ihrer Geburtsurkunde und den Ausweisdokumenten der Eltern identifizieren.

• Muss ich in der Apotheke für das Impfzertifikat bezahlen?

  Die Erstellung der Impfzertifikate ist für Bürger kostenfrei. Wenn eine Apotheke dafür Geld verlangt, sollte dies der zuständigen Apothekerkammer gemeldet werden.

• Ist ein zentrales Impfregister geplant?

  Nein, es ist keine zentrale Speicherung geplant. Die Speicherung erfolgt freiwillig auf dem Smartphone. Jeder kann so selbst entscheiden, ob und wann er diese Daten löscht.

• Wo finde ich Informationen zur Corona-Impfung?

  Stets aktuelle Informationen zur Corona-Impfung finden Sie hier auf der Internetseite des BMG, in den FAQ des RKI, auf der Webseite der Bundesregierung und auf der Plattform Zusammen gegen Corona.

• Wird die Umsetzung der digitalen COVID Zertifikate von der EU finanziell unterstützt?

  Die Umsetzung der digitalen COVID Zertifikate wird durch das Soforthilfeinstrument der EU (ESI- Europäischer Struktur- und Investitionsfonds) finanziell gefördert.

  Das Soforthilfeinstrument wurde im Zuge der Corona-Krise von der EU-Kommission ins Leben gerufen und bündelt Maßnahmen und Ressourcen zur raschen Abfederung unmittelbarerer Folgen der Pandemie.

Impfzertifikatsservice

• Wie erhalten Arzt- und Zahnarztpraxen die Zugangsdaten für den Zertifikatsservice?

  Die Anbindung der Arztpraxen erfolgt zentral über die Telematikinfrastruktur (TI) der Kassenärztlichen Vereinigungen (KV) der Bundesländer. Die Zugangsdaten dafür erhalten Sie von Ihrer KV.

  Zahnarztpraxen, die keine Zertifikate über das PVS-System ausstellen können, haben die Möglichkeit, dies über einen Download des Desktop-Clients zu tun. Voraussetzung hierfür ist ein Zugang zur Telematikinfrastruktur, sowie eine funktionierende Internetverbindung.

• Wie erhalten Apotheken die Zugangsdaten für den Zertifikatsservice?

  Apotheken wird eine Lösung über das Verbändeportal des Deutschen Apothekerverbands (DAV) zur Verfügung gestellt. Wenden sich bitte an die jeweils zuständigen Ansprechpartner oder die Bundesvereinigung Deutscher Apothekerverbände e. V.

• Wie erhalten Krankenhäuser die Zugangsdaten für den Zertifikatsservice?

  Krankenhäuser, die über das eigene Personal hinaus impfen möchten, haben ebenfalls die Möglichkeit über den Download des Desktop-Clients, Impfzertifikate auszustellen. Voraussetzung hierfür ist der Zugang zur Telematikinfrastruktur, sowie eine funktionierende Internetverbindung. Die Anfrage zur Anbindung muss über das Sammelpostfach vzd(at)dktig.de der Deutsche Krankenhaus TrustCenter und Informationsverarbeitung GmbH (DKTIG) gestellt werden.

• Wie kann man als Aussteller sicher sein, dass der Impfpass ein echtes Dokument ist?

  Im gelben Impfpass wird nach erfolgter Corona-Impfung neben der Unterschrift und dem Stempel auch ein Aufkleber der Charge eingeklebt. Das Tool kann nicht überprüfen, ob die Impfung echt ist. Impfungen werden in Deutschland nicht zentral erfasst.

• Was ist der Desktop-Client?

  Der Desktop-Client ist eine Desktop-Anwendung für Arztpraxen, die die Ausstellung der digitalen COVID-Zertifikate der EU vereinfacht. Über die Gesundheitskarte werden die Personendaten des Patienten automatisch in die Impfzertifikatssoftware übertragen. Voraussetzung ist ein Zugang zur Telematikinfrastruktur.

• Welche Daten muss ich im Impfzertifikatsservice erfassen?

  Geben Sie folgende Daten in die Eingabefelder ein: Vorname(n), Nachname, Geburtsdatum.

  Der Name muss mit der Schreibweise im vorgelegten Ausweisdokument übereinstimmen.

  Wählen Sie folgende Felder aus: Impfstoff, Impfdatum und Impfdosis. Weitere Informationen wie Krankheitserreger, Produkt, Hersteller, Land, Gesamtanzahl der Impfungen und Aussteller des technischen Zertifikats werden vom Impfzertifikatsservice automatisch ergänzt. Es werden keine persönlichen Daten dauerhaft an einer zentralen Stelle gespeichert.

• Wie kann ich als Betriebsärztin oder Betriebsarzt den Impfzertifikatsservice nutzen?

  Als Betriebsärztin oder Betriebsarzt haben Sie zwei Möglichkeiten, Impf- und Genesenenzertifikate auszuhändigen:

  1. Schnittstelle zum Zertifikatsservice des RKI aus dem eigenen Standard-Softwaresystem. Die konkreten technischen Voraussetzungen dafür sind mit der IBM Deutschland abzustimmen und sind auf GitHub dokumentiert.
  2. Vorkonfektionierte Standardsysteme, die bereits eine Schnittstelle zum Zertifikatsservice des RKI hergestellt haben. In beiden Fällen brauchen Sie eine offizielle, eindeutige Identifikationsnummer als impfende Stelle. Diese erhalten Sie über Ihre Verbandsorganisationen bzw. die Bundesdruckerei.

Technische Details

• Welche Daten werden erhoben und verarbeitet bzw. gespeichert?

  Im Zusammenhang mit dem digitalen Impfnachweis werden keine Daten zentral gespeichert.
  Für die Erstellung des digitalen COVID Zertifikats der EU werden in den Impfzentren, Arztpraxen und Apotheken die minimal notwendigen Daten, wie Vorname(n), Nachname, Geburtsdatum, Impfstoff, Impfdatum und Impfdosis erfasst und kodiert. Weitere Informationen wie Krankheitserreger, Produkt, Hersteller, Land, Gesamtanzahl der Impfungen und Aussteller des technischen Zertifikats werden vom Impfzertifikatsservice automatisch ergänzt. Die Daten werden dort sofort wieder gelöscht.

• Wie ist die Struktur des QR-Codes definiert?

  Der QR-Code ist ein CBOR Web Token, welches das Zertifikat mit den persönlichen Informationen, wie Name und Geburtsdatum, sowie die Impfinformationen enthält. Die genaue Struktur ist durch eine Richtlinie der eHealth Gruppe der EU definiert.

• Warum wird im Datenschutzbericht von iOS 15.2 “itunes.apple.com” aufgeführt?

  Beim Starten der CovPass-App und der CovPassCheck-App wird geprüft, ob eine neue Version vorliegt. Dazu wird eine direkte Kommunikation mit dem App Store aufgebaut.

• Wer signiert die Daten?

  Die Daten werden in einem besonders gesicherten System von UBIRCH im Auftrag des Robert Koch-Instituts digital signiert. Zugriff darauf haben nur autorisierte Personen und Erfassungssysteme. Es werden keine personenbezogenen Daten bei UBIRCH gespeichert.

• Warum wird ein Open-Source-Ansatz verfolgt?

  Wir sind der Auffassung, dass der Erfolg der Lösung unmittelbar von der Akzeptanz und dem Vertrauen der nutzenden Personen abhängt.

  Durch den gewählten Open-Source-Ansatz sind der vollständige Quelltext für die Apps und die Infrastruktur frei und ohne Zugangsbeschränkungen verfügbar. So möchten wir die für eine starke Vertrauensbasis notwendige Transparenz schaffen. Der Open-Source-Ansatz ermöglicht der Öffentlichkeit und der Entwicklungs-Community außerdem, aktiv zu dem Erfolg der Lösung beizutragen, zum Beispiel in Form von Reviews und Pull Requests.

• Ist das Offenlegen des Quellcodes mit diesem Open-Source-Ansatz keine Gefahr für die Cybersecurity?

  Die Open-Source-Community erhöht die Sicherheit der Software, da der Quellcode offen liegt und alle interessierten Personen den Code herunterladen und Zeile für Zeile überprüfen können.

  Wir glauben daran, dass Sicherheit nicht durch Intransparenz gewährleistet wird. Deshalb verfolgen wir einen Open-Source-Ansatz.

• Warum GitHub und nicht eine andere Plattform?

  Wir sind der Auffassung, dass GitHub eine sehr gut etablierte und entsprechend respektierte Plattform für Open-Source-Projekte ist. GitHub ist die weltweit größte Open-Source-Plattform mit über 40 Millionen registrierten Personen und mehr als 100 Millionen Repositories, davon >30 Millionen öffentlich zugänglich.

  Mitmachen auf GitHub: www.github.com/digitaler-impfnachweis/

  Wenn jemand keinen GitHub-Account erstellen möchte, gibt es auch ohne Account die Möglichkeit, den Code einzusehen.

• Wer ist Herausgeber der CovPass-App?

  Diese App wird vom Robert Koch-Institut (RKI) für die deutsche Bundesregierung herausgegeben. Das RKI ist auch dafür verantwortlich, dass Ihre personenbezogenen Daten in Übereinstimmung mit den Vorschriften über den Datenschutz verarbeitet werden.

• Was ist das digitale COVID-Zertifikat?

  Das digitale COVID-Zertifikat ist ein Nachweis dafür, dass eine Person

  • eine Schutzimpfung gegen COVID-19 erhalten hat (Impfzertifikat),
  • negativ auf COVID-19 getestet wurde (Testzertifikat) oder
  • von einer COVID-19-Erkrankung genesen ist (Genesenenzertifikat).

  Ein Zertifikat erhalten Sie auf Wunsch nach einer Impfung, einem Test oder nach einer durchgemachten COVID-19-Erkrankung von einer zuständigen Einrichtung (Impfzentren, Teststellen, Praxen oder Apotheken).

  Sie können das Zertifikat in Papierform oder in elektronischer Form auf Ihrem Smartphone bei sich führen. Jedes Zertifikat enthält einen QR-Code mit einer elektronischen Signatur des RKI zum Schutz vor Fälschungen. Wenn Sie ein Zertifikat auf Ihrem Smartphone speichern möchten, können Sie den QR-Code einfach mit der CovPass-App einscannen. Die App speichert dann eine elektronische Version des Zertifikats sicher auf Ihrem Smartphone.

  Bitte beachten Sie, dass die QR-Codes der Zertifikate Gesundheitsdaten (Daten über Corona-Impfungen, Corona-Testergebnisse oder durchgemachte Corona-Erkrankungen) enthalten. Zeigen Sie die Zertifikate und QR-Codes nur vor, wenn Sie einen entsprechenden Nachweis erbringen möchten. Stellen Sie die QR-Codes niemandem zur Verfügung, wenn Sie nicht wollen, dass die Daten ausgelesen werden. Um einen ungewollten Zugriff auf die auf Ihrem Smartphone gespeicherten Zertifikate zu verhindern, sollten Sie auf dem Gerät eine Codesperre einrichten.

• Ist die Nutzung der App freiwillig?

  Ja, die Nutzung der App ist freiwillig. Jedes Zertifikat kann auch in Papierform als Nachweis für eine Impfung, einen Test oder die Genesung verwendet werden. Nachteile entstehen Ihnen dabei nicht, da die Papierversion und die elektronische Version des Zertifikats gleichwertig sind. Sie können jederzeit entscheiden, ob Sie den QR-Code einscannen und das Zertifikat in der App speichern möchten. Ebenso können Sie das Zertifikat jederzeit aus der App löschen.

• Wofür werden Ihre Daten verarbeitet?

  a) Erstellung der Zertifikate

  Das RKI verarbeitet kurzfristig die notwendigen personenbezogenen Daten von Zertifikatsinhabern zur technischen Erstellung und Signierung des gewünschten Zertifikats (§ 22a Abs. 5 bis 7 Infektionsschutzgesetz). Nachdem die technische Erstellung des Zertifikats abgeschlossen ist, werden die personenbezogenen Daten beim RKI sofort wieder gelöscht. Es gibt kein zentralverwaltetes Impf- oder Zertifikatsregister.

  b) Verwenden der Zertifikate zum Nachweis

  Mit der CovPass-App können Sie ausgedruckte eigene Zertifikate und Zertifikate von Familienmitgliedern scannen und verschlüsselt auf Ihrem Smartphone speichern.

  Um in den gesetzlich vorgesehenen Fällen gegenüber Dritten eine Impfung, ein negatives Testergebnis oder eine durchgemachte COVID-19-Erkrankung nachzuweisen, können Sie das entsprechende Zertifikat der prüfenden Person vorzeigen. Wenn die prüfende Person eine spezielle Prüf-Anwendung (etwa die CovPassCheck-App des RKI) nutzt, genügt es den QR-Code des Zertifikats vorzuzeigen und scannen zu lassen. Der QR-Code stellt das Zertifikat in digitaler Form dar und enthält ausschließlich die für die jeweilige Art des Zertifikats notwendigen Informationen (siehe Abschnitt 5).

  Mit der Prüf-Anwendung kann der QR-Code beispielsweise von Behörden gescannt werden, um die Gültigkeit eines Impfschutzes anhand der vorgezeigten Zertifikate zu überprüfen. Bei der Prüfung werden die im Zertifikat enthaltenen Daten ausgelesen. Damit das Zertifikat gültig ist, muss es folgende technische und inhaltliche Kriterien erfüllen:

  • Das Zertifikat enthält eine gültige elektronische Signatur.
  • Das Zertifikat wurde nicht gesperrt.
  • Das technische Ablaufdatum des Zertifikats ist noch nicht erreicht.
  • Das Zertifikat erfüllt die am Prüfungsort geltenden inhaltlichen Kriterien (zum Beispiel regionale Einreisebestimmungen).

  In der Prüf-Anwendung wird angezeigt, ob das vorgelegte Zertifikat gültig ist und gegebenenfalls ob noch ein weiteres Zertifikat gescannt werden muss. Im Falle eines gültigen Zertifikats wird zusätzlich der Name und das Geburtsdatum des Zertifikatsinhabers mitgeteilt und ob es sich um ein Testzertifikat handelt oder nicht. Bei Testzertifikaten wird zudem der Zeitpunkt der Probenahme angezeigt. Der Name und das Geburtsdatum des Zertifikatsinhabers werden angezeigt, damit die prüfende Person diese Angaben mit einem Identitätsnachweis (zum Beispiel Reisepass oder Personalausweis) abgleichen kann. Die Mitteilung, ob es sich um ein Testzertifikat handelt und der Zeitpunkt der Probenahme sind erforderlich, damit die prüfende Person beurteilen kann, ob das dem Zertifikat zugrunde liegende Testergebnis noch gültig ist.

  c) Elektronische Signatur der Zertifikate und Sperrung

  Zum Schutz vor Fälschungen muss die Echtheit der gespeicherten Zertifikate überprüft werden. Hierzu wird die im QR-Code eines Zertifikats enthaltene elektronische Signatur verwendet. Die elektronische Signatur wird bei der Erstellung des Zertifikats vom RKI auf Basis der im Zertifikat enthaltenen Daten (siehe Abschnitt 5) erzeugt. Bei der Signatur handelt es sich um eine besondere Form der Verschlüsselung, die wie eine elektronische Unterschrift des RKI funktioniert und sicherstellt, dass es sich um ein offiziell vom RKI erstelltes digitales Dokument handelt. Das RKI stellt zudem die zugehörigen öffentlichen Schlüssel des RKI (sogenannte Public Keys) bereit. Mit diesen öffentlichen Schlüsseln kann geprüft werden, ob die elektronische Signatur des Zertifikats tatsächlich vom RKI stammt und ob das Zertifikat nach der elektronischen Signierung manipuliert worden ist.

  Zum Gesundheitsschutz von Zertifikatsinhabern und der Bevölkerung können in besonderen Fällen bestimmte Zertifikate gesperrt werden. Das kann beispielsweise dann notwendig sein, wenn eine zuständige Einrichtung (zum Beispiel Apotheke, Impfzentrum oder Praxis) ein falsches Zertifikat ausgestellt hat. Die zuständigen Gefahrenabwehrbehörden entscheiden über eine Sperrung, die anschließend technisch durch das RKI umgesetzt wird (§ 22a Abs. 8 Infektionsschutzgesetz). Die Sperrung führt dazu, dass das Zertifikat ungültig wird und bei Überprüfungen nicht mehr anerkannt wird. Dabei spielt es keine Rolle, ob das Zertifikat bei der Überprüfung in elektronischer Form auf dem Smartphone oder im Papierformat verwendet wird. Wenn Sie ein gesperrtes Zertifikat in der App gespeichert haben, wird es als "ungültig" angezeigt.

  Um die Gültigkeit der elektronischen Signatur oder eine Sperrung der gespeicherten Zertifikate feststellen zu können lädt die App regelmäßig im Hintergrund die aktuellen öffentlichen Schlüssel und Zertifikatssperrlisten des RKI und speichert diese lokal auf Ihrem Smartphone. Die öffentlichen Schlüssel enthalten keine personenbezogenen Daten. Die Zertifikatssperrlisten enthalten zu einem gesperrten Zertifikat lediglich eine Sperrkennung in Form einer speziellen Einwegverschlüsselung (sogenannter Hash-Wert). Aus der Sperrkennung kann nicht auf die Zertifikatsdaten oder andere Angaben zu einer bestimmten Person geschlossen werden. Die Sperrkennung eines zu sperrenden Zertifikats erhält das RKI von der zuständigen Gefahrenabwehrbehörde, die diese Kennung aus dem falschen Zertifikat ausgelesen hat. Ist in Ausnahmefällen die Sperrung aller Zertifikate einer zuständigen Einrichtung (zum Beispiel einer bestimmten Apotheke) erforderlich, wird statt der einzelnen Sperrkennungen nur ein kleiner Teilabschnitt aus der eindeutigen Zertifikatskennung der ausgegebenen Zertifikate in die Zertifikatssperrliste übernommen. Dieser Teilabschnitt ist bei allen Zertifikaten, die von der gleichen zuständigen Einrichtung ausgegeben worden sind, identisch. Die CovPass-App gleicht diesen dann mit der eindeutigen Zertifikatskennung der auf dem Smartphone gespeicherten Zertifikate ab. Sofern es eine Übereinstimmung der Kennung der gespeicherten Zertifikate mit den in der Zertifikatssperrliste geführten Zertifikate gibt, wird das betreffende Zertifikat in der CovPass-App als ungültig angezeigt. Sowohl die Prüfung der elektronischen Signatur als auch der Abgleich mit den Zertifikatssperrlisten findet ausschließlich lokal in der App statt und es werden keine Daten über diesen Vorgang an das RKI oder andere Stellen weitergegeben.

  d) Erinnerungsfunktion

  Die App kann Sie daran erinnern, gespeicherte Impfzertifikate zu überprüfen, sobald die letzte Impfung länger zurückliegt. Dazu lädt die App in regelmäßigen Abständen die aktuellen Regeln für die Empfehlungen der Auffrischungsimpfungen vom Serversystem der App herunter. Die App überprüft dann anhand der in den Zertifikaten enthaltenen Daten, ob eine baldige Auffrischungsimpfung empfohlen ist. Auch diese Überprüfung findet ausschließlich offline in der App statt und es werden keine Daten über die Impfung an das RKI weitergegeben.

  e) Exportfunktion (PDF erstellen)

  Sie haben die Möglichkeit ein in der CovPass-App gespeichertes Zertifikat zu exportieren, um es auszudrucken und in der Papierversion zu verwenden (zum Beispiel auf längeren Reisen) oder das Zertifikat anschließend mit einem neuen Smartphone zu scannen und erneut in der elektronischen Version in der CovPass-App zu speichern (zum Beispiel nach einem Gerätewechsel). Die Funktion "PDF erstellen" verwendet die in der CovPass-App gespeicherten Daten des jeweiligen Zertifikats, um eine PDF-Datei zu erstellen. Diese Verarbeitung erfolgt ausschließlich lokal auf dem Smartphone. Sie haben anschließend die Möglichkeit, diese PDF-Datei zu speichern. Das PDF-Dokument enthält sensible Gesundheitsdaten (Daten über Corona-Impfungen, Tests oder durchgemachte Corona-Erkrankungen). Bitte bewahren Sie das gespeicherte oder ausgedruckte Zertifikat daher sicher auf und veröffentlichen oder teilen Sie das Dokument nicht

  f) Zertifikatsprüfung bei Ticketbuchungen

  Wenn Sie bei einem Reise- oder Veranstaltungsunternehmen oder einem sonstigen Anbieter eine Ticketbuchung vornehmen, können Sie über die App ein digitales COVID-Zertifikat an den Prüfpartner des Anbieters übermitteln, damit dieser die Gültigkeit des Zertifikats für Ihre Buchung gegenüber dem Reise- oder Veranstaltungsunternehmen bestätigt.

  Voraussetzung hierfür ist, dass Sie in der CovPass-App ein digitales COVID-Zertifikat hinzugefügt haben. Die App erfragt beim jeweiligen Anbieter die zur Prüfung zu verwendenden Buchungsdaten und schlägt auf Basis dieser Angaben ein geeignetes Zertifikat vor. Dieses können Sie sodann auswählen und zusammen mit den vom Anbieter bereitgestellten Buchungsdaten (siehe Punkt 5 c.) dem Prüfpartner übermitteln.

  Der Prüfpartner überprüft, ob die elektronische Signatur des Zertifikats echt und das technische Ablaufdatum des Zertifikats noch nicht erreicht ist. Der Prüfpartner teilt dem Anbieter sofort das Prüfungsergebnis mit. Es wird nur mitgeteilt, ob die Prüfung erfolgreich war oder nicht. Das Prüfungsergebnis wird Ihnen auch in der CovPass-App angezeigt.

  Die vom Anbieter bereitgestellten Buchungsdaten werden nur lokal in der CovPass-App verarbeitet. Das RKI kann daher nicht nachvollziehen, welche Zertifikate Sie ausgewählt und prüfen lassen haben oder welche Reisen oder Veranstaltungen Sie gebucht haben.

  Für die Datenverarbeitung durch den Anbieter und den Prüfpartner ist das RKI nicht verantwortlich. Lesen Sie bitte deren Datenschutzhinweise, damit Sie wissen, wozu und wie Ihre Daten verwendet werden.

  g) Aktualisierungsfunktion

  Es kann vorkommen, dass die App Ihnen die Aktualisierung eines gültigen Zertifikats anbietet.

  Die App überprüft anhand der in den Zertifikaten enthaltenen Daten, ob eine Aktualisierung eines Zertifikats über die App möglich ist. Sie werden dann auf eine mögliche Aktualisierung hingewiesen. Für die Aktualisierung wird mit Ihrem Einverständnis das für die Aktualisierung benötigte Zertifikat von der App verschlüsselt an das Serversystem der App übermittelt. Wenn es sich bei dem zu aktualisierenden Zertifikat um ein Impfzertifikat zum Nachweis einer Auffrischungsimpfung handelt, werden dabei auch die Zertifikate zum Nachweis der der Auffrischungsimpfung vorausgegangenen Grundimmunisierung bzw. Genesung an das Serversystem der App übermittelt. Dort wird dann die Gültigkeit der übermittelten Zertifikate geprüft (siehe Abschnitt 4 c.). Anhand der Daten aus den übermittelten Zertifikaten wird eine neue Version des Zertifikats für die Auffrischungsimpfung generiert. Bei der Aktualisierung werden die Inhalte der übermittelten Zertifikate kurzzeitig verarbeitet. Das aktualisierte Zertifikat wird sodann an Ihre App zurückübermittelt.

  Um eine missbräuchliche mehrfache Verwendung der Aktualisierungsfunktion verhindern zu können, werden die Signaturen des aktualisierten und des neuen Zertifikats in Form spezieller Einwegverschlüsselungen (sogenannte Hash-Werte) vorübergehend gespeichert. Aus den Hash-Werten kann nicht auf die Zertifikatsdaten oder andere Angaben zu Ihrer Person geschlossen werden. 365 Tage nach der Aktualisierung werden die Hash-Werte wieder gelöscht.

• Welche Daten werden verarbeitet?

  a) Zertifikatsdaten

  Die Zertifikate enthalten Gesundheitsdaten und werden in einem gesicherten Bereich auf Ihrem Smartphone gespeichert. Folgende Daten sind in den Zertifikaten enthalten:

  • Daten zum Zertifikatsinhaber (Name, Vorname, Geburtsdatum)
  • Art des Zertifikats (Impfzertifikat, Testzertifikat, Genesenen-Zertifikat),
  • die notwendigen Informationen zur Impfung, dem Test oder der Genesung,
  • eine eindeutige Zertifikatskennung,
  • die elektronische Signatur des RKI und
  • einen QR-Code, der die zuvor genannten Daten in kodierter Form enthält.

  Welche konkreten Informationen in einem Zertifikat enthalten sind, können Sie den Angaben auf dem jeweiligen Zertifikat (in deutscher und englischer Sprache) entnehmen. Weitere Informationen als die auf dem jeweiligen Zertifikat angegebenen Daten werden nicht gespeichert.

  Diese Daten werden in der App gespeichert, sobald Sie den QR-Code auf dem ausgedruckten Zertifikat scannen. Diese Daten wurden zuvor von der Stelle, die das Zertifikat ausgegeben hat, erhoben und zur Signierung des Zertifikats an das RKI übermittelt.

  Anlässlich der Aktualisierung eines Zertifikats werden die Hash-Werte der Signaturen des aktualisierten und des neuen Zertifikats in Form einer speziellen Einwegverschlüsselung vorübergehend auf dem Serversystem der App gespeichert (siehe Abschnitt 4 e.).

  b) Zugriffsdaten

  Um den öffentlichen Schlüssel des RKI für die Echtheitsprüfung der elektronischen Signatur, die aktuellen Zertifikatssperrlisten und die Regeln für die Empfehlungen von Auffrischungsimpfungen herunterzuladen, wird eine Verbindung zu einem Server des RKI aufgebaut. Dabei werden durch den Server technische Zugriffsdaten verarbeitet. Diese umfassen folgende Daten:

  • IP-Adresse
  • Datum und Uhrzeit des Abrufs
  • übertragene Datenmenge (beziehungsweise Paketlänge)
  • Meldung, ob der Datenaustausch erfolgreich war

  Diese Zugriffsdaten werden verarbeitet, um die Verbindung und den Datenaustausch zwischen der App und dem Server zu ermöglichen und abzusichern. Sie werden dabei nicht als Nutzer der App persönlich identifiziert und es wird kein Nutzungsprofil erstellt. Eine Speicherung der IP-Adresse über das Ende des einzelnen Nutzungsvorgangs hinaus erfolgt nicht.

  c) Buchungsdaten

  Wenn Sie über das Internet bei einem Reise- oder Veranstaltungsunternehmen oder einem sonstigen Anbieter eine Buchung vornehmen, können Sie die CovPass-App zum Nachweis eines gültigen digitalen COVID-Zertifikats gegenüber dem jeweiligen Anbieter nutzen (Zertifikat-Prüfung bei Ticketbuchungen). Voraussetzung hierfür ist, dass Sie in der CovPass-App ein digitales COVID-Zertifikat hinzugefügt haben. Zudem muss der jeweilige Anbieter an einen Überprüfungsservice angebunden sein.

  Zur Zertifikatsprüfung benötigen Sie einen speziellen QR-Code, den Sie im Rahmen des Buchungsvorgangs von dem jeweiligen Anbieter erhalten. Dieser QR-Code enthält eine eindeutige Transaktions-ID, eine kurze Beschreibung des Buchungsvorgangs (zum Beispiel "Buchungsnummer 1234") und eine Internetadresse (URL).

  Die CovPass-App nutzt diese Informationen, um beim Anbieter technische Spezifikationen sowie die folgenden Details zur Buchung abzurufen, die für die Überprüfung des COVID-Zertifikats berücksichtigt werden sollen:

  • Ihren Namen
  • Ihr Geburtsdatum
  • Angaben zum Datum der erforderlichen Gültigkeit des COVID-Zertifikats (Reisedatum oder Veranstaltungsdatum)
  • Bei Reisen: Ausgangsland und Zielland
  • Nachweisanforderungen, insbesondere also die zum Nachweis geeigneten Zertifikatstypen, wie zum Beispiel Impfzertifikat (bei grenzüberschreitenden Reisen auch die Anforderungen des Ziellandes)
  • Bei bestimmten Buchungen werden zusätzlich auch Angaben zur Veranstaltungsart mitgeteilt (zum Beispiel Konzert oder Großveranstaltung).

  Welche konkreten Informationen für die Überprüfung des COVID-Zertifikats verwendet werden sollen und welche COVID-Zertifikate als Nachweis zugelassen sind, wird vom jeweiligen Anbieter individuell festgelegt.

• Auf welcher Rechtsgrundlage werden Ihre Daten verarbeitet?

  Das RKI verarbeitet die oben unter Abschnitt 5 a. genannten Zertifikatsdaten im Rahmen der technischen Erstellung und Signierung des gewünschten Zertifikats. Die Rechtsgrundlage für die Verarbeitung ist jeweils Art. 6 Abs. 1 lit. c, Art. 9 Abs. 2 lit. g Datenschutz-Grundverordnung (DSGVO) in Verbindung mit

  • § 22a Abs. 5 Infektionsschutzgesetz (Impfzertifikat),
  • § 22a Abs. 6 Infektionsschutzgesetz (Genesenenzertifikat) oder
  • § 22a Abs. 7 Infektionsschutzgesetz (Testzertifikat).

  Nach §§ 22a Abs. 5-7 IfSG ist das RKI zur technischen Erstellung und Signierung des gewünschten Zertifikats verpflichtet, sofern die geimpfte, genesene oder getestete Person die Ausstellung eines entsprechenden Zertifikats wünscht.

  Im Zusammenhang mit der Funktion zur Überprüfung von COVID-Zertifikaten bei Ticketbuchungen werden Ihre Daten auf Grundlage Ihres Einverständnisses verarbeitet. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO.

  Die Rechtsgrundlage für die Verarbeitung der oben unter Abschnitt 5 b. genannten Zugriffsdaten ist § 3 Bundesdatenschutzgesetz (BDSG) und Art. 6 Abs. 1 lit. e DSGVO.

  Bei der Aktualisierung von Zertifikaten (siehe Abschnitt 4 e.) werden die Zertifikatsdaten der für die Aktualisierung übermittelten Zertifikate auf Grundlage Ihres Einverständnisses verarbeitet. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO. Die vorübergehende Speicherung der Hash-Werte der Signaturen des aktualisierten und des neuen Zertifikats erfolgt auf Grundlage von § 22 Abs. 1 lit. c BDSG und Art. 9 Abs. 2 lit. i DSGVO.

  Die Rechtsgrundlage für die Datenverarbeitung im Zusammenhang mit Zertifikatssperrungen ist § 22a Abs. 8 Infektionsschutzgesetz.

• Welche Berechtigungen benötigt die App?

  Die CovPass-App benötigt Zugriff auf die Kamera Ihres Smartphones, wenn Sie den QR-Code scannen, um einen Impfnachweis in der App hinzuzufügen. Außerdem benötigt die App eine Internetverbindung, um von dem Serversystem des RKI aktuelle Informationen herunterladen zu können (zum Beispiel das aktuelle Schlüsselmaterial, Zertifikatssperrlisten). Informationen zu weiteren Berechtigungen, die die App eventuell einholt, finden Sie im Bereich "Häufige Fragen".

• Wann werden Ihre Daten gelöscht?

  Die Zertifikate werden nur in der App auf Ihrem Smartphone gespeichert. In Ihrer App werden die Zertifikate nicht automatisch gelöscht. Wenn Sie die Löschung wünschen, können Sie das betreffende Zertifikate jederzeit selbst aus der App entfernen oder die App löschen. Um das Zertifikat später wieder hinzuzufügen, müssen Sie den QR-Code des ausgedruckten Zertifikats erneut scannen.

  Die für die Zertifikatsprüfung bei Ticketbuchungen erforderlichen Buchungsdaten werden nach der Prüfung wieder gelöscht.

  Bei der Zertifikatserstellung werden die Daten beim RKI unmittelbar nach der Bereitstellung des signierten Zertifikats an die ausgebende Einrichtung unwiderruflich gelöscht.

  Im Falle der Aktualisierung eines Zertifikats werden die Daten nach der Übermittlung des aktualisierten Zertifikats an Ihre App beim RKI wieder gelöscht. Lediglich die Hash-Werte der Signaturen des aktualisierten und des neuen Zertifikats werden für 365 Tage auf dem Serversystem des RKI gespeichert.

  Die Sperrkennungen gesperrter Zertifikate in den Zertifiktatssperrlisten werden bis zum technischen Ablaufdatum der jeweiligen Zertifikate auf dem Serversystem der App gespeichert.

• An wen werden Ihre personenbezogenen Daten weitergegeben?

  Mit dem Betrieb und der Wartung des Serversystems hat das RKI die KDO Service GmbH (KDO) beauftragt. KDO verarbeitet personenbezogene Daten im Auftrag und auf Weisung des RKI (als sog. Auftragsverarbeiter). Die Gewährleistung der datenschutzrechtlichen Anforderungen ist vertraglich sichergestellt.

  Wenn Sie anderen Personen oder Einrichtungen in den gesetzlich vorgesehenen Situationen ein Zertifikat vorzeigen, erlangen diese Kenntnis über alle im Zertifikat enthaltenen Daten.

  Dies können Sie verhindern, indem Sie den QR-Code in der App vorzeigen, sodass dieser mit einer Prüf-Anwendung gescannt werden kann. Dann werden die im QR-Code enthaltenen Daten ausgelesen. In der Prüf-Anwendung wird dabei aber nur angezeigt, ob das vorgezeigte Zertifikat gültig ist, eine Erläuterung des Ergebnisses und gegebenenfalls ob noch ein weiteres Zertifikat gescannt werden muss. Im Falle eines gültigen Zertifikats werden zusätzlich der Name und das Geburtsdatum des Zertifikatsinhabers in der Prüf-Anwendung angezeigt, damit die prüfende Person diese Angaben mit einem Identitätsnachweis (zum Beispiel Reisepass oder Personalausweis) abgleichen kann. Zusätzlich wird angezeigt, ob es sich um ein Testzertifikat handelt oder nicht. Bei Testzertifikaten wird dann auch der Zeitpunkt der Probenahme angezeigt, damit die prüfende Person beurteilen kann, ob das zugrunde liegende Testergebnis noch gültig ist.

  In der Prüf-Anwendung werden die angezeigten Daten nur kurzzeitig verarbeitet. Nach Abschluss der Prüfung werden die angezeigten Daten verworfen, das heißt es erfolgt keine dauerhafte Speicherung der ausgelesenen Daten.

  Bei der Zertifikatsprüfung für Ticketbuchungen werden Ihre COVID-Zertifikate und die Buchungsdaten an einen Prüfpartner des Anbieters übermittelt. Der konkrete Prüfpartner wird Ihnen vor der Übermittlung in der CovPass-App angezeigt. Zum Abruf der individuellen Buchungsdaten übermittelt die CovPass-App dem Anbieter die im Buchungs-QR-Code des Anbieters enthaltene Buchungskennung.

• Welche Datenschutzrechte haben Sie?

  Soweit das RKI personenbezogene Daten von Ihnen verarbeitet, stehen Ihnen folgende Datenschutzrechte zu:

  • die Rechte aus den Artikeln 15, 16, 17, 18 und 21 DSGVO,
  • das Recht, die behördliche Datenschutzbeauftragte des RKI zu kontaktieren und Ihr Anliegen vorzubringen (Art. 38 Abs. 4 DSGVO) und
  • das Recht, sich bei einer Aufsichtsbehörde für den Datenschutz zu beschweren. Dazu können Sie sich beispielsweise an die zuständige Aufsichtsbehörde an Ihrem Wohnort oder an die für des RKI zuständige Behörde wenden. Die zuständige Aufsichtsbehörde für das RKI ist der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Graurheindorfer Straße 153, 53117 Bonn.

  Bitte beachten Sie, dass die vorgenannten Datenschutzrechte durch das RKI nur erfüllt werden können, wenn Daten, auf die sich die geltend gemachten Ansprüche beziehen, dauerhaft verarbeitet werden. Dies wäre nur möglich, wenn die an den RKI-Server übermittelten Daten zu Ihrer Person gespeichert würden. Dies ist für die Zwecke der App grundsätzlich nicht erforderlich. Deshalb werden die vorgenannten Datenschutzrechte aus den Artikeln 15, 16, 17, 18 und 21 DSGVO in der Regel ins Leere laufen. Sofern anlässlich der Aktualisierung eines Zertifikats die Hash-Werte der Signaturen vorübergehend gespeichert werden, ermöglichen es diese dem RKI nicht, die Identität von Zertifikatsinhabern zu ermitteln (siehe Abschnitt 4 e.).

• Datenschutzbeauftragte und Kontakt

  Fragen und Anliegen zum Datenschutz im Zusammenhang mit der CovPass-App können Sie an die behördliche Datenschutzbeauftragte des RKI senden: Robert Koch-Institut, zu Händen der Datenschutzbeauftragten, Nordufer 20, 13353 Berlin oder per E-Mail an: datenschutz(at)rki.de.

• Wer ist Herausgeber der CovPassCheck-App?

  Diese App wird vom Robert Koch-Institut (RKI) für die deutsche Bundesregierung herausgegeben. Das RKI ist auch dafür verantwortlich, dass Ihre personenbezogenen Daten in Übereinstimmung mit den Vorschriften über den Datenschutz verarbeitet werden.

• Ist die Nutzung der App freiwillig?

  Die Nutzung der App ist freiwillig. Sie können Impf-, Test-, oder Genesenenzertifikate auch auf andere zulässige Weise prüfen.

• Wofür werden Ihre Daten verarbeitet?

  Die App erlaubt es Ihnen, die Gültigkeit eines Impfschutzes anhand von Zertifikaten anderer Personen zu prüfen.

  Sie können hierfür den auf einem vorgelegten Zertifikat dargestellten QR-Code mit der CovPassCheck-App scannen, um die Gültigkeit des vorgelegten Zertifikats nachzuvollziehen. Der QR-Code enthält eine elektronische Signatur des jeweiligen nationalen Austellers (in Deutschland ist der Austeller das RKI). Die elektronische Signatur wird bei der Erstellung des Zertifikats vom RKI auf Basis der im Zertifikat enthaltenen Daten des Zertifikatsinhabers erzeugt. Bei der Signatur handelt es sich um eine besondere Form der Verschlüsselung, die wie eine elektronische Unterschrift des RKI funktioniert und sicherstellt, dass es sich um ein offiziell vom RKI erstelltes digitales Dokument handelt.

  Das RKI stellt die zugehörigen öffentlichen Schlüssel des RKI (sogenannte Public Keys) sowie Listen mit gesperrten Zertifikaten bereit. Mit diesen öffentlichen Schlüsseln und Zertifikatssperrlisten kann geprüft werden, ob die elektronische Signatur des Zertifikats tatsächlich vom RKI stammt und ob das Zertifikat nach der elektronischen Signierung manipuliert oder gesperrt worden ist.

  Die CovPassCheck-App lädt regelmäßig im Hintergrund die öffentlichen Schlüssel des RKI und Zertifikatssperrlisten und speichert diese lokal auf Ihrem Smartphone. So kann die App regelmäßig die Gültigkeit der geprüften Zertifikate überprüfen. Die öffentlichen Schlüssel enthalten keine personenbezogenen Daten. Die Zertifikatssperrlisten enthalten zu einem gesperrten Zertifikat lediglich eine Sperrkennung in Form einer speziellen Einwegverschlüsselung (sog. Hash-Wert). Aus der Sperrkennung kann nicht auf die Zertifikatsdaten oder andere Angaben zu einer bestimmten Person geschlossen werden.

  Um Datums-Manipulationen bei zu prüfenden Zertifikaten erkennen zu können, wird die im Smartphone eingestellte Datum und die Uhrzeit mit der Angabe der Echtzeit eines frei verfügbaren Zeitservers abgeglichen.

  Bitte beachten Sie, dass Sie nur im gesetzlich erlaubten Rahmen befugt sind, sich ein Zertifikat von anderen Personen zur Prüfung vorlegen zu lassen.

  Wenn Sie ein Zertifikat scannen und dabei Daten auslesen, sind Sie dabei für die Einhaltung der datenschutzrechtlichen Vorgaben verantwortlich.

• Welche Daten werden verarbeitet?

  Um die öffentlichen Schlüssel für die Echtheitsprüfung der elektronischen Signatur und die Zertifikatssperrlisten herunterzuladen wird regelmäßig eine Verbindung zu einem Server des RKI aufgebaut. Dabei werden durch den Server technische Zugriffsdaten verarbeitet. Diese umfassen folgende Daten:

  • IP-Adresse
  • Datum und Uhrzeit des Abrufs
  • übertragene Datenmenge (beziehungsweise Paketlänge)
  • Meldung, ob der Datenaustausch erfolgreich war

  Diese Zugriffsdaten werden verarbeitet, um die Verbindung und den Datenaustausch zwischen der App und dem Server zu ermöglichen und abzusichern. Sie werden dabei nicht als Nutzer der CovPassCheck-App persönlich identifiziert und es wird kein Nutzungsprofil erstellt. Eine Speicherung der IP-Adresse über das Ende des einzelnen Nutzungsvorgangs hinaus erfolgt nicht.

  Zugriffsdaten werden außerdem beim Abgleich des Datums und der Uhrzeit mit dem Zeitserver verarbeitet.

• Auf welcher Rechtsgrundlage werden Ihre Daten verarbeitet?

  Ihre Daten werden vom RKI nur auf gesetzlicher Grundlage verarbeitet. Die in dieser Datenschutzerklärung beschriebene Verarbeitung Ihrer Zugriffsdaten ist erforderlich, um die Prüfung der Gültigkeit der Zertifikate technisch umzusetzen. Rechtsgrundlage der Verarbeitung Ihrer Zugriffsdaten ist § 3 BDSG und Art. 6 Abs. 1 lit. e Datenschutz-Grundverordnung (DSGVO).

• Welche Berechtigungen benötigt die App?

  Die CovPassCheck-App benötigt Zugriff auf die Kamera Ihres Smartphones, wenn Sie den QR-Code scannen, um ein Zertifikat zu prüfen. Außerdem benötigt die App eine Internetverbindung, um von dem Serversystem des RKI das aktuelle Schlüsselmaterial und die weiteren Aktualisierungen gemäß Ziffer 4 herunterladen zu können.

  Informationen zu weiteren Berechtigungen, die die App eventuell einholt, finden Sie im Bereich "Häufige Fragen".

• Wann werden Ihre Daten gelöscht?

  Von Ihnen gescannte QR-Codes sowie die daraus ausgelesenen Informationen werden durch die App nicht dauerhaft auf Ihrem Smartphone gespeichert. Das RKI speichert zudem keine personenbezogenen Daten dauerhaft auf dem Serversystem der App.

• An wen werden Ihre Daten weitergegeben?

  Mit dem Betrieb und der Wartung des Serversystems hat das RKI die KDO Service GmbH (KDO) beauftragt. KDO verarbeitet personenbezogene Daten im Auftrag und auf Weisung des RKI (als sog. Auftragsverarbeiter). Die Gewährleistung der datenschutzrechtlichen Anforderungen ist vertraglich sichergestellt.

  Um die korrekte Zeiteinstellung sicherzustellen, wird die aktuelle Zeit von einem frei verfügbaren, zufällig gewählten Zeitserver aus dem NTP Pool Projekt bezogen (Region de.pool.ntp.org). Hierbei werden kurzzeitig Zugriffsdaten verarbeitet.

• Welche Datenschutzrechte haben Sie?

  Soweit das RKI personenbezogene Daten von Ihnen verarbeitet, stehen Ihnen folgende Datenschutzrechte zu:

  • die Rechte aus den Artikeln 15, 16, 17, 18 und 21 DSGVO,
  • das Recht, die behördliche Datenschutzbeauftragte des RKI zu kontaktieren und Ihr Anliegen vorzubringen (Art. 38 Abs. 4 DSGVO) und
  • das Recht, sich bei einer Aufsichtsbehörde für den Datenschutz zu beschweren. Dazu können Sie sich beispielsweise an die zuständige Aufsichtsbehörde an Ihrem Wohnort oder an die für des RKI zuständige Behörde wenden. Die zuständige Aufsichtsbehörde für das RKI ist der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Graurheindorfer Straße 153, 53117 Bonn.

  Bitte beachten Sie, dass die vorgenannten Datenschutzrechte durch das RKI nur erfüllt werden können, wenn Daten, auf die sich die geltend gemachten Ansprüche beziehen, dauerhaft verarbeitet werden. Dies wäre nur möglich, wenn die an den RKI-Server übermittelten Daten zu Ihrer Person gespeichert würden. Dies ist für die Zwecke der App nicht erforderlich. Deshalb werden die vorgenannten Datenschutzrechte aus den Artikeln 15, 16, 17, 18 und 21 DSGVO in der Regel ins Leere laufen.

• Datenschutzbeauftragte und Kontakt

  Fragen und Anliegen zum Datenschutz im Zusammenhang mit der CovPassCheck-App können Sie an die behördliche Datenschutzbeauftragte des RKI senden: Robert Koch-Institut, zu Händen der Datenschutzbeauftragten, Nordufer 20, 13353 Berlin oder per E-Mail an: datenschutz(at)rki.de