Corona – Verarbeitung von Gesundheitsdaten durch Arbeitgeber
Gemäß Art. 9 DSGVO sind Gesundheitsdaten besondere Arten von Personendaten, die einem besonderen Schutz unterliegen.
Gemäß Art. 9 DSGVO sind Gesundheitsdaten jedoch 9 Abs. 2 lit. b DSGVO und § 26 Abs. 3 Satz 1 BDSG hat ein Arbeitgeber das Recht, in besonderen Fällen Gesundheitsdaten von Arbeitnehmern und Bewerbern zu verarbeiten.
Erlaubt sind z.B. Fragen zu gesundheitlichen Beeinträchtigungen, wenn diese „…wegen der Art der zu verrichtenden Arbeit oder der Bedingungen, unter denen sie ausgeübt wird, eine wesentliche und entscheidende berufliche Anforderung darstellen…“. (§ 8 AGG).
D.h. Fragen nach dem Gesundheitszustand eines Arbeitnehmers sind zulässig, wenn mögliche Ausfallzeiten die Beschäftigung unzumutbar machen können oder wenn Einschränkungen des Arbeitsplatzes bestehen oder zu erwarten sind. Zulässig ist auch die Frage nach Infektionskrankheiten, die andere Mitarbeiter oder Kunden gefährden könnten.
Rechtliche Grundlage für die Verarbeitung von Daten zum Zwecke des Kundenschutzes ist Art. 6 Abs. I lit. f in Verbindung mit Art. 9 Abs. 1 lit. f in Verbindung mit Art. 9 Abs. 2 lit. b DSGVO.
Verarbeitung von Gesundheitsdaten zum Schutz vor Corona-Infektionen
Im Verlauf der Corona-Pandemie erfordert die Fürsorgepflicht des Arbeitgebers, dass Schutzmaßnahmen für Arbeitnehmer und betroffene Dritte getroffen werden. Dazu gehört die Früherkennung von Corona-Infektionen am Arbeitsplatz. Die Datenschutzbeauftragte NRW beantwortete eine Reihe von Fragen zu diesem Thema wie folgt:
1. Darf ein Arbeitgeber die Arbeitnehmer zu den Symptomen einer möglichen Corona-Infektion befragen?
Eine solche Befragung ist nur zulässig, wenn sie sich auf typische Symptome einer Corona-Infektion beschränkt und wenn ein erhöhtes Infektionsrisiko (z.B. eine Infektion eines Arbeitnehmers) besteht.
Zu beachten ist, dass nach Angaben der Bundeszentrale für gesundheitliche Aufklärung eine Corona-Infektion zu Symptomen wie Husten oder Fieber führen kann, bisher aber keine eindeutigen Symptome einer Corona-Infektion gemeldet wurden.
2. Darf ein Arbeitgeber die Arbeitnehmer nach einem positiven Corona-Test fragen?
Ja, wenn ein Arbeitnehmer bei einem Arztbesuch eine Rückmeldung über eine Corona-Infektion erhält, gelten die üblichen Regeln, wie z.B. die Vorlage einer Arbeitsunfähigkeitsbescheinigung.
Der Arbeitgeber kann Informationen über eine Corona-Infektion anfordern, um seiner Fürsorge- und Schutzpflicht nachzukommen.
Wegen der hohen Ansteckungsgefahr verpflichtet die Treuepflicht im Arbeitsverhältnis den Arbeitnehmer, den Arbeitgeber im Falle einer entsprechenden Erkrankung zu informieren.
3. Darf ein Arbeitgeber die Arbeitnehmer über Reiseziele befragen?
Eine allgemeine Frage über Reiseziele ist nicht erlaubt.
Eine konkrete Frage nach Aufenthalten in anerkannten Risikogebieten ist jedoch zulässig, da ein erhöhtes Infektionsrisiko besteht und somit eine Informationspflicht gegenüber dem Mitarbeiter bzw. ein Fragerecht des Arbeitgebers besteht.
4. Darf ein Arbeitgeber Arbeitnehmer nach Kontakten mit infizierten Personen fragen?
Eine solche Frage ist zulässig, wenn sie auf Infektions- oder Verdachtsfälle in der unmittelbaren Umgebung des Betroffenen abzielt.
5. Darf der Arbeitgeber Fiebermessungen bei den Arbeitnehmern vornehmen?
Eine berührungslose Fiebermessung am Eingang zur Arbeitsstätte könnte unter strengen Voraussetzungen nach § 26 Abs. 3 Satz 1 BDSG gerechtfertigt sein. Zwar gibt es derzeit keine gesicherten Hinweise, dass Fieber ein entscheidendes Kriterium für den Nachweis einer Corona-Infektion ist, doch könnte die Fiebermessung ein geeignetes Mittel sein, um Hinweise auf vermutete Corona-Infektion zu erhalten. Eine Speicherung der Daten sollte für eine einfache Aufnahmekontrolle nicht erforderlich sein.
Den Arbeitgebern wird empfohlen, eine möglichst einvernehmliche Lösung zu finden, die die Arbeitnehmer, den Betriebs- oder Personalrat und den Datenschutzbeauftragten einbezieht.
6. Welche Informationspflichten hat der Arbeitgeber gegenüber Arbeitnehmern oder Dritten?
Besteht ein erhöhtes Infektionsrisiko, z.B. wenn ein anderer Arbeitnehmer infiziert ist, kann der Arbeitgeber verpflichtet sein, Arbeitnehmer und Dritte, die mit der infizierten Person in Kontakt waren, über das erhöhte Infektionsrisiko zu informieren. In diesem Zusammenhang ist auch die entsprechende Datenverarbeitung zulässig. Die Daten müssten vertraulich und zweckbestimmt verarbeitet werden. Sie müssen nach Wegfall des Verarbeitungszwecks gelöscht werden. Der Name der infizierten Person sollte nicht genannt werden. Als datensparsame Variante wird die Vorlage einer Kontaktliste durch die Person und die direkte Information der Kontaktpersonen vorgeschlagen.
Es ist zu beachten, dass andere Aufsichtsbehörden andere Ansichten haben können.
So sieht beispielsweise der Landesbeauftragte für Datenschutz und Informationsfreiheit des Landes Rheinland-Pfalz im Gegensatz zum Landesbeauftragten des Landes Nordrhein-Westfalen keine gesetzliche Grundlage für eine Fiebermessung bei Mitarbeitern und Kunden.