Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat am 19. Oktober 2021 einen Beschluss zur Verarbeitung des Impfstatus von Be-schäftigten durch deren Arbeitgeber gefasst.
Den Beschluss der DSK können Sie hier herunterladen.
Wesentlicher Inhalt:
Nach Auffassung der DSK dürfen Arbeitgeber den Impfstatus ihrer Beschäftigten auch im Rahmen der Covid-19-Pandemie ohne eine ausdrückliche gesetzliche Ermächtigung nicht verarbeiten. § 26 Absatz 3 Satz 1 Bundesdatenschutzgesetz (BDSG) komme als Rechtsgrundlage nicht in Betracht.
Eine Verarbeitung sei nur in Einzelfällen auf Grundlage gesetzlicher Regelungen möglich. Als solche Einzelfälle nennt die DSK die §§ 23a, 23 Absatz 3 und 36 Absatz 3 Infektionsschutz-gesetz (IfSG), in denen für bestimmte Branchen ausdrücklich ein Datenverarbeitungsrecht bezüglich des Impfstatus vorgesehen ist.
Auch in Fällen von § 56 Absatz 1 IfSG, wenn es um Ansprüche auf Entschädigung geht, sollen Arbeitgeber den Impfstatus von betroffenen Beschäftigten verarbeiten dürfen. Eine Verarbeitung soll außerdem möglich sein, soweit dies durch eine Rechtsverordnung zur Pandemiebekämpfung auf Basis des IfSG vorgegeben ist.
Die Verarbeitung auf Grundlage einer Einwilligung der Beschäftigten sei nur möglich, wenn die Einwilligung freiwillig und damit rechtswirksam erteilt worden ist. Im Arbeitsverhältnis bestünden – so die DSK – regelmäßig Zweifel an der Freiwilligkeit einer Einwilligung.
Im Zusammenhang mit der Abfrage des Datums Impfstatus seien außerdem der Grundsatz der Datenminimierung, der Grundsatz der „Speicherbegrenzung“ sowie der Grundsatz der „Rechenschaftspflicht“ zu beachten.
Nach Ansicht der BDA verdeutlicht der Beschluss, dass eine Klarstellung einer Auskunfts- und Nachweispflicht durch den Gesetzgeber wünschenswert ist, um die streitige Frage nach der Verarbeitung des Impfstatus zu klären.
Der Beschluss lässt außer Acht, dass ein Fragerecht auch bestehen kann, wenn der Arbeit-geber ein berechtigtes, billigenswertes und schutzwürdiges Interesse an der Information hat und das Interesse des Arbeitnehmers an der Geheimhaltung seiner Daten das Interesse des Arbeitgebers an der Erhebung dieser Daten nicht überwiegt. Nach Einschätzung der BDA kann der Arbeitgeber schon nach geltender Rechtslage regelmäßig den Impfstatus verarbeiten, da sein Interesse an der Kenntnis regelmäßig das Interesse des Arbeitnehmers an der Zurück-haltung der Information überwiegt. Der Arbeitgeber ist verantwortlich für den Arbeits- und Infektionsschutz im Betrieb und er muss abwägen, ob und welche weiteren Schutzmaßnahmen im Betrieb getroffen werden müssen. Datenschutz muss mit Blick auf andere wichtige Rechtsgüter, wie z. B. auf den Gesundheitsschutz der Beschäftigten, verstanden werden.
Positiv ist die Feststellung aus dem Beschluss zu werten, dass im Rahmen von Ansprüchen nach § 56 Absatz 1 IfSG eine Verarbeitung des Impfstatus durch den Arbeitgeber möglich ist. Dies hat auch das Bundesministerium für Gesundheit (BMG) bereits bestätigt.