In Zeiten von Corona muss sich jedes Unternehmen überlegen, welche Maßnahmen es zum Schutz seiner Mitarbeiter, Besucher und letztlich auch in Bezug auf die Erhaltung der Funktionsfähigkeit seines Betriebes ergreifen kann.
In diesen Zeiten kommen insbesondere auch die Erhebung und Verarbeitung von Daten einschließlich sensibler Gesundheitsdaten von Mitarbeitern und Besuchern in Betracht.
Aber was ist mit dem Datenschutz?
Die DSGVO (Art 9 Abs. 2 b, h, i)sowie das Bundesdatenschutzgesetz (§ 22 Abs.1 b u. c) enthalten hierzu Berechtigungen, die insbesondere auch in Ausnahmesituationen greifen können, wie Schutz vor schweren grenzüberschreitenden Gesundheitsgefahren, öffentliches Interesse im Bereich der öffentlichen Gesundheit, Pflichten aus dem Arbeitsrecht (z.B. Fürsorgepflicht).
Die Konferenz der unabhängigen Datenschutzbeauftragten des Bundes und der Länder hat hierzu ganz aktuell allgemeine Hinweise herausgegeben, nach der die Erhebung und Verarbeitung in bestimmten Fällen auch von sensiblen Gesundheitsdaten ohne Einwilligung erlaubt sein soll.
Bei Beschäftigten zählen insbesondere die Erhebung und Verarbeitung von Informationen (einschließlich Gesundheitsdaten) in den Fällen:
- in denen eine Infektion festgestellt wurde oder Kontakt mit einer nachweislich infizierten Person bestanden hat.
- in denen im relevanten Zeitraum ein Aufenthalt in einem vom Robert-Koch-Institut (RKI) als Risikogebiet eingestuften Gebiet stattgefunden hat.
Bei Besuchern die Erhebung und Verarbeitung personenbezogener Daten (einschließlich Gesundheitsdaten), insbesondere um festzustellen, ob diese
- selbst infiziert sind oder im Kontakt mit einer nachweislich infizierten Person standen.
- sich im relevanten Zeitraum in einem vom RKI als Risikogebiet eingestuften Gebiet aufgehalten haben.
Die Datenerhebung muss aber immer verhältnismäßig sein und es dürfen nicht mehr Daten aufgenommen werden, als dies erforderlich ist um eine möglicherweise bestehende Gesundheitsgefährdung feststellen zu können.
- So soll die Offenlegung personenbezogener Daten von nachweislich infizierten oder unter Infektionsverdacht stehenden Personen zur Information von Kontaktpersonen nach Auffassung der Datenschützer nur dann rechtmäßig sein, wenn die Kenntnis der Identität für die Vorsorgemaßnahmen der Kontaktpersonen ausnahmsweise erforderlich ist.
Zusätzlich zu den bestehenden Rechtsgrundlagen für die Datenverarbeitung auf Seiten des Arbeitgebers ergeben sich auch für Beschäftigte verschiedene Nebenpflichten, unter anderem auch Rücksichts-, Verhaltens- und Mitwirkungspflichten gegenüber ihrem Arbeitgeber und Dritten.
- Vorliegend stellt nach Auffassung der Datenschutzaufsichtsbehörden beispielsweise die Pflicht zur Information des Dienstherrn bzw. des Arbeitgebers über das Vorliegen einer Infektion mit dem Corona-Virus eine solche Nebenpflicht zum Schutz hochrangiger Interessen Dritter dar, aus der unter gewissen Voraussetzungen auch eine
Offenlegungsbefugnis nach der DSGVO bezüglich personenbezogener Daten der Kontaktpersonen folgt.
Quelle: Bundesbeauftragte für den Datenschutz und die Informationsfreiheit