Sie wollen wissen, ob Sie von Ihren Beschäftigten oder von Besuchern Ihrer Betriebsstätte Daten im Zusammenhang mit dem Ausbruch von COVID-19 erheben und verarbeiten dürfen?

1. Darf ein Unternehmen von seinen Beschäftigten personenbezogene Daten zu Reisen in Risikoländer oder zum persönlichen Befinden erheben und verarbeiten?

Wie oben bereits dargelegt besteht eine Fürsorgepflicht von Unternehmen als Arbeitgeber zu Gunsten ihrer Arbeitnehmer, nach der sie auch verpflichtet sind, geeignete Schutzmaßnahmen zu ergreifen, um ihre Arbeitnehmer vor einer Infektion zu schützen.

Soweit es ausschließlich um die Frage nach Reisen oder Aufenthalten in Risikoländern geht, kann die Erhebung und Verarbeitung dieser personenbezogenen Daten auf Art. 6 Abs. 1 Satz 1 lit. b) DSGVO in Verbindung mit § 26 Abs. 1 Satz 1 BDSG gestützt werden. Denn mit Blick auf die bestehende Fürsorgepflicht sind diese Daten zur Durchführung des Beschäftigungsverhältnisses erforderlich und es handelt sich nicht um Gesundheitsdaten. Anhand dieser Angaben kann entschieden werden, ob die betroffenen Mitarbeiter im Home-Office arbeiten sollen oder welche anderen Maßnahmen ergriffen werden.

Rechtsgrundlage für die weiteren Fragen nach dem persönlichen Befinden und damit nach Gesundheitsdaten ist Art. 9 Abs. 2 lit. b) DSGVO in Verbindung mit § 26 Abs. 3 BDSG. Gemäß dieser Vorschrift dürfen Gesundheitsdaten auch erhoben und verarbeitet werden, wenn und soweit dies zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht erforderlich ist und kein Grund zu der Annahme besteht, dass die schutzwürdigen Interessen der betroffenen Beschäftigten am Ausschluss der Verarbeitung ihrer Daten überwiegen. Maßgebend sind wiederum die arbeitgeberseitigen Fürsorgepflichten der Unternehmen und für den Regelfall ist nicht ersichtlich, dass bezüglich dieser Informationen überwiegende berechtigte Interessen der betroffenen Beschäftigten entgegenstehen.

Schließlich kommt als Rechtsgrundlage für die Verarbeitung von Daten zum persönlichen Wohlbefinden auch Art. 9 Abs. 2 lit. h) DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b) BDSG in Betracht. Voraussetzung ist, dass die Verarbeitung zum Zweck der Gesundheitsvorsorge oder für die Beurteilung der Arbeitsfähigkeit sowie ausschließlich durch ärztliches Personal oder durch sonstige Personen erfolgt, die entsprechenden Geheimhaltungspflichten unterliegen.

Stets ist darauf zu achten, dass die Beschäftigten gemäß den Art. 13 und 14 DSGVO rechtzeitig über die Verarbeitung ihrer personenbezogenen Daten informiert werden. Im Falle einer direkten Befragung der Beschäftigten, hat die Information deshalb spätestens mit dieser Befragung zu erfolgen.

2. Darf ein Unternehmen von Dritten, wie z.B. Besuchern von Betriebsstätten, personenbezogene Daten zu Reisen in Risikoländer oder zum persönlichen Befinden zum Zweck der Durchführung von Schutzmaßnahmen erheben und verarbeiten?

Zum Schutz seines Unternehmens und vor allem seiner Beschäftigten darf ein Unternehmen auch von einem Dritten die vorgenannten Daten verarbeiten, um beispielsweise über einen Zutritt zu betrieblichen Objekten zu entscheiden.

Die Frage nach Reisen oder Aufenthalten in Risikoländern durch Dritte kann für die Erhebung und Verarbeitung dieser personenbezogenen Daten auf Art. 6 Abs. 1 Satz 1 lit. f) DSGVO gestützt werden. Dass bezüglich dieser Informationen überwiegende berechtigte Interessen der betroffenen Befragten entgegenstehen, ist für den Regelfall auch ohne weiteres nicht ersichtlich. Dabei ist aber zu beachten, dass es regelmäßig nicht erforderlich sein wird, weitere personenbezogene Daten (wie zum Beispiel den Namen) zu erfassen. Es ist darauf zu achten, so wenige Daten wie möglich zu erheben.

Rechtsgrundlage für die weiteren Fragen nach dem persönlichen Befinden und damit nach Gesundheitsdaten ist Art. 9 Abs. 2 lit. b) DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. a) BDSG. Gemäß dieser Vorschrift dürfen Gesundheitsdaten auch erhoben und verarbeitet werden, wenn und soweit dies erforderlich ist, um den aus dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Pflichten des Unternehmens nachzukommen und kein Grund zu der Annahme besteht, dass die schutzwürdigen Interessen der betroffenen Befragten am Ausschluss der Verarbeitung ihrer Daten überwiegen. Maßgebend sind wiederum die arbeitgeberseitigen Fürsorgepflichten der Unternehmen, die nach hier vertretener Ansicht auch den Pflichten des Sozialschutzes zugeordnet werden können. Wiederum ist für den Regelfall nicht ersichtlich, dass bezüglich dieser Informationen überwiegende berechtigte Interessen der betroffenen Befragten entgegenstehen. Auch hier ist zu beachten, dass nur die zwingend erforderlichen Daten erhoben und verarbeitet werden.

Ergänzend kommt auch insoweit als Rechtsgrundlage für die Verarbeitung von Daten zum persönlichen Wohlbefinden Art. 9 Abs. 2 lit. h) DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b) BDSG in Betracht. Voraussetzung ist wiederum, dass die Verarbeitung zum Zweck der Gesundheitsvorsorge und ausschließlich durch ärztliches Personal oder durch sonstige Personen erfolgt, die entsprechenden Geheimhaltungspflichten unterliegen.

Wiederum ist darauf zu achten, dass auch Dritte gemäß den Artt. 13 und 14 DSGVO rechtzeitig über die Verarbeitung ihrer personenbezogenen Daten informiert werden. Im Falle einer direkten Befragung, hat die Information ebenfalls spätestens mit dieser Befragung zu erfolgen. Da Rechtsgrundlage für die Befragung Dritter zum Aufenthalt in Risikoländern Art. 6 Abs. 1 Satz 1 lit. f) DSGVO ist, muss zudem eine Information über das Widerspruchsrecht gemäß Art. 21 Abs. 1 DSGVO erfolgen. Dabei ist auf die Formvorgaben dieser Unterrichtung gemäß Art. 21 Abs. 4 DSGVO zu achten, wonach diese beispielsweise Information durch eine andere, hervorgehobene grafische Darstellung von den anderen Informationen zu trennen ist.

 

Support-Hotline: +49 30 530199-288

E-Mail Support: de-covid-19@kpmg-law.com