Durch die aktuelle Pandemie stehen viele öffentliche und private Arbeitgeber, aber auch viele Beschäftigte vor der Frage, welche Gesundheitsinformationen sie austauschen müssen, können und dürfen. Fragen des Datenschutzes stehen dabei aktuell sicherlich nicht im Zentrum, sind aber auch in Notsituationen in die Überlegungen einzubeziehen und erleichtern letztendlich die Bewältigung der Krise, vor der wir stehen. Umsichtiges und besonnenes Handeln erfordert daher immer auch die Beachtung der gesetzlichen Vorgaben, zu denen auch die Rechte der Beschäftigten zählen.
Dabei gelten die bekannten Grundsätze fort: Der einzelne Betroffene ist „Herr seiner Daten“, gerade auch seiner besonders sensiblen Gesundheitsdaten. Selbstverständlich sollte jeder verantwortlich mit einer Erkrankung umgehen und auch den Schutz von Kolleginnen und Kollegen bedenken. Dabei kann sogar eine arbeitsvertragliche Pflicht bestehen, durch Angaben über Aufenthaltsorte oder Kontaktpersonen dem Arbeitgeber eine Einschätzung zu ermöglichen, ob Gesundheitsrisiken für den Betroffenen oder andere Beschäftigte bestehen. Konkrete Angaben zur eigenen Gesundheit muss der Beschäftigte allerdings gegenüber seinem Arbeitgeber nicht machen – eine Auskunftspflicht oder die Pflicht, sich einer ärztlichen Untersuchung zu unterziehen, kann allerdings gegenüber Gesundheitsbehörden bestehen.
Der Arbeitgeber hat umgekehrt Fürsorgepflichten gegenüber allen Beschäftigten, Gesundheitsrisiken am Arbeitsplatz soweit wie möglich auszuschließen. Ermittlungs- und Eingriffsbefugnisse stehen aber in der Regel nicht ihm, sondern nur den staatlichen Gesundheitsbehörden zu. Arbeitgeber sind daher aufgefordert, im Zweifel den Kontakt zu den Gesundheitsbehörden zu suchen und nicht „auf eigene Faust“, schon gar nicht gegen den Willen der Beschäftigten Gesundheitsdaten zu erheben.
KURZFASSUNG WAS IST ZULÄSSIG UND WAS NICHT
- Als Unternehmen darf ich Daten von Beschäftigten erheben, die in einem Risikogebiet waren oder Kontakt mit Erkrankten hatten (Urlaubs-Rückkehrer)
- Daten über erkrankte Beschäftigte, Arbeitnehmer, die sich in Risikogebieten aufhalten oder aufgehalten haben, dürfen nach Aufforderung von Gesundheitsämtern an besagte weitergegeben werden
- Bei einer Positiv-Testung eines. Mitarbeiters dürfen Informationen von weitere Betroffenen verarbeitet werden (Kontaktpersonen etc.)
- Folgende Dinge sind zulässig, dürfen aber nur freiwillig geschehen: Fiebermessung (Selbstmessung) und Auskunft über Reisestatus oder Symptome
- Mit Einwilligung der Mitarbeiter dürfen private Kontaktmöglichkeiten erhoben werden
- Mitarbeiter dürfen NICHT namentlich als Infizierte genannt werden. Eine Warnung der Kontakte im Unternehmen darf aber erfolgen.
- Eine Verpflichtung zum Fiebermessen darf NICHT erfolgen
- Eine pauschale Befragung nach Reisezielen ohne konkreten Verdacht darf NICHT erfolgen
- Eine Meldepflicht von Mitarbeitern mit Symptomen besteht NICHT
- Konkrete und gezielte Befragungen zum aktuellen Gesundheitszustand aller Mitarbeiter ist NICHT zulässig
DÜRFEN PRIVATE HANDYNUMMERN ODER KONTAKTDATEN VON MITARBEITERN ERHOBEN WERDEN
Vielen stellt sich die Frage ob im Falle einer Schließung oder ähnlichen Fällen die Mitarbeiter auf privaten Kommunikationswegen kontaktiert werden dürfen. Viele Behörden raten Betrieben und Unternehmen zur Prävention ein uneingeschränktes Kommunikationsnetzwerks. Während der Pandemie können somit Gegenmaßnahmen und Reaktionen schneller im Betrieb sichergestellt werden.
Damit die Beschäftigten auch kurzfristig gewarnt werden können und nicht zunächst im Betrieb oder bei der Arbeit erscheinen, dürfen Arbeitgeber von ihren Beschäftigten auch die aktuelle private Handynummer etc. abfragen und temporär speichern. Dies kann allerdings nur im Einverständnis mit dem Beschäftigten erfolgen; eine Pflicht zur Offenlegung privater Kontaktdaten besteht für die Beschäftigten nicht, wird jedoch regelmäßig in ihrem eigenen Interesse liegen.
Entscheidend ist hierbei, dass die Erhebung der privaten Kontaktdaten für eindeutige, konkrete und legitime Zwecke erfolgt. In Betracht kommt insbesondere der Zweck, die Infektionsgefährdung der Beschäftigten zu verringern. Spätestens nach Ende der Pandemie sind die erhobenen Kontaktdaten vom Arbeitgeber wieder zu löschen. Es wäre datenschutzrechtlich nicht zulässig, wenn diese Daten „durch die Hintertür“ später für Kontaktaufnahmen nach Feierabend oder am Wochenende oder für andere Zwecke genutzt werden.
FIEBERMESSUNGEN BEI BETRETEN DES BETRIEBSGELÄNDES
Eine Legitimation für das Fiebermessen bei Beschäftigten hängt von gewissen Dingen ab. Eine Argumentation im Zuge des Beschäftigungsverhätlnisses Gesundheitsdaten zu verarbeiten kann unter folgenden umständen erfolgen: Arbeitsrecht, Soziale Sicherheit und der Sozialschutz. Eine Zwangsweise Fiebermessung der Arbeitnehmer darf nicht erfolgen. Eine eindeutige Symptomatik ist mit Fieber nämlich nicht gegeben, sodass eine eindeutige Identifizierung des Corna-Virus möglich wäre.
„Schließlich ist eine Person – selbst wenn sie unter einem fiebrigen Corona-Ausbruch leidet – aufgrund der Inkubationszeit von bis zu 14 Tagen womöglich schon lange vorher unerkannt Infektionsträger. Fiebermessungen sind also kein geeignetes Mittel zur eindeutigen Erkennung von Corona-Infektionen und erfüllen damit nicht das Kriterium der Erforderlichkeit in § 26 Abs. 3 Satz 1 BDSG. Die fehlende Eindeutigkeit der Fiebermessung ist also in der gemäß § 26 Abs. 3 Satz 1 BDSG vorzunehmenden Interessenabwägung ein wesentlicher Aspekt bei der Beurteilung der Maßnahme; dabei ist abzuwägen, ob es nicht weniger stark eingreifende Maßnahmen als das „zwangsweise“ Fiebermessen gibt, die mindestens ebenso geeignet sind, der Fürsorgepflicht des Arbeitgebers Rechnung zu tragen und dabei die schutzwürdigen Interessen der betroffenen Beschäftigten ebenso oder gar besser berücksichtigen. Insbesondere kommen hierbei die Befragung der Beschäftigten nach Corona-spezifischen Symptomen, insbesondere nach Rückkehr aus Risikozonen, auch durch Fragebögen, oder die freiwillige Fiebermessung entweder durch den Beschäftigten selbst oder einen (Betriebs-)Arzt in Betracht. (https://www.noerr.com/de/newsroom/news/datenschutz-und-coronavirus-pravention)“
DÜRFEN ARBEITGEBER INFORMATIONEN ERHEBEN OB EIN ARBEITNEHMER IN EINEM RISIKOGEBIET WAR ODER KONTAKT ZU INFIZIERTEN HATTE?
Arbeitgeber sind auf Grund ihrer Fürsorgepflicht und nach dem Arbeitsschutzgesetz (ArbSchG) verpflichtet, die erforderlichen Maßnahmen zu treffen, um die betriebliche Sicherheit und Gesundheit der Belegschaft zu gewährleisten. Hiervon ist auch die Pflicht des Arbeitgebers umfasst, dafür zu sorgen, die anderen Beschäftigten vor einer Infektion durch eine erkrankte Person zu schützen. Für diesen Zweck ist es datenschutzrechtlich zulässig, Informationen darüber zu erheben, zu welchen Personen der erkrankte Mitarbeiter Kontakt hatte2 . Gemäß Artikel 6 Absatz 1 Buchstabe c der Datenschutz-Grundverordnung (DS-GVO) i.V.m. Artikel 9 Absatz 1, Absatz 4 DS-GVO und § 26 Absatz 3 Satz 1, § 22 Absatz 1 Nummer 1 Buchstabe b des Bundesdatenschutzgesetzes (BDSG) kann der Arbeitgeber die erforderlichen Daten zum Zweck der arbeitsmedizinischen Vorsorge verarbeiten.
Der Arbeitgeber darf demnach beispielsweise auch Urlaubsrückkehrer befragen, ob sie sich in einem, etwa durch das Robert Koch-Institut festgelegten Risikogebiet, aufgehalten haben. Eine Negativauskunft des Beschäftigten genügt regelmäßig. Liegen weitere Anhaltspunkte vor, kann gegebenenfalls eine weitere Nachfrage erfolgen.
DÜRFEN ARBEITGEBER BESCHÄFTIGTEN MITTEILEN, DASS BESTIMMTE MITARBEITER ERKRANKT SIND?
Erkrankt ein Arbeitnehmer am Corona-Virus, interessiert es den Arbeitgeber natürlich mit welchen Personen bzw. Arbeitnehmern der Infizierte Kontakt hatte. Die Frage stellt sich nun, ob der Arbeitgeber den Erkrankten mit konkreten Namen im Unternehmen veröffentlichen darf, damit eine Eingrenzung möglicher weitere Infizierter erfolgen kann.
Die Kenntnis von der Corona-Erkrankung eines Mitarbeiters kann für diesen zu einer enormen Stigmatisierung führen. Die Nennung des Namens des betroffenen Mitarbeiters ist daher grundsätzlich zu vermeiden. Gleichzeitig sind Mitarbeiter, welche in direktem Kontakt mit einem Infizierten waren, zu warnen und werden in der Regel selbst zur Eindämmung der Ansteckungsgefahr von der Arbeit freigestellt. Regelmäßig kann eine derartige Maßnahme abteilungs-/ bzw. teambezogen ohne konkrete Namensnennung erfolgen.
Ist dies ausnahmsweise nicht ausreichend, so muss der Arbeitgeber Kontakt mit den Gesundheitsbehörden aufnehmen und um deren Entscheidung ersuchen. Ist auch dies nicht möglich, dürfen auch die übrigen Mitarbeiter über den Verdacht der Ansteckung oder der Erkrankung des konkreten Mitarbeiters informiert werden, um Infektionsquellen zu lokalisieren und einzudämmen.
MÜSSEN UND DÜRFEN ARBEITGEBER DATEN ÜBER ERKRANKTE BESCHÄFTIGTE AN DAS GESUNDHEITSAMT WEITERGEBEN?
Behördliche Maßnahmen vor dem Hintergrund der Corona-Pandemie können, je nach der spezifischen Regelung der Länder, meist durch die jeweilige Ortspolizeibehörde oder das zuständige Gesundheitsamt erlassen werden.3 Besonders bedeutsam mit Blick auf den betrieblichen Pandemieschutz sind die Vorschriften der §§ 30, 31 des Infektionsschutzgesetzes (IfSG), welche die Quarantäneanordnung und das berufliche Tätigkeitsverbot durch das Gesundheitsamt regeln, sowie die Generalklauseln in § 16 Absatz 1 und Absatz 2 Satz 3 IfSG (zu diesen siehe noch die nächste Frage). Die Rechtsgrundlage hängt von der konkreten behördlichen Anfrage ab, welche dort erfragt werden kann.
Bei Ersuchen von zuständigen Hoheitsträgern, etwa bzgl. erkrankter Beschäftigter im Betrieb, ist von einer mit der Übermittlungspflicht korrespondierenden Übermittlungsbefugnis der Arbeitgeber auszugehen.
WELCHE DATEN DÜRFEN ÄRZTE UND KRANKENHÄUSER AN DIE GESUNDHEITSBEHÖRDEN WEITERGEBEN?
Die Meldepflichten von Ärzten, Krankenhäusern und anderen Einrichtungen, beispielsweise Laboren, ergeben sich insbesondere aus den detaillierten Regelungen der §§ 6, 7, 8 und 9 IfSG in Verbindung mit der Verordnung über die Ausdehnung der Meldepflicht nach § 6 Absatz 1 Satz 1 Nummer 1 und § 7 Absatz 1 Satz 1 des Infektionsschutzgesetzes auf Infektionen mit dem erstmals im Dezember 2019 in Wuhan/Volksrepublik China aufgetretenen neuartigen Coronavirus („2019-nCoV“) des Bundesministeriums der Gesundheit vom 30. Januar 2020 (CoronaVMeldeV).
Nach § 9 Absatz 1 IfSG muss die namentliche Meldung durch einen Arzt u. a. folgende Angaben, soweit vorliegend, enthalten:
- Name und Vorname,
- Geschlecht,
- Geburtsdatum,
- Anschrift der Hauptwohnung oder des gewöhnlichen Aufenthaltsortes und, falls abweichend: Anschrift des derzeitigen Aufenthaltsortes,
- weitere Kontaktdaten,
- Diagnose oder Verdachtsdiagnose,
- Tag der Erkrankung, Tag der Diagnose, gegebenenfalls Tag des Todes und wahrscheinlicher Zeitpunkt oder Zeitraum der Infektion,
- wahrscheinliche Infektionsquelle, einschließlich der zugrunde liegenden Tatsachen, in Deutschland: Landkreis oder kreisfreie Stadt, in dem oder in der die Infektion wahrscheinlich erworben worden ist, ansonsten Staat, in dem die Infektion wahrscheinlich erworben worden ist.
Demnach sind Ärzte aus datenschutzrechtlicher Sicht nicht verpflichtet, ihnen bislang nicht vorliegende Informationen aus dem umfangreichen Katalog des § 9 Absatz 1 IfSG erst noch, eventuell unter beträchtlichem Einsatz von Zeit und anderen Ressourcen, zu erheben, um danach ihre namentliche Meldung nach den Vorschriften des Infektionsschutzgesetzes zu machen. Soweit es Ärzten, etwa aus medizinischen oder epidemiologischen Gründen, sachgerecht oder angezeigt scheint, bestimmte Ihnen noch nicht vorliegende Informationen zu erheben, dürfen sie dies versuchen. Selbstverständlich müssen sie dann in datenschutzrechtlicher Hinsicht u. a. prüfen, ob sie eine entsprechende Erhebungsbefugnis haben.
Die Leistungserbringer sollten zudem überprüfen, ob die Möglichkeit einer Meldung von Gesundheitsdaten an Gesundheitsbehörden aufgrund des Infektionsschutzgesetzes in ihren jeweils erteilten Informationen gemäß Artikel 13 und 14 DS-GVO enthalten ist.
WICHTIGE LINKS
FAQs der Datenschutzaufsicht Baden-Württemberg
FAQs Coronavirus: Arbeitsrechtliche Auswirkungen (Bundesministerium)
Datenschutz und Coronavirus-Prävention – Fiebermessung am Eingang zum Betriebsgelände
Datenschutz vs. Corona-Virus – Was Unternehmen beachten müssen