Verarbeitung des Impfstatus von Beschäftigten

/ Allgemein, Datenschutz im Unternehmen / Von

Die Datenschutzkonferenz (DSK) hat sich in einem Beschluss vom 19.10.2021 zur Verarbeitung des Impfstatus von Beschäftigten durch Arbeitgeber geäußert. Dabei hat sie nochmals betont, dass eine solche Verarbeitung auch in Zeiten der COVID-19-Pandemie ohne eine ausdrückliche gesetzliche Ermächtigung grundsätzlich nicht erfolgen darf.

Impfstatus ein Gesundheitsdatum

Bei dem Datum „Impfstatus“ handelt es sich nach Ansicht der DSK um ein Gesundheitsdatum gemäß Art. 4 Nr. 15 DSGVO und damit um eine besondere Kategorie personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO. 

Rechtsgrundlage der Datenverarbeitung

Die Qualifizierung als Gesundheitsdatum hat zur Folge, dass die Verarbeitung des Datums „Impfstatus“ gemäß Art. 9 DSGVO grundsätzlich verboten und nur ausnahmsweise erlaubt ist. 

Laut DSK ist eine Verarbeitung in folgenden Fallgruppen möglich:

  • § 23a IfSG i.V.m. § 23 Abs. 3 IfSG: Bestimmte Arbeitgeberinnen und Arbeitgeber aus dem Gesundheitsbereich (z.B. Krankenhäuser, Arztpraxen usw.) dürfen unter den im Gesetz genannten Voraussetzungen den Impfstatus ihrer Beschäftigten (generell, d.h. nicht nur bzgl. der Corona-Schutzimpfung!) verarbeiten;
  •  § 36 Abs. 3 IfSG: Bestimmte Arbeitgeberinnen und Arbeitgeber (z.B. Trägerinnen und Träger von Kindertageseinrichtungen, ambulante Pflegedienste usw.) dürfen unter den im Gesetz genannten Voraussetzungen den Impfstatus ihrer Beschäftigten im Zusammenhang mit COVID-19 (!) verarbeiten;
  • § 56 Absatz 1 IfSG: Arbeitgeberinnen und Arbeitgeber dürfen den Impfstatus derjenigen Beschäftigten verarbeiten, die ihnen gegenüber einen Anspruch auf Geldentschädigung (Lohnersatz) nach dieser Vorschrift geltend machen. Dieser Anspruch kann im Einzelfall auch im Fall einer möglichen Infektion mit COVID-19 sowie einer sich anschließenden Quarantäne bestehen. Anspruchsvoraussetzung ist unter anderem, ob die Möglichkeit einer Schutzimpfung bestand.
  • Soweit eine solche Verarbeitung durch Rechtsverordnungen zur Pandemiebekämpfung auf Basis des IfSG vorgegeben ist.

Die bei der Verarbeitung von Gesundheitsdaten im Rahmen von Beschäftigungsverhältnissen grundsätzlich in Frage kommende Rechtsgrundlage des § 26 Abs. 3 Satz 1 BDSG ist nach Auffassung der DSK dagegen nicht einschlägig. Auch eine Verarbeitung des Impfstatus von Beschäftigten aufgrund deren Einwilligung kommt aus Sicht der DSK in den meisten Fällen nicht in Betracht. Aufgrund des Über- und Unterordnungsverhältnisses zwischen Arbeitgeber und Arbeitnehmer, bestehen im Rahmen etwaiger Einwilligungen nach Ansicht der DSK nämlich regelmäßig Zweifel an der von § 26 Abs. 3 Satz 2, Abs. 2 BDSG geforderten Freiwilligkeit.

Was ist sonst noch zu beachten?

Im Zusammenhang mit der Abfrage des Datums „Impfstatus“ sind folgende weiter Punkte zu beachten:

  • Vor Speicherung der Daten sollte geprüft werden, ob der angestrebte Zweck auch mit der bloßen Abfrage des Impfstatus erreicht werden kann. Ist eine Speicherung zur Zweckerreichung erforderlich, dürfen keine Kopien von Impfausweisen oder vergleichbaren Bescheinigungen (im Original oder als Kopie) in die Personalakte aufgenommen werden. Nach Ansicht der DSK ist es vielmehr ausreichend, wenn vermerkt wird, dass diese jeweils vorgelegt worden sind.
  • Sobald der Zweck für die Speicherung des Impfstatus entfallen ist, muss dieses personenbezogene Datum gelöscht werden.
  • Arbeitgeberinnen und Arbeitgeber müssen – sofern einschlägig – auch die Freiwilligkeit einer Einwilligung nachweisen können.

Stand: 03.11.2021

Weiterer interessanter Artikel: BayLDA zum Auskunftsanspruch von (ehemaligen) Beschäftigten