Datenschutz & Arbeitsrecht: Fragen und Antworten in Corona-Zeiten

Der Datenschutz in Zeiten des Coronavirus ist keine Frage von „OB“, sondern von „WIE“. Die Maßnahmen zur Eindämmung der Corona-Pandemie oder zum Schutz von MitarbeiterInnen erfordern die Verarbeitung personenbezogener Daten. Werden die Daten in diesem Zusammenhang erhoben, werden in den meisten Fällen Bezüge zwischen Personen und deren Gesundheitszustand hergestellt. Ab diesem Zeitpunkt handelt es sich um Gesundheitsdaten, die nach der Datenschutz-Grundverordnung (DSGVO) besonders geschützt sind.

Wäre es zulässig, auf Handydaten zuzugreifen, um die Infektionswege zu verfolgen?

Um den Schutz der Allgemeinheit vor übertragbaren Krankheiten zu gewährleisten, können digitale Technologien unter Nutzung personenbezogener Daten helfen. Genaue Standortdaten einzelner Smartphone-Nutzer können dazu verwendet werden, die Ausbreitung des Virus zu verlangsamen. Dabei sind die datenschutzrechtlichen Prinzipien und Erfordernisse zu beachten: Die Verarbeitung personenbezogener Daten muss u. a. geeignet, erforderlich und verhältnismäßig sein. Der Bundesgesetzgeber kann eine Rechtsgrundlage für ein Tracking der Standortdaten von Personen zur Ermittlung von möglichen Kontaktpersonen oder für ein Tracking in Echtzeit zur Feststellung von Verstößen gegen behördlichen Maßnahmen wie Quarantäneanordnungen schaffen.

Wenn Mobilfunknetzbetreiber anonymisierte Handydaten ihrer Kunden zur statistischen Auswertung von Gruppenverhalten weitergeben, ist das datenschutzrechtlich unproblematisch. Das ist der Fall, wenn die Daten so aggregiert sind, dass sie nicht ohne auf bestimmte Personen zurückgeführt werden können. Dabei sind keine Aussagen zu Aufenthaltsorten oder Bewegungsspuren einzelner Mobilfunknutzer möglich.

Darf das Robert-Koch-Institut (RKI) von Telekommunikationsanbietern Bewegungsdaten erhalten und können dadurch die Mobilfunknutzer nachverfolgt werden?

Ja, wenn diese Daten anonymisiert sind. In diesem Fall greift die DSGVO nicht. Die betroffene Person bzw der Mobilfunknutzer kann nicht identifiziert werden. Das RKI erhält insoweit nur Übersichten über Bewegungsprofile, ohne diese einem Individuum zuordnen zu können. Das hilft, die Risikolage besser einzuschätzen und die Erforderlichkeit weiterer Maßnahmen beurteilen zu können. Die Mobilfunknutzer können dadurch nicht nachverfolgt werden. 

Darf der Arbeitgeber die Beschäftigten fragen, ob sie in einem Risikogebiet waren oder mit einem Erkrankten direkten Kontakt hatten? 

Ja. Arbeitgeber sind auf Grund ihrer Fürsorgepflicht und nach dem Arbeitsschutzgesetz verpflichtet, die erforderlichen Maßnahmen zu treffen, um die betriebliche Sicherheit und Gesundheit der Belegschaft zu gewährleisten. Das umfasst auch die Pflicht des Arbeitgebers, dafür zu sorgen, die anderen Beschäftigten vor einer Infektion durch eine erkrankte Person zu schützen. Für diesen Zweck ist es datenschutzrechtlich zulässig, Informationen darüber zu erheben, zu welchen Personen der erkrankte Mitarbeiter Kontakt hatte. So kann der Arbeitgeber die erforderlichen Daten datenschutzkonform zum Zweck der arbeitsmedizinischen Vorsorge verarbeiten. Zum Beispiel darf der Arbeitgeber Urlaubsrückkehrer befragen, ob sie sich in einem durch das RKI festgelegten Risikogebiet aufgehalten haben. Eine Negativauskunft des Beschäftigten genügt. Liegen weitere Anhaltspunkte vor, kann der Arbeitgeber ggf. weiter nachfragen.

Muss der Arbeitnehmer seinen Arbeitgeber über eine Corona-Infizierung informieren?

Ja. Arbeitnehmer sind dazu verpflichtet. Der Arbeitgeber hat eine Fürsorgepflicht und muss im Falle einer Erkrankung durch das Corona-Virus besondere Schutzmaßnahmen ergreifen und das Gesundheitsamt informieren.

Dürfen Arbeitgeber die Beschäftigten darüber informieren, dass ein bestimmter Mitarbeiter am Coronavirus erkrankt ist bzw erkrankt sein könnte, sogar unter Nennung des konkreten Namens?

Die Kenntnis von der Erkrankung eines Mitarbeiters kann für diesen zu einer Stigmatisierung führen. Daher ist die Nennung des Namens des infizierten oder unter Infektionsverdacht stehenden Mitarbeiters grundsätzlich zu vermeiden. Jedoch sind Mitarbeiter, welche in direktem Kontakt mit einem Infizierten waren, zu warnen und werden in der Regel von der Arbeit freigestellt, um eine weitere Ansteckung zu vermeiden. Solche Maßnahmen sollen grundsätzlich abteilungs-/ bzw. teambezogen ohne konkrete Namensnennung erfolgen.

Ist dies ausnahmsweise nicht ausreichend, darf der Arbeitgeber zunächst das Gesundheitsamt und gegebenenfalls erst dann die übrigen Mitarbeiter über den Verdacht der Ansteckung oder der Erkrankung des konkreten Arbeitnehmers informieren, um die Infektionsquelle festzustellen und die weitere Verbreitung einzudämmen.

Darf der Arbeitgeber Gesundheitsdaten des Arbeitnehmers erheben, zum Beispiel durch Erfassen der Körpertemperatur?

Teilweise wird vertreten, dass minimal-invasive Maßnahmen zulässig sein können, soweit diese zum Schutz anderer Personen (Mitarbeiter) vor Infektionen durch eine potentiell infizierte Person dienen. Die Gegenstimmen argumentieren damit, dass eine erhöhte Körpertemperatur kein zuverlässiger Indikator für eine Coronavirus-Infektion darstellt. Viele der Erkrankten weisen lediglich milde oder gar keine Symptome auf.

Eine solche Maßnahme könnte auf § 26 Absatz 3 Satz 1 Bundesdatenschutzgesetz (BDSG) gestützt werden. Die Temperaturkontrolle kann ein geeignetes Mittel sein, um Hinweise auf etwaige Corona-Verdachtsfälle zu erhalten. Ob die Fiebermessung zulässig ist, hängt somit vom jeweiligen Einzelfall ab.

Das bloße Fiebermessen im Eingangsbereich im Rahmen einer Zutrittskontrolle (bloße Momentaufnahmen) ist datenschutzrechtlich in der Regel unproblematisch, solange es dabei zu keiner strukturierten Datenverarbeitung kommt (auch nicht durch eine etwaige Videoüberwachung des Kontrollbereichs) – es werden z. B. keine Listen mit Namen und Fieberwerten erstellt. Bei solchen Echtzeit-Kontrollen greift die DSGVO schlichtweg nicht. Eine Speicherung der Daten dürfte nicht erforderlich sein, wenn die Fiebermessung lediglich dazu dient, festzustellen, ob jemand an dem Tag das Betriebsgebäude/-gelände betreten darf oder nicht.

Wie lange dürfen die Daten über Covid-19 Infizierungen aufbewahrt werden?

Die Daten dürfen lediglich bis zur Zweckerfüllung aufbewahrt werden. Das bedeutet, dass die Daten über infizierte Personen dann gelöscht bzw. anonymisiert werden, wenn die potentiell angesteckten, weiteren Personen eruiert wurden, keine Behördenanfragen mehr anhängig sind oder die Daten nicht zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind.

Beachten Sie bitte, dass der Artikel die persönliche Rechtsauffassung des Autors darstellt und keine Beratung im Einzelfall ersetzt.