Die Landesbeauftragten für den Datenschutz in Niedersachsen und Baden-Württemberg beschäftigt aktuell ein sehr wichtiges Thema in Bezug auf die Corona-Pandemie: Was passiert nach Aufhebung fast aller gesetzlicher Pflichten, die im Zusammenhang mit der Corona-Pandemie standen, mit den hierbei verarbeiteten personenbezogenen Daten? Wir haben zusammengefasst, was Unternehmen zu beachten haben.
Im Zusammenhang mit der Corona-Pandemie werden seit zwei Jahren unter anderem von Arbeitgebern verschiedenster Berufszweige eine Vielzahl von personenbezogenen Daten hauptsächlich in Gestalt von Gesundheitsdaten gemäß Art. 9 Abs. 1 DSGVO verarbeitet (hierzu auch unser Blogbeitrag: „Corona-Pandemie Gesundheitsfragen im Arbeitsverhältnis“). Nach Wegfall der 3G-Nachweispflicht am Arbeitsplatz (wie wir bereits berichteten: „3G am Arbeitsplatz“) nach dem Infektionsschutzgesetz mit Wirkung zum 19. März 2022, verändern sich nun die Vorgaben an Arbeitgeber hinsichtlich der Erhebung und Speicherung von Gesundheitsdaten ihrer Beschäftigten.
“Das Anlegen von „rechtswidrigen Datenfriedhöfen“ soll vermieden werden — lediglich in wenigen Ausnahmefällen kann die fortdauernde Erhebung und Speicherung von Gesundheitsdaten im Pandemiekontext noch angezeigt sein.” – Chiara Bidmon
Bisherige Rechtslage
Durch die Änderung des Infektionsschutzgesetzes mit Wirkung zum 22. November 2021 wurde § 28b IfSchG neugefasst, welcher erstmals die Arbeitgeberbefugnisse und ‑verpflichtungen im Hinblick auf die Erhebung und Speicherung von Gesundheitsdaten der Beschäftigten normierte. Die Rechtsgrundlage für die Erhebung und Speicherung von Gesundheitsdaten in Zusammenhang mit der Überprüfung des „3G-Status“ fand sich nunmehr in Art. 6 Abs. 1 UAbs. 1 S. 1 lit. c), Art. 9 Abs. 2 lit. i) DSGVO in Verbindung mit § 28b Abs. 1 S. 1, Abs. 3 IfSchG in der Fassung vom 22.11.2021. Darüber hinaus war eine Speicherung des Impf-/ Getestet- oder Genesenennachweises auch dann möglich, wenn der konkret betroffene Arbeitnehmer gemäß Art. 6 Abs. 1 UAbs. 1 lit. a), 9 Abs. 2 lit. a) DSGVO i.V.m. § 26 Abs.2, Abs. 3 S. 2 BDSG in die Datenverarbeitung eingewilligt hat.
Klingt kompliziert? War es auch!
Im Bereich der Pflichten von Arbeitgebern schrieb § 28b Abs. 1 und 3 IfSchG grundsätzlich vor, dass jeder Arbeitgeber einen Nachweis über das Vorhandensein eines 3G-Nachweises seiner Beschäftigten vorzuhalten hatte. Unklar blieb jedoch, in welcher Reichweite dem Arbeitgeber Kontrollbefugnisse zugestanden werden, in welchem Umfang eine Dokumentation der Überprüfung des 3G-Status erfolgen sollte und wie die Kontrollen generell abzulaufen hätten. Heranzuziehen waren deshalb Auslegungs- und Orientierungshilfen der Aufsichtsbehörden und Landesbeauftragten.
Gemäß den Vorgaben der Datenschutzaufsichtsbehörden sei jedenfalls die Speicherung des konkreten Nachweisdokuments (d.h. des Test- oder Impfzertifikats) nicht zulässig, die regelmäßige und lückenlose Einsichtnahme des Nachweisdokuments und anschließende Dokumentation des jeweiligen Gesundheitsstatus des Mitarbeitenden durch das Führen einer internen Liste jedoch schon. Dabei genüge es, wenn der Arbeitgeber den Nachweis erbringen könne, dass er im gesetzlich vorgeschriebenen Umfang 3G-Nachweise kontrolliert habe (sog: „Organisationsnachweis“). Eine darüberhinausgehende Dokumentation von Daten (Beispielsweise darüber, welcher Mitarbeitende wann, welchen 3G-Nachweis vorgelegt hat), sei nicht zulässig, da dies gegen den Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c) DSGVO verstoßen würde und die gesetzliche Dokumentationspflicht auch auf andere Weise erreicht werden könne. Zudem sei nach Ansicht des Landesbeauftragten für den Datenschutz in Baden-Württemberg eine Speicherung eines Nachweisdokuments hinsichtlich einer vorliegenden Immunisierung (Geimpft- oder Genesennachweis) in Verbindung mit einem Personenbezug (z.B. Name der betroffenen Person) durch den Arbeitgeber nur dann zulässig, sofern der Beschäftigte seine Einwilligung zur Speicherung erteilt habe.
Eine Durchführung und Dokumentation von erfolgten 3G-Statuskontrollen durch den Arbeitgeber sei grundsätzlich nur bis zum Ablauf des Gültigkeitszeitraums des § 28b IfSchG am 19. März 2022 zulässig. Darüber hinaus geht das Bundesministerium für Arbeit und Soziales davon aus, dass die Daten der Dokumentation für behördliche Kontrollen spätestens sechs Monate nach ihrer Erhebung zu löschen seien. Die in § 28b Abs. 3 S. 8 IfSchG ausdrücklich geregelte sechsmonatige Aufbewahrungsdauer betreffe hingegen nur die in § 28b Abs. 2 S. 1 IfSchG näher bezeichneten Einrichtungen und Unternehmen und könne daher nicht pauschal auf die Speicherdauer von Gesundheitsdaten und Immunisierungsnachweisen übertragen werden.
Aktuelle Rechtslage ab 20. März 2022
Durch den Wegfall der in § 28b Abs. 3 S. 1, Abs. 7 IfSchG geregelten Dokumentationspflicht mit Wirkung zum 19. März 2022 hat sich die Rechtslage grundlegend verändert. Eine gesetzliche Dokumentationspflicht hinsichtlich des 3G-Nachweises der Beschäftigten besteht nun nicht mehr. Eine erneute Erhebung von in Zusammenhang mit der Corona-Pandemie stehenden Gesundheitsdaten, sowie die weitere Speicherung bereits vorhandener Listen zum Nachweis des 3G-Gesundheitsstatus der Beschäftigten, ist damit datenschutzrechtlich nicht mehr zulässig. Dies ist deshalb der Fall, da mangels Fortgeltung des § 28b IfSchG keine rechtliche Verpflichtung im Sinne des Art. 6 Abs. 1 UAbs. 1 lit. c) DSGVO mehr vorhanden ist, aufgrund derer eine Datenverarbeitung gerechtfertigt werden könnte. Auch die darüber hinaus über § 28b Abs. 3 S. 8 a.E. IfSchG zur Anwendung gelangenden allgemeinen Bestimmungen des Datenschutzes berechtigen nicht mehr zur Dokumentation und Speicherung von Gesundheitsdaten, da gemäß Art. 5 Abs. 1 lit. e) DSGVO personenbezogene Daten nur solange zu speichern sind, wie dies für den ursprünglich definierten Zweck der Datenerhebung noch erforderlich ist. Nach dem Fortfall jeglicher gesetzlicher Dokumentationspflichten im Hinblick auf die Überprüfung des 3G-Status kann der ursprüngliche Zweck der Datenverarbeitung (in unserem Fall hauptsächlich die Erfüllung der Dokumentationspflicht über durchgeführte Kontrollen hinsichtlich der Einhaltung der 3G-Regel am Arbeitsplatz) jedoch nicht mehr erreicht werden.
Ausblick
Aufgrund der Ankündigung der Landesbeauftragten für den Datenschutz in Niedersachsen und Baden-Württemberg, dass aufgrund des Wegfalls oben genannter Rechtfertigungsgründe für die Speicherung von Gesundheitsdaten vermehrte Kontrollen von Unternehmen durchgeführt werden sollen, haben Arbeitgeber besonderes Augenmerk auf die Überprüfung der im Unternehmen gespeicherten Gesundheitsdaten und ggfs. deren Löschung zu richten. Die Landesbeauftragte für den Datenschutz in Niedersachsen führt dazu an, dass Datenverarbeitungen, wie beispielsweise die Zutrittskontrolle zum Arbeitsplatz mit 3G-Nachweis, bereits mit Ende der gesetzlichen Pflichten sofort zu löschen gewesen seien. Diejenigen Arbeitgeber und Betriebe, welche sich noch nicht um eine Löschung der Daten gekümmert hätten, sollten dies spätestens jetzt tun, damit insbesondere keine „rechtswidrigen Datenfriedhöfe“ angelegt würden. Es würden in den kommenden Wochen stichprobenartige Kontrollen in den Betrieben vorgenommen und Arbeitgebende im Falle eines Verstoßes zur sofortigen Löschung der Daten aufgefordert werden.
Die Landesbeauftragte für den Datenschutz in Niedersachsen merkt an, dass Datenverarbeitungen ausschließlich noch im Gesundheitswesen in speziellen Bereichen, in denen beispielsweise eine einrichtungsbezogene Impfpflicht gemäß § 20a IfSchG gilt, weiterhin erforderlich und damit auch in datenschutzrechtlicher Hinsicht rechtskonform seien. Aus dem hierzu erlassenen Beschluss der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) ergibt sich jedoch weiter, dass auch 3G-Nachweise in Einrichtungen des Gesundheitswesens im Sinne des § 20a IfSchG im Fall von dort beschäftigten Personen lediglich eingesehen und danach notiert werden dürfe, dass ein solcher Nachweis vorliege. Allenfalls dürfe darüber hinaus noch festgehalten werden, wie lange der vorgelegte, rechtskonforme Nachweis gültig sei. Die Dokumentation von darüber hinaus gehenden Informationen (Beispielsweise welcher Impfstoff verabreicht wurde) sei nicht zulässig. Name und Vorname der betroffenen Person dürften nur bei externen Personen verarbeitet werden. Jedoch seien auch diese Daten entweder nach Zweckfortfall gemäß Art. 17 Abs. 1 lit. a) DSGVO, gemäß § 20a Abs. 7 S. 7 IfSchG innerhalb von sechs Monaten nach ihrer Erhebung oder spätestens aber mit Ablauf der Rechtsgrundlage des § 20a IfSchG am 31. Dezember 2022 zu löschen.
Fazit
Aufgrund des Ablaufs des Geltungszeitraums der gesetzlichen datenschutzrechtlichen Grundnormen zur Gesundheitsdatenspeicherung in Bezug auf die im Zusammenhang mit der Corona-Pandemie erhobenen Daten sowie den Überprüfungsankündigungen der Landesbeauftragten für den Datenschutz wird dringend zu einer betriebsinternen Kontrolle der gespeicherten Gesundheitsdaten geraten. Wie oben ausgeführt, kann lediglich in wenigen Ausnahmefällen die weitere Erhebung und Speicherung von Gesundheitsdaten mit Pandemiebezug noch angezeigt sein. Ansonsten wird die sofortige Löschung von Gesundheitsdaten empfohlen, da insbesondere die Ausübung der in Art. 17 Abs. 1 lit. a) – b) und d) DSGVO geregelten Rechte auf Löschung von zukünftig nicht in notwendiger Weise, ohne bestehende rechtliche Verpflichtung oder entgegen widerrufener Einwilligungen erhobenen und gespeicherten Daten zum 3G-Status, durch die Betroffenen im Raum stehen. Hier sind dann – wie immer beim Löschen von Daten – auch IT-sicherheitsrechtliche Aspekte gemäß Art. 25 Abs. 2 S. 2 DSGVO zu beachten, da es sich bei den Gesundheitsdaten um besonders sensible Daten der Beschäftigten handelt. Diese sind gründlich und zuverlässig aus den eigenen, betriebsinternen Systemen zu entfernen, damit Gesundheitsdaten insbesondere zukünftig nicht zum Nachteil des jeweils betroffenen Mitarbeitenden weiter verarbeitet werden können
Was Sie noch interessieren könnte:
Die Haftung von Verantwortlichen, Gemeinsam Verantwortlichen und Auftragsverarbeitern
Die Funktion als Verantwortlicher, gemeinsam Verantwortlicher oder Auftragsverarbeiter ist für Unternehmen vor allem in Haftungssituationen rund um den Datenschutz […]
Die Erstellung eines Löschkonzepts – das gilt es zu beachten!
In der DSGVO finden sich an einigen Stellen Verpflichtungen zur Löschung personenbezogener Daten. Darunter beispielsweise das Recht auf Löschung in […]
Künstliche Intelligenz und Datenschutz – woran Verantwortliche im Unternehmen denken sollten
Laut dem statistischen Bundesamt nutzen Unternehmen Künstliche Intelligenz (KI) am häufigsten zur Spracherkennung, gefolgt von der Automatisierung von Arbeitsabläufen oder […]
