Arbeitgeber dürfen den „Impfstatus” ihrer Beschäftigten ohne eine ausdrückliche gesetzliche Ermächtigung grundsätzlich nicht verarbeiten – auch nicht im Rahmen der COVID-19-Krise.
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat am 19. Oktober 2021 einen Beschluss zur Verarbeitung des Impfstatus von Beschäftigten durch deren Arbeitgeber gefasst (Anhang).
Inhalt
Nach Auffassung der DSK dürfen Arbeitgeber den Impfstatus ihrer Beschäftigten auch im Rahmen der COVID-19-Krise ohne eine ausdrückliche gesetzliche Ermächtigung nicht verarbeiten. § 26 Abs. 3 Satz 1 BDSG (Datenverarbeitung zur Ausübung von Rechten oder Pflichten aus dem Arbeitsrecht) komme als Rechtsgrundlage nicht in Betracht.
Eine Verarbeitung sei nur in Einzelfällen auf Grundlage gesetzlicher Regelungen möglich. Als solche Einzelfälle nennt die DSK die §§ 23a, 23 Abs. 3 und 36 Abs. 3 IfSG, in denen für bestimmte Branchen ausdrücklich ein Datenverarbeitungsrecht bezüglich des Impfstatus vorgesehen ist.
Auch in Fällen von § 56 Abs. 1 IfSG, wenn es um Ansprüche auf Entschädigung geht, sollen Arbeitgeber den Impfstatus von betroffenen Beschäftigten verarbeiten dürfen. Eine Verarbeitung soll außerdem möglich sein, soweit dies durch eine Rechtsverordnung zur Pandemiebekämpfung auf Basis des IfSG vorgegeben ist.
Die Verarbeitung auf Grundlage einer Einwilligung der Beschäftigten sei nur möglich, wenn die Einwilligung freiwillig und damit rechtswirksam erteilt worden ist. Im Arbeitsverhältnis bestünden – so die DSK – regelmäßig Zweifel an der Freiwilligkeit einer Einwilligung.
Im Zusammenhang mit der Abfrage des Impfstatusdatums seien außerdem der Grundsatz der Datenminimierung, der Grundsatz der „Speicherbegrenzung“ sowie der Grundsatz der „Rechenschaftspflicht“ zu beachten.
Bewertung
Der Beschluss verdeutlicht, dass eine Klarstellung einer Auskunfts- und Nachweispflicht durch den Gesetzgeber wünschenswert ist, um die streitige Frage nach der Verarbeitung des Impfstatus zu klären.
Der Beschluss lässt außer Acht, dass ein Fragerecht auch bestehen kann, wenn der Arbeitgeber ein berechtigtes, billigenswertes und schutzwürdiges Interesse an der Information hat und das Interesse des Arbeitnehmers an der Geheimhaltung seiner Daten das Interesse des Arbeitgebers an der Erhebung dieser Daten nicht überwiegt. Der Arbeitgeber ist verantwortlich für den Arbeits- und Infektionsschutz im Betrieb und er muss abwägen, ob und welche weiteren Schutzmaßnahmen im Betrieb getroffen werden müssen. Datenschutz muss mit Blick auf andere wichtige Rechtsgüter, wie z.B. auf den Gesundheitsschutz der Beschäftigten, verstanden werden.
Positiv ist, dass auch nach Auffassung der DSK im Rahmen von Ansprüchen nach § 56 Abs. 1 IfSG eine Verarbeitung des Impfstatus durch den Arbeitgeber möglich ist. Dies wurde bereits durch das Bundesministerium für Gesundheit (BMG) bestätigt.
