Datenschutz in Zeiten von Corona

Einleitung

Die Corona-Pandemie hat eine allgemeine Verunsicherung in die Bevölkerung getragen, die es, zumindest im derzeitigen Ausmaß, seit dem Ende des zweiten Weltkrieges so in Deutschland nicht mehr gegeben hat. Klar ist, dass sich diese Unsicherheit auch unmittelbar auf einen Bereich überträgt, der für die meisten von uns einen Großteil des Tagesablaufes ausmacht – Die Arbeit.

Wo früher Kollegen trotz einer Erkältung pünktlich um 9.00 Uhr an ihrem Platz gesessen haben, werden diese heute ausdrücklich darum gebeten, von der Arbeit fernzubleiben. Hinzu tritt der Trend, dass – soweit machbar – oftmals ganze Belegschaften aus den Büros an den heimischen Esstisch ins Home-Office wechseln.

Doch vielerorts besteht sowohl bei Arbeitgebern als auch bei Arbeitnehmern auch Verunsicherung darüber, wie mit Informationen über den Gesundheitszustand von Mitarbeitern umgegangen werden soll. Was passiert mit dem ansonsten so hochgehaltenen Schutz von Gesundheitsdaten in der Krise?

 

Was genau sind Gesundheitsdaten? 

In diesem Zusammenhang sollte zunächst geklärt werden, was genau unter den Begriff der Gesundheitsdaten zu fassen ist.

Die Datenschutz-Grundverordnung selbst definiert dabei den Begriff der Gesundheitsdaten nicht, stellt jedoch in Art. 9 Abs.1 DSGVO fest, dass diese zu den besonderen Kategorien von Daten zählen, die eine besondere Schutzbedürftigkeit erfordern und daher nur in den spezifischen Ausnahmefällen des Art. 9 Abs.2 DSGVO verarbeitet werden dürfen.

Allerdings hat uns der Gesetzgeber im Erwägungsgrund 35 zur Datenschutz-Grundverordnung deutlich gemacht, was er unter dem Begriff der Gesundheitsdaten verstanden haben will. Danach sollen zu den Gesundheitsdaten alle Daten zählen, die sich auf den Gesundheitszustand einer betroffenen Person beziehen und aus denen Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand der betroffenen Person hervorgehen.

 

Welchen Wert haben Gesundheitsdaten während einer Pandemie?

Kurzgefasst – Gesundheitsdaten kommt im Zuge einer aufkeimenden oder akuten Pandemie ein unschätzbarer Wert zu.

Warum das so ist wird deutlich, wenn man sich den nationalen geltenden Pandemieplan des Robert Koch Instituts ansieht. Dort ist u.a. festgelegt, dass im Rahmen jeder Pandemie eine fortlaufende Risikoeinschätzung vorgenommen wird, für deren Durchführung das epidemische Potential in der Bevölkerung, der Schweregrad der Erkrankungen sowie die Ressourcenbelastung im Gesundheitsversorgungssystem als maßgebende Indikatoren für die Einschätzung der Lage sowie die Planung und Durchführung von in diesem Zusammenhang gebotenen Präventions- und Schutzmaßnahmen herangezogen werden. Eines haben die Indikatoren dabei gemeinsam – sie basieren auf oder korrelieren mit Gesundheitsdaten, die zur kontinuierlichen Informationsbeschaffung im Rahmen von Überwachungssystemen (Surveillance) laufend erhoben und ausgewertet werden müssen.

Das für die Überwachung und Auswertung notwendige Werkzeug bietet in Deutschland das Infektionsschutzgesetz, auf welches im Rahmen eines anderen Artikels noch im Detail einzugehen sein wird.

 

Genaue Angaben schützen uns selbst und alle Menschen um uns herum. 

„Datenschutz ist etwas für Gesunde.“ So oder so ähnlich hat es unser Gesundheitsminister einmal ausgedrückt. Wie wahr dieser Ausspruch ist, bestätigt sich einmal mehr in der derzeit vorherrschenden Krise, die der französische Präsident sogar als „Krieg“ bezeichnet.

Jeder einzelne von uns ist nun in der Pflicht, zum Wohle der Gesellschaft „mit offenen Karten zu spielen“. War man vor kurzem noch im Urlaub in einem der aktuell ausgewiesenen Krisengebiete? Weist man eventuell Symptome einer Erkrankung auf, die auch auf eine Infektion mit Covid-19 hindeuten könnte? Hatte man ggf. Kontakt zu Personen, die nachweislich mit Covid-19 infiziert sind?

Bei der Klärung dieser Fragen, darf ein wesentlicher Teil des Lebens natürlich keinesfalls aus dem Blick gelassen werden – Die Arbeit. Nach einer Studie des Statistischen Bundesamtes aus dem Jahr 2015 verbringt der deutsche Durchschnittsbürger rund die Hälfte seines Lebens bei der Arbeit. Der Arbeitsplatz ist in Zeiten der Pandemie also ein nicht zu unterschätzendes Risikoelement im Hinblick auf die weitere Übertragung des Virus. Bei der Bekämpfung einer ungehemmten Verbreitung von Covid-19 kommt auch dem Arbeitgeber folglich eine Schlüsselrolle zu. Das führt unweigerlich zu der Frage…

 

Was darf und sollte der Arbeitgeber wissen?

Viele Informationen, die für den Arbeitgeber üblicherweise uninteressant oder unter dem schützenden Deckmantel der Vertraulichkeit verborgen sind, können nun kriegsentscheidend werden.

Im Vordergrund stehen dabei vor allem solche Daten, die es dem Arbeitgeber ermöglichen seiner Fürsorgepflicht gegenüber dem Arbeitnehmer, als Nebenpflicht zum Arbeitsvertrag, uneingeschränkt nachzukommen. So sollte der Arbeitgeber unbedingt Kenntnis von etwaigen Vorerkrankungen (z.B. Diabetes, Herz-Kreislauf-Schwäche) erlangen, die im Zusammenhang mit einem schweren Krankheitsverlauf stehen, um die hiervon betroffenen Mitarbeiter frühzeitig freizustellen oder, wenn dies die ausgeübte Tätigkeit zulässt, diese ins Homeoffice zu schicken.

Die Verarbeitung (in diesem Fall die Erhebung) solcher Daten ist zwar, aufgrund ihrer Einstufung als Gesundheitsdaten, nach Art. 9 Abs.1 DSGVO grundsätzlich untersagt. Allerdings kann sich der Arbeitgeber hier auf die Ausnahmeregelung in Art. 9 Abs.2 lit.b DSGVO berufen. Danach gilt das generelle Verarbeitungsverbot auch für Gesundheitsdaten nicht, wenn die Verarbeitungstätigkeit erforderlich ist, damit der Arbeitgeber als Verantwortlicher i.S.v. Art. 4 Nr.7 DSGVO den ihm aus dem Arbeitsrecht erwachsenden Pflichten (hier seiner Fürsorgepflicht) gegenüber dem Arbeitnehmer nachkommen kann.

Eine Begrenzung erfährt diese Ausnahmeregelung allerdings durch das Unionsrecht oder das nationale Recht des jeweiligen Mitgliedstaates. So muss sichergestellt sein, dass die von der Verarbeitung betroffene Person (hier der Arbeitnehmer) durch die Verarbeitungstätigkeit nicht in ihren gesetzlich garantierten Grundrechten beschränkt wird. In diesem Zusammenhang ist insbesondere auf das in Art. 22 des Grundgesetzes verankerte Diskriminierungsverbot hinzuweisen. Der Arbeitgeber darf sein neu erlangtes Wissen um Vorerkrankungen bei bestimmten Mitarbeitern selbstverständlich nicht dazu benutzen, um diese gezielt vor diesem Hintergrund gegenüber anderen Arbeitnehmern zu benachteiligen. Auch hier steht, wie bei der Datenschutz-Grundverordnung stets, die Zweckbindung für die Datenverarbeitung im Vordergrund. Der Arbeitgeber ist insoweit verpflichtet, die zur Wahrung seiner Fürsorgepflicht erhobenen Daten ausschließlich zweckgebunden zu behandeln und diese nach dem Wegfall des Verwendungszwecks (also spätestens nach Entspannung der Krisenlage) wieder zu löschen.

 

Was lernen wir aus der Krise? 

Die derzeitige Krise hat viele Schlagzeilen mit sich gebracht. Keine davon hat sich bisher jedoch mit dem Datenschutz beschäftigt. Dieser scheint in Zeiten von Corona lediglich eine untergeordnete Rolle zu spielen – und das ist gut so.

Jeder Einzelne sollte sich darüber im Klaren sein, dass eine umfassende Datenlage zur weiteren Bekämpfung und Eindämmung der Covid-19 Pandemie essentiell ist und der Austausch dieser Datensätze bestenfalls über nationale Grenzen hinweg auf internationaler Ebene erfolgen sollte. Zusammenarbeit ist das Stichwort der aktuellen Tage und Wochen.

Doch die Krise wird irgendwann zum Glück auch wieder vorbei sein. Entscheidend ist dann, dass wir aus der derzeitigen Situation gewisse „Learnings“ mitnehmen und diese auch auf lange Sicht beherzigen. Nachfolgend sollen drei Vorschläge für solche Learnings mit auf den Weg gegeben werden:

1. Daten retten Leben – Eine umfassende Datenlage trägt dazu bei, dass Risiken auch im Vorwege besser abgeschätzt und frühzeitig Maßnahmen zum Schutz von besonders betroffenen und schutzwürdigen Personengruppen ergriffen werden können.
2. Die Datenschutz-Grundverordnung ist und war nie als Verhinderungsinstrument für die gezielte und vor allem zweckgebundene Verarbeitung auch von sensiblen Daten.
3. Wir benötigen einen weltweit koordinierten Datenfluss – Die Krise, die einst in China begann hat uns erneut gezeigt, dass wir in unserer globalisierten Welt enger zusammenrücken. Daten müssen über Ländergrenzen hinweg ausgewertet werden, um frühzeitig als globale Einheit auf aufkeimende Pandemien reagieren zu können.