Die Corona-Pandemie weitet sich aus. Arbeitgeber und Dienstherren wollen ihre Beschäftigten schützen und dazu z.B. Besucher eines Krankenhauses einer Fiebermessung unterziehen oder sie machen Auskunftsansprüche gegenüber Beschäftigten geltend, ob sie sich in der Freizeit in einem Risikogebiet aufgehalten haben. Geht das datenschutzrechtlich? Was ist zu beachten?
Gesundheitsdaten sind nach Artikel 9 der Datenschutz-Grundverordnung (DSGVO) besonders geschützt. Definiert werden Gesundheitsdaten unter der DSGVO als „personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen.
Der Bundesbeauftragte für Datenschutz und Informationsfreiheit hat (Abruf website: 21. März 2020) Fallgruppen von Maßnahmen benannt, die – trotz des Umstands, dass eine Verarbeitung von Gesundheitsdaten grundsätzlich nur restriktiv möglich ist – zur Eindämmung und Bekämpfung der Corona-Pandemie vorbehaltlich der Beachtung der jeweiligen arbeitsvertraglichen, tarifvertraglichen und gesetzlichen Vorgaben als datenschutzrechtlich legitimiert angesehen werden können:
- Erhebung und Verarbeitung personenbezogener Daten (einschließlich Gesundheitsdaten) von Beschäftigten durch den Arbeitgeber oder Dienstherren um eine Ausbreitung des Virus unter den Beschäftigten bestmöglich zu verhindern oder einzudämmen. Hierzu zählen insbesondere Informationen zu den Fällen, in denen eine Infektion festgestellt wurde oder Kontakt mit einer nachweislich infizierten Person bestanden hat und in denen im relevanten Zeitraum ein Aufenthalt in einem vom Robert-Koch-Institut (RKI) als Risikogebiet eingestuften Gebiet stattgefunden hat.
- Erhebung und Verarbeitung personenbezogener Daten (einschließlich Gesundheitsdaten) von Gästen und Besuchern, insbesondere um festzustellen, ob diese selbst infiziert sind oder im Kontakt mit einer nachweislich infizierten Person standen oder sich im relevanten Zeitraum in einem vom RKI als Risikogebiet eingestuften Gebiet aufgehalten haben.
- Die Offenlegung personenbezogener Daten von nachweislich infizierten oder unter Infektionsverdacht stehenden Personen zur Information von Kontaktpersonen ist demgegenüber nur rechtmäßig, wenn die Kenntnis der Identität für die Vorsorgemaßnahmen der Kontaktpersonen ausnahmsweise erforderlich ist.
Der Bundesbeauftragte für Datenschutz weist dabei ausdrücklich darauf hin, dass jeweils die Umstände des Einzelfalls und der jeweiligen Maßnahme und dabei der Grundsatz der Erforderlichkeit sowie die besonderen Vorgaben der einschlägigen Rechtsgrundlagen zu beachten sind.
Das betrifft z.B. die Frage der Einwilligung und Formvorschriften. Zu beachten sind die sich aus dem jeweils maßgeblichen rechtlichen Datenschutzsystem ergebenden Voraussetzungen der DSGVO und des BDSG insbesondere für einerseits nicht-öffentliche und andererseits öffentliche Arbeitgeber bzw. Dienstherren sowie für Beschäftigte im kirchlichen Bereich. Zu beachten ist dabei, dass im kirchlichen Bereich im Rahmen des Art. 91 DSGVO besondere Regelungen bestehen. So gilt dort das Gesetz über den kirchlichen Datenschutz (KDG), wobei z.B. vom Erzbistum Hamburg aufgrund § 56 KDG eine Durchführungsverordnung zum KDG (KDG-DVO) erlassen wurde oder im Bistum Hildesheim die Ordnung zum Schutz von Patientendaten in katholischen Krankenhäusern zu beachten ist.
Nicht zuletzt im Blick auf die z.B. in der DSGVO vorgesehenen Bußgelder sollten Leitungsorgane von Krankenhäusern oder Rettungsdiensten wie auch von Unternehmen außerhalb des Gesundheitssektors im Zuge der Corona-Pandemie zum Schutz der Beschäftigten beabsichtigte Maßnahmen, die eine Erhebung von Gesundheitsdaten von Mitarbeitern, Gästen oder Besuchern beinhalten, umfassend abwägen und einer sorgfältigen rechtlichen Prüfung unterziehen.
