Impfstatus: Dürfen nun alle Arbeitgeber danach fragen?

Seit es die Corona-Impfung gibt, wird auch über die Verarbeitung der Impfdaten diskutiert.

Debatten über Umgang mit Gesundheitsdaten

Eine kurze Chronologie der Debatten und Diskussionen:

• März 2021: Die DSK fordert von der Politik klare „gesetzliche Regelungen zur Verarbeitung pandemiebezogener Gesundheitsdaten durch die Privatwirtschaft“ (wir berichteten).
• August 2021: Bundesgesundheitsminister Jens Spahn löste eine heftige Debatte mit seiner Aussage aus, er könne sich vorstellen, dass Arbeitgeber Mitarbeiter nach ihrem Corona-Impfstatus fragen dürfen.
• September 2021: Der Gesetzgeber änderte das Infektionsschutzgesetz und erlaubte die Abfrage des Impfstatus in einigen Bereichen.
• Oktober 2021: Mehrere Landesdatenschutzaufsichtsbehörden legten Positionspapiere zum Umgang mit der neuen und nach wie vor unklaren Rechtslage vor.

DSK sagt grundsätzlich „nein“

Mit ihrem Beschluss vom 19. Okober 2021 bezieht nun auch die DSK klar Stellung: „Arbeitgeberinnen und Arbeitgeber dürfen das Datum „Impfstatus“ ihrer Beschäftigten ohne eine ausdrückliche gesetzliche Ermächtigung grundsätzlich nicht verarbeiten – auch nicht im Rahmen der COVID-19-Pandemie“, das betonen die Datenschutzaufsichtsbehörden des Bundes und der Länder gleich zu Beginn ihres Beschlusses.

Impfstatus ist personenbezogenes Datum

Beim Impfstatus handelt es sich laut DSK um ein Gesundheitsdatum gemäß Artikel 4 der Europäischen Datenschutz-Grundverordnung (DSGVO) und damit um eine besondere Kategorie personenbezogener Daten.

Deren Verarbeitung ist grundsätzlich verboten und nur ausnahmsweise erlaubt.

Wenige Ausnahmen sind möglich

Lediglich in Einzelfällen, so die DSK weiter, sei die Abfrage auf Grundlage gesetzlicher Regelungen möglich. Zum Beispiel bei

• bestimmten im Gesetz genannten Arbeitgebern wie Krankenhäusern und Arztpraxen oder Kindertageseinrichtungen und ambulanten Pflegediensten,
• der Lohnfortzahlung im Quarantänefall,
• der freiwilligen Einwilligung von Beschäftigten zur Verarbeitung ihrer Gesundheitsdaten.

Drei Grundsätze für die Datenverarbeitung

Darüber hinaus betont die DSK, dass Arbeitgeber die erfragten Angaben zum Impfstatus ihrer Beschäftigten in jedem Fall datenschutzkonform verarbeiten müssen.

Es gelten vor allem diese drei Grundsätze laut Artikel 5 der DSGVO:

• Grundsatz der „Datenminimierung“: Falls die reine Abfrage des Impfstatus ausreicht, ist keine Speicherung erforderlich. Muss der Impfstatus gespeichert werden, dürfen keine Kopien von Impfausweisen in die Personalakte aufgenommen werden.
• Grundsatz der „Speicherbegrenzung“: Sobald der Zweck für die Speicherung des Impfstatus entfallen ist, müssen Arbeitgeber diese Daten löschen.
• Grundsatz der „Rechenschaftspflicht“: Machen Beschäftigte freiwillige Angaben, muss der Arbeitgeber die Freiwilligkeit der Einwilligung nachweisen können.

Gefällt Ihnen dieser Beitrag?

Sie wollen mehr leicht verständliche und fundierte Tipps für Ihren Datenschutz-Alltag? Dann holen Sie sich jetzt Ihr Datenschutz-PRAXIS-Abo. Sie erwartet Know-how zu den Kernaufgaben von Datenschutzbeauftragten mit einem engen Bezug zur Praxis. Best-Practice-Beispiele, News, Tipps, Fallbeispiele aus dem Leben bringen Sie immer leicht verständlich weiter.

Auch papierlos erhältlich!

 

➜ Jetzt testen

Mehr Informationen:

• Kurzmeldung des BfDI vom 26. Oktober 2021: https://www.bfdi.bund.de/SharedDocs/Kurzmeldungen/DE/2021/17-DSK-Impfstatus-Beschäftigte.html
• Beschluss der DSK als PDF-Datei: https://www.datenschutzkonferenz-online.de/media/dskb/20211025_DSK_Beschluss_Impfstatus_von_Besch%C3%A4ftigten.pdf

Elke Zapf