Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat eine Pressemitteilung zum Umgang mit personenbezogenen Daten in Zusammenhang mit der Corona-Pandemie herausgegeben.
Personenbezogene Daten stellen im Zusammenhang mit der Corona-Pandemie Gesundheitsdaten dar, die nach Artikel 9 der DSGVO besonders geschützt sind.
Laut §26 Abs. BDSG ist die Verarbeitung besonderer Kategorien personenbezogener Daten, abweichend von denen im Artikel 9 Abs.1 der DSGVO, zum Zwecke des Beschäftigungsverhältnisses zulässig „wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt.“
Als Rechtsgrundlage für die Verarbeitung kann lt. Art. 6 Abs. 1 lit. f) die Verarbeitung zur Wahrung des berechtigten Interesses des Verantwortlichen (also des Unternehmens) herangezogen werden.
Der BfDI führt weiter aus: „Die Fürsorgepflicht der Arbeitgeber bzw. der Dienstherren verpflichtet diese, den Gesundheitsschutz der Gesamtheit ihrer Beschäftigten sicherzustellen. Hierzu zählt nach Ansicht der unabhängigen Datenschutzaufsichtsbehörden auch die angemessene Reaktion auf die epidemische bzw. inzwischen pandemische Verbreitung einer meldepflichtigen Krankheit, die insbesondere der Vorsorge und im Fall der Fälle der Nachverfolgbarkeit (also im Grunde nachgelagerte Vorsorge gegenüber den Kontaktpersonen) dient….“
Darüber hinaus weist der BfDI in seiner Pressemitteilung darauf hin, dass aus dem Arbeitsrecht für Beschäftigte auch „verschiedene Nebenpflichten, unter anderem auch Rücksichts-, Verhaltens- und Mitwirkungspflichten gegenüber ihrem Arbeitgeber und Dritten“ bestehen. Nach Auffassung der Datenschutzbehörden stellt die „Pflicht zur Information des Dienstherrn bzw. des Arbeitgebers über das Vorliegen einer Infektion mit dem Corona-Virus eine solche Nebenpflicht zum Schutz hochrangiger Interessen Dritter dar“, die unter „gewissen Voraussetzungen“ die Offenlegung zur Erfüllung rechtlicher Verpflichtung“ lt. Art. 6 Abs. 1 lit. c) und Wahrung des berechtigten Interesses lt. Art. 6 Abs. 1 lit. f) ermöglicht.
Als Beispiele nennt der BfDI folgende Maßnahmen zur Eindämmung und Bekämpfung der Corona-Pandemie:
- Erhebung und Verarbeitung personenbezogener Daten (einschließlich Gesundheitsdaten) von Beschäftigten durch den Arbeitgeber oder Dienstherren, um eine Ausbreitung des Virus unter den Beschäftigten bestmöglich zu verhindern oder einzudämmen. Hierzu zählen insbesondere Informationen zu den Fällen:
- in denen eine Infektion festgestellt wurde oder Kontakt mit einer nachweislich infizierten Person bestanden hat.
- in denen im relevanten Zeitraum ein Aufenthalt in einem vom Robert-Koch-Institut (RKI) als Risikogebiet eingestuften Gebiet stattgefunden hat.
- Erhebung und Verarbeitung personenbezogener Daten (einschließlich Gesundheitsdaten) von Gästen und Besuchern, insbesondere um festzustellen, ob diese
- selbst infiziert sind oder im Kontakt mit einer nachweislich infizierten Person standen.
- sich im relevanten Zeitraum in einem vom RKI als Risikogebiet eingestuften Gebiet aufgehalten haben.
- Die Offenlegung personenbezogener Daten von nachweislich infizierten oder unter Infektionsverdacht stehenden Personen zur Information von Kontaktpersonen ist demgegenüber nur rechtmäßig, wenn die Kenntnis der Identität für die Vorsorgemaßnahmen der Kontaktpersonen ausnahmsweise erforderlich ist.
Demnach sollte die Identität von infizierten oder unter Infektionsverdacht stehenden Personen nur offen gelegt werden, wenn dies erforderlich ist.
