Wir hatten bereits ausführlich über die arbeitsschutzrechtlichen Pflichten des Arbeitgebers im Zusammenhang mit der Corona-Krise informiert. Will der Arbeitgeber die dort genannten Schutzmaßnahmen umsetzen, kommt er unweigerlich mit Daten seiner Arbeitnehmer in Berührung, sodass sich die Folgefrage stellt, welche datenschutzrechtlichen Vorgaben der Arbeitgeber bei der Erstellung, Umsetzung und Überprüfung seines Schutzkonzeptes beachten muss.
Bei allen Maßnahmen im Zusammenhang mit der Coronakrise müssen die Beteiligten stets auch Datenschutzrecht im Blick haben. Im Bereich des Arbeitsrechts dürfte sich hauptsächlich die Frage stellen, inwieweit der Arbeitgeber berechtigt ist, personenbezogene Daten (insbesondere seiner Arbeitnehmer) zu erheben, um dadurch die Ausbreitung von COVID-19 im Betrieb zu verhindern oder zumindest einzudämmen.
Nach den seit Mai 2018 geltenden verbindlichen Regelungen der EU-Datenschutzgrundverordnung (DS-GVO) bedarf es für die Erhebung von personenbezogenen Daten einer in der DS-GVO bzw. dem nachgelagerten BDSG vorhandenen Rechtsgrundlage. Ansonsten ist die Erhebung rechtswidrig und löst neben Schadensersatzansprüchen der betroffenen Person und Bußgeldern unter Umständen auch noch strafrechtliche Konsequenzen aus.
Dieser Beitrag soll einige typische Fallkonstellationen und die dabei bestehenden Fallstricke darstellen.
1. Frage nach dem Urlaubsziel
Gerade in der Ferienzeit haben viele Arbeitgeber ein Interesse daran, ob ihre Arbeitnehmer in Corona-Risikogebiete reisen. Da den Arbeitgeber arbeitsschutzrechtliche Fürsorgepflichten treffen, besteht für die Frage, ob sich der Arbeitnehmer in einem Risikogebiet aufhalten wird, eine Rechtsgrundlage. Wo konkret sich der Arbeitnehmer aufhält, ist hiervon jedoch nicht umfasst. Die Angabe, dass es sich um ein Risikogebiet handelt, reicht aus, damit der Arbeitgeber die notwendigen Maßnahmen ergreifen kann und insbesondere auch die Quarantäne des Arbeitnehmers nach dessen Rückkehr planen kann.
2. Frage nach Vorerkrankungen und der Zugehörigkeit zu einer Risikogruppe
Der SARS-CoV-2-Arbeitsschutzstandard, über den wir bereits hier ausführlich berichtet haben, verpflichtet Arbeitgeber, den Arbeitnehmern eine individuelle Beratung durch den Betriebsarzt im Hinblick auf besondere Gefährdungen aufgrund einer Vorerkrankung anzubieten. Die hier gewonnenen besonders geschützten Gesundheitsdaten darf der Arbeitgeber aber nicht erheben oder nutzen. Hierfür besteht keine Rechtsrundlage, auch wenn es verständlich ist, dass der Arbeitgeber gerne wissen würde, ob er zu einer Risikogruppe gehörende Arbeitnehmer beschäftigt. Anders sieht es dagegen aus, wenn die Arbeitnehmer von sich aus darlegen, weshalb sie zu einer Risikogruppe gehören. Dann muss der Arbeitgeber diese Daten verarbeiten, um ein entsprechendes Schutzkonzept zu erstellen, soweit möglich und zumutbar.
3. Frage nach Kontakten mit Infizierten
Die Frage, ob Arbeitnehmer unmittelbaren Kontakt zu nachweislich infizierten Personen hatten, dürfte datenschutzrechtlich zulässig sein, weil dadurch die Durchführung des Beschäftigungsverhältnisses unmittelbar berührt wird und darüber hinaus der Arbeitgeber verpflichtet ist, Maßnahmen des Arbeitsschutzes durchzuführen. Wir empfehlen aber, das Fragerecht auf die letzten 14 Tage zu beschränken. Argument ist die in der Wissenschaft aktuell angenommene Inkubationszeit von zwei bis 14 Tagen.
Besondere Vorsicht ist jedoch bei der Frage geboten, inwieweit der Arbeitgeber andere Beschäftigte über einen erkrankten Beschäftigten informieren darf. Der Arbeitgeber ist zwar grundsätzlich verpflichtet, Beschäftigte, welche in direktem Kontakt mit einem Infizierten standen, zu warnen. Die Nennung des Namens des Betroffenen soll dabei jedoch vermieden werden. In der Regel wird es genügen, mitzuteilen, dass eine Person aus einer konkreten Abteilung positiv getestet wurde und inwieweit diese Person beispielsweise an gemeinsamen Besprechungen teilgenommen hat.
4. Frage nach dem allgemeinen Gesundheitszustand
In diesem Zusammenhang ist es ferner von Interesse, dass – auch ganz allgemein gestellte – Fragen nach dem Gesundheitszustand nicht ohne besonderen Anlass und nur in engen Grenzen zulässig sind. Die Frage nach einer COVID-19-Erkrankung wird jedoch zulässig sein, da der Arbeitgeber in diesen Fällen arbeitsschutzrechtlich handeln muss. Die erhobenen Daten darf der Arbeitgeber aber über diesen Zweck hinaus nicht verarbeiten.
5. Fiebermessen im Betrieb
Der SARS-CoV-2-Arbeitsschutzstandard verpflichtet Arbeitgeber, einen Maßnahmenkatalog zur Abklärung von COVID-19-Verdachtsfällen festzulegen. Hierzu gehören z.B. das Fiebermessen, bevor die Arbeitnehmer den Betrieb betreten oder Fragebögen, in denen Symptome einer COVID-19-Erkrankung abgefragt werden. Dies wirft einige datenschutzrechtliche Fragen auf.
Rechtsgrundlage kann grundsätzlich Art. 6 Abs. 1 lit. c) DS-GVO i.V.m. Art. 9 Abs. 2 lit. b), Abs. 4 DS-GVO und § 26 Abs. 3 Satz 1, § 22 Abs. 1 Nr. 1 lit. b) BDSG sein. Beim Fiebermessen haben wir allerdings generell Bedenken, ob eine solche Maßnahme überhaupt geeignet ist, um eine COVID-19 Infektion zu ermitteln. Denn Fieber ist zwar häufiges Symptom, aber bei weitem nicht überragend oft anzutreffen. Deshalb muss man hier die Frage der Erforderlichkeit einer solchen Maßnahme stellen, wir empfehlen insoweit Zurückhaltung und eine direkte Abklärung mit den Datenschutzbehörden. Diese können dann unter Berücksichtigung der konkreten betrieblichen Situation bewerten, ob Fiebermessen im Einzelfall erforderlich und damit von der DS-GVO gedeckt ist. Wenn man z.B. über Home-Office die Thematik lösen kann, fehlt es bereits an der Notwendigkeit dieser Maßnahme.
6. Weitergabe von Gesundheitsdaten an Behörden
Grundsätzlich müssen Arbeitgeber den Gesundheits- oder Ordnungsbehörden Daten ihrer Arbeitnehmer im Hinblick auf COVID-19 nicht ohne weiteres mitteilen. § 16 Abs. 2 S. 3 IfSG lässt es jedoch zu, dass Arbeitgeber verpflichtet werden, weitergehende personenbezogene Daten, etwa im Hinblick auf mit COVID-19 infizierte Beschäftigte zu übermitteln. Diese Pflicht entbindet den Arbeitgeber aber nicht, vor der Weitergabe stets die Erforderlichkeit der Datenverarbeitung im Blick zu haben und insbesondere die Rechtsgrundlage genau zu prüfen.
7. Private Kontaktdaten von Mitarbeitern
Die Erhebung privater Kontaktdaten der Arbeitnehmer, um etwa Kommunikationswege zu verkürzen oder zu erleichtern, ist gemäß Art. 6 Abs. 1 lit. a) DS-GVO nur mit Einwilligung des jeweiligen Arbeitnehmers möglich. Die Einwilligung darf nicht erzwungen werden, sondern muss nach der DS-GVO in jeder Hinsicht freiwillig sein. Ferner darf der Arbeitnehmer die Einwilligung jederzeit ohne Grund widerrufen. Daher ist diese Maßnahme oft nicht wirklich zielführend. Da das Wegerisiko beim Arbeitnehmer liegt und es in seine Sphäre fällt, wenn er von einer Betriebsschließung quasi erst am Werkstor erfährt, ist dieser Aspekt aus unserer Sicht auch zu vernachlässigen.
In der Personalakte vorhandene, für andere Zwecke erhobene Kontaktdaten der Arbeitnehmer darf der Arbeitgeber nicht ohne weiteres für Zwecke von COVID-19- Maßnahmen verarbeiten. Dies liegt an der Zweckbindung von Daten, sodass der Arbeitgeber die Anforderungen an eine Zweckänderung gemäß Art. 6 Abs. 4 DS-GVO beachten muss. Dies gilt nur dann nicht, wenn eine Einwilligung des Arbeitnehmers vorliegt. Auf die dabei bestehenden Rechtsunsicherheiten haben wir bereits hingewiesen.
8. Fazit
Auch die aktuell bestehende Situation einer weltweiten Pandemie berechtigt den Arbeitgeber nicht ohne weiteres, Daten seiner Arbeitnehmer zu erheben bzw. zu verarbeiten. Die Regelungen der DS-GVO und des BDSG sind dadurch nicht außer Kraft gesetzt. Der Arbeitgeber sollte grundsätzlich in Fällen, die den höchstpersönlichen Lebensbereich des Arbeitnehmers betreffen, Vorsicht walten lassen und sich gegebenenfalls Vorab Rat einholen. Auch sollte der Arbeitgeber nicht vorschnell bei ihm erhobene Daten an Gesundheitsbehörden weiterleiten, ohne vorher zu prüfen, ob eine entsprechende Rechtsgrundlage gegeben ist.
