Der digitale Impfnachweis ist mittlerweile weit verbreitet. Für Geimpfte ist das nicht nur ein wichtiges Dokument, sondern bietet auch eine gewisse Sicherheit im Alltag. Denn als geimpfte Person sind Reisen in viele Länder beispielsweise ohne Test möglich. Aber kann der Impfnachweis auch datenschutzrechtlich mithalten und welche Informationen müssen über den Impfnachweis hinaus weitergegeben werden? Wir haben mit der Datenschutzexpertin, Rechtsanwältin und Rechtsberaterin Katharina Schreiner zu dem Thema Impfnachweis und Auskunftspflicht gesprochen.
Darf ein „normaler“ Arbeitgeber den Impfstatus seiner MA abfragen?
Für “normale” Arbeitgeber gelten die Vorgaben der DSGVO und des BDSG, da hier in aller Regel keine Spezialnormen - wie etwa im Gesundheitsbereich - einschlägig sind. Da es sich beim Impfstatus um ein Gesundheitsdatum handelt, richtet sich die Datenverarbeitung nach Art. 9 Abs. 4 DSGVO in Verbindung mit § 26 Abs. 3 BDSG.
Das heißt, im Rahmen des Beschäftigungsverhältnisses wäre die Abfrage des Impfstatus zulässig, wenn dies zur Ausübung von Rechten oder zur Erfüllung von Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und die schutzwürdigen Interessen der Mitarbeiter nicht entgegenstehen. In jedem anderen Fall muss der Angestellte dem Arbeitgeber keine Auskunft erteilen oder darf sogar eine falsche unverbindliche Angabe machen.
Generell wird häufig damit argumentiert, dass Arbeitgeber mit der Abfrage des Impfstatus sich selbst und ihre Beschäftigten - für die sie eine Fürsorge- und Schutzpflicht tragen - sowie Kunden vor potenziell Ansteckungsrisiken schützen. Das reicht allerdings, vor allem nach Ansicht einiger deutschen Aufsichtsbehörden, nicht aus, um eine Abfrage des Impfstatus zu rechtfertigen. Um eine Erforderlichkeit zu bejahen, müsste der Arbeitgeber vielmehr ohne die Angaben des Impfstatus nicht in der Lage sein, seinen Betrieb zu organisieren. Aus diesem Grund ist die Abfrage des Impfstatus in aller Regel unzulässig.
Gelten Ausnahmen im Gesundheitsbereich?
Ja, es gibt spezielle Regelungen für den Gesundheitsbereich. Hier gilt § 23 a in Verbindung mit § 23 Abs. 3 Infektionsschutzgesetz (IfSG): “Soweit es zur Erfüllung von Verpflichtungen aus § 23 Absatz 3 in Bezug auf übertragbare Krankheiten erforderlich ist, darf der Arbeitgeber personenbezogene Daten eines Beschäftigten über dessen Impf- und Serostatus verarbeiten, um über die Begründung eines Beschäftigungsverhältnisses oder über die Art und Weise einer Beschäftigung zu entscheiden.”
Das gilt (nach § 23 Abs. 3 IfSG) für folgende medizinische Einrichtungen:
Krankenhäuser,
Einrichtungen für ambulantes Operieren,
Vorsorge- oder Rehabilitationseinrichtungen, in denen eine den Krankenhäusern vergleichbare medizinische Versorgung erfolgt,
Dialyseeinrichtungen,
Tageskliniken,
Entbindungseinrichtungen,
Behandlungs- oder Versorgungseinrichtungen, die mit einer der in den Nummern 1 bis 6 genannten Einrichtungen vergleichbar sind,
Arztpraxen,
Zahnarztpraxen,
Praxen sonstiger humanmedizinischer Heilberufe,
Einrichtungen des öffentlichen Gesundheitsdienstes, in denen medizinische Untersuchungen, Präventionsmaßnahmen oder ambulante Behandlungen durchgeführt werden,
ambulante Pflegedienste, die ambulante Intensivpflege in Einrichtungen, Wohngruppen oder sonstigen gemeinschaftlichen Wohnformen erbringen
und Rettungsdienste.
Kann der Arbeitgeber alternativ ein Testergebnis des Arbeitnehmers erfragen?
Bei Testergebnissen gilt Folgendes: Hier sollte stets ein Blick in die Rechtsverordnung zu Corona-Schutzmaßnahmen des jeweiligen Bundeslandes geworfen werden. Die Länder haben unterschiedliche Regelungen zur Testpflicht in einzelnen Bereichen sowie zu Dokumentations- und Aufbewahrungspflichten getroffen. Sollte ein Arbeitgeber nach der jeweiligen Rechtsverordnung nicht verpflichtet sein, Testergebnisse einzusehen beziehungsweise zu dokumentieren, sollte hiervon abgesehen werden. Zugleich gilt aber, dass ein Arbeitnehmer, der ein positives Testergebnis erhält, schon aus Gründen der Treuepflicht gegenüber dem Arbeitgeber verpflichtet ist, seinen Arbeitgeber zu informieren, damit weiteren Ansteckungen vorgebeugt werden kann.
Für bestimmte medizinische Einrichtungen gilt auch hier die Regelung des § 23 a in Verbindung mit § 23 Abs. 3 Infektionsschutzgesetz.
Darf der Arbeitgeber seine Mitarbeiter nach der Rückkehr aus dem Urlaub nach dem Reiseziel befragen?
Es sollte dringend darauf geachtet werden, nicht allgemein die privaten Reiseziele der Angestellten abzufragen. Grundsätzlich ist es nach wie vor Privatsache der Mitarbeiter, wo sie ihren Urlaub verbringen. Es kann aber bei entsprechendem Anlass konkret nach einem Aufenthalt in einem Risiko- beziehungsweise Risikovariantengebiet gefragt werden. Gerade vor dem Hintergrund, dass sich die Einstufung als Risiko- beziehungsweise Risikovariantengebiet momentan schnell ändern kann, kann eine entsprechende gezielte Abfrage für einen effektiven Schutz der Mitarbeiter erforderlich sein. Die Arbeitnehmer haben dem Arbeitgeber gegenüber allerdings keine Auskunftspflicht. Selbst wenn der private Urlaub in einem Risiko- beziehungsweise Risikovariantengebiet stattfindet, müssen Angestellte dem Vorgesetzten gegenüber auch auf Nachfrage hin keine Auskunft erteilen.
Gibt es Datenlecks bei dem digitalen Impfausweis oder muss etwas spezifisch beachtet werden?
Datenschutz-Pannen bei den digitalen Impfnachweisen sind bislang nicht bekannt. Sicherheitslücken, über die berichtet wurde, betreffen die Fälschungssicherheit der digitalen Impfpässe. Der direkte Datenschutz ist dabei aber nicht betroffen.
Das Datenschutzkonzept sieht grundsätzlich gut aus, beispielsweise werden Daten hier nur lokal gespeichert. Der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) wurde einbezogen und steht einer digitalen Gestaltung grundsätzlich positiv gegenüber.
Bislang gibt es also keine konkreten Gründe zur Sorge. Das ist allerdings auch abhängig von der IT-Sicherheit, die anhand der öffentlich zugänglichen Informationen nicht im Detail bewertet werden kann. Der User selbst kann in diesem Fall kaum etwas tun, um den Schutz der Daten einwandfrei zu gewährleisten.
Generell lässt sich zusammenfassen, dass die Auskunftspflicht gegenüber dem Arbeitgeber nach wie vor nicht automatisch vorliegt. Nur in speziellen Fällen und unter gewissen Umständen ist der Arbeitgeber befugt, den Impfstatus oder andere Daten wie Reiseziele abzufragen. Sollten Sie sich dennoch unsicher sein, inwieweit der Datenschutz gewährleistet ist, können Sie uns jederzeit konsultieren, um eine persönliche Datenschutzberatung zu erhalten.
Autor: Team datenschutzexperte.de
Artikel veröffentlicht am 20.08.2021
