Wissen für BR, PR, JAV, MAV + SBV

Betrieblicher Infektionsschutz kontra Datenschutz?

Arbeitgeber haben gegenüber den Beschäftigten eine Fürsorgepflicht. So müssen sie u.a. Maßnahmen zum Schutz vor möglichen Infektionen mit dem SARS-CoV-2-Virus ergreifen. Grundlagen für den betrieblichen Infektionsschutz sind die Empfehlungen des Robert-Koch-Instituts und der Berufsgenossenschaften sowie die vom Bundesministerium für Arbeit und Soziales erstellten „SARS-CoV-2-Arbeitsschutzstandards“.

Mit der gesetzlichen Interessenvertretung müssen Konzepte zum Hygieneschutz und Maßnahmen zur betrieblichen Infektionsprävention verabredet werden.

Doch wie kann der Infektionsschutz datenschutzkonform umgesetzt werden? Dazu sagt der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg: Es „gelten die bekannten Grundsätze fort: Der einzelne Betroffene ist „Herr seiner Daten“, gerade auch seiner besonders sensiblen Gesundheitsdaten.“

Erkranken Beschäftigte an COVID-19, besteht der Verdacht einer Infektion oder wurde eine Quarantäne von den zuständigen Gesundheitsbehörden angeordnet, kann es notwendig werden, Informationen zur Verfolgung von Kontakten und/oder Gesundheitsdaten zu erheben. Dabei müssen das Recht auf informationelle Selbstbestimmung der Beschäftigten und die Regelungen zum Schutz von Gesundheitsdaten nach Artikel 9 der Datenschutz-Grundverordnung (DSGVO) beachtet werden.

Gesundheits- bzw. Krankheitsdaten der Beschäftigten unterliegen einem besonderen Schutz und sind sogenannte „sensitive Daten“ (Art. 9 Abs. 1 DSGVO i.V.m. § 26 Abs. 3 Satz 1 BDSG). Ihre Verarbeitung ist grundsätzlich untersagt, aber ausnahmsweise zulässig, wenn dies erforderlich ist, damit der Arbeitgeber seine Rechte und Pflichten bezüglich des Arbeits- und Gesundheitsschutzes ausüben kann oder die Verarbeitung der Daten im öffentlichen Interesse liegt (Art. 6 Abs. 1 d, e und 9 Abs. 2b DSGVO).

Die Verarbeitung dieser Daten muss immer auch verhältnismäßig sein. Die Daten müssen vertraulich behandelt und dürfen nur zweckgebunden verwendet werden (§ 26 Abs. 1 BDSG bzw. Art. 6 Abs. 1 Satz 1 d DSGVO).

§ 23a Infektionsschutzgesetz enthält für Beschäftigte im Gesundheitswesen und bei Rettungsdiensten eine Sonderregelung zur Erfassung von personenbezogenen Daten. Denn von Beschäftigten in Gesundheitseinrichtungen kann vom Arbeitgeber aufgrund der besonderen Anforderungen an den Infektionsschutz u.a. der Impfstatus gespeichert werden.

Grundsätzlich nein.

Beschäftigte haben jedoch Nebenpflichten aus dem Arbeitsvertrag. Aus §§ 15, 16 ArbSchG ergeben sich zum Beispiel besondere Aufklärungs- und Unterstützungspflichten der Beschäftigten beim Arbeits- und Gesundheitsschutz. Sie sind verpflichtet, für ihre Sicherheit und Gesundheit bei der Arbeit Sorge zu tragen. Beschäftigte haben auch für die Sicherheit und Gesundheit jener Personen zu sorgen, die von ihren Handlungen bei der Arbeit betroffen sind.

Daraus kann sich ergeben, dass Beschäftigte den Arbeitgeber über eine Diagnose oder einen Infektionsverdacht informieren müssen. Der Arbeitgeber kann dann reagieren und weitere Maßnahmen zum Schutz betroffener Kolleginnen und Kollegen einleiten:  Kontaktvermeidung, Ermittlung weiterer Kontaktpersonen, Unterweisung der Beschäftigten zum Infektionsschutz (Abstandsgebot, Homeoffice, Hygiene, Maskenpflicht) …

Gesundheitsdaten von Beschäftigten müssen gelöscht werden, wenn sie für die Infektionsabwehr und den Infektionsschutz verarbeitet wurden und nicht mehr notwendig sind (Art. 17 Abs. 1a DSGVO). Der späteste Zeitpunkt ist das Ende der Pandemie. Betriebsbezogen kann geregelt werden, wann diese Daten zu löschen sind.

Es gibt keine ausdrückliche gesetzliche Regelung, die eine solche Meldepflicht vorsieht. Eine Verpflichtung des Arbeitgebers könnte sich aber aus §§ 30, 31 Infektionsschutzgesetz (IfSG) ergeben. Danach kann die zuständige Gesundheitsbehörde Trägern oder Ansteckungsverdächtigen von übertragbaren Krankheiten die Ausübung bestimmter beruflicher Tätigkeiten ganz oder teilweise untersagen (Quarantäne), um Infektionsketten zu unterbrechen und die Gesundheit der Beschäftigten zu schützen. Eine Weitergabe der Daten betroffener Beschäftigter wäre somit für Zwecke der Gesundheitsvorsorge und zum Schutz von lebenswichtigen Interessen erforderlich und gerechtfertigt (Art. 6 Abs. 1 d und Art. 9 Abs. 2 c und h DSGVO).

Will der Arbeitgeber den Gesundheitsbehörden einen Infektionsverdacht melden, sind vorab die betroffenen Beschäftigten schriftlich zu informieren und datenschutzrechtlich aufzuklären.

Eine Stigmatisierung von betroffenen Beschäftigten ist unbedingt zu vermeiden. Allein schon deshalb, aber auch aus Gründen des Datenschutzes ist die Bekanntgabe von Namen von Betroffenen nur ausnahmsweise zulässig, wenn keine andere Infektionsabwehr mehr möglich ist. Die Beschäftigten sind in diesem Fall vorab schriftlich darüber zu informieren, dass für Schutzzwecke andere Beschäftigte über die Infektion informiert werden.

Grundsätzlich ist der Verdacht einer Erkrankung, die Erkrankung sowie der Tod an COVID-19 vom behandelnden Arzt/von der behandelnden Ärztin dem Gesundheitsamt zu melden (§ 6 Abs. 1 t I IfSG). Der Umfang der Meldepflichten ist in § 9 IfSG geregelt. Neben Namen, Geschlecht, Geburtsdatum, Anschrift und weiteren Kontaktdaten sind der wahrscheinliche Infektionsweg (z.B. über Kolleginnen/Kollegen oder Kundinnen/Kunden) und Infektionsquellen zu melden. Das Gesundheitsamt nimmt dann mit den Personen Kontakt auf, die Kontakt mit dem/der betroffenen Beschäftigten hatten. Die Gesundheitsämter verfahren dabei nach den Vorgaben des RKI: „Kontaktpersonennachverfolgung bei respiratorischen Erkrankungen durch das Coronavirus SARS-CoV-2“. Eine Kontaktaufnahme mit dem Arbeitgeber ist dabei nicht vorgesehen.

Gesetzliche Interessenvertretungen haben bei der Umsetzung von Infektionsschutzkonzepten und dem damit verbundenen Datenschutz umfassende Mitbestimmungsrechte.

Das Mitbestimmungsrecht umfasst u.a. folgende Fragestellungen:

  • Welche personenbezogenen Daten im Zusammenhang mit dem betrieblichen Infektions- und Hygieneschutz werden in welcher Art und Weise zu welchen Zwecken und unter welchen Voraussetzungen erfasst und an Dritte (Gesundheitsbehörden) weitergegeben?
  • Welche Daten werden zum Zweck der Überprüfung der Einhaltung von Abstandsmessungen oder Abstandsregeln erhoben und wie verarbeitet? (Hierzu hat das Arbeitsgericht Wesel am 24.4.2020 entschieden, Aktenzeichen 2 BVGa 4/20.)
  • Wie werden die Beschäftigten über die Datenschutz-Maßnahmen im Zusammenhang mit dem Infektionsschutz informiert?

Der Abschluss einer Betriebs- bzw. Dienstvereinbarung zum Hygieneschutz und zu betrieblichen Maßnahmen der Infektionsprävention ist sinnvoll. Diese kann auch Regelungen zum Umgang mit den Beschäftigtendaten beinhalten.

Redaktioneller Stand: Juni 2020

© ver.di Bildung + Beratung Gem. GmbH

nach oben