Nicht erst seit dem hohen Bußgeld gegen H&M (35,3 Millionen Euro siehe Quelle) stellen sich viele Arbeitgeber die Frage, welche Daten darf ich von meinen Mitarbeitern aufnehmen und verarbeiten und welche nicht.
Speziell durch die derzeitige Coronapandemie bleiben viele Fragen zwischen den Dokumentations- und Nachverfolgungspflichten der Covid-19-Verordnungen und dem Datenschutz von Kunden und Beschäftigten offen.
Im Bereich des Mitarbeiterdatenschutzes in der Covid-19-Krise hat die Landesbeauftrage für Datenschutz und Informationsfreiheit Nordrhein-Westfalen nun eine Orientierungshilfe veröffentlicht.
Allgemeine Verarbeitung von Gesundheitsdaten durch Arbeitgeber
Bei Gesundheitsdaten handelt es sich nach Art. 9 DSGVO um besondere Arten personenbezogener Daten, die einem besonderen Schutz unterliegen.
Ein Arbeitgeber habe aber nach Art. 9 Abs II lit b DSGVO und § 26 Abs. 3 Satz 1 BDSG in speziellen Fällen das Recht, Gesundheitsdaten von Beschäftigten und Bewerbern zu verarbeiten.
So seien Fragen zu gesundheitlichen Beeinträchtigungen erlaubt, wenn diese „…wegen der Art der auszuübenden Tätigkeit oder der Bedingungen ihrer Ausübung eine wesentliche und entscheidende berufliche Anforderung darstellt…“ (§ 8 AGG).
D.h. Fragen nach dem Gesundheitszustand eines Beschäftigten seien zulässig, wenn potenzielle Ausfallzeiten eine Beschäftigung unzumutbar machen können oder Einschränkungen der Tätigkeit bestehen oder zu erwarten sind. Auch dürfe nach ansteckenden Krankheiten gefragt werden, die andere Mitarbeiter oder Kunden gefährden können.
Die Rechtsgrundlage für die Verarbeitung der Daten zum Zwecke des Schutzes von Kunden ist Art. 6 Abs. I lit. f i.V.m. Art. 9 Abs. II lit. b DSGVO.
Spezielle Verarbeitung von Gesundheitsdaten zum Schutz vor Corona-Infektionen
Die Fürsorgepflicht des Arbeitgebers gebiete es im Zuge der Corona-Pandemie, Schutzmaßnahmen für Beschäftigte und betroffene Dritte zu ergreifen. Hierzu gehöre die frühzeitige Identifikation von Corona-Erkrankungen am Arbeitsplatz.
Hierzu beantwortete die Landesbeauftrage für Datenschutz und Informationsfreiheit Nordrhein-Westfalen einige Fragen wie folgt:
1. Darf ein Arbeitgeber die Beschäftigten zu Krankheitssymptomen einer möglichen Corona-Infektion befragen?
Eine solche Befragung sei nur zulässig, wenn sie sich auf typische Symptome einer Corona-Infektion beschränke und ein erhöhtes Infektionsrisiko bestehe (z.B. eine Infektion eines Mitarbeiters). Hierbei sei zu beachten, dass eine Corona-Infektion laut Bundeszentrale für gesundheitliche Aufklärung zu Symptomen wie Husten oder Fieber führen könne, aber bis dato keine eindeutigen Symptome für eine Corona-Infektion bekannt seien.
2. Darf ein Arbeitgeber die Beschäftigten zu positiver Corona-Testung befragen?
Ja, wenn ein Beschäftigter bei einem Arztbesuch eine Rückmeldung über eine Corona-Infektion erhalte gelten die üblichen Regeln, wie die Vorlage einer Arbeitsunfähigkeitsbescheinigung. Der Arbeitgeber könne Auskunft über eine Corona-Erkrankung verlangen um seinen Fürsorge- und Schutzpflichten nachzukommen. Die Treuepflicht im Arbeitsverhältnis verpflichte Beschäftigte aufgrund der hohen Ansteckungsgefahr, den Arbeitgeber bei einer entsprechenden Krankheit zu informieren.
3. Darf ein Arbeitgeber die Beschäftigten zu Reisezielen befragen?
Eine allgemeine Frage nach Reisezielen sei nicht zulässig. Eine konkrete Frage nach Aufenthalten in anerkannten Risikogebieten sei jedoch zulässig, da ein erhöhtes Ansteckungsrisiko bestehe und somit eine Informationspflicht des Mitarbeiters bzw. ein Fragerecht des Arbeitgebers bestehe.
4. Darf ein Arbeitgeber die Beschäftigten zu Kontakten mit Infizierten befragen?
Eine solche Frage sei zulässig, wenn sie auf Infektions- und Verdachtsfälle im unmittelbaren Umfeld der betroffenen Person ziele.
5. Darf der Arbeitgeber bei den Beschäftigten Fiebermessungen durchführen?
Eine kontaktlose Fiebermessung am Eingang zur Arbeitsstätte könnte unter engen Voraussetzungen gemäß § 26 Abs. 3 Satz 1 BDSG gerechtfertigt sein. Es gebe derzeit zwar keine gesicherte Erkenntnis, dass Fieber ein definitives Kriterium zur Feststellung einer Corona-Infektion sei, die Fiebermessung könne aber ein geeignetes Mittel sein, um Hinweise auf Corona-Verdachtsfälle zu bekommen. Eine Speicherung der Daten dürfte bei einer einfachen Einlasskontrolle nicht erforderlich sein. Arbeitgebern werde geraten eine möglichst einvernehmliche Lösung unter Einbeziehung der Beschäftigten, des Betriebs- oder Personalrats sowie des Datenschutzbeauftragten zu finden.
6. Welche Informationspflichten hat der Arbeitgeber gegenüber Beschäftigten oder Dritten?
Sollte ein erhöhtes Infektionsrisiko bestehen, zum Beispiel bei einer Infektion eines anderen Beschäftigten, können Arbeitgeber verpflichtet sein, Beschäftigte und Dritte, die mit der infizierten Person in Kontakt standen über das erhöhte Infektionsrisiko zu informieren. In diesem Zusammenhang seien auch die entsprechenden Datenverarbeitungen zulässig. Die Daten müssten vertraulich und zweckgebunden verarbeitet werden. Eine Löschung habe nach Wegfall des Verarbeitungszweckes zu erfolgen. Auf eine Namensnennung der infizierten Person solle verzichtet werden. Als datensparsame Variante wird die Vorlage einer Kontaktliste durch die infizierte Person und ein direktes Informieren der Kontaktpersonen vorgeschlagen.
Zu beachten ist, dass andere Aufsichtsbehörden gegebenenfalls andere Auffassungen vertreten können.
So sieht beispielsweise der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, im Gegensatz zur nordrhein-westfälischen Landesbeauftragen keine Rechtsgrundlage für eine Fiebermessung von Beschäftigten und Kunden.
Quellen:
https://datenschutz-hamburg.de/pressemitteilungen/2020/10/2020-10-01-h-m-verfahren
https://www.datenschutz.rlp.de/de/themenfelder-themen/beschaeftigtendatenschutz-corona/
