Thüringer Consult

Corona und die Verarbeitung von Gesundheitsdaten.

Darf ich meine MitarbeiterInnen fragen, ob sie krank sind?
Was müssen sie mir erzählen und was mache ich mit diesen Informationen?

Die Fürsorgepflichten gegenüber allen Beschäftigten zwingen ArbeitgeberInnen, Gesundheitsrisiken am Arbeitsplatz soweit wie möglich auszuschließen. Eingriffsbefugnisse haben sie jedoch keine. Die stehen nur den Gesundheitsbehörden zu. Im Zweifelsfall richten sich ArbeitgeberInnen also an die Gesundheitsbehörden, anstatt „auf eigene Faust“ und vielleicht sogar gegen den Willen der Beschäftigten Gesundheitsdaten zu erheben.

Besteht der Verdacht auf eine Infektion, so haben ArbeitnehmerInnen die ArbeitgeberInnen darüber zu informieren. Das gilt auch bei der Rückkehr von Reisen aus Risikogebieten oder bei Erkrankungen im persönlichen Umfeld.

Zulässig sind:

• Fragen nach Krankheitssymptomen bzw. freiwillige Selbstauskunftsfragebögen zu Symptomen.
• Frage nach Körpertemperatur bzw. freiwillige Fiebermessung (z.B.: selbst oder Betriebsarzt).
• Fragen nach Aufenthaltsorten (z.B.: bei Urlaubsrückkehrern).
• Fragen nach Kontakt mit möglicherweise infizierten oder infizierten Personen.
• Im Falle eines positiven Befunds von MitarbeiterInnen, Fragen nach Kontakt mit gesunden Personen.
• Weitergabe der Informationen zu o.a. Punkten an andere Personen oder Behörden etc.

Unzulässig sind:

• Pauschale Befragung aller MitarbeiterInnen zu ihrem Gesundheitszustand (z.B. über Symptome).
• Pauschale Befragung aller MitarbeiterInnen zu Reisezielen (ohne konkrete Anhaltspunkte).
• Weitergabe von persönlichen Daten bzw. Namen erkrankter KollegInnen durch die ArbeitgeberInnen.

Welche Daten dürfen Sie im Rahmen einer Corona-Überwachung verarbeiten?

1. Erhebung der privaten Telefonnummer durch ArbeitgeberInnen:

Um MitarbeiterInnen kurzfristig über eine Infektion im Betrieb zu informieren dürfen ArbeitgeberInnen die privaten Handynummern ihrer MitarbeiterInnen erfragen und temporär speichern. Erzwungen kann die Herausgabe dieser Daten jedoch nicht werden. Sie sollten die Datenverarbeitung privater Kontaktdaten auf die Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO stützen. Nach dem Ende der Pandemie sind jene Daten, die nicht mehr notwendig sind, zu löschen.

2. Offenlegung der Identität von Infizierten an KollegInnen

Soweit dies ohne Gesundheitsgefahren für andere möglich ist sind Identitäten positiv getesteter Personen vertraulich zu behandeln. Sie dürfen diese Daten nur offenlegen, wenn sie für Vorsorgemaßnahmen von Kontaktpersonen erforderlich sind. Meist ist es ausreichend mitzuteilen, dass eine unbenannte Person aus einer konkreten Abteilung positiv getestet wurde. Manchmal ist es sinnvoll zu sagen an welchen Tagen die Person anwesend war, an welchen Meetings sie teilgenommen hat und welche Gemeinschaftseinrichtungen (z.B. Kantine) sie genutzt hat. Bei Personen mit direktem Kontakt, kann die zielgerichtete Offenlegung der Identität erforderlich sein. Die Zulässigkeit basiert auf Art. 9 Abs. 2 lit. b DSGVO.

3. Mitarbeiterbefragungen nach Krankheitssymptomen und Urlaubsorten

Beschäftigte müssen grundsätzlich ihren ArbeitgeberInnen keine Auskunft über Diagnosen oder Krankheitssymptome geben. Die Fürsorgepflicht der ArbeitgeberInnen gebietet es aber, Maßnahmen zu treffen, um die Belegschaft vor Infektionen zu schützen. In der jetzigen Pandemie-Situation darf vor Betreten des Arbeitsplatzes erfragt werden, ob die betroffene Person selbst mit dem Corona-Virus infiziert ist oder im Kontakt mit einer nachweislich infizierten Person stand oder sie sich im relevanten Zeitraum in einem als Risikogebiet eingestuften Gebiet aufgehalten hat.

Was tue ich mit Daten zur Corona-Überwachung?

Trotz Corona gelten die allgemeinen Pflichten der DSGVO weiter, besonders die Informationspflichten. Beachten Sie also folgende Punkte:

1. Werden Sie dem Grundsatz der Datenminimierung aus 5 Abs. 1 lit. c DSGVO gerecht und verarbeiten Sie wirklich nur notwenige Daten.
2. Dokumentieren Sie die Verarbeitung in einem Verzeichnis von Verarbeitungstätigkeiten.
3. Informieren Sie Betroffene über die Verarbeitung ihrer personenbezogenen Daten zur Erfüllung der Informationspflichten gemäß 13 Abs. 1 DSGVO.
4. Informieren Sie Betroffene darüber, wie lange die Daten gemäß 13 Abs. 2 DSGVO aufbewahrt werden.
5. Definieren Sie, wann und wie die erhobenen Daten wieder gelöscht werden.
6. Erfassen Sie im Prozess der Corona-Daten-Erhebung auch den Punkt der Daten-Weitergabe. Hinsichtlich der Information an betroffene ArbeitskollegInnen und der Weitergabe an die Gesundheitsbehörde.

Mehr Informationen über das Arbeiten unter DSGVO-Bedingungen von Dietmar Thüringer können Sie hier über das Kontaktformular beantragen.

Photo by Clay Banks on Unsplash