Derzeit beschäftigen die Arbeitgeber die Maßnahmen, die sie treffen müssen, um den Mitarbeitenden die Möglichkeit zu geben, wieder verstärkt in den Büroräumlichkeiten zu arbeiten.
Abfragen des Impfstatus
Zunächst stellt sich die Frage, ob die Tatsache, ob und wann bzw. gegen was eine Person geimpft ist, ein Gesundheitsdatum im Sinne von Art. 9 Abs. 1 Datenschutz-Grundverordnung (DSGVO) ist. Art. 4 Nr. 15 DSGVO besagt: Gesundheitsdaten sind „personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen.“
Erwägungsgrund 35 zur DSGVO macht deutlich, dass der Begriff der Gesundheitsdaten alle Tatsachen umfasst, die in irgendeiner Art und Weise einen Rückschluss auf den Gesundheitszustand des Betroffenen ermöglichen – die DSGVO legt den Gesundheitsbegriff also weit aus. Aufgrund der Eingriffsintensität, die eine Impfung darstellt, geht man von der Verarbeitung eines Gesundheitsdatums aus, wenn ein Arbeitgeber den Impfstatus seiner Beschäftigten verarbeiten möchte.
Eine rechtliche Grundlage dafür, dass Arbeitgeber den Impfstatus ihrer Beschäftigten abfragen, gibt es aktuell nicht. Weder die SARS-CoV-2-Arbeitsschutzverordnung (Corona-ArbSchV) noch das Infektionsschutzgesetz (IfSG) sehen solche Verpflichtungen für den Arbeitgeber vor.
Fraglich ist daher, ob es erforderlich ist, den Impfstatus abzufragen, um das Beschäftigungsverhältnis durchzuführen. Arbeitgeber sollten also immer zunächst mildere Mittel in Betracht ziehen, um Ansteckungen zu verhindern. Hier dürften insbesondere Corona-Tests im Vordergrund stehen.
Kann eine Einwilligung helfen?
Selbstverständlich könnte der Impfstatus eine Angabe sein, die die Beschäftigten freiwillig machen. Dann müssen allerdings sämtliche Voraussetzungen einer Einwilligung zur Verarbeitung dieser Daten vorliegen. Folgenden Punkte sind hierbei zu prüfen (Quelle: Datenschutz-Praxis, Heft Juli 2021):
- Erfolgt die Einwilligung durch eine eindeutig bestätigende Handlung?
- Erteilen die Beschäftigten die Einwilligung wirklich freiwillig?
- Erteilen die Beschäftigten die Einwilligung in informierter Weise?
- Ist die Einwilligung unmissverständlich?
- Weist die Einwilligung auf alle Verarbeitungszwecke eindeutig hin?
- Dokumentiert der Verantwortliche (also Sie) die Einwilligung und hält sie zu Nachweiszwecken nach?
- Weist die Einwilligung die Arbeitnehmer auf ihr Widerrufsrecht hin?
- Bezieht sich die Einwilligung bei der Verarbeitung sensibler Daten ausdrücklich auch auf diese Daten?
- Werden entsprechende technische und organisatorische Maßnahmen für eine etwaige Abfrage getroffen?
Außerdem ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig.
Auf den Punkt gebracht: Der Arbeitgeber kann momentan den Impfstatus beim Betreten der Büroräumlichkeiten nur mit ausdrücklicher Einwilligung abfragen.
Corona-Tests als Alternative
Für die datenschutzrechtliche Beurteilung müssen Sie in einem ersten Schritt danach unterscheiden, welche Pflicht den Arbeitgeber in Bezug auf Corona-Tests überhaupt trifft: das reine „Anbieten“ oder auch das „Durchführen“.
Die Corona-ArbSchV sagt, dass sich die Nachweispflicht nicht auf die tatsächliche Durchführung von Testungen, sondern auf das Beschaffen und damit verbundene „Anbieten“ von Testungen bezieht.
Vorsicht: Das Ergebnis eines Tests mit Namen eines Beschäftigten ist nicht zu übermitteln! Das ändert sich auch nicht dadurch, dass den Arbeitnehmer selbstverständlich die Pflicht trifft, sich nach einem positiven Test umgehend aus den Räumlichkeiten des Arbeitgebers zu entfernen und die weiteren Schritte wie Meldung beim Gesundheitsamt mit entsprechender Kontaktdatenverfolgung einzuleiten.
Streng genommen müssten Arbeitgeber nicht einmal dokumentieren, welchen Arbeitnehmern sie zu welchem Zeitpunkt einen Test ausgehändigt haben, denn der Nachweis bezieht sich lediglich auf die „Beschaffung“ der Tests.
Prozesse definieren
Definieren Sie als Arbeitgeber am besten die Prozesse, wie die Aushändigung und ggf. Durchführung der Testungen im Detail vonstatten gehen soll mit sämtlichen technischen und organisatorischen Maßnahmen:
- Der Personenkreis, der auf die Aushändigung und ggf. Durchführung der Mitarbeiter-Testungen Zugriff hat, sollte so klein wie möglich sein.
- Legen Sie keine Listen aus, in die sich die Mitarbeiter selbst eintragen. Denn so können die Kolleginnen und Kollegen Daten anderer Mitarbeitender einsehen.