Datenschutzrechtliche Fragen beim Umgang mit Pandemien

Datenschutzrechtliche Fragen im Umgang mit dem Coronavirus

Die derzeitige Pandemie zwingt Regierungen und Unternehmen zu schnellen und weitreichenden Entscheidungen.

Aufgrund dieser rasanten Entwicklung wollen wir Sie erneut über die aktuellen Entwicklungen im Datenschutz auf dem Laufenden halten, damit Sie als Arbeitgeber auftretende Fragen mit datenschutzrechtlichen Implikationen ohne unnötige Zeitverzögerung beantworten können.

Mittlerweile hat sich nun auch der Bundesbeauftragte für Datenschutz und Informationsfreiheit (BfDI) zu der Frage der Datenverarbeitung im Kontext mit der Pandemie geäußert. Aus Sicht des BfDI sollen die folgenden Datenverarbeitungen – auch von Gesundheitsdaten – zur Eindämmung und Bekämpfung der Pandemie als zulässig angesehen werden:

Erhebung und Verarbeitung personenbezogener Daten (einschließlich Gesundheitsdaten) von Beschäftigten durch den Arbeitgeber oder Dienstherren um eine Ausbreitung des Virus unter den Beschäftigten bestmöglich zu verhindern oder einzudämmen. Hierzu zählen insbesondere Informationen zu den Fällen…

• in denen eine Infektion festgestellt wurde oder Kontakt mit einer nachweislich infizierten Person bestanden hat.
• in denen im relevanten Zeitraum ein Aufenthalt in einem vom Robert- Koch-Institut (RKI) als Risikogebiet eingestuften Gebiet stattgefunden hat.
• sich im relevanten Zeitraum in einem vom RKI als Risikogebiet eingestuften Gebiet aufgehalten haben.
• die Erhebung und Verarbeitung personenbezogener Daten (einschließlich Gesundheitsdaten) von Gästen und Besuchern, insbesondere um festzustellen, ob diese selbst infiziert sind oder im Kontakt mit einer nachweislich infizierten Person standen.
• die Offenlegung personenbezogener Daten von nachweislich infizierten oder unter Infektionsverdacht stehenden Personen zur Information von Kontaktpersonen ist demgegenüber nur rechtmäßig, wenn die Kenntnis der Identität für die Vorsorgemaßnahmen der Kontaktpersonen ausnahmsweise erforderlich ist.

Aufgrund der uns derzeit vorliegenden Informationen ist die rechtliche Lage in Deutschland in dieser Sache mit der in den Vereinigten Staaten vergleichbar. Unsere Anmerkungen diesbezüglich sollten daher für Auskunfts- und Informationspflichten und -möglichkeiten entsprechend gelten.

FAQ für Unternehmen

Muss ich als Unternehmen einen Verdachtsfall an die Gesundheitsbehörden melden?

Antwort: Nein. Meldepflichten bestehen nicht für Unternehmen, sondern nur für Ärzte und Krankenhäuser, die eine Infektion feststellen. Diese Meldepflicht ist im Infektionsschutzgesetz festgelegt. Sollten Sie einen Verdachtsfall an die Gesundheitsbehörden melden, kann das aus datenschutzrechtlicher Sicht eine Weitergabe von Gesundheitsdaten ohne Rechtsgrundlage darstellen. Dies wäre ein Verstoß gegen die DSGVO, der mit einem Bußgeld geahndet werden kann.

Auch wenn Sie sich verpflichtet fühlen sollten den Verdacht zu melden, berücksichtigen Sie bitte, dass es bereits eine Meldepflicht für Ärzte und Krankenhäuser gibt. Es gibt daher keinen zwingenden Grund, dass Sie ebenfalls aktiv werden.

Auf Anfrage einer Gesundheitsbehörde sollten personenbezogene Daten über erkrankte Mitarbeiter oder solche, die sich in Risikogebieten aufgehalten haben weitergegeben werden. Eine Meldepflicht besteht bisher allerdings noch nicht. Dies kann sich jedoch noch ändern.

Darf ich als Unternehmen private Kontaktdaten meiner Mitarbeiter erheben, um sie über aktuelle Entwicklungen informieren zu können?

Antwort: Die Erhebung privater Kontaktdaten wie Handy- /Festnetznummer oder E- Mailadresse ist zulässig und von einem berechtigten Interesse des Unternehmens an einer schnellen Verbreitung von Informationen im Kontext mit dem Virus gedeckt. So soll es dem Arbeitgeber möglich sein, die Mitarbeiter über die Schließung des Büros und Anordnungen zu Home-Office etc. zu informieren, ohne dass diese das Büro erst aufsuchen müssen.

Bitte beachten Sie jedoch, dass diese für diesen einen bestimmten Zweck eingesammelten Daten nicht für andere Zwecke genutzt werden dürfen und nach Ende der Krise bzw. wenn sie nicht mehr benötigt werden wieder zu löschen sind.

Muss ich als Unternehmen bei einem Verdachtsfall die Belegschaft informieren?

Antwort: Der Arbeitgeber hat eine Fürsorgepflicht gegenüber den eigenen Mitarbeitern. Aus dieser kann eine Pflicht resultieren, die Belegschaft über einen Verdachtsfall zu informieren. Bitte berücksichtigen Sie hierbei jedoch, dass die Information, dass Kollege X möglicherweise mit dem Virus infiziert ist, eine Weitergabe von Gesundheitsdaten darstellt. Diese ist ohne Einwilligung des möglicherweise infizierten Kollegen grundsätzlich unzulässig. Lassen Sie sich daher von dem betroffenen Kollegen schriftlich oder elektronisch bestätigen, dass Sie den Namen auch in einer Meldung an die Kollegen nennen dürfen.

Darf ich den Namen des möglicherweise Infizierten an die Belegschaft auch ohne Einwilligung der Person weitergeben?

Antwort: Dies ist nur in dem absoluten Ausnahmefall möglich, wenn der Mitarbeiter selbst nicht in der Lage ist, da er/sie auch nach wiederholten Kontaktversuchen nicht erreichbar ist oder nicht mehr einwilligen kann, und der Schutz der Belegschaft nicht anders sichergestellt werden kann. In der Regel wird es allerdings nicht erforderlich sein, den Namen des möglicherweise Infizierten der Belegschaft mitzuteilen.

Ein solcher Ausnahmefall könnte beispielsweise vorliegen, wenn eine Infektion des Kollegen positiv festgestellt wurde, dieser aber nicht mehr erreichbar oder so schwer erkrankt ist, dass keine Kommunikation möglich ist. Aufgrund der hohen Wahrscheinlichkeit einer Ansteckung anderer Kollegen muss sich jede Person, die Kontakt mit dem Infizierten hatte, so schnell wie möglich testen lassen. In diesem Fall wäre eine Nennung des Namens des Infizierten auch ohne dessen Einwilligung zulässig.

Die Aufsichtsbehörden erachten ebenfalls ein gestaffeltes Vorgehen als zulässig. So soll zunächst eine Information über eine Infektion abteilungs-/ bzw. teambezogen ohne konkrete Namensnennung erfolgen.

Ist dies ausnahmsweise nicht ausreichend, so soll der Arbeitgeber Kontakt mit den Gesundheitsbehörden aufnehmen und um deren Entscheidung ersuchen. Aufgrund der Auslastung der Gesundheitsbehörden sollte diese Maßnahme jedoch mit Bedacht gewählt werden.

Ist es nicht möglich, eine Antwort der Gesundheitsbehörde zu bekommen, dürfen die übrigen Mitarbeiter über den Verdacht der Ansteckung oder der Erkrankung des konkreten Mitarbeiters mit Namensnennung informiert werden, um Infektionsquellen zu lokalisieren und einzudämmen.

Muss ich als Unternehmen bei einem Verdachtsfall selbst die Kontakte des Mitarbeiters ermitteln?

Antwort: Nein. Wenn Sie die Möglichkeit einer Virusinfektion im Unternehmen zum Schutz der Belegschaft publik gemacht haben, sind Sie Ihrer Fürsorgepflicht nachgekommen. Ein Unternehmen muss nun nicht weitere Daten sammeln, um mögliche Kontakte des möglicherweise infizierten Kollegen zu ermitteln. Selbstverständlich steht es Ihnen aber frei geeignete Präventivmaßnahmen zu treffen, wie bspw. die Belegschaft anzuweisen– soweit möglich – auf Dienstreisen und Präsenztermine bei bzw. mit Geschäftspartnern zu verzichten und/oder Home-Office zu nutzen.

Aus Sicht der Aufsichtsbehörden ist es zulässig, Informationen darüber zu erheben, zu welchen Personen ein erkrankter Mitarbeiter Kontakt hatte.

Darf ich meine Mitarbeiter Fragen, ob sie sich mit dem Virus infiziert haben?

Antwort: Sofern Sie nicht einer entsprechenden gesetzlichen Pflicht unterliegen, dürfen Sie diese Frage in dieser Form nicht stellen. Einer entsprechenden gesetzlichen Pflicht können Arbeitgeber im Gesundheitsbereich oder in der Gastronomie unterliegen. In anderen Berufen ist die Gesundheit der Mitarbeiter grundsätzlich deren Privatangelegenheit. Sollten Sie dennoch konkret danach fragen, handeln Sie sehr wahrscheinlich ohne gesetzliche Erlaubnisgrundlage.

Zulässig wäre allerdings die Frage, wo sich der Mitarbeiter in den letzten Tagen oder Wochen aufgehalten hat. Die Antwort auf diese Frage an sich lässt selbstverständlich noch keinen direkten Rückschluss auf den Gesundheitszustand des Mitarbeiters zu. Sie als Arbeitgeber könnten jedoch bei einem Aufenthalt in einem Risikogebiet entsprechende Sicherheitsmaßnahmen treffen, wie bspw. den Mitarbeiter bis auf weiteres freistellen oder soweit möglich ins Home-Office versetzen.

Auch aus Sicht der Aufsichtsbehörden ist es zulässig, Mitarbeiter darüber zu befragen, ob sie sich in einem Risikogebiet aufgehalten haben.

Muss ich Geschäftspartner über einen Pandemie-Verdachtsfall in meinem Unternehmen informieren?

Antwort: Der Datenschutz sieht keine entsprechende Informationspflicht vor. Sollte jedoch eine Ansteckungsgefahr bestehen, kann sich eine Informationspflicht aus den allgemeinen Fürsorgepflichten zwischen Vertragspartnern ergeben.

Wenn Sie Ihre Geschäftspartner über einen Verdachtsfall informieren beachten Sie jedoch, dass eine Nennung des Namens des möglicherweise Infizierten nur mit dessen Einwilligung möglich ist und im Übrigen zu unterbleiben hat.

Muss ich auf Veranstaltungen Teilnehmerlisten erstellen, um bei einer später festgestellten Infektion den Gesundheitsbehörden diese Liste geben zu können?

Antwort: Eine gesetzliche Pflicht, eine solche Liste zu erstellen, besteht nicht. Sie können jedoch die gesammelten Namen zum Schutz des öffentlichen Interesses auf Anfrage an die Gesundheitsbehörden übergeben. Wenn Sie bereits vor einer Veranstaltung die Absicht haben eine solche Liste anzufertigen, müssen Sie die Teilnehmer im Rahmen der Informationspflichten nach Art. 13 DSGVO darüber informieren, dass die gesammelten Daten im Falle einer Infektion mit dem Virus an die Gesundheitsbehörden weitergegeben werden kann.

Darf ich eine bereits vorhandene Teilnehmerliste auf Anforderung an die Gesundheitsbehörden weitergeben?

Antwort: Eine bereits für einen anderen Zweck angefertigte Teilnehmerliste kann für einen neuen Zweck, nämlich die Ermittlung von Kontaktpersonen, herausgegeben werden. Der Schutz von Leben und Gesundheit der möglicherweise betroffenen Personen überwiegt und lässt eine entsprechende Zweckänderung zu. Sollte dieser Fall eintreten und Sie die Liste weitergeben, müssen Sie die auf dieser Liste aufgeführten Personen hierüber informieren. Es reicht hierbei eine E-Mail oder einfaches Schreiben.

Muss ich die Frage des Arbeitgebers nach einer Pandemie-Infektion beantworten?

Antwort: Eine solche Frage Ihres Arbeitgebers müssen Sie nur in den Fällen, in denen Sie bzw. Ihr Arbeitgeber einer entsprechenden gesetzlichen Pflicht unterliegen wahrheitsgemäß antworten. Eine solche Pflicht besteht beispielsweise bei Angehörigen von Gesundheitsberufen und in der Gastronomie. Soweit Sie nicht in diesen Branchentätig sind und auch von keiner anderen Verpflichtung wissen, Ihren Gesundheitszustand mitzuteilen, müssen Sie auf diese Frage nicht antworten. Sollte eine andere Verpflichtung bestehen, über die Sie bislang keine Kenntnis hatten, wird Ihr Arbeitgeber Ihnen diese in der Regel im Rahmen der Befragung auch mitteilen.

Es reicht also grundsätzlich vollkommen aus, den Arbeitgeber von einer Arbeitsunfähigkeit aufgrund Krankheit zu unterrichten, wie es üblicherweise mittels der Krankmeldung geschieht.

Es steht Ihnen jedoch frei, zum Schutz der Kollegen und Kunden, den Arbeitgeber über eine mo¨gliche Infektion mit dem Virus zu informieren.

Muss ich meinen Arbeitgeber darüber informieren, wenn ich in einem Infektionsgebiet war?

Antwort: Die Rechtsvorschriften in Deutschland sehen derzeit nicht vor, dass Sie diese Information herausgeben müssen. Auch hier steht es Ihnen jedoch frei, diese Information im Interesse von Kollegen und Kunden an den Arbeitgeber weiterzugeben.

Einzelne Handhabung Europäischer Staaten

Italien

Nur Personen, die im Gesundheitssektor oder im Katastrophenschutz tätig sind, dürfen Informationen über den Gesundheitszustand betroffener Personen anfordern. Beschäftigte, bei denen der Verdacht auf eine Infektion besteht, sind jedoch verpflichtet, den Arbeitgeber und die Gesundheitsdienste zu informieren.

In der kritischen Situation, in der wir uns befinden, sollte der Arbeitgeber folgende Maßnahmen treffen:

Erleichterung der Kommunikation zwischen Gesundheitspersonal und Mitarbeitern (z.B. Information über eine zentrale Nummer, die angerufen werden kann)

Empfehlen Sie Personen, die in die Risikoländer gereist sind, die Gesundheitsdienste zu informieren

Informieren der Gesundheitsbehörden über vermutete Infektionen im Unternehmen

Quelle: garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9282117

Großbritannien

Die datenschutzrechtliche Situation ist vergleichbar mit der in Italien. Die britische Regierung hat zudem sehr umfangreiche Richtlinien veröffentlicht, wie man sich in solchen Situationen verhalten soll.

Nur registrierte Mediziner können gesundheitliche/medizinische Daten sammeln. Daher kann der Arbeitgeber keine Gesundheitsdaten von den Arbeitnehmern sammeln. Sollte der Verdacht bestehen, dass sich ein Arbeitnehmer mit dem Virus infiziert hat, muss die Unternehmensleitung die Public Health England (PHE) informieren, die dann über die geeigneten Maßnahmen berät.

Die Behörden empfiehlt derzeit noch nicht die Schließung von Büros etc., aber sie empfiehlt die folgenden Maßnahmen:

Menschen, die in die Risikogebiete gereist sind, empfehlen, die eigene Gesundheitssituation zu überwachen

Die Public Health England (PHE) ist zu informieren, wenn der Verdacht besteht, dass die Infektion innerhalb des Unternehmens verbreitet wird

Quelle: gov.uk/government/publications/guidance-for-social-or-community-care-and-residential- settings-on-covid-19/guidance-for-social-or-community-care-and-residential-settings-on-covid-19

Frankreich

Wie erwartet, kann der Arbeitgeber auch in Frankreich allgemeine Maßnahmen ergreifen, wie z.B. die Erteilung von Gesundheitsanweisungen an alle Arbeitnehmer und die Erinnerung an die Empfehlung der Regierung, den Arbeitgeber zu informieren, wenn der Mitarbeiter aus einem dieser Risikobereiche zurückkommt. Abgesehen davon sollten die Arbeitgeber laut der französischen Aufsichtsbehörde CNIL davon absehen, Informationen im Zusammenhang mit der Suche nach möglichen Symptomen auf systematische und allgemeine Weise oder aufgrund individuelle Anfragen zu sammeln.

Es wird empfohlen, dass der Arbeitnehmer seinen Mitarbeitern vor der Wiederaufnahme der Arbeit informiert, wenn er aus einem dieser Risikobereiche zurückkehrt. Der Arbeitgeber hat jedoch nicht das Recht, einen Arbeitnehmer zu fragen, ob er in einem dieser Risikobereiche Urlaub gemacht hat.

Wenn dem Arbeitgeber bekannt ist, dass ein Mitarbeiter aus einem der gefährdeten Gebiete zurückkehrt, sollte er diesem Arbeitnehmer empfehlen, im Rahmen seiner Gesundheits- und Sicherheitspflicht (Artikel L.4121-1 Code du travail) im Home-Office zu arbeiten oder seinen Arbeitsplatz so umzugestalten, dass das Ansteckungsrisiko begrenzt wird.

Wenn der Arbeitgeber den Arbeitsplatz des Arbeitnehmers nicht anpassen kann, um den Kontakt zu begrenzen, und wenn Arbeit aus dem Home-Office mit der Tätigkeit nicht vereinbar ist, kann der Arbeitgeber den Mitarbeiter bitten, zu Hause zu bleiben.

Wie in den beiden anderen Ländern auch, muss ein Mitarbeiter bei Verdacht auf Kontakt mit dem Virus seinen Arbeitgeber informieren. Im Falle eines festgestellten Risikos muss der betreffende Mitarbeiter oder, falls dies nicht möglich ist, der Arbeitgeber den medizinischen Notdienst (SAMU) anrufen. In diesem Fall kann der Arbeitgeber das Datum und die Identität der Person, die möglicherweise dem Virus ausgesetzt gewesen ist, erfassen, um den Gesundheitsbehörden auf deren Anfrage die Informationen über die Art der Exposition mitteilen zu können, die für eine gesundheitliche oder medizinische Versorgung der möglicherweise erkrankten Person erforderlich sind.

Der Arbeitgeber sollte sich mit dem Arbeitsmediziner des Unternehmens in Verbindung setzen, um zu besprechen, wie die Empfehlungen der Regierung bezüglich des Schutzes der anderen Arbeitnehmer am besten umgesetzt werden können.

Quelle:

gouvernement.fr/info-coronavirus https://www.cnil.fr/fr/coronavirus-covid-19-les-rappels-de-la-cnil-sur-la-collecte-de-donnees-personnelles https://travail-emploi.gouv.fr/actualites/l-actualite-du-ministere/coronavirus-questions-reponses-entreprises- salaries

Obwohl wir der Meinung sind, dass die in diesem Dokument enthaltenen Informationen korrekt sind, handelt es sich um allgemeine rechtliche und geschäftliche Informationen, die nicht auf die Fakten Ihrer Situation zugeschnitten sind.  Sie stellen keine Rechtsberatung dar.  Um Rechtsberatung zu erhalten, die Ihren Bedürfnissen entspricht, wenden Sie sich bitte an einen Anwalt, der für die Ausübung des Rechts in Ihrem Land zugelassen ist.