Source: https://www.pehb.at/2020/04/06/datenschutzrechtliche-aspekte-im-zusammenhang-mit-covid-19/
Timestamp: 2020-08-13 14:16:52
Document Index: 380660254

Matched Legal Cases: ['Art 32', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 6', 'Art 6', 'Art 6', 'Art 6', 'Art. 6', 'Art. 6', 'Art. 6']

Datenschutzrechtliche Aspekte im Zusammenhang mit COVID-19 - PEHB
Datenschutzrechtliche Aspekte im Zusammenhang mit COVID-19
Der rechtmäßige Umgang mit personenbezogenen Daten im Zusammenhang mit der Bekämpfung des Coronavirus stellt viele Arbeitgeber vor weitere Herausforderungen.
Auf Folgendes weisen wir überblicksmäßig hin:
1. Verarbeitung von Gesundheitsdaten
Die Verarbeitung von personenbezogenen Gesundheitsdaten als eine „besondere Kategorie personenbezogener Daten“ (sogenannte „sensible Daten“) ist gemäß Artikel 9 Abs. 1 DSGVO untersagt. Zu den personenbezogenen Gesundheitsdaten zählen dem Erwägungsgrund 35 der DSGVO auch alle Daten, die sich „auf den Gesundheitszustand einer betroffenen Person beziehen und aus denen Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand hervorgehen“. Aufzeichnungen des Arbeitgebers über seine Mitarbeiter, die Informationen über eine Covid-19-Erkrankung beinhalten, fallen beispielsweise darunter.
Personenbezogene Gesundheitsdaten unterliegen somit grundsätzlich einem Verarbeitungsverbot, es sei denn, eine Verarbeitung ist gemäß Artikel 9 Abs. 2 DSGVO ausnahmsweise zulässig.
2. Zulässige Datenverarbeitung von Mitarbeiterdaten
Wenn ein Arbeitgeber über Mitarbeiter Informationen speichert und festhält, wonach beispielsweise
ein Mitarbeiter Symptome des Coronavirus aufzeigt,
ein Mitarbeiter an Covid-19 erkrankt ist oder
ein Mitarbeiter in einem gefährdeten Gebiet war
verarbeitet er gesundheitsbezogene Daten. Damit eine derartige Datenverarbeitung zulässig ist, bedarf es einer Rechtsgrundlage. Als Rechtsgrundlage kommt zunächst die ausdrückliche Einwilligung der Mitarbeiter in Betracht, sofern sie für einen bestimmten festgelegten Zweck erfolgt. Ein Schweigen oder eine konkludente Zustimmung wäre demzufolge zu wenig.
Die DSGVO sieht jedoch abseits der Einwilligung auch andere Rechtsgrundlagen für eine zulässige Verarbeitung von Gesundheitsdaten vor. Gemäß Artikel 9 Abs. 2 lit. b DSGVO ist eine Verarbeitung zulässig, soweit
„die Verarbeitung erforderlich ist, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht (und dem Recht der sozialen Sicherheit und des Sozialschutzes) erwachsenen Rechte ausüben und nachkommen kann.“
Die zulässige Verarbeitung der Gesundheitsdaten kann daher aus der Fürsorgepflicht des Arbeitgebers resultieren, zum Zweck des Schutzes der Gesundheit der Mitarbeiter. Diese Ansicht hat die österreichische Datenschutzbehörde zuletzt bereits bestätigt. Dies allein genügt jedoch noch nicht, damit die Verarbeitung von Gesundheitsdaten DSGVO-konform erfolgt. Es ist entscheidend, dass auch die allgemeinen datenschutzrechtlichen Grundsätze – wie bei jeder Datenverarbeitung – beachtet werden. Dazu zählen gemäß Artikel 5 DSGVO in erster Linie
Datenminimierung – es dürfen nicht mehr Daten verarbeitet werden, als für den „Zweck der Datenverarbeitung“ erforderlich ist;
Zweckgebundenheit – es dürfen nur jene Daten verarbeitet werden, die für den konkreten Zweck erforderlich sind;
Speicherbegrenzung – die Daten sind zu löschen, sobald der Zweck erfüllt ist.
Ein Verstoß gegen diese datenschutzrechtlichen Grundsätze stellt einen schwerwiegenden Verstoß dar und wird mit einer Geldbuße in Höhe von bis zu 20 Mio. oder 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet.
Welche konkreten Gesundheitsdaten Arbeitgeber in diesem Zusammenhang rechtmäßig verarbeiten dürfen ist einzelfall- und branchenabhängig: Im Bereich der Lebensmittelherstellung kann die Speicherung umfassenderer gesundheitsbezogener Angaben der Mitarbeiter gerechtfertigt sein; dagegen im Speditionsbereich weniger.
Wir empfehlen daher schriftlich festzuhalten, warum die jeweilige Datenverarbeitung der Gesundheitsdaten im konkreten Fall gerechtfertigt ist. Diese Datenverarbeitung ist im Übrigen auch im verpflichtend zu führenden Verzeichnis von Verarbeitungstätigkeiten gemäß Artikel 30 DSGVO mitaufzunehmen. Dieses Verzeichnis kann bekanntlich von der Datenschutzbehörde jederzeit geprüft werden.
3. Verpflichtende Maßnahmen gegenüber Mitarbeitern
Der Arbeitgeber ist im Rahmen seiner Fürsorge verpflichtet, Maßnahmen zur Vermeidung von Infizierungen zu treffen und im Falle einer Infizierung seine übrigen Mitarbeiter zu schützen. Er hat dabei den infizierten Beschäftigten zu identifizieren und Maßnahmen zu ergreifen. Auch diese Vornahme hat im Einklang mit den datenschutzrechtlichen Grundsätzen (Stichwort: „Datenminimierung“) zu erfolgen. Die vom Arbeitgeber zu treffenden Maßnahmen haben angemessen zu sein; eine öffentliche Bloßstellung durch ein Mitarbeiterfoto am schwarzen Brett des infizierten Mitarbeiters wäre überschießend; eine mündliche Information der Betroffenen (z.B. Kollegen im selben Büro) wäre hingegen angemessen.
Als datenschutzrechtlich Verantwortlicher hat der Arbeitgeber stets die „gelindesten Mittel“ zu wählen: so ist ein tägliches verpflichtendes Fiebermessen in den meisten Fällen überschießend. Fieber ist nicht zwangsläufig ein sicheres Symptom für eine COVID-19-Erkrankung. Der Mitarbeiter kann – als gelinderes Mittel – beispielsweise auch regelmäßig über seinen Gesundheitszustand befragt werden. Ein regelmäßiges Fiebermessen auf freiwilliger Basis wäre hingegen möglich.
4. Übermittlung von Daten an Gesundheitsbehörden
Sollte ein Arbeitgeber aufgefordert werden, Gesundheitsdaten von Mitarbeitern an die Gesundheitsbehörde zu übermitteln, ist auch hierfür keine ausdrückliche Einwilligung des Mitarbeiters einzuholen. Gemäß Artikel 9 Abs. 2 lit. i DSGVO ist die Verarbeitung (von Gesundheitsdaten) zulässig, sofern:
„die Verarbeitung aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit zum Schutz von schwerwiegenden grenzüberschreitenden Gesundheitsgefahren erforderlich ist.“
Sollten daher Bezirksverwaltungsbehörden Auskunft über Gesundheitsdaten verlangen, ist dies auf Basis der bestehenden Rechtsgrundlage zulässig, was auch die Datenschutzbehörde bestätigt.
5. Homeoffice und Datenschutz
Die Ermöglichung von Teleworking oder Homeoffice (zusammen auch nur „Homeoffice“) stellt eine weitere Maßnahme dar, um die Ausbreitung des Coronavirus einzudämmen. Aus datenschutzrechtlicher Sicht ist zu beachten, dass Mitarbeiter damit personenbezogene Daten von zuhause aus verarbeiten. Arbeitgeber als datenschutzrechtlich Verantwortliche haben dafür zu sorgen, dass die gemäß Art 32 DSGVO getroffenen technischen und organisatorischen Schutzmaßnahmen zum Schutz personenbezogener Daten auch auf den Bereich Homeoffice erweitert werden. Der Arbeitgeber hat jene Mitarbeiter, die im Homeoffice tätig sind, somit beispielsweise anzuweisen,
sämtliche personenbezogene Daten vertraulich zu behandeln (Passwörter schützen);
geschützte WLAN oder LAN Verbindung zu verwenden;
keine Ausdrucke anzufertigen bzw. Ausdrucke (sofern erforderlich) sicher zu verwahren bzw. gesondert (nicht im Hausmüll bzw. beim Altpapier) zu entsorgen (besser: im Office);
keine privaten Kommunikationsmittel (Facebook, Instagram, WhatsApp) für den Austausch von beruflichen Informationen zu verwenden;
Cyberkriminalität beachten – wachsam sein;
Auch die Datenschutzbehörde hat bereits aufgefordert, (derartige) Schutzmaßnahmen im Homeoffice zu treffen. Es soll damit bestmöglich sichergestellt werden, dass der Arbeitgeber auch durch ein Homeoffice ein angemessenes Schutzniveau entsprechend dem Stand der Technik für die betrieblich verarbeiteten Daten gewährleisten kann. Sollte es zu einem Data-Breach-Fall kommen, hätte der Arbeitgeber gegenüber der Datenschutzbehörde nachzuweisen, welche konkreten Maßnahmen er zum Schutz personenbezogener Daten im Homeoffice getroffen hat. Daher empfiehlt es sich, auch darüber schriftliche Aufzeichnungen anzufertigen, die gegebenenfalls der Datenschutzbehörde vorgelegt werden können.
6. Exkurs
6.1. Überwachungsmaßnahmen
Es wird immer konkreter, dass auch Big Data zur Eindämmung des Coronavirus eingesetzt werden wird. Damit könnten Messdaten regelmäßig ausgewertet werden, die man z.B. über das Mobiltelefon erhält, um u.a. das Bewegungsprofil zu kontrollieren.
In Österreich gilt im Sinne der DSGVO, dass derartige Daten zur Bekämpfung grenzüberschreitender Gesundheitsgefahren verarbeitet werden dürfen. Unter Berücksichtigung der oben genannten datenschutzrechtlichen Grundsätze sind auch diese Daten nach Erfüllung des Zweckes wieder zu löschen.
6.2. Datenübermittlung an Bürgermeister
Mit dem 3. COVID-19-Gesetz wurde die nicht unumstrittene Maßnahme beschlossen, wonach Bezirksverwaltungsbehörden nunmehr ermächtigt sind, Bürgermeistern den Namen und die erforderlichen Kontaktdaten einer COVID-19 betroffenen Person, die im Gemeindegebiet des Bürgermeisters wohnhaft ist, mitzuteilen. Dies jedoch ausschließlich zum Zweck der Versorgung dieser Person mit notwendigen Gesundheitsdienstleistungen oder mit Waren bzw. Dienstleistungen des täglichen Bedarfs. Eine Verarbeitung zu anderen Zwecken ist unzulässig. Im Einklang mit den datenschutzrechtlichen Grundsätzen sind die Daten „unumkehrbar zu löschen“, sofern sie für den Zweck, für den sie gesichert wurden, nicht mehr erforderlich sind. Diese Ermächtigung der Datenübermittlung an Bürgermeister soll mit Ablauf des Jahres 2020 wieder außer Kraft treten. Fragen, wie die Kontrolle dieser Datenübermittlung erfolgen soll, sind allerdings noch offen; desgleichen steht auch eine Reaktion der Datenschutzbehörde noch aus.
PEHB Rechtsanwälte2020-04-29T12:14:35+02:00
© Copyright Pressl Endl Heinrich Bamberger Rechtsanwälte GmbH
der Pressl Endl Heinrich Bamberger Rechtsanwälte GmbH, FN 444608k
Erzabt-Klotz-Straße 21a, 5020 Salzburg
Pressl Endl Heinrich Bamberger Rechtsanwälte GmbH („PEHB“) ist dazu verpflichtet, Ihre Daten zu schützen. PEHB nimmt diesen Auftrag auch ernst. In unserer Datenschutzerklärung informieren wir Sie, warum wir Ihre Daten erheben und in welcher Form wir sie verarbeiten werden, wenn Sie beispielsweise unser Mandant, Lieferant oder Geschäftspartner sind, unsere Website besuchen oder unseren Newsletter abonnieren.
II. Was sind personenbezogene Daten?
Personenbezogene Daten sind Informationen, die sich auf Personen beziehen, deren Identität identifiziert oder identifizierbar ist (z.B. Name, Anschrift, Email-Adresse, Telefonnummer, Geburtsdatum, Rechnungsdaten, IP-Adresse). Auch sensible Daten, wie Gesundheitsdaten oder Daten im Zusammenhang mit einem Strafverfahren können umfasst sein.
III. Welche Daten verarbeitet PEHB?
Wir verarbeiten personenbezogene Daten auf unterschiedliche Weise:
[1.] Datenverarbeitung von Mandanten
Wir verarbeiten solche personenbezogenen Daten, die zur Durchführung und Abwicklung der anwaltlichen Leistungen erforderlich sind oder die Sie uns freiwillig zur Verfügung stellen. Dies gilt auch für eine Datenverarbeitung im Rahmen des anwaltlichen Bereitschaftsdienstes. Dazu gehören z.B. Ihre Kontaktdaten, Stammdaten, Korrespondenzdaten, Bankdaten, etc. Wir erheben Ihre personenbezogenen Daten entweder zur Durchführung vorvertraglicher Maßnahmen oder zur Erfüllung einer vertraglichen Verpflichtung im Rahmen des Mandatsverhältnisses (Art. 6 Abs. 1 lit. a DSGVO) basierend auf Ihrer ausdrücklichen Einwilligung und zur Erfüllung unserer gesetzlichen und standesrechtlichen Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO).
[2.] Datenverarbeitung von Geschäftspartnern und Lieferanten
Wir verarbeiten Ihre Daten insbesondere zur Anbahnung, Aufrechterhaltung und Abwicklung von Verträgen. Die Datenverarbeitung erfolgt zur Durchführung vorvertraglicher Maßnahmen oder zur Erfüllung unserer vertraglichen Verpflichtungen (Art. 6 Abs. 1 lit. b DSGVO) sowie zur Erfüllung unserer gesetzlichen Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO).
[3.] Nutzung der PEHB-Webseite, Interessenten und Abonnenten unsere Newsletters
Nutzung der PEHB-Webseite
Im Zuge der Nutzung unserer Webseite verarbeiten wir ausschließlich anonyme Daten ein Personenbezug ist für uns dabei nicht herstellbar (vgl. Punkt VI.).
Sofern Sie über unser Kontaktformular auf unserer Webseite bzw. per E-Mail, Telefon oder Fax mit uns Kontakt aufnehmen, verarbeiten wir Ihre bekannt gegebenen personenbezogenen Daten wie z.B. E-Mail-Adresse, Name, Telefonnummer, Faxnummer einschließlich Ihrer Anfrage zum Zwecke der Bearbeitung Ihrer Anfrage.
Sofern Sie sich für unseren Newsletter anmelden, verarbeiten wir jene personenbezogenen Daten, die Sie uns freiwillig zur Verfügung gestellt haben, wie z.B. Name, Adresse, E-Mail-Adresse, Firma) sowie Ihre IP-Adresse für den Versand von Newslettern und zur Informationen über aktuelle rechtliche Entwicklungen. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, z.B. per E-Mail an kanzleileitung@pehb.at.
Die von Ihnen erhobenen Zugriffsdaten im Rahmen der Nutzung unserer Webseite werden für statistische Auswertungen und zum Zweck des Betriebes und der Optimierung unserer Webseite verwendet (überwiegend berechtigte Interessen gem. Art 6 Abs 1 lit f DSGVO).
Um Ihre Anfragen bearbeiten zu können verarbeiten wir die hierfür erhobenen personenbezogenen Daten zur Erfüllung (vor-) vertraglicher Pflichten bzw. aufgrund berechtigter Interessen (Art 6 Abs 1 lit b, lit f DSGVO).
Jede weitere Verarbeitung Ihrer personenbezogenen Daten (z.B. für den Newsletter-Versand) erfolgt mit Ihrer Einwilligung (Art 6 Abs 1 lit a DSGVO).
[4.] Datenverarbeitung von Bewerbern
Wir verarbeiten Ihre Daten zur Abwicklung des Bewerbungsverfahrens und für den Fall, dass wir Sie einstellen, für die Anmeldung bei der Sozialversicherung. Die Datenverarbeitung erfolgt zur Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) sowie zur Erfüllung unserer gesetzlichen Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO).
IV. Gibt PEHB Ihre Daten weiter?
Wir geben personenbezogene Daten nicht an Dritte weiter, es sei denn, es ist für die genannten Zwecke erforderlich und es besteht eine entsprechende Rechtsgrundlage, wie eine gesetzliche Grundlage oder die Erfüllung eines Vertragsverhältnisses. In diesem Fall werden unter Einhaltung der gesetzlichen Bestimmungen Daten an externe Dritte weitergegeben, z.B. Gegenseite, Substitute, Steuerberater und Wirtschaftstreuhänder, Österreichische Rechtsanwaltskammertag, Bundesministerium für Verfassung, Reformen, Deregulierung und Justiz, Gerichte oder Behörden sowie Dienstleister, die im Auftrag von PEHB Daten verarbeiten (Auftragsverarbeiter). Diese Auftragsverarbeiter sind insbesondere IT-Dienstleister. Alle unsere Auftragsverarbeiter verarbeiten Ihre Daten nur in unserem Auftrag und auf Basis unserer Weisungen für die oben dargestellten Zwecke.
V. Wie lange speichert PEHB Ihre personenbezogenen Daten?
Wir speichern Ihre personenbezogenen Daten nur so lange, wie Sie für die Erfüllung der oben dargestellten Zwecke und für die vertraglichen bzw. gesetzlichen Verpflichtungen benötigt werden. Wir löschen Ihre personenbezogenen Daten jedenfalls nach Erreichen des Zweckes. Personenbezogenen Daten werden maximal für einen Zeitraum von 30 Jahren gespeichert. Beruht eine Datenverarbeitung auf Ihrer Einwilligung verarbeiten wir die Daten maximal für die Dauer der Gültigkeit der Einwilligung.
Die PEHB-Webseite benutzt Google Analytics, einen Webanalysedienst von Google Inc., 1600 Amphitheatre, Parkway, Mountain View, CA 94043, USA (“Google”). Google Analytics verwendet sog. „Cookies“, Textdateien, die auf Ihrem Computer gespeichert werden und eine Analyse Ihrer Nutzung der Webseite ermöglichen. Wir verarbeiten Ihre Daten auf Grundlage unseres überwiegenden berechtigten Interesses, auf kosteneffiziente Weise eine leicht zu verwendende Webseiten-Zugriffsstatistik zu erstellen (Art. 6 Abs. 1 lit f Datenschutz-Grundverordnung).
Die durch das Cookie erzeugten Informationen über Ihre Nutzung unserer Webseite (einschließlich Ihrer IP-Adresse und die URLs der aufgerufenen Webseiten) werden an Server von Google in den USA übertragen und dort gespeichert. Wir speichern keine Ihrer Daten, die in Zusammenhang mit Google Analytics erhoben werden.
Die PEHB-Webseite verwendet die von Google Analytics gebotene Möglichkeit der IP-Anonymisierung. Ihre IP-Adresse wird daher von Google gekürzt/anonymisiert, sobald Google Ihre IP-Adresse erhält. In unserem Auftrag wird Google diese Informationen verwenden, um Ihre Nutzung der Website auszuwerten, um Reports über die Websiteaktivitäten zusammenzustellen und um weitere mit der Webseitenutzung und der Internetnutzung verbundene Dienstleistungen an uns zu erbringen. Die im Rahmen von Google Analytics von Ihrem Browser übermittelte IP-Adresse wird von Google nicht mit anderen Daten zusammengeführt.
Sie können die Speicherung der Cookies durch eine entsprechende Einstellung Ihrer Browser-Software verhindern. Wir weisen Sie jedoch darauf hin, dass Sie in diesem Fall unter Umständen nicht sämtliche Funktionen unserer Webseite vollumfänglich nutzen können. Sie können darüber hinaus verhindern, dass Google Ihre Daten im Zusammenhang mit Google Analytics erhebt, indem Sie das unter dem folgenden Link verfügbare Browser-Plugin herunterladen und installieren: tools.google.com/dlpage/gaoptout.
Sie können die Erhebung Ihrer Daten durch Google Analytics auf unserer Webseite auch verhindern, indem Sie auf untenstehenden Link klicken. Es wird ein Opt-Out-Cookie gesetzt, das die zukünftige Erfassung Ihrer Daten beim Besuch dieser Website verhindert:
Google Analytics deaktivieren [Anm: der dazugehörige JavaScript-Code findet sich auf developers.google.com/analytics/devguides/collection/gajs/]
Sie haben unter Wahrung der rechtsanwaltlichen Verschwiegenheitspflicht jederzeit das Recht auf Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger und den Zweck der Datenverarbeitung sowie ein Recht auf Berichtigung unrichtiger Daten und Löschung Ihrer Daten. Sie können außerdem Ihre Einwilligung zur Verarbeitung personenbezogener Daten mit Wirkung für die Zukunft widerrufen, wenn die Verarbeitung auf Ihrer Zustimmung basiert. Ihnen steht ein Recht auf Einschränkung der Verarbeitung Ihrer Daten sowie ein Recht auf Herausgabe der von Ihnen bereitgestellten Daten in einem strukturierten und gängigen Format (Datenübertragbarkeit) zu.
Sie haben außerdem die Möglichkeit, sich mit einer Beschwerde an die Österreichische Datenschutzbehörde (Wickenburggasse 8-10, 1080 Wien, Email: dsb@dsb.gv.at) zu wenden.
Sollten Sie Fragen bezüglich Ihrer personenbezogenen Daten haben, kontaktieren Sie uns bitte unter kanzleileitung@pehb.at.
IX. Kontaktdaten
Pressl Endl Heinrich Bamberger Rechtsanwälte GmbH, FN 444608k
Telefon: +43 662 / 82 70 70
Fax: +43 662 / 82 70 70 – 70
kanzleileitung@pehb.at
Stand: 19.08.2019 11:26