Verarbeitungen des „Impfstatus“ von Beschäftigten

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat sich am 19. Oktober 2021 per Beschluss zur Verarbeitungen des Datums „Impfstatus“ von Beschäftigten durch die Arbeitgeberin oder den Arbeitgeber geäußert.

Demnach gilt generell:

Arbeitgeberinnen und Arbeitgeber dürfen das Datum „Impfstatus“ ihrer Beschäftigten ohne eine ausdrückliche gesetzliche Ermächtigung grundsätzlich nicht verarbeiten – auch nicht im Rahmen der COVID-19-Pandemie.

Aktuelle gesetzliche Ermächtigungen sind beispielsweise:

• §§ 23a, 23 Absatz 3 des Infektionsschutzgesetzes (IfSG): Bei dem Vorliegen der gesetzlichen Voraussetzungen, dürfen Arbeitgeberinnen und Arbeitgeber aus dem Gesundheitsbereich (Krankenhäuser, Arztpraxen usw.) den Impfstatus verarbeiten.

• § 36 Absatz 3 IfSG: Bei dem Vorliegen der gesetzlichen Voraussetzungen, dürfen Arbeitgeberinnen und Arbeitgeber, zum Beispiel Trägerinnen und Träger von Kindertageseinrichtungen, ambulante Pflegedienste usw., den Impfstatus verarbeiten.

• § 56 Absatz 1 IfSG: Arbeitgeberinnen und Arbeitgeber dürfen den Impfstatus derjenigen Beschäftigten verarbeiten, die ihnen gegenüber einen Anspruch auf Geldentschädigung (Lohnersatz) nach § 56 Absatz 1 IfSG geltend machen. Dessen Voraussetzungen können im Einzelfall auch im Fall einer möglichen Infektion mit COVID-19 sowie einer sich anschließenden Quarantäne vorliegen. Anspruchsvoraussetzung ist unter anderem, ob die Möglichkeit einer Schutzimpfung bestand.

• Arbeitgeberinnen und Arbeitgeber dürfen den Impfstatus von Beschäftigten auch verarbeiten, soweit dies durch Rechtsverordnungen zur Pandemiebekämpfung auf Basis des IfSG vorgegeben ist, demnach beispielsweise durch Rechtsverordnung einzelner Bundesländer.

Die Verarbeitung auf der Rechtsgrundlage von Einwilligungen der Beschäftigten ist zwar möglich, jedoch nach Vorgaben der DSGVO nur dann, wenn die Einwilligung freiwillig erteilt worden ist.

Bei einer Einwilligung eines Beschäftigten bestehen jedoch regelmäßig Zweifel an der Freiwilligkeit (Über- und Unterordnungsverhältniss der Beteiligten) und damit an der Rechtswirksamkeit der Einwilligung. Eine wirksame Einwilligung wird jedoch in aller Regel angenommen, wenn die Einwilligung für den Beschäftigen vorteilhaft ist.

Einen solchen Vorteil der Beschäftigten scheint auch die Landesregierung Baden-Württemberg in ihrem aktuellen Änderungsbeschluss vom 13.10.2021 zur Corona-Verordnung anzunehmen, da sie in Bezug auf das 2G-Optionsmodell folgende Regelung getroffen hat:

Liegt die sog. Basisstufe vor, kann bei Beschäftigten auf die Maskenpflicht verzichtet werden, wenn diese freiwillig ihre Genesung oder Impfung gegenüber dem Arbeitgeber nachweisen.   

Näheres hierzu finden Sie hier.

Bei einer zulässigen Verarbeitung sollten jedoch noch die folgenden Punkte beachtet werden:

• Grundsatz der „Datenminimierung“: Wenn die reine Abfrage des Impfstatus zur Zweckerreichung bereits ausreichend ist, ist keine Speicherung des Impfstatus erforderlich. Soll der Impfstatus gespeichert werden, dürfen keine Kopien von Impfausweisen oder vergleichbaren Bescheinigungen (im Original oder als Kopie) in die Personalakte aufgenommen werden. Es ist ausreichend, wenn vermerkt wird, dass diese jeweils vorgelegt worden sind.

• Grundsatz der „Speicherbegrenzung“: Sobald der Zweck für die Speicherung des Impfstatus entfallen ist, muss dieses personenbezogene Datum gelöscht werden. Gleiches gilt bei einem Widerruf einer Einwilligung.

• Grundsatz der „Rechenschaftspflicht“: Arbeitgeberinnen und Arbeitgeber müssen auch die Freiwilligkeit einer Einwilligung nachweisen können.