Das Thema
Das gemeinsame Gremium der Datenschutzaufsichtsbehörden des Bundes und der Länder kommt dabei zu dem Ergebnis, dass der Impfstatus ein besonders sensibles Gesundheitsdatum ist. Die Verarbeitung von solchen sogenannten besonderen Kategorien personenbezogener Daten ist nach Art. 9 Abs. 1 DSGVO grundsätzlich untersagt. Art. 9 Abs. 2 DSGVO sieht in eng umrissenen Grenzen Ausnahmen vor. Nach Art. 9 Abs. 2 lit. j) DSGVO können sich Ausnahmen aus mitgliedstaatlichen Gesetzen ergeben. Das deutsche Infektionsschutzgesetz (IfSG) sieht einige solche vor.
Die Ausnahmen im Detail
Zu den Ausnahmen, die der Beschluss explizit anspricht, gehören Arbeitergeber aus dem Gesundheitsbereich. Nach §§ 23a, 23 Abs. 3 IfSG ist die Erhebung des Impfstatus in Einrichtungen wie Krankenhäusern und Arztpraxen gestattet, soweit es der Verhinderung von Krankheitserregern dient.
Des Weiteren verweist die DSK auf § 36 Abs. 3 IfSG, der bestimmt, dass Arbeitgeber den Impfstatus von Beschäftigten zum Zwecke der Verhütung von COVID-19 Infektionen in bestimmten Einrichtungen, z. B. Kindertageseinrichtungen, abfragen dürfen.
Arbeitgeber und Arbeitnehmer dürfen den Impfstatus auch verarbeiten, sofern ein Arbeitnehmer Ansprüche auf Geldentschädigung (Lohnersatz) nach § 56 Absatz 1 IfSG geltend macht. Dessen Voraussetzungen können im Einzelfall auch im Fall einer möglichen Infektion mit COVID-19 sowie einer sich anschließenden Quarantäne vorliegen. Anspruchsvoraussetzung ist unter anderem, ob die Möglichkeit einer Schutzimpfung bestand.
Arbeitgeber dürfen dem Beschluss zufolge den Impfstatus von Beschäftigten außerdem auch verarbeiten, soweit dies durch Rechtsverordnungen zur Pandemiebekämpfung auf Basis des IfSG vorgegeben ist.
Ist eine Einwilligung möglich?
Die DSK zweifelt in ihrem Beschluss an, dass eine datenschutzrechtliche Einwilligung in die Erhebung des Impfstatus möglich ist. Nach § 26 Abs. 3 Satz 2 und Abs. 2 BDSG ist unter bestimmten Voraussetzungen eine Einwilligung im Rahmen eines Beschäftigungsverhältnisses auch in die Verarbeitung besonderer Kategorien von personenbezogenen Daten möglich.
Allerdings geht die DSK grundsätzlich davon aus, dass aufgrund des Über-/Unterordnungsverhältnisses, das zwischen Arbeitgeber und Arbeitnehmer besteht, regelmäßig keine Einwilligung gegeben ist. Ob dies in dieser Pauschalität zutreffend ist, erscheint durchaus fraglich. Zumal unklar bleibt, weswegen die Verarbeitung von Schnelltestergebnissen demgegenüber möglich sein soll.
Fürsorgepflicht des Arbeitgebers
Leider führt der Beschluss der DSK keine Gründe an, warum die Ausnahme aus § 26 Abs. 3 Satz 1 BDSG als Rechtsgrundlage nicht in Betracht kommen sollte. Nach dieser Norm ist die Verarbeitung besonderer personenbezogener Daten zulässig, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht erforderlich ist. Man könnte zumindest darüber nachdenken, ob die Fürsorgepflicht des Arbeitgebers für die Gesundheit seiner Beschäftigten nicht eine rechtliche Pflicht darstellt, die sich der Vorschrift subsumieren ließe. Schließlich besteht die Fürsorgepflicht auch gegenüber Personen, die sich aufgrund von Immunschwäche oder Ähnlichem nicht impfen lassen können.
Fazit
Die deutschen Datenschutzaufsichtsbehörden halten eine Abfrage des Impfstatus durch Arbeitgeber für weitgehend unzulässig. Auch eine Einwilligung kommt nach Ansicht der DSK regelmäßig nicht in Betracht. So eindeutig wie es ihr Beschluss suggeriert ist die Frage aus datenschutzrechtlicher Sicht jedoch keineswegs zu beantworten. Vor diesem Hintergrund sind die knappen Ausführungen der DSK zu dieser Fragestellung sehr verwunderlich. Aus der Sicht von Unternehmen wäre zur Schaffung von Rechtssicherheit insgesamt eine gesetzliche Regelung wünschenswert, welche die Abfrage des Impfstatus erlaubt.
