Corona und der Datenschutz

Derzeit gibt es eigentlich nur ein beherrschendes Thema ?? der Corona-Virus und seine weltweite Ausbreitung. Für Arbeitnehmer und Arbeitgeber ergeben sich in diesem Zusammenhang viele Fragen aus dem Bereich des Datenschutzes, die wir hier kurz stellen und beantworten möchten.

I. Fragen von Arbeitnehmern:

1. Muss ich meinen Arbeitgeber über eine Corona-Infizierung informieren?
Ja, dazu sind Sie verpflichtet. Der Arbeitgeber hat eine Fürsorgepflicht und muss im Falle einer Erkrankung durch den Corona-Virus besondere Schutzmaßnahmen ergreifen, inklusive der Benachrichtigung des Gesundheitsamts.

2. Muss ich meinen Arbeitgeber über eine Corona-Infizierung meiner Angehörigen und Freunde informieren?
Das ist nur dann erforderlich, soweit Sie als Kontaktperson gelten. Dies ist der Fall, soweit Sie mindestens zwei Tage vor Auftreten von Symptomen beim Infizierten mit diesem mindestens 15 Minuten lang direkten Kontakt hatten. Da die Übertragung von Rachen zu Rachen erfolgt, reicht hierfür ein entsprechend lang geführtes Gespräch, bei dem der Abstand von zwei Metern nicht gewahrt war. Auch insoweit haben Sie aber nicht konkrete Namen zu nennen, sondern mitzuteilen, dass Sie Kontakt zu einer entsprechenden Person hatten.

3. Muss ich Auskunft über mein Bewegungsprofil und meine Kontakte geben?
Auch hierzu sind Sie verpflichtet. Dem Arbeitgeber haben Sie insoweit alle arbeitsbezogenen Hinweise zu geben, d.h. wie Ihre Wege im Büro sind, mit welchen Kollegen Sie in den letzten Tagen vermehrt Kontakt hatten. Das Gesundheitsamt kann dann zusätzlich Informationen über Ihre private Mobilität verlangen.

4. Muss ich Auskunft über den Verlauf meiner Corona-Erkrankung geben?
Nein, dazu sind Sie nicht verpflichtet. Sie dürfen Ihren Arbeitsplatz aber erst wieder aufsuchen, wenn Sie offiziell als genesen gelten und dies durch eine entsprechende Bescheinigung nachweisen können.

5. Wie kann es sein, dass das Robert-Koch-Institut von Telekommunikationsanbietern Bewegungsdaten erhält? Kann ich hierdurch nachverfolgt werden?
Diese Daten sind anonymisiert und damit ist der Schutzbereich der DS-GVO schon nicht eröffnet. Nach dem Erwägungsgrund 26 liegen anonyme Daten vor, wenn die betroffene Person nicht oder nicht mehr identifiziert werden kann. Das Robert-Koch-Institut erhält insoweit nur Übersichten über Bewegungsprofile, ohne diese einem Individuum zuordnen zu können. Das hilft, die Risikolage besser einzuschätzen und die Erforderlichkeit weiterer Maßnahmen beurteilen zu können. Sie persönlich können dadurch nicht nachverfolgt werden.

II. Fragen von Arbeitgebern:

1. Muss ich notieren, welche Personen im Büro ein- und ausgegangen sind? Wie lange darf ich diese Daten speichern?
Falls Sie nicht bereits über eine Empfangskontrolle verfügen, sollten Sie diese nunmehr zwingend installieren. Zudem sollten Sie nur wirklich notwendige Termine mit dem nötigen Platz und Sicherheitsabstand von 2 Metern pro Person stattfinden lassen.

Sie sollten gegenwärtig stets ein Überblick darüber haben, wer als Lieferant Reinigungsfirma, Facility-Manager Zugang zu Ihren Büroräumen und diese wann aufgesucht hat.

Aus „Corona-Sicht“ können Sie diese Daten mindestens 14 Tage aufbewahren. Soweit Sie die Daten auch aus Sicherheitsaspekten speichern, dürfen diese bis zu drei Monate aufgehoben werden. Bitte denken Sie daran, dass es zur Bekämpfung der Epidemie nicht nur erforderlich ist, den Namen der jeweiligen Person zu erheben, sondern auch zumindest eine Kontaktmöglichkeit, wie z.B. E-Mail-Adresse oder Telefonnummer. Nur so können diese Personen bei einem Vorfall auch kontaktiert werden.

2. Darf ich nach einer Information über einer Corona-Erkrankung Listen über Kontaktpersonen und den räumlichen Wirkungskreis dieser Person erstellen? Wie lange darf ich diese Daten aufheben?
Hierzu werden Sie gegebenenfalls vom Gesundheitsamt aufgefordert. Unabhängig davon sollten Sie diese Listen zur effektiven Ergreifung von Maßnahmen zum Schutz der anderen Arbeitnehmer erstellen. Dies ist erforderlich, um Hygienemaßnahmen, wie die komplette Desinfektion von Räumlichkeiten, effizient durchzuführen.

Zu Nachweiszwecken können diese Daten bis zu drei Monate aufbewahrt werden.

3. Gegenwärtig möchte ich keine Bewerbungsgespräche durchführen. Kann ich Bewerberdaten länger als gewöhnlich aufbewahren?
Die Fristen zum Löschen von Bewerberdaten sind an den Abschluss des Bewerbungsverfahrens geknüpft. Insoweit verlängern sie sich automatisch, soweit auch das Verfahren mehr Zeit in Anspruch nimmt. Jeder Bewerber und jede Bewerberin muss derzeit mit Verzögerungen bei einem Bewerbungsverfahren rechnen, da die Geschäftsaktivitäten nahezu jedes Unternehmens gegenwärtig auf ein Minimum reduziert sind.

Es empfiehlt sich jedoch, den Bewerber bzw. die Bewerberin kurz anzuschreiben und darauf hinzuweisen, dass es zu Verzögerungen kommt und dass es dem Bewerber bzw. der Bewerberin jederzeit freisteht, seine Bewerbung zu widerrufen und die dazugehörigen Daten löschen zu lassen.

4. Darf ich die im Rahmen einer Corona-Erkrankung erhobenen Daten auch für andere Zwecke, z.B. zur Erstellung von Statistiken, verwenden?
Grundsätzlich dürfen Daten nur für den Zweck verarbeitet werden, zu dem sie erhoben wurden. Eine Zweckänderung ist an weitere Voraussetzungen geknüpft (siehe Art. 6 Abs. 4 DS-GVO). Dies gilt nicht, sobald die Daten anonymisiert wurden (siehe auch die Antwort zu Frage Nr. 5). Gegen die Erstellung einer allgemeinen anonymen Statistik über Krankheitstage im Unternehmen ist insoweit nichts einzuwenden. Die Verwendung von Bewegungsprofilen ist tabu, soweit nicht auch hier eine Anonymisierung erfolgt.

Haben Sie noch eine andere datenschutzrechtliche Frage in Zusammenhang mit der Corona-Epidemie? Gerne können Sie uns hierzu kontaktieren.

Ansprechpersonen
Rechtsanwältin Dr. Karolin Nelles, LL.M., Frankfurt
Rechtsanwalt Lukas Behnke, Osnabrück