In letzter Zeit haben wir vermehrt Anfragen von öffentlichen Stellen, insbesondere Gesundheitsämtern, Landratsämtern oder auch Heimaufsichten, die gerne im großen Umfang personenbezogene Daten sowohl von Mitarbeitern als auch Pflegeheimbewohnern anfordern und das, obwohl es weder einen Infektionsfall noch -verdacht in Bezug auf den Coronavirus gibt. Ist das überhaupt erlaubt?
FAQ DER AUFSICHTSBEHÖRDE IN BW
Wie man den FAQ der Datenschutzaufsichtsbehörde in Baden-Württemberg entnehmen kann:
„Dürfen Arbeitgeber nach Aufforderung durch Gesundheitsbehörden Daten über erkrankte Beschäftigte, über Beschäftigte mit Aufenthalt in Risikogebieten oder Kontakte zu Infizierten an die Behörden übermitteln?
Behördliche Maßnahmen vor dem Hintergrund der Corona-Pandemie können, je nach der spezifischen Regelung der Länder, meist durch die jeweilige Ortspolizeibehörde oder das zuständige Gesundheitsamt erlassen werden. Besonders bedeutsam mit Blick auf den betrieblichen Pandemieschutz sind die Vorschriften der §§ 30, 31 des Infektionsschutzgesetzes (IfSG), welche die Quarantäneanordnung und das berufliche Tätigkeitsverbot durch das Gesundheitsamt regeln, sowie die Generalklauseln in § 16 Absatz 1 und Absatz 2 Satz 3 IfSG (zu diesen siehe noch die nächste Frage). Die Rechtsgrundlage hängt von der konkreten behördlichen Anfrage ab, welche dort erfragt werden kann. Bei Ersuchen von zuständigen Hoheitsträgern, etwa bzgl. erkrankter Beschäftigter im Betrieb, ist von einer mit der Übermittlungspflicht korrespondierenden Übermittlungsbefugnis der Arbeitgeber auszugehen.“
Soweit so gut, aber hier ist ja die Rede von „Erkrankten“. Gilt das dann auch wenn es keine konkreten Fälle gibt? Reicht hier das Bundesmeldegesetz oder das Infektionsschutzgesetz dafür schon aus? Ein Landratsamt vertrat sogar die Meinung eine Datenweitergabe wäre völlig ok, da die DSGVO aufgrund Art. 2 Abs. 2 lit b DSGVO gar nicht anwendbar sei.
KEINE KONKRETEN KRANKHEITSFÄLLE – KEINE DATEN!
Da wir in einer Anfrage OHNE tatsächlich aufgetretene Krankheitsfälle zu COVID-19 bei den angefragten Einrichtungen als Vorratsdatenspeicherung ansehen, haben wir zwei konkrete Fälle durch das Büro des BayLFD (Aufsichtsbehörde für öffentliche Einrichtungen in Bayern) prüfen lassen.
Darin heißt es:
„32 Abs. 2 Bundesmeldegesetz halte ich in der von Ihnen dargelegten Angelegenheit, dass es keinen Infektions- bzw. Verdachtsfall mit dem Coronavirus SARS-CoV-2 gebe, für nicht einschlägig. Danach sind nämlich nur gewisse Daten zu übermitteln, wenn dies zur Abwehr einer erheblichen und gegenwärtigen Gefahr im Einzelfall erforderlich ist.“
Auch die von einem Landratsamt vorgetragene Behauptung, die DSGVO wäre hier gar nicht anwendbar wurde entkräftigt:
„Art. 2 Abs. 2 Buchst. d Datenschutz-Grundverordnungspricht zwar von der ‚Abwehr von Gefahren für die öffentliche Sicherheit‘ und schließt hier – für den Anwendungsbereich der Datenschutz-Grundverordnung aus – aber nur insoweit, als die Gefahrenabwehrmaßnahmen der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten dienen (siehe Roßnagel in Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 1. Auflage 2019, Art.2 DSGVO, Rn. 40)“
PROPHYLAKTISCHE DATENSAMMLUNG IST VORRATSDATENSPEICHERUNG
Abschließend teilt man bei der Aufsichtsbehörde unsere Meinung, was folgendermaßen dargelegt wurde:
„Sowohl dem Infektionsschutzgesetz als auch dem Gesetz über den öffentlichen Gesundheits- und Veterinärdienst, die Ernährung und den Verbraucherschutz sowie die Lebensmittelüberwachung kann eine Rechtsgrundlage für eine solche Datenerhebung nicht unmittelbar entnommen werden. Hierfür könnte allenfalls das allgemeine Datenschutzrecht, insbesondere Art. 4 Abs. 1, Art. 8 Abs. 1 Nr. 4 BayDSG, i.V.m. § 16 Abs. 1 Satz 1 Infektionsschutzgesetz (IfSG) herangezogen werden; zumindest zum Teil ist davon auszugehen, dass es sich bei den angeforderten Daten um Gesundheitsdaten im Sinne von Art. 9 Abs. 1 Datenschutz-Grundverordnung handelt. Bei den genannten Vorschriften des Bayerischen Datenschutzgesetzes ist immanent, dass eine Datenerhebung nur zulässig ist, soweit sie für die Aufgabenerfüllung erforderlich ist. Nach § 16 Abs. 1 Satz 1 IfSG ermächtigt bereits die Annahme, dass Tatsachen vorliegen können, die zum Auftreten einer übertragbaren Krankheit führen könnten, die zuständige Behörde zu Verhütungsmaßnahmen. Voraussetzung ist eine konkrete Gefahr, nicht eine bloß abstrakte Gefährdung. Bei Vorliegen der Voraussetzungen muss die Behörde tätig werden, ein Ermessensspielraum bleibt ihr nur bei der Auswahl der notwendigen Maßnahme (vgl. Häberle in Erbs/Kohlhaas, Strafrechtliche Nebengesetze, Werkstand: 228. EL Januar 2020, § 16 IfSG, Rn. 1).
Das Vorhalten von etwaigen Listen beim Gesundheitsamt sowie bei der FQA dürfte jedoch keine notwendige im Sinne von geeignete Verhütungsmaßnahme sein, dass sich das Corona-Virus nicht weiter ausbreitet – vor allem zu einem Zeitpunkt, bei dem weder eine Infektion noch ein Verdachtsfall gegeben ist; vielmehr sollten in entsprechenden Pflegeeinrichtungen gewisse Mindestabstände sowie HygieneMaßnahmen beachtet werden (siehe hierzu Ziffern 3 und 4 des Notfallplans Corona-Pandemie, Regelungen für Pflegeeinrichtungen, Bekanntmachung des Bayerischen Staatsministeriums für Gesundheit und Pflege vom 3. April 2020, Az. GZ6a-G8000-2020/122-183, i.V.m. Ziffer 3 der Verlängerung von Maßnahmen anlässlich der Corona-Pandemie, Bekanntmachung des Bayerischen Staatsministeriums für Gesundheit und Pflege vom 16. April 2020, Az. 51b-G8000-2020/122-211). Dem zitierten Notfallplan Corona-Pandemie sowie den Handlungsanweisungen (Stand: 2. April 2020) für Alten- und Pflegeheime und stationäre Einrichtungen der Eingliederungshilfe (gemeinschaftliches Wohnen) ist im Übrigen nicht zu entnehmen, dass die Gesundheitsämter bzw. die FQA prophylaktisch Listen führen sollen. Ein solches Vorhalten von Listen käme einer Vorratsdatenspeicherung gleich.“
KEINE UNÜBERLEGTE WEITERGABE VON DATEN
Wir raten daher allen Einrichtungen im Gesundheitsbereich bei Anfragen durch öffentlichen Stellen zu prüfen, ob hier tatsächlich ein Infektions- oder zumindest Verdachtsfall einer COVID-19 Erkrankung vorliegt. Ist dies der Fall, so können (bzw. müssen sogar) die Daten, wie von der Aufsichtsbehörde in BW mitgeteilt auf den oben beschriebenen Rechtsgrundlagen dem Gesundheitsamt mitgeteilt werden.
OHNE jegliche Infektions- oder auch nur Verdachtsfälle in der Einrichtung, ist dies eine unrechtmäßige Datenweitergabe für die die Einrichtung zumindest theoretisch mit einem Bußgeld belegt werden kann, auch wenn hier die Anforderung durch die öffentliche Stelle, wie hier ausführlich dargelegt wurde, unrechtmäßig ist.
Das Büro des BayLFD teilte uns mit, dass es jetzt bereits Überlegungen gäbe wie man seitens BayLFD die öffentlichen Stellen diesbezüglich informieren wird.