Datenschutzbestimmungen (wie die DSGVO) hindern nicht, dass geeignete und erforderliche Maßnahmen im Kampf gegen die COVID-19 Pandemie ergriffen werden. Jedoch muss der Verantwortliche auch in diesen außergewöhnlichen Zeiten den Schutz der personenbezogenen Daten der betroffenen Personen gewährleisten.
Die unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (“DSK”) haben in ihrer Stellungnahme vom 13. März 2020 betont, dass für verschiedene Maßnahmen zur Eindämmung der COVID-19 Pandemie oder zum Schutz von Mitarbeiterinnen und Mitarbeitern datenschutzkonform (Gesundheits-) Daten erhoben und verarbeitet werden dürfen, soweit die gesetzlichen Bestimmungen beachtet werden.
- Darf der Arbeitgeber personenbezogene Daten von Mitarbeitern im Zusammenhang mit COVID-19 erheben (z.B. sog. Corona-Fragebögen)?
Kurz zusammengefasst: Unter bestimmten Voraussetzungen können solche “Corona-Fragebögen” gegenüber Mitarbeitern datenschutzrechtlich rechtmäßig durchgeführt werden.
Die Einwilligung der betroffenen Personen ist als Rechtsgrundlage eher ungeeignet, da die Freiwilligkeit der Einwilligung im Arbeitsverhältnis besonders zweifelhaft ist.
Arbeitgeber sind verpflichtet, die erforderlichen Maßnahmen zu treffen, um die betriebliche Sicherheit und Gesundheit der Mitarbeiterinnen und Mitarbeiter zu gewährleisten. Der Arbeitgeber kann die erforderlichen personenbezogenen Daten zum Zweck der arbeitsmedizinischen Vorsorge verarbeiten, soweit eine solche Verarbeitung erforderlich ist.
- Darf der Arbeitgeber personenbezogene Daten von externen Besuchern im Zusammenhang mit COVID-19 erheben (z.B. sog. Corona-Fragebögen)?
Kurz zusammengefasst: Unter bestimmten Voraussetzungen können solche “Corona-Fragebögen” gegenüber externen Besuchern datenschutzrechtlich rechtmäßig durchgeführt werden.
Auch hier ist fraglich, ob die Einwilligung freiwillig erteilt werden kann. Dies ist nur der Fall, wenn der Besucher eine echte Wahl hat. Dies kann angenommen werden, wenn dem Besucher gangbare Alternativen zur Verfügung stehen und das Formularerfordernis schon vor Reiseantritt kommuniziert wird.
Für eine Verarbeitung kann auch der Schutz der öffentlichen Gesundheit als Rechtsgrundlage herangezogen werden.
- Darf ein Arbeitgeber eigenständig Gesundheitschecks (z.B. Fiebermessung) durchführen?
Kurz zusammengefasst: Unter bestimmten Voraussetzungen können solche Gesundheitschecks datenschutzrechtlich rechtmäßig durchgeführt werden.
Da es sich um Gesundheitsdaten handelt, gelten besondere Bestimmungen. Die Maßnahme muss jedoch insgesamt auch in arbeitsrechtlichen Bereichen verhältnismäßig und erforderlich sein. Solche Gesundheitschecks sind in der Regel wohl kritisch zu beurteilen, da eine Geeignetheit der Maßnahme nicht mit Sicherheit angenommen werden kann, weil erhöhte Temperatur nur ein mögliches Symptom des COVID-19 ist, aber abhängig von der Beurteilung des Einzelfalles und der weiteren Entwicklung der Pandemie, können diese datenschutzkonform durchgeführt werden.
- Kann der Arbeitgeber bei einer Krankschreibung danach fragen, ob eine Infektion mit dem COVID-19 die Ursache ist oder ein Verdachtsfall besteht?
Die allgemeine Fürsorgepflicht des Arbeitgebers kann grundsätzlich die Erhebung von Gesundheitsdaten im Zusammenhang mit COVID-19 rechtfertigen, da der Arbeitgeber sicherstellen muss, dass sich die anderen Arbeitnehmer seines Betriebes nicht mit COVID-19 angesteckt haben könnten. Allerdings muss die Frage zum Schutz der anderen Arbeitnehmer auch erforderlich sein. Dies ist wohl nur der Fall, wenn die Krankschreibung des Mitarbeiters Anlass zur Annahme gibt, er habe sich wegen der Infizierung mit COVID-19 krankschreiben lassen.
- Darf der Arbeitgeber die Identität von nachweislich infizierten oder unter Infektionsverdacht stehenden Personen offenlegen?
Die Offenlegung der Namen von nachweislich mit COVID-19 infizierten oder unter Infektionsverdacht stehenden Personen sollen der Information und gleichzeitig dem Schutz potentieller Kontaktpersonen der betroffenen Person dienen.
Die Weitergabe dieser Daten kann zu einer Stigmatisierung der betroffenen Person führen. Auch wenn die allgemeine Fürsorgepflicht des Arbeitgebers nicht nur gegenüber der jeweils betroffenen Person, sondern auch gegenüber allen anderen Mitarbeitern besteht, ist jede Verarbeitung personenbezogener Daten am Verhältnismäßigkeitsgrundsatz zu messen. Eine namentliche Nennung kann daher nur ausnahmsweise zulässig sein, wenn die Kenntnis der Identität der betroffenen Person für Vorsorgemaßnahmen zwingend erforderlich ist.
- Darf der Arbeitgeber von infizierten Mitarbeitern Informationen über deren Kontaktpersonen erheben/verarbeiten?
Ein infizierter Mitarbeiter muss seinen Arbeitgeber grundsätzlich über das Vorliegen einer Infektion zu informieren, wenn dies zum Schutz hochrangiger Rechtsgüter von Dritten erforderlich ist. Zur Wahrung berechtigter Interessen potentieller Kontaktpersonen eines infizierten Mitarbeiters kann daher auch die Offenlegung personenbezogener Daten von Dritten gerechtfertigt sein.
- Darf der Arbeitgeber Daten über erkrankte Beschäftigte, über Beschäftigte mit Aufenthalt in Risikogebieten oder Kontakte zu Infizierten an die Behörden übermitteln?
Für eine Übermittlung personenbezogener Daten von Beschäftigten, die sich in Risikogebieten einer Infektion mit COVID-19 aufgehalten haben oder Kontakt zu Infizierten hatten, an Behörden besteht ohne eine entsprechende Aufforderung der jeweiligen Behörde wohl in aller Regel keine Rechtsgrundlage. Entsprechende behördliche Anordnungen sind aber auf Grundlage des Infektionsschutzgesetzes (IfSG) sowie länderspezifischer Regelungen denkbar.
- Darf der Arbeitgeber private Kontaktdaten von Beschäftigten für Notfälle erheben und speichern?
Eine temporäre Speicherung privater Kontaktdaten zur kurzfristigen Warnung/Kontaktaufnahme ist mit Einverständnis des Beschäftigten wohl zulässig. Die Angabe der Daten wird regelmäßig auch im eigenen Interesse der Mitarbeiter liegen.
Allerdings wird man daraus wohl keine Pflicht der Beschäftigten ableiten können, ihre Kontaktdaten auch tatsächlich anzugeben. Im Hinblick auf die Rechtmäßigkeit der Datenverarbeitung ist besonders das “Recht auf Vergessenwerden” zu beachten, da diese Daten eindeutig zweckgebunden – nämlich zur Verringerung der Infektionsgefährdung – erhoben werden.
Links zu offiziellen Mitteilungen der Datenschutzbehörden: