Arbeitgeber sind dazu verpflichtet, die Zugangskontrollen ihrer Mitarbeitenden zu dokumentieren. Dazu dürfen sie in diesem Fall auch personenbezogene Daten wie den Namen und die Gültigkeit des 3G-Nachweises abfragen und für ein Hygienekonzept nutzen, etwa um sicherzustellen, dass sich in einem bestimmten Bereich nur Geimpfte und Genesene aufhalten. Bei Getesteten dürfen auch das Datum, die Uhrzeit und das Testergebnis gespeichert werden. Weitere Gesundheitsdaten dürfen nicht abgefragt werden. Jurist Franz-Josef Rose stellt fest: "Wir hatten bis jetzt keine datenschutzrechtliche Erlaubnis dazu im Gesetz. Der Gesetzgeber hat die Datenschutzhürde erkannt und geregelt. Bis jetzt haben die Datenschützer immer gesagt: Ohne Regelung kein Handeln. Jetzt haben wir die Regelung, jetzt darf gehandelt werden."