Coronavirus: Das müssen Sie jetzt aus DSGVO Sicht tun

Das Coronavirus, das die Lungenerkrankung COVID-19 auslöst, hat die Welt aus den Angeln gehoben und damit erhebliche Auswirkungen auf das Tagesgeschäft zahlreicher Unternehmen. Diese reichen so weit, dass sich einige Unternehmen über den Gesundheitszustand (im Hinblick auf eine mögliche Infektion) von Mitarbeitern oder gar externen Personen, wie z.B. Geschäftspartner und Lieferanten, informieren möchten. Im Rahmen dieses Beitrags stellen wir einen grob skizzierten Leitfaden bereit.

Zulässigkeit von Maßnahmen

Ob eine geplante Maßnahme zulässig ist, hängt von der Erforderlichkeit ab. Sie gilt als erforderlich und damit zulässig, sofern sie sich für den vorgesehenen Zweck eignet und zugleich das mildeste dem Arbeitgeber zur Verfügung stehende Mittel (neben weiteren Mittteln). Darüber hinaus dürfen die schutzwürdigen Interesse der Betroffenen an einem Ausschluss der Verarbeitung nicht überwiegen.

Erstellung eines Verzeichnisses der Verarbeitungstätigkeiten

Da in solchen Fällen personenbezogene Daten mit Gesundheitsbezug verarbeitet werden, sind einige Besonderheiten zu beachten. Die Abfrage solcher Daten kann als vorbeugende Maßnahme dienen, um z.B. die Ansteckung von Personal zu verhindern. Ebenso kann sie notwendig sein, um einer Kontamination von Produkten vorzubeugen.

Die Erfassung der Daten erfolgt per Fragebogen. Abgefragt werden Informationen zum Befinden, d.h. ob typische COVID-19 Symptome vorliegen oder ob Kontakt zu Personen mit solchen Symptomen bestand. Diese Daten sind einem Verarbeitungsverzeichnis zuzuordnen.

Als besondere Kategorien personenbezogener Arten müssen die Daten gut geschützt sein, weshalb nur ausgewählte Mitarbeiter Zugriff haben dürfen. Zu berücksichtigen ist auch die Dauer der Speicherung, in den meisten Fällen – vor allem wenn kein Verdacht einer Erkrankung besteht – sind die Daten zeitnah wieder zu löschen.

Information der Betroffenen

Darüber hinaus besteht die Notwendigkeit, alle Betroffenen über den Zweck der Verarbeitung zu informieren und sie außerdem über ihre Betroffenenrechte zu belehren. Die Inhalte der Belehrung müssen für die Betroffenen leicht zugänglich sein.

Prozess- und Meldewege für Verdachtsfälle

Je nach Branche und Umfeld kann die Einführung von Prozess- und Meldewegen für Verdachtsfälle empfehlenswert oder sogar vorgeschrieben sein. Diese Abläufe legen fest, wie sich Mitarbeiter im Ernstfall zu verhalten haben, sollten sie von einer ärztlich bestätigten Infektion wissen. Entscheidend ist, dass alle Personen wissen, wer ihr Ansprechpartner ist, wie z.B. ein Betriebsarzt oder Arbeitssicherheitsbeauftragter. Doch aufgepasst, Mitarbeiter können zur Meldung von Verdachtsfällen innerhalb der Belegschaft verpflichtet werden (siehe unten unter „unzulässige Maßnahmen“).

Vorhandensein eines Notfallplans

Ob Covid-19 oder eine andere gesundheitliche Bedrohung der Mitarbeiter: Für den Ernstfall sollte das Unternehmen gewappnet sein und einen Notfallplan zur Hand haben. Dieser legt fest, wie im Rahmen definierter Szenarien (z.B. dem Ausfall von Mitarbeitern oder der Quarantäne von Mitarbeitern) zu verfahren ist und welche Möglichkeiten bestehen, um auf andere Arbeitsumgebungen auszuweichen.

Update vom 17.03.2020

Hinweis: Die Zulässigkeit verschiedener Maßnahmen ist nach aktuellem nicht vollständig beurteilbar. Wir haben verschiedene Maßnahmen nach aktuellem Kenntnisstand zwischen zulässigen und unzulässigen Maßnahmen unterschieden.

Unzulässige Maßnahmen

• Pauschale Befragung sämtlicher Beschäftigten zu ihrem Gesundheitszustand (z.B. Symptome).
• Pauschale Befragung sämtlicher Beschäftigten zu ihren Reisezielen (ohne konkrete Anhaltspunkte).
• Meldepflicht von Verdachtsfällen durch Beschäftigte, sollten Kollegen typische Symptome zeigen.
• Bekanntmachung von Mitarbeitern, die am Coronavirus erkrankt sind. Für betroffene Abteilungen/Bereiche notwendige Maßnahmen sind ohne Nennung des Mitarbeiternamens zu ergreifen.
• Verpflichtende Fiebermessung sämtlicher Beschäftigten oder ähnliche medizinische Maßnahmen (z.B. Nehmen von Speichelproben). Einige Juristen vertreten jedoch die Ansicht, dass Fiebermessungen zulässig sind, sofern diese ausschließlich der Entscheidung über Einlass zum Betriebsgelände / Gebäude dienen.

Zulässige Maßnahmen

• Fragebögen zur freiwillige Selbstauskunft bezüglich Aufenthalt und Symptomen.
• Freiwillige Fiebermessung durch Beschäftigte selbst oder durch einen (Betriebs-)Arzt.
• Verarbeitung von Daten (z.B. Kontaktpersonen) eines Beschäftigen, für den ein positiver COVID-19 Befund vorliegt.
• Befragung, ob ein Beschäftigter direkten Kontakt zu einem Erkrankten hatte oder sich in einem Risikogebiet aufgehalten hat.
• Übermittlung von Daten über erkrankte Beschäftigte, über Beschäftigte mit Aufenthalt in Risikogebieten oder Kontakte zu Infizierten an die Behörden, sofern eine Aufforderung durch Gesundheitsbehörden besteht.
• Erhebung privater Rufnummern oder anderer Kontaktdaten von Mitarbeitern, um diese z.B. über die Schließung des Betriebs zu informieren (lt. Handbuch „Betriebliche Pandemieplanung“ Bundesamt für Bevölkerungsschutz und Katastrophenhilfe). Das Einverständnis des Betroffenen wird vorausgesetzt.