FAQ Datenschutz im Beschäftigungs­verhältnis in Zeiten von Corona

Viele Arbeitgeber sind verunsichert, wie angesichts der Corona-Krise mit den sensiblen Gesundheitsdaten der Beschäftigten umzugehen ist. Denn es müssen sowohl die datenschutzrechtlichen Anforderungen an die nur ausnahmsweise zulässige Verarbeitung von Gesundheitsdaten als auch die Fürsorge- und Schutzpflichten des Arbeitgebers gegenüber seiner Belegschaft in Einklang gebracht werden. Hier ein kurzer Überblick zu häufig gestellten Fragen:

Darf der Arbeitgeber Gesundheitsdaten in Bezug auf das Coronavirus und Covid-19 verarbeiten?

Ja. Es handelt sich zwar um besonders geschützte sensible Daten von Arbeitnehmern. Ihre Verarbeitung ist jedoch erforderlich, um die Fürsorgepflicht des Arbeitgebers und seine Pflichten nach dem Arbeitsschutzgesetz zu erfüllen und die Belegschaft vor Ansteckungen zu schützen. Dies wurde ausdrücklich vom Bundesdatenschutzbeauftragten und der Datenschutzkonferenz des Bundes und der Länder bestätigt.

Darf der Arbeitgeber den Arbeitnehmer fragen, ob er in ein Corona-Risikogebiet gereist ist?

Ja. Denn bei Informationen zu Reisezielen handelt es sich nicht um Gesundheitsdaten, die nur ausnahmsweise verarbeitet werden dürfen. Es ist daher ausreichend, dass ein legitimes Interesse des Arbeitgebers besteht, angemessene Schutzvorkehrungen zu treffen, wenn ein Arbeitnehmer sich in einem Risikogebiet aufgehalten hat (vgl. Hinweise der Datenschutzkonferenz des Bundes und der Länder).

Darf der Arbeitgeber bei einer Krankschreibung nachfragen, ob der Arbeitnehmer Covid-19 hat?

Grundsätzlich darf der Arbeitgeber nur erfahren, dass es sich um eine Krankheit handelt, nicht um welche Krankheit. Angesichts einer sich schnell ausbreitenden Pandemie wird man jedoch eine Treuepflicht des Arbeitnehmers annehmen müssen, aus der sich die Pflicht ergibt, eine Erkrankung an Covid-19 zu offenbaren, um die Kollegen vor einer weiteren Ansteckung zu schützen. Eine solche Pflicht ist zwar umstritten. Jedoch wird eine Nachfrage des Arbeitgebers ohnehin oft nicht notwendig sein, da in der Regel der Arbeitgeber vom zuständigen Gesundheitsamt von einem Krankheitsfall informiert wird (so auch der Landesdatenschutzbeauftragte von Baden-Württemberg in seiner Stellungnahme).

Darf der Arbeitgeber seine Arbeitnehmer nach Symptomen der Covid-19 Krankheit fragen?

Nein. Der Arbeitgeber darf nur fragen, ob eine vorhandene Arbeitsunfähigkeit auf einer Krankheit oder einem anderen Umstand beruht. Im Gegensatz zu einer tatsächlichen Erkrankung an Covid-19 wird regelmäßig keine Pflicht des Arbeitnehmers bestehen, nur die bloßen Krankheitssymptome, die auch bei anderen Erkrankungen auftreten können (z.B. Fieber und Husten), zu offenbaren.

Darf der Arbeitgeber bei einer bestätigten Infektion im Betrieb der Belegschaft sagen, wer der Infizierte ist, um so Kontaktpersonen zu ermitteln?

Grundsätzlich ist es ausreichend, wenn der Arbeitgeber die Kontaktpersonen selbst ermittelt (z.B. Kollegen im Team) und diese Kontaktpersonen über die Infektionsgefahr informiert, ohne den Namen des Infizierten zu offenbaren. Die Offenlegung personenbezogener Daten von nachweislich infizierten oder unter Infektionsverdacht stehenden Personen zur Ermittlung von Kontaktpersonen ist nur im Ausnahmefall rechtmäßig, wenn die Kenntnis der Identität für die Vorsorgemaßnahmen der Kontaktpersonen ausnahmsweise erforderlich ist (siehe hierzu Stellungnahme des Landesdatenschutzbeauftragten von Baden-Württemberg).

Dürfen Arbeitgeber dem Gesundheitsamt personenbezogene Daten von infizierten Mitarbeitern übermitteln?

Ja. In der Regel hat das Gesundheitsamt diese Daten ohnehin vom behandelnden Arzt übermittelt bekommen. Nach Auffassung des Landesdatenschutzbeauftragen von Baden-Württemberg steht dem Arbeitgeber ebenfalls die Befugnis zu, die Personalien des Infizierten dem Gesundheitsamt mitzuteilen.

Dürfen medizinische Tests (z.B. Fiebermessungen am Eingang zum Betriebsgelände) vom Arbeitgeber durchgeführt werden?

Medizinische Tests, wie Fiebermessungen oder Wärmebildkameras bei Betriebsfremden dürfen allgemein vom Hausrecht des Betriebsinhabers erfasst sein. In der Regel werden Betriebsfremde auch damit einverstanden sein, dass solche Vorsichtsmaßnahmen durchgeführt werden. Datenschutzrechtlich beruht die Datenverarbeitung auf einer freiwilligen Einwilligung. Für eine wirksame Einwilligung müssen dem Betroffenen aber die Umstände der Datenverarbeitung klar sein. Eine heimliche Wärmebildaufnahme ist daher nicht zulässig. Die Datenverarbeitung muss somit offengelegt werden, durch Hinweisschilder o.Ä. Die allgemeinen datenschutzrechtlichen Grundsätze sind zu wahren, z.B. die Daten müssen sofort gelöscht werden (Grundsatz der Datenminimierung).

Schwieriger ist es bei Temperaturmessungen von eigenen Arbeitnehmern. In der gegenwärtigen Krisenzeit besteht die Gefahr, dass viele Arbeitnehmer solche Maßnahmen aus Angst vor Jobverlust erdulden werden. In einem solchem Fall besteht das Risiko, dass keine „freiwillige“, sondern eine erzwungene Einwilligung des Arbeitnehmers angenommen wird. Besteht ein Betriebsrat, hat dieser ein Mitbestimmungsrecht bei der Einführung solcher gesundheitsschützender Maßnahmen. Allerdings kann eine Betriebsvereinbarung nicht so weitreichend sein, dass sie gegen den Willen des Arbeitnehmers unangemessen in seine Persönlichkeitsrechte eingreift. Fehlt eine Einwilligung des betroffenen Mitarbeiters, ist sehr fraglich, ob es eine Rechtsgrundlage für eine erzwungene Temperaturmessung geben kann. Insbesondere ist zweifelhaft, ob das Fiebermessen zum Schutz vor Ansteckungen beiträgt, da Fieber auch andere Ursachen haben kann und die Infektion mit dem Coronavirus auch ohne Symptome ablaufen kann, die Person aber ansteckend ist.

Eine klare herrschende Meinung bzw. eine Positionierung von Datenschutzbehörden hat sich noch nicht herauskristallisiert. Wegen der bestehenden Unsicherheit sollten solche Maßnahmen nur bei ausdrücklicher Einwilligung des Mitarbeiters und nur von einer der ärztlichen Schweigepflicht unterliegenden Person (z.B. Betriebsarzt) durchgeführt werden. Bei Mitarbeitern, die ausdrücklich keine Temperaturmessung wünschen, sollten andere Maßnahmen geprüft werden, z.B. Einrichtung eines Home-Office Arbeitsplatzes.

Welche datenschutzrechtlichen Besonderheiten sind bei Tätigkeiten im Home-Office zu beachten?

Auch im Home-Office gelten die allgemeinen datenschutzrechtlichen Vorgaben. Der Arbeitgeber muss geeignete technische und organisatorische Maßnahmen treffen, um die Sicherheit der Datenverarbeitung zu gewährleisten. Er muss seine Arbeitnehmer auf die allgemeinen datenschutzrechtlichen Vorkehrungen im Home-Office hinweisen. Zum Beispiel muss der Arbeitscomputer ausreichend vor Zugriff von Familienangehörigen und Dritten geschützt sein und vertrauliche Unterlagen sicher aufbewahrt werden. Es ist sicherzustellen, dass für Video- und Telefonkonferenzen zuverlässige Anbieter ausgewählt werden.

Kann der Arbeitgeber angesichts der Corona-Krise datenschutzrechtliche Rechte von Arbeitnehmern, z.B. Recht auf Auskunft, Recht auf Löschung und Berichtigung usw. einschränken?

Nein, die betroffenen Arbeitnehmer dürfen weiterhin ihre Rechte nach der DSGVO (Recht auf Auskunft, Recht auf Löschung, Recht auf Berichtigung, Recht auf Einschränkung der Verarbeitung, Recht auf Datenportabilität und Recht auf Widerspruch) ausüben. Grundsätzlich muss der Arbeitgeber als Verantwortlicher für die Datenverarbeitung die Anfragen unverzüglich, spätestens innerhalb eines Monats bearbeiten. Diese Frist kann nach unserer Auffassung unter den gegeben Umständen unproblematisch um weitere zwei Monate verlängert werden.

(27. März 2020)