Datenschutzrechtliche Fragestellungen
Ein Überblick für Sie.
Datenschutzrechtliche Fragestellungen
Datenschutzrechtliche Fragestellungen
Ein Überblick für Sie.
In welchem Umfang darf der Arbeitgeber Gesundheitsdaten der Mitarbeiter verarbeiten?
Aus der Fürsorgepflicht des Arbeitgebers folgt, dass der Gesundheitsschutz der Mitarbeiter sicherzustellen ist. Dazu dürfen auch Gesundheitsdaten von Mitarbeitern verarbeitet werden. Deren Verarbeitung muss dazu dienen, eine Ausbreitung des Virus unter den Mitarbeitern bestmöglich zu verhindern oder einzudämmen. Besonders in Fällen, in denen eine Infektion festgestellt wurde, Kontakt mit einer nachweislich infizierten Person bestanden hat oder ein Aufenthalt in einem vom Robert-Koch-Institut als Risikogebiet eingestuften Gebiet stattgefunden hat, kann eine Verarbeitung von Gesundheitsdaten der Mitarbeiter im Rahmen des Verhältnismäßigen erlaubt sein.
Sofern Gesundheitsdaten verarbeitet werden, ist insbesondere Art. 9 Abs. 2 lit. b) DSGVO zu beachten, welcher die Voraussetzungen für die Rechtmäßigkeit der Verarbeitung regelt. Danach ist die Verarbeitung von Gesundheitsdaten unter anderem zulässig, wenn sie zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht – hier der Erfüllung der Fürsorgepflicht des Arbeitgebers – erforderlich ist und auch kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt (§ 26 Abs. 3 BDSG).
Welche Fallgruppen sind für die Erhebung von Gesundheitsdaten in der aktuellen Situation typisch?
Erhebung privater Kontaktdaten für Notfälle: Nach Auffassung der Aufsichtsbehörden darf der Arbeitgeber insbesondere aktuelle private Handynummern von der Belegschaft erheben, um die Beschäftigten im Falle einer Schließung des Betriebs oder in ähnlichen Fällen kurzfristig warnen oder auffordern zu können, zu Hause zu bleiben. Die Speicherung darf allerdings nicht dauerhaft sein und muss zudem im Einverständnis mit dem Beschäftigten erfolgen.
Erhebung von Informationen über Kontaktpersonen: Zur Eindämmung des Infektionsrisikos als Teil seiner Fürsorgepflicht ist der Arbeitgeber nach Auffassung der Aufsichtsbehörden auch befugt, Informationen darüber zu erheben, zu welchen Personen ein erkrankter Mitarbeiter Kontakt hatte.
Erhebung von Informationen über Aufenthalte in Risikogebieten: Ebenso ist der Arbeitgeber gegenüber aus dem Urlaub zurückkehrenden Mitarbeitern zur Nachfrage berechtigt, ob diese sich in einem Risikogebiet aufgehalten haben. Nach Auffassung der Aufsichtsbehörden ist eine detaillierte Befragung aller Beschäftigten in Form eines Fragebogens hierfür nicht erforderlich. Ausreichend sei, auf die derzeit als Gebiet mit erhöhter Ansteckungsgefahr qualifizierten Länder hinzuweisen und sodann die Beschäftigten aufzufordern mitzuteilen, ob sie sich kürzlich in einem dieser Gebiete aufgehalten haben. Die Angabe des konkreten Ziels oder die Dauer des Aufenthalts ist insoweit entbehrlich. Eine Negativauskunft der betroffenen Mitarbeiter ist regelmäßig ausreichend.
Erhebung von Gesundheitsdaten durch Erfassen der Körpertemperatur: Nach Auffassung der Aufsichtsbehörden darf der Arbeitgeber hingegen das Betreten der Räumlichkeiten des Unternehmens oder der Behörde durch die Beschäftigten nicht davon abhängig machen, dass diese zunächst ihre Körpertemperatur erfassen lassen, da angesichts bestehender Alternativen wie Heimarbeit insoweit nicht von einer Erforderlichkeit der Datenverarbeitung auszugehen sei.
Erhebung von personenbezogenen Daten Dritter: Auch im Hinblick auf Gäste und Besucher ist die Erhebung bestimmter personenbezogener Daten (einschließlich Gesundheitsdaten) nach Auffassung der Aufsichtsbehörden zulässig, insbesondere wenn die Verarbeitung der Feststellung eines möglichen Infektionsrisikos dient.
In welchen Fällen dürfen Gesundheitsdaten offengelegt und weitergegeben werden?
Offenlegung innerhalb der Belegschaft zur Information von Kontaktpersonen: Nach Auffassung der Aufsichtsbehörden ist die Weitergabe des Namens eines infizierten Mitarbeiters innerhalb der Belegschaft grundsätzlich zu vermeiden, auch gegenüber Mitarbeitern, die in direktem Kontakt zum Infizierten standen und möglicherweise selbst freizustellen sind. Derartige Maßnahmen seien aufgrund der Gefahr einer Stigmatisierung vielmehr abteilungs- oder teambezogen ohne konkrete Namensnennung vorzunehmen. In diesen Fällen sollte der betroffene Beschäftigte selbst um die Vorlage einer Liste von Kollegen, mit welchen er Kontakt hatte, gebeten werden. Im nächsten Schritt könnten diese Kollegen gezielt angesprochen werden.
Weitergabe von Mitarbeiter- oder Kundendaten an Behörden: Die Weitergabe ist im Falle eines Ersuchens der zuständigen Behörde bezüglich erkrankter Beschäftigter im Betrieb, insbesondere auf der Grundlage des Infektionsschutzgesetzes (IfSG), zulässig.
