Datenschutz während der Corona Krise

Viele Arbeitgeber führen auf die schnelle „Homeoffice“ / mobiles Arbeiten, Videokonferenzsysteme und andere Methoden ein, um trotz der Corona-Krise weiterhin arbeiten zu können. Außerdem werden Maßnahmen ergriffen, um Infektionen im Betrieb zu verhindern (z.B. werden Mitarbeiter befragt oder es wird vor Betreten des Büros Fieber bei Ihnen gemessen).

Sowohl bei diesen Maßnahmen zur Aufrechterhaltung der Arbeitsfähigkeit als auch bei den Präventions- bzw. Eindämmungsmaßnahmen werden allerdings in sehr vielen Fälle personenbezogene Daten verarbeitet. In diesen Fällen ist der Datenschutz zu beachten. Er ist nicht ausgesetzt!

Auch in Zeiten des Corona-Virus benötigen Unternehmen (aber auch Behörden) für jede rechtmäßige Verarbeitungen stets mindestens

1. einen legitimen Zweck für die Verarbeitung personenbezogener Daten,
2. eine Rechtsgrundlage, die die Verarbeitung zu diesem Zweck erlaubt,
3. ein angemessenes Niveau an Datensicherheit und Datenschutz,
4. jeweils passende Informationen für die betroffenen Personen (Datenschutzerklärungen),
5. (teilweise ergeben sich auch noch weitere Anforderungen).

Wenn Sie Fragen zur Umsetzung dieser Anforderungen haben, helfen wir Ihnen gern weiter. Auch wir Leisten unseren Beitrag dazu, Ihnen durch die Krise zu helfen und können Hilfe zu reduzierten Kostensätzen anbieten.

1. Präventions- und Eindämmungsmaßnahmen

Bei den Präventions- und Eindämmungsmaßnahmen ist besonders kritisch, dass in vielen Fällen besonders sensible Daten, allen voran Gesundheitsdaten verarbeitet werden. Der Umgang mit derartigen Gesundheitsdaten ist allerdings grundsätzlich verboten (Art. 9 DSGVO) und nur in Ausnahmefällen erlaubt.

Informationen zu Symptomen – wie z.B. Fieber – oder der Einstufung als Infizierter oder Kontaktperson (Infektionsverdacht) gehören zu den Gesundheitsdaten, die der Arbeitgeber möglichst nicht verarbeiten sollte. Die Datenschutzaufsichtsbehörde von Hamburg hat inzwischen mitgeteilt, dass einige Negativauskünfte keine Gesundheitsdaten sind und daher leichter rechtmäßig verarbeitet werden können. Natürlich gilt auch für „normale“ personenbezogene Daten der Datenschutz und es gibt einiges zu beachten.

In jedem Fall müssen die Maßnahmen im Rahmen der Verhältnismäßigkeit bleiben.

Daraus ergeben sich einige kurze Antworten auf häufige Fragen:

• Dürfen die Arbeitgeber private Kontaktdaten ihrer Arbeitsnehmer wie z.B. private Handynummer und E-Mail-Adressen verarbeiten für die Sicherstellung des Kontakts in der Corona-Krise verarbeiten?

In vielen Fällen ist dies möglich. Der Arbeitnehmer ist aber grundsätzlich nicht dazu verpflichtet, diese Daten offenzulegen.

• Darf bei jedem Mitarbeiter Fieber gemessen werden, bevor er in das Büro eintreten darf?

Nein, denn diese Datenverarbeitung ist grundsätzlich nicht erforderlich, um die Fürsorgepflicht des Arbeitsgebers zu erfüllen. Natürlich kann der Arbeitgeber den Mitarbeitern Fieberthermometer zur Verfügung gestellt werden, damit diese selbstständig und nach eigenem Ermessen Ihre Körpertemperatur im Blick behalten. Der Arbeitsgeber sollte aber darauf achten, diese Daten nicht selbst aufzuzeichnen und die Fieberthermometer nicht so zur Verfügung stellen, dass eine Ansteckung unter den Mitarbeitern noch gefördert wird. Dementsprechend sollten Thermometer z.B. nicht ohne vorherige Desinfektion von Mitarbeiter zu Mitarbeiter weitergereicht werden.

• Dürfen die Mitarbeiter ausführlich wegen Symptomen und Risikofaktoren befragt werden?

Nein, grundsätzlich sind auch ausführliche Befragungen nicht erforderlich. Erlaubt können im Hinblick auf das Covid-19-Virus die Fragen danach sein, ob der Mitarbeiter selbst infiziert ist oder in den letzten zwei Wochen Kontakt mit (nachweislich) Infizierten hatte oder sich in diesem Zeitraum in einem vom Robert Koch Institut als Risikogebiet ausgewiesenen Teil der Erde aufgehalten hat (https://www.rki.de/DE/Content/InfAZ/N/Neuartiges_Coronavirus/Risikogebiete.html).

• Darf der Arbeitgeber im Betrieb offenbaren, welcher Beschäftigte infiziert ist, um zu erfragen, wer Kontakt mit dem Mitarbeiter hatte?

Dabei ist Zurückhaltung geboten, denn es handelt sich einerseits um Gesundheitsdaten und darüber hinaus droht dem Infizierten eine Stigmatisierung im Kollegium. Daher ist grundsätzlich zunächst der Infizierte danach zu befragen, mit welchen Kollegen und Kunden er in letzter Zeit engeren Kontakt hatte und dann können weitere Maßnahmen für diese Kontakte getroffen werden. Nur, wenn das nicht sinnvoll möglich ist, kann eine Offenlegung zur Befragung im Betrieb unter bestimmten Umständen und im absolut notwendigen Umfang möglicherweise erforderlich sein. Ist der Betrieb allerdings so klein, dass ohnehin jeder Beschäftigte täglichen Kontakt mit allen anderen Mitarbeitern hat, erübrigt sich in den meisten Fällen diese Erforderlichkeit.

• Kann der Arbeitnehmer freiwillig mehr Daten mitteilen und seine Einwilligung zur Verarbeitung dieser personenbezogenen Daten durch den Arbeitgeber erteilen?

Theoretisch ja, allerdings wird dies teilweise (auch in Veröffentlichungen von Aufsichtsbehörden) als kritisch angesehen, weil Einwilligungen im Beschäftigungsverhältnis immer ein Verdacht der Unfreiwilligkeit anhaftet, der sich nur schwer überwinden lässt.

• Können Dritte (z.B. Kunden, Besucher) am Eingang auf Symptome überprüft bzw. befragt werden, bevor Ihnen der Zugang erlaubt wird?

Wie bereits bei den Mitarbeitern kann bezogen auf das Covid-19-Virus erlaubt sein, zu fragen, ob der Dritte selbst infiziert ist oder in den letzten zwei Wochen Kontakt mit (nachweislich) Infizierten hatte oder sich in diesem Zeitraum in einem vom Robert Koch Institut als Risikogebiet ausgewiesenen Teil der Erde aufgehalten hat (https://www.rki.de/DE/Content/InfAZ/N/Neuartiges_Coronavirus/Risikogebiete.html). Für die Erhebung und Verarbeitung weiterer Daten und insbesondere Gesundheitsdaten wird es in den meisten Fällen an einer Rechtsgrundlage fehlen. Auch eine Einwilligung wird grundsätzlich nicht eingeholt werden können, wenn der Dritte vor die Wahl gestellt wird, alle gestellten Fragen zu beantworten und alle Untersuchungen über sich ergehen zu lassen oder nicht eintreten zu können. Es fehlt in solchen Fällen an der Freiwilligkeit der Einwilligung!

• Können alle Besucher mit Namen und Kontaktdaten registriert werden, um später Infektionsketten nachvollziehen zu können?

Normalerweise ist dafür eine freiwillige Einwilligung der Besucher erforderlich. Eine solche Verarbeitung kann ggf. auch ohne Einwilligung durchgeführt werden, wenn mit den Besuchern regelmäßig mindestens 15 Minuten „face-to-face“ geredet wird, sodass eine erhöhte Infektionswahrscheinlichkeit besteht.

Soweit Sie für eine Maßnahme eine Einwilligung von den betroffenen Personen einholen wollen, beraten wir Sie gern zu den Details und unterstützen Sie bei der Formulierung der Einwilligungserklärungen.

2. Maßnahmen zur Aufrechterhaltung der Arbeitsfähigkeit

Für die Einführung neuer elektronischer Möglichkeiten zur Aufrechterhaltung der Arbeitsfähigkeit, wie z.B. der Einrichtung von „Home-Office“ oder mobilen Arbeiten gelten dieselben Regeln im Datenschutz, wie sonst auch.

Die Einrichtung und Ausgestaltung dieser Maßnahmen sollte nicht nur arbeitsrechtlich vereinbart werden, sondern es sind auch angemessene Maßnahmen zu ergreifen, um ein angemessenes Maß an Datensicherheit und Datenschutz zu gewährleisten. Außerdem müssen zudem die sonstigen oben genannten Mindestanforderungen eingehalten werden.

Bevor Home-Office überhaupt eingeführt werden kann, müssen Unternehmen prüfen, ob sie die Datenverarbeitung, die ins „Home-Office“ verlagern wollen, im Rahmen einer Auftragsverarbeitung für Dritte erbringen, denn in Auftragsverarbeitungsverträgen wird das „Home-Office“ häufig untersagt. In diesen Fällen müssen die Unternehmen untereinander also zunächst eine Ergänzungsvereinbarung abschließen.

Durch die Einführung von „Home-Office“ entstehen zudem ganz erhebliche Gefahren für die Datensicherheit. Einerseits dadurch, dass Akten und Hardware Zuhause aufbewahrt werden und dadurch dem Zugriff unbefugter Haushaltsmitglieder leichter ausgesetzt sein können und andererseits dadurch, dass die verwendete IT leichter angreifbar ist. Erhöhte Risiken bestehen vor allem, bei sehr zügig eingerichteten Lösungen.

Wie man aktuellen Berichten entnehmen kann, versuchen auch Hacker sich diesen chaotischen Übergang ins „Home-Office“ vermehrt zu Nutze zu machen.

Durch diesen Wechsel kann es zudem häufiger zu Datenpannen kommen (z.B. Daten gehen verloren, gelangen in die Hände unbefugter, waren für Unbefugte einsehbar, usw.). Solche Datenpannen müssen in den meisten Fällen innerhalb von 72 Stunden bei den Datenschutzaufsichtsbehörden und ggf. auch bei den betroffenen Personen gemeldet werden.

Wer den Umgang mit Datenpannen in seinem Betrieb bis jetzt noch nicht organisiert hat, sollte sich spätestens jetzt darum kümmern. Auch den Mitarbeitern muss deutlich gemacht werden, wie sie sich im Fall der Fälle verhalten müssen.

Um solchen Datenpannen pflichtgemäß von vornherein zu entgegenzuwirken, müssen Maßnahmen zur Gewährleistung eines angemessenen Niveaus von Datensicherheit und Datenschutz umgesetzt werden. Konkrete Sicherheits-Maßnahmen können den Vorgaben des BSI entnommen werden. Zu den Sicherheits-Maßnahmen sollte u.a. mindestens gehören, dass

• möglichst keine privaten IT-Geräte und Speichermedien verwendet werden,
• Festplatten und sonstige Speichermedien zu verschlüsselt werden,
• grundsätzlich nur über VPN mit dem Unternehmens-Netzwerk kommuniziert wird und dienstliche Daten grundsätzlich nur in diesem dienstlichen Netzwerk gespeichert werden,
• die Bedienung der EDV möglichst abseits Dritter und anderer Haushaltsmitglieder vorgenommen wird,
• Papiere bei Abwesenheit verschlossen aufbewahrt und der Computer-Arbeitsplatz mindestens gesperrt werden,
• Unbefugten der Blick auf den Bildschirm während der Bearbeitung auch durch eine Sichtschutzfolie erschwert wird,
• Sämtliche beteiligte EDV (Computer, WLAN-Router, usw.) zur Nutzung ein starkes Passwort voraussetzen
• nicht mehr benötigte Daten von den Endgeräten im „Home-Office“ richtig gelöscht werden,
• dienstliche Papiere nicht im privaten Drucker vergessen werden,
• usw.

Abgesehen sollte die Corona-Krise nicht der Anlass dafür sein, vermehrt auf nicht datenschutzkonforme Messengerdienste, wie z.B. WhatsApp zurückzugreifen. Auch von Messengerdienste, deren Einsatz aus Sicht des Datenschutzes noch vertretbar sind (die also mindestens Ende-zu-Ende-Verschlüsselung besitzen und die Kontaktdaten des Smartphones nicht umfänglich an den Anbieter des Messenger-Dienstes herausgeben) sollte nur im unbedingt erforderlichen Maße Gebrauch gemacht und ansonsten auf ihren Einsatz verzichtet werden.

Besonders beliebt sind in letzter Zeit zudem Videokonferenz-Systeme. In vielen Fällen werden dafür die Dienste spezialisierter Anbieter solcher Online-Programme in Anspruch genommen. Dabei ist zu beachten, dass es sich regelmäßig um Auftragsverarbeitungen handelt, sodass Auftragsverarbeitungsverträge abgeschlossen werden müssen. Dadurch muss wiederum ein angemessenes Niveau an Datensicherheit und Datenschutz bei der Datenverarbeitung gewährleistet werden. Ganz abgesehen davon benötigen die Unternehmen selbst auch eine Rechtsgrundlage für die Verarbeitung der Daten Ihrer Mitarbeiter durch das Videokonferenz-System und müssen Ihnen die entsprechenden Datenschutz-Informationen (Datenschutzerklärung) erteilen. Dabei wird man die Arbeitnehmer in vielen Fällen nicht dazu verpflichten können, eine Bild-und-Ton-Übertragung zuzulassen; da die Programme zumeist auch die reine Tonübertragung ohne Videosignal (ggf. im Konferenzmodus) unterstützen und der Kommunikationszweck – bei weniger umfangreicher Datenverarbeitung -genauso erfüllt wird.

Bitte achten Sie darauf, dass bei vielen der angesprochenen Maßnahmen auch eine Beteiligung des Betriebsrats – soweit ein solcher bei Ihnen eingerichtet ist – erforderlich ist.

Bei Rückfragen stehen wir Ihnen gern zur Verfügung.