Citation: 2C_369/2021 E. 5.5

5.5. Die in Art. 3 Abs. 3 und 4 der angefochtenen Verordnung enthaltene Verpflichtung, die Kontaktdaten unaufgefordert zu übermitteln, hat somit eine hinreichende gesetzliche Grundlage und verstösst weder gegen das EpG noch gegen die Covid-19-Verordnung besondere Lage. Dasselbe gilt für die übrigen angefochtenen Bestimmungen, soweit diesbezüglich überhaupt eine hinreichende Rüge (vorne E. 2.1) vorliegt: Es liegt auf der Hand, dass die Weiterleitung der Daten in elektronischer Form, wie sie auch in Art. 5 Abs. 2 der eidgenössischen Verordnung vorgeschrieben ist, nur Sinn ergibt, wenn diese Daten dann auch in einer Datenbank erfasst und bearbeitet werden, wie das Art. 3a Covid-19 V vorsieht. Dass der Betrieb der Datenbank an Dritte ausgelagert werden kann (Art. 3d Covid-19 V), ergibt sich ebenfalls bereits aus dem Bundesrecht (Art. 58 Abs. 1 EpG; Art. 18 Satz 2 EpV). Selbstverständlich haben auch die beauftragten Dritten die Anforderungen an Informationssicherheit und Datenschutz zu gewährleisten (vgl. Art. 3c Covid-19 V, der diesbezüglich auf das kantonale Datenschutzgesetz verweist; zu den Grundsätzen siehe auch BGE 146 I 11 E. 3.3.1), was ausdrücklich in Art. 3d Abs. 3 der angefochtenen Verordnung vorgesehen ist. Es ist zwar denkbar, dass die beauftragten Dritten gegen datenschutzrechtliche Grundsätze verstossen; das kann aber auch bei staatlichen Behörden nie ausgeschlossen werden und für sich allein kein Grund sein, eine solche Übertragung als unzulässig zu betrachten. Konkrete Indizien, dass solche Verstösse mit erheblicher Wahrscheinlichkeit drohen, werden vom Beschwerdeführer wie bereits erwähnt nicht vorgebracht (vgl. vorne E. 2.2 in fine und E. 3.2). Die angefochtenen Art. 3b und 3c Covid-19 V schliesslich wiederholen und konkretisieren bloss, was sich bereits aus Art. 5 Abs. 3 der eidgenössischen Verordnung und aus der Datenschutzgesetzgebung ergibt.