Source: https://www.noerr.com/de/newsroom/news/datenschutz-und-coronavirus-pravention
Timestamp: 2020-07-11 05:24:28+00:00

Document:
Datenschutz und Coronavirus-Prävention - Noerr LLP
Noerr Newsroom Datenschutz und Coronavirus-Prävention
*****Update vom 02.04.2020 - 23:00 Uhr: Handreichungen der Datenschutzaufsichtsbehörden*****
Unternehmen denken derzeit u.a. darüber nach, zur Coronavirus-Prävention ihre jeweiligen Betriebsgelände durch Vereinzelungsschleusen abzusichern, an denen Infrarot-Kameras angebracht werden, die über eine Wärmebildfunktion automatisch Temperaturunterschiede bei den die Schleuse passierenden Personen messen. Im Alarmfall erfolgt noch einmal eine Nachmessung durch eine hierfür speziell vom Unternehmen abgestellte Person. In einigen Fällen wurden solche Systeme auch bereits installiert.
Solche Maßnahmen allein mit dem Hinweis auf das Hausrecht des Unternehmens zu rechtfertigen, ließe den Umstand unberücksichtigt, dass dabei in vielen Fällen personenbezogene Daten entstehen. Bei der konkreten Ausgestaltung solcher Maßnahmen ist also darauf zu achten, dass der Aufzeichnung gesundheitsbezogener Daten datenschutzrechtliche Grenzen gezogen sind, bei deren Überschreitung Datenschutzaufsichtsbehörden Bußgelder verhängen und betroffene Personen Schmerzensgeldansprüche geltend machen können. Auch Befragungen aller Beschäftigten nach ihrem Gesundheitszustand oder dem ihrer Angehörigen können datenschutzrechtlich unzulässig sein, insbesondere wenn sie als systematische Reihenbefragungen ausgestaltet sind. An einer Pflicht des Beschäftigten zur eigeninitiativen Meldung von Corona-Erkrankungen, die ein Risiko für die anderen Beschäftigten oder den Betrieb bedeuten könnten, und der Zulässigkeit der Dokumentation solcher Meldungen und der daraufhin ergriffenen Maßnahmen durch den Arbeitgeber ändert dies jedoch nichts.
Allenfalls dann, wenn die Messung vollkommen ohne Protokollierung der gemessenen Temperaturen erfolgt, und auch ansonsten jegliche - auch nachträgliche – Zuordnungsmöglichkeit gemessener Werte zu individuellen Personen ausgeschlossen werden kann, sind die gemessenen Werte keine personenbezogenen Daten im Sinne der DS-GVO mehr. Infrarotkamera-Aufnahmen werden jedoch typischerweise gespeichert, was eine persönliche (nachträgliche) Identifikation in aller Regel möglich macht.
Soweit die Personen, deren Temperatur gemessen werden soll, Beschäftigte des Unternehmens sind, ist eine Legitimation dieser Messvorgänge gemäß § 26 Abs. 3 Satz 1 BDSG für Zwecke des Beschäftigungsverhältnisses nur zulässig, wenn sie zum einen zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist. Zum anderen darf kein Grund zu der Annahme bestehen, dass es überwiegende und schutzwürdige Interessen der betroffenen Person gibt, dass Maßnahmen wie beispielsweise die "zwangsweise" Fiebermessung unterbleiben. Die im Zusammenhang mit den vielfältigen Abwehrmaßnahmen, die Arbeitgeber in Betracht ziehen können, vereinzelt in Bezug genommene allgemeinere Norm in § 22 Abs. 1 lit. (c) BDSG kann für Fiebermessungen bei Beschäftigten keine Rolle spielen, weil § 26 Abs. 3 Satz 1 BDSG die „spezifischere Vorschrift [… für die] Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext“ (Zitat aus der Öffnungsklausel in Art. 88 Abs. 1 DS-GVO) ist.
Der Bundesbeauftragte für Datenschutz und Informationsfreiheit sieht grundsätzlich und abstrakt in Art. 9 Abs. 2 lit. (b) DS-GVO in Verbindung mit § 26 Abs. 3 Satz 1 BDSG eine Rechtfertigung für Gesundheitsdatenerhebungen am Arbeitsplatz zur Abwehr des Coronavirus, die jedoch in jedem Einzelfall unter Abwägung der jeweiligen Umstände geprüft werden müssen. Die Voraussetzungen von § 26 Abs. 3 Satz 1 BDSG sind im Fall der zwangsweisen automatisierten Temperaturmessung aus mehreren Gründen jedoch nicht gegeben. Selbst wenn man unterstellt, dass ein Arbeitgeber aus Gründen der Fürsorge gegenüber seinen Arbeitnehmern verpflichtet wäre, entweder einen infizierten Beschäftigten zu identifizieren oder andere Beschäftigte vor einer Infektion durch bereits betroffene Beschäftigte zu schützen, ist die Fiebermessung schon von der Art der Maßnahme her nicht so hinreichend zur Erreichung dieser Zwecke geeignet, dass dem Arbeitgeber eine zwangsweise Messung und Erfassung der dabei erzeugten Messdaten erlaubt wäre: Am Coronavirus erkrankte Personen leiden nämlich nicht zwingend unter Fieber, nach Daten des Robert Koch Instituts tritt das in Deutschland sogar nur in weniger als der Hälfte der Fälle auf. Somit erlaubt die Fiebermessung keine sichere Identifikation von Infektionsträgern. Außerdem ist Fieber generell nur ein Symptom für entzündliche Prozesse im menschlichen Körper, so dass eine festgestellte erhöhte Körpertemperatur nicht zwingend Rückschluss auf eine Corona-Infektion erlaubt. Schließlich ist eine Person - selbst wenn sie unter einem fiebrigen Corona-Ausbruch leidet - aufgrund der Inkubationszeit von bis zu 14 Tagen womöglich schon lange vorher unerkannt Infektionsträger. Fiebermessungen sind also kein geeignetes Mittel zur eindeutigen Erkennung von Corona-Infektionen und erfüllen damit nicht das Kriterium der Erforderlichkeit in § 26 Abs. 3 Satz 1 BDSG. Die fehlende Eindeutigkeit der Fiebermessung ist also in der gemäß § 26 Abs. 3 Satz 1 BDSG vorzunehmenden Interessenabwägung ein wesentlicher Aspekt bei der Beurteilung der Maßnahme; dabei ist abzuwägen, ob es nicht weniger stark eingreifende Maßnahmen als das "zwangsweise" Fiebermessen gibt, die mindestens ebenso geeignet sind, der Fürsorgepflicht des Arbeitgebers Rechnung zu tragen und dabei die schutzwürdigen Interessen der betroffenen Beschäftigten ebenso oder gar besser berücksichtigen. Insbesondere kommen hierbei die Befragung der Beschäftigten nach Corona-spezifischen Symptomen, insbesondere nach Rückkehr aus Risikozonen, auch durch Fragebögen, oder die freiwillige Fiebermessung entweder durch den Beschäftigten selbst oder einen (Betriebs-)Arzt in Betracht.
In Anlage 1 des vom Bundesamt für Zivilschutz und Katastrophenhilfe herausgegebenen Handbuchs zur innerbetrieblichen Vorbereitung auf eine Pandemie wird zwar empfohlen, dass der Arbeitgeber Infrarot-Ohrthermometer zur Temperaturkontrolle im Rahmen der Eingangskontrolle des Arbeitgebers anschaffen und zur Verfügung haben sollte. Diese Empfehlung könnte Anlass zu der Überlegung geben, dass in der seit kurzem bestehenden Situation einer offiziell ausgerufenen Pandemie, in der auch der Nationale Pandemieplan Anwendung findet, die Temperaturkontrolle als Teil der Eingangskontrolle zum Betriebsgelände als sinnvolle Maßnahme angesehen werden könnte. Aber auch diese (inzwischen übrigens rund 10 Jahre alte und damit vor Inkrafttreten der DS-GVO ausgesprochene, un dnicht für COVID-19-spezifische Symptome angepasste) Empfehlung des Bundesamtes für Zivilschutz und Katastrophenhilfe bedeutet ebenso wie die arbeitsvertraglich bestehende und in §§ 3 und 4 ArbSchG normierte Fürsorgepflicht der Arbeitgebers nicht zwangsläufig, dass eine zwangsweise Kontrolle der Körpertemperatur durch den Arbeitgeber zulässig wäre, wo es für den Beschäftigten weniger einschneidende Maßnahmen gibt, wie beispielsweise die Messung durch einen (Betriebs-)Arzt oder dessen medizinischen Fachpersonal, das der ärztlichen Schweigepflicht unterliegt, oder die Befragung des Beschäftigten nach Corona-spezifischen Symptomen. Vielmehr hat der Arbeitgeber auch in Zeiten von Corona grundsätzlich kein Recht, zu erfahren, woran ein Arbeitnehmer erkrankt ist. Wenn allerdings aufgrund der hohen Ansteckungsgefahr Schutzmaßnahmen im Betrieb ergriffen werden müssten, muss der Beschäftigte ausnahmsweise aufgrund arbeitsrechtlicher Treuepflicht die Art der Erkrankung seinem Arbeitgeber mitteilen. Diese Mitteilungspflicht kann der Arbeitgeber auch durch diverse Maßnahmen unterstützen, wie beispielsweise Aufklärungsmaßnahmen, Einrichten einer Hotline zur Beratung und zur Erstattung von Krankheits(verdachts)meldungen, etc. Der Arbeitgeber steht also vor der Aufgabe, den Konflikt zwischen seiner Fürsorgepflicht einerseits und den datenschutz- und persönlichkeitsrechtlichen Rechten und Freiheiten der Beschäftigten andererseits zu bewältigen. Da er hierfür aber in die Rechte und Freiheiten der Beschäftigten weniger stark eingreifende Mittel zur Wahrnehmung der Fürsorgepflicht zur Verfügung hat, ist das Risiko hoch, dass eine Datenschutzaufsichtsbehörde zu der Auffassung gelangt, dass der Arbeitgeber nicht selbst das Heft des Handelns in die Hand nehmen und selbst medizinische Untersuchungs- oder Anamnesemaßnahmen ergreifen darf. Einige Datenschutzaufsichtsbehörden im EU-Ausland haben sich auch schon in diesem Sinne positioniert, z.B. die Aufsichtsbehörden von Frankreich, den Niederlanden, Belgien, Luxemburg und Italien.
Haben Sie Fragen? Kontaktieren Sie gerne: Joachim Schrey
Praxisgruppen: Data Privacy, Employment & Pensions, Digital Business, Commerce & Trade

References: § 26
 § 22
 § 26
 Art. 88
 Art. 9
 § 26
 § 26
 § 26
 § 26