Abfrage des Impfstatus: Mehr Klarheit durch neues Gesetz

Fachbeitrag

Auch wenn sich derzeit nicht viel zu bewegen scheint, beherrscht das Thema Corona immer noch die Schlagzeilen. Es wird diskutiert über Impfmüdigkeit und entsprechende Gegenmaßnahmen. Und was ist besser? 2G oder doch 3G? Dabei spielt auch der Impfstatus eine wichtige Rolle. Darf der Arbeitgeber eigentlich danach fragen? Wir haben uns einmal die aktuelle Entwicklung dazu angeschaut.

Änderung des Infektionsschutzgesetzes

Auch vor der Corona-Pandemie durften Arbeitgeber in einigen Berufsfeldern den Impfstatus bezüglich übertragbarer Krankheiten abfragen. Dies galt für Arbeitsumfelder, in denen es häufig zu einem engen körperlichen Kontakt zwischen Menschen kommt, also vor allem im medizinischen Bereich. Insofern ist die Frage nach dem Impfstatus eines Beschäftigten erst einmal nichts Neues. Und natürlich waren auch hier die Grundsätze der Datenverarbeitung zu berücksichtigen.

Mit der letzten Änderung im Infektionsschutzgesetz (IfSG) vom 10.09.2021 kommt nun eine Erweiterung dahingehend, dass auch in weiteren Berufsfeldern eine Abfrage zulässig ist. Diese ergeben sich insgesamt aus § 36 Abs. 1 und 2 IfSG. Nunmehr sind z. B. auch Schulen, Kindertageseinrichtungen, Obdachlosenunterkünfte oder Justizvollzugsanstalten in Abs. 1 der Vorschrift erfasst. In Abs. 2 heißt es ergänzend:

„Einrichtungen und Unternehmen, bei denen die Möglichkeit besteht, dass durch Tätigkeiten am Menschen durch Blut Krankheitserreger übertragen werden, sowie Gemeinschaftseinrichtungen nach § 33 Nummer 2 können durch das Gesundheitsamt infektionshygienisch überwacht werden.“

Für die meisten Unternehmen dürfte diese Erweiterung bereits mangels „Tätigkeit am Menschen“ nicht in Betracht kommen. Sie gilt ohnehin nur und solange, wie der Bundestag eine „epidemische Lage von nationaler Tragweite“ festgestellt hat. Das ist noch mindestens bis zum 24.11.2021 der Fall. Derzeit ist allerdings nicht absehbar, wann der Bundestag zur gegenteiligen Auffassung kommt.

Impfstatusabfrage: Keine Datenverarbeitung ohne Rechtsgrundlage!

Und auf welcher Rechtsgrundlage erfolgt dann die Datenverarbeitung? Da Informationen über den Impfstatus zu den besonderen Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO gehören, ist das Ganze nicht unproblematisch. Für die oben genannten Berufsfelder bildet § 23a IfSG einen gesetzlichen Erlaubnistatbestand. Aber wie sieht es außerhalb dieser Tätigkeiten aus? Bin ich vielleicht doch gezwungen meinem Arbeitgeber mitzuteilen, ob ich geimpft bin? Oder geht das nur mit meiner Einwilligung? Aus dem Berateralltag lässt sich berichten, dass diese Fragen für Unternehmen immer häufiger relevant sind.

Das IfSG enthält keine über §§ 23a, 36 IfSG hinausgehenden Rechtsgrundlagen. Daher kommen nur die altbekannten Vorschriften aus der DSGVO und dem BDSG in Betracht. Hier haben der Sächsische Datenschutzbeauftragte sowie das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) aktuelle Hinweise gegeben. Das BayLDA stellt dabei ausdrücklich klar, dass die Neuregelungen aus dem IfSG eng auszulegen sind. Wenn Unternehmen aus anderen Branchen Informationen zum Impfstatus ihrer Mitarbeiter verarbeiten wollen, unterliege dies sehr engen Voraussetzungen.

Einwilligung als Allheilmittel?

Als Rechtsgrundlage kommt zunächst natürlich die Einwilligung in Betracht. Allerdings ist dies im Rahmen eines Arbeitsverhältnisses immer mit Schwierigkeiten verbunden. Die Krux ist hier das Merkmal der Freiwilligkeit. In Erwägungsgrund 42 zur DSGVO heißt es hierzu:

„Es sollte nur dann davon ausgegangen werden, dass sie ihre Einwilligung freiwillig gegeben hat, wenn sie eine echte oder freie Wahl hat und somit in der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden.“

Eine wirksame Einwilligung setzt immer voraus, dass die betroffene Person eine echte Wahl hat zu entscheiden, ob sie ihre Daten preisgeben möchte oder nicht. Es darf keinerlei Druck auf die Person ausgeübt werden. Auch darf sich die Person nicht unter Druck gesetzt fühlen. Genau dies dürfte sich angesichts der aktuellen öffentlichen Debatte um Impfungen und sogenannte Impfverweigerer nur schwer vermeiden lassen. Die Einwilligung hat zudem den Nachteil, dass die betroffene Person die Einwilligung jederzeit widerrufen kann. Dies dürfte in der praktischen Umsetzung im Unternehmen zu erheblichen Problemen führen. Während das BayLDA die Einwilligung nahezu kategorisch ausschließt, ist der Sächsische Datenschutzbeauftragte der Ansicht, dass die Einwilligung in Einzelfällen möglich wäre. Hier käme es dann sicherlich auch darauf an, wie offen und transparent ein Unternehmen mit der Abfrage des Impfstatus umgeht.

Zulässig nach § 26 Abs. 3 BDSG?

Nach dieser Vorschrift ist die Verarbeitung besonderer Kategorien personenbezogener Daten zum Zwecke des Beschäftigungsverhältnisses zulässig,

„wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt.“

Neben der klassischen Interessenabwägung, welche dann zu Gunsten des verantwortlichen Unternehmens ausfallen muss, bedarf es einer rechtlichen Verpflichtung zur Datenverarbeitung. Die Vorschriften aus dem IfSG gelten allerdings gerade nicht für die meisten Unternehmen. Auch sehen die Corona-Verordnungen der Bundesländer derzeit keine weitergehenden Vorschriften zur Abfrage des Impfstatus vor, so dass eine bindende rechtliche Verpflichtung zur Verarbeitung im Regelfall nicht bestehen wird.

Und wie ist es mit Betriebsvereinbarungen? Diese können grundsätzlich auch eine Rechtsgrundlage zur Verarbeitung besonderer Kategorien personenbezogener Daten sein. Der Betriebsrat hat allerdings in seiner Funktion als Interessenvertretung der Belegschaft das Persönlichkeitsrecht der Arbeitnehmer gemäß § 75 Abs. 2 BetrVG umfassend zu schützen, so dass fraglich ist, inwiefern eine solche Rechtsgrundlage praktisch überhaupt relevant werden wird.

Freiwillige Angabe des Impfstatus der Arbeitnehmer

Spannend wird es zudem, wenn Arbeitnehmer ohne vorherige Aufforderung des Arbeitgebers Angaben zu ihrem Impfstatus machen. Derzeit haben Arbeitgeber eine Prüfpflicht hinsichtlich des Impfstatus, wenn sie z. B. den betreffenden Arbeitnehmer von der Pflicht zur Durchführung von Corona-Tests im Betrieb befreien wollen. Das Vorzeigen des Impfstatus bzw. die Kenntnisnahme stellt allerdings keine Datenverarbeitung im Sinne des Art. 4 Nr. 2 DSGVO dar.

Eine Pflicht zur Speicherung oder einer anderen Form der Verarbeitung dieser Daten ist weder im IfSG noch in den Corona-Verordnungen vorhanden. Wenn ein Unternehmen diese Informationen speichern will, bedarf es also einer Rechtsgrundlage, so dass wir wieder bei dem bekannten Problem sind. Hier dürfte dann sicherlich eine Einwilligung ausnahmsweise zutreffend sein. Leider haben die Gesetz- und Verordnungsgeber in Deutschland es versäumt, eindeutige Regelungen zu schaffen. Als nüchternes Fazit nach gut eineinhalb Jahren Pandemie kann man nur festhalten, dass dies nur eine von vielen verpassten Gelegenheiten war.

Im Westen nichts Neues

Die Neuregelungen im IfSG haben in der Praxis also keine wesentlichen Änderungen gebracht. Das Thema Impfstatus war auch im Bundestag heiß umstritten. Herausgekommen ist eine Kompromisslösung mit einer zudem zeitlich begrenzten Wirkung. Eine weitergehende Impfabfrage ist vom Gesetzgeber offenbar derzeit nicht gewollt. Aus datenschutzrechtlicher Sicht ist das grundsätzlich zu begrüßen, da die Verarbeitung von sensiblen Gesundheitsdaten stets mit besonderem Augenmerk durchgeführt werden sollte. Dennoch sind klare Regelungen für die Zukunft wünschenswert, da uns die Corona-Problematik voraussichtlich noch länger begleiten wird. Vielleicht beweist die nächste Bundesregierung hier mehr Sachverstand.

Update 04.10.2021: Keine Lohnfortzahlung für Ungeimpfte bei Corona-Quarantäne

Die Gesundheitsminister der Länder haben auf ihrer Konferenz am 22. September 2021 beschlossen, dass Beschäftigte gegenüber denen eine Quarantäne-Anordnung des Gesundheitsamtes aufgrund von COVID-19 oder einer Reiserückkehr aus einem Risikogebiet ergeht, keine Entschädigungsleistung gemäß § 56 Absatz 1 IfSG mehr gewährt wird. Das geschieht aber nur unter der Voraussetzung, dass für die Person eine entsprechende Impfempfehlung der STIKO vorliegt und es ihr möglich war, sich impfen zu lassen. Als gemeinsame Verwaltungspraxis übernehmen die Gesundheitsämter in solchen Fällen spätestens ab dem 1. November nicht mehr die von Arbeitgebern verauslagten Lohnfortzahlungen für Arbeitnehmern in Quarantäne. In Nordrhein-Westfalen und Baden-Württemberg wird diese Praxis aber bereits angewandt.

Positionspapier Lohnfortzahlung, Corona und Datenschutz

Der LfDI Baden-Württemberg hat daher ein Positionspapier zu den datenschutzrechtlichen Fragen veröffentlicht, die sich im Zusammenhang mit dieser Verwaltungspraxis Arbeitgebern stellen könnten:

„Darf der Arbeitgeber, um die Lohnerstattung von der Behörde zu erhalten, den Beschäftigten nach seinem Impfstatus fragen? Ist der Beschäftigte verpflichtet, dies zu offenbaren oder dem Arbeitgeber hierzu sogar Belege (Impfpass etc.) zu überlassen? Prüft der Arbeitgeber bei Nicht-Geimpften auch, ob gesundheitliche Gründe oder zwingende/unvermeidbare Gründe für eine Auslandsreise in ein Risikogebiet vorlagen? Die Rechtslage ist insoweit unklar und umstritten, da die aufgeworfenen praxisrelevanten Fragen vom Gesetz nicht geklärt sind.“

Der Landesdatenschutzbeauftragte hält zwar die Abfrage des Impfstatus durch den Arbeitgeber in den Fällen für zulässig, in denen dieser die Entschädigung nach § 56 IfSG für die Behörde im Voraus auszahlt. Der Arbeitnehmer sei aber nicht verpflichtet, diese Frage zu beantworten. Vielmehr sei dies eine freiwillige Erklärung des Beschäftigten, die nach Maßgaben einer DSGVO-konformen Einwilligung erfolgen muss. Als Alternative könnten Beschäftigte die Entschädigung nach § 56 Abs. 5 Satz 4 IfSG stattdessen selbst gegenüber der zuständigen Behörde mit den erforderlichen Angaben geltend machen.

Widerspruch aus dem baden-württembergische Gesundheitsministerium: Datenschutz- hinter Arbeitsrecht

Der baden-württembergische Gesundheitsministerium weist die Auffassung des LfDI zurück, dass Arbeitnehmer den Antrag zur Entschädigung des Dienstausfalls bei der Behörde stellen könnten. Denn dies sei laut Infektionsschutzgesetz für Arbeitnehmer erst für den Quarantänezeitraum ab der siebten Woche vorgesehen. Der Gesundheitsminister Manfred Lucha äußert sich dazu gegenüber dem SWR:

„Der Vorschlag des obersten Datenschützers Stefan Brink führe in die Sackgasse, da er Arbeitnehmerinnen und Arbeitnehmern, allen Warnungen unseren Hauses zum Trotz, hier falsche Hoffnungen macht. […]

Das Bundesinfektionsschutzgesetz sehe klar vor, dass es keine Lohnfortzahlung geben könne, wenn eine Quarantäne aufgrund einer Corona-Infektion durch eine Impfung hätte vermieden werden können. Die Gesundheitsminister der Länder hatten das Gesetz Mitte September beschlossen. Damit sei auch das Datenschutz- hinter das Arbeitsrecht getreten, so Lucha weiter. Unternehmen dürften deshalb den Impfstatus ihrer Mitarbeiter abfragen.“

Ähnlich sieht es laut LTO auch das Bundesgesundheitsministerium. In einem Schreiben an die Deutschen Arbeitgeberverbände vom 27. August 2021 führt man aus, dass es schon „heute möglich (sei), in rechtlich zulässiger Weise von ihren Arbeitnehmern die erforderlichen Informationen einzuholen, die für eine wirksame Anwendung des Anspruchsausschlusses nach § 56 Absatz l Satz 4 IfSG erforderlich sind.“ Rechtsgrundlage dafür wäre § 26 Abs. 3 BDSG und ein überwiegendes Interesse des Arbeitgebers, da die Gesundheitsdaten für die Abwicklung und Durchführung des Arbeitsverhältnisses erforderlich seien.

Das letzte Wort in dieser Diskussion scheint noch nicht gefallen zu sein. Die Problematik könnte daher ab November vermehrt auf Arbeitgeber und Arbeitnehmer zu kommen. Wir werden Sie zu dem Thema weiterhin auf dem Laufenden halten.

Update 25.10.2021: Neuer Beschluss der DSK zur Abfrage des Impfstatus durch den Arbeitgeber

In ihrem aktuellen Beschluss spricht sich die DSK gegen die Verarbeitung des Datum „Impfstatus“ von Beschäftigten ohne eine ausdrückliche gesetzliche Ermächtigung aus. Insbesondere käme § 26 Abs. 3 S. 1 BDSG dafür als Rechtsgrundlage nicht in Betracht. Auch die Voraussetzungen einer freiwilligen Einwilligung seien in der Regel nicht gegeben. Nur in den im Infektionsschutzgesetz, bzw. den sich darauf stützenden Rechtsverordnungen genannten Ausnahmefällen oder beim oben angesprochenen Lohnersatz sei eine Abfrage des Impfstatus zulässig.

intersoft consulting services AG

Als Experten für Datenschutz, IT-Sicherheit und IT-Forensik beraten wir deutschlandweit Unternehmen. Informieren Sie sich hier über unser Leistungsspektrum:

Externer Datenschutzbeauftragter

11 Kommentare zu diesem Beitrag

  1. Sehr geehrter Herr Schewior, danke für die Einschätzung zur Thematik. Gehe ich richtig in der Annahme, dass Sie beim Vorzeigen von Impf- oder auch Genesenen- bzw. Testnachweisen keine Verarbeitung iSd. DSGVO, solange diese nur optisch wahrgenommen werden aber keine Zuordnung erfolgt (Mitarbeiterin A hat Nachweis „genesen“ vorgelegt)?

    Handelt es sich bei dieser These um Ihre persönliche Ansicht oder ist dies ggf. auch schon mit Literatur oder Entscheidungen unterlegbar?

    • Ich würde mal sagen, das lässt sich aus den (verlinkten) Hinweis des BayLDA ableiten:
      „Unabhängig davon ist ein Arbeitgeber aber befugt, den Impfstatus zumindest zu erheben bzw. zur Kenntnis zu nehmen, wenn er vom Beschäftigten freiwillig angegeben wird […] Entsprechende Vorschriften begründen bisher nur eine Prüfpflicht des Arbeitgebers hinsichtlich der vorgelegten Nachweise über den Impfstatus – die ansonsten nicht besteht. Eine Befugnis zur Speicherung der vorgelegten Nachweise ist in den bislang existierenden Vorschriften dieser Art nicht geregelt und lässt sich somit daraus nicht ableiten.“

  2. Da war beim Autor wohl der Wunsch Vater des Gedankens, dass die neue Bundesregierung mehr Sachverstand beweist. ;-) Obwohl ich mir schon von der FDP in der Regierung erwarte, dass sie das Thema Persönlichkeitsrechte mehr auf die Agenda nimmt und sich dafür stark macht.

  3. Wie sieht es denn aber bei Veranstaltungen aus? Irgendwie versteht man ja nix mehr; darf ein Veranstalter einfach meinen Status abfragen? Vielen Dank!

    • Veranstalter sind meist sogar verpflichtet, den Impfstatus der Besucher oder Teilnehmer abzufragen und zu überprüfen. Dies erfolgt auf Grund der Vorgaben aus den Corona-Verordnungen der Bundesländer im Rahmen der sogenannten 2G- oder 3G-Regel. Das bloße Überprüfen stellt aber keine Datenverarbeitung im Sinne der DSGVO dar.

  4. Sie schreiben:“Das Vorzeigen des Impfstatus bzw. die Kenntnisnahme stellt allerdings keine Datenverarbeitung im Sinne des Art. 4 Nr. 2 DSGVO dar.

    Art. 4 Nr. 2 DSGVO lautet: „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, …., die Verwendung…

    Könnten Sie erläutern wie Sie zu ihrer obigen Feststellung kommen?

    • Das bloße Vorzeigen des Impfstatus dient dazu dem Arbeitgeber zu ermöglichen, seiner Prüfpflicht diesbezüglich nachzukommen. Das Vorzeigen stellt allerdings weder eine „ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten“ noch eine „nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen“, dar. Daher ist der sachliche Anwendungsbereich der DSGVO nach Art. 2 Abs. 1 gar nicht eröffnet (siehe dazu auch die ersten beiden Kommentare zu diesem Artikel).

  5. Sehr geehrter Herr Schewior!
    Wir gehören zu den Arbeitsbereichen in denen einen Abfrage des Impfstatus nunmehr vom Arbeitgeber gestattet ist. Die Leitung wünscht einen Fragebogen mit Kopie des Impfnachweises. Die Personalvertretung empfiehlt nur eine persönliche (mündliche) Abfrage mit optischer Nachweiskontrolle und auch nur bei relevanten Dienstaufgaben (z.B. medizinischer Bereich und Aufenthalt in Gemeinschaftsunterkünften). Was würden Sie empfehlen?

    • Vielen Dank für Ihren Kommentar! Aus datenschutzrechtlicher Sicht ist es grundsätzlich zu empfehlen, die Verarbeitung so datensparsam wie möglich zu gestalten. Daher dürfte die zweite Variante zu bevorzugen sein. Wir weisen aber darauf hin, dass wir im Blog keine konkrete Rechtsberatung geben können.

  6. Wortlaut des § 28a Abs. 3 (neu) Infektionsschutzgesetz (IfSG)
    „Sofern der Deutsche Bundestag nach § 5 Absatz 1 Satz 1 eine epidemische Lage von nationaler Tragweite festgestellt hat und soweit dies zur Verhinderung der Verbreitung der Coronavirus-Krankheit-2019 (COVID-19) erforderlich ist, darf der Arbeitgeber in den in den Absätzen 1 und 2 genannten Einrichtungen und Unternehmen personenbezogene Daten eines Beschäftigten über dessen Impf- und Serostatus in Bezug auf die Coronavirus-Krankheit-2019 (COVID-19) verarbeiten, um über die Begründung eines Beschäftigungsverhältnisses oder über die Art und Weise einer Beschäftigung zu entscheiden.

    ifb.de/news/auskunftspflicht-zum-impfstatus-bedeutung-fuer-die-betriebsratsarbeit/5153

Hinterlassen Sie einen Kommentar

Die von Ihnen verfassten Kommentare erscheinen nicht sofort, sondern erst nach Prüfung und Freigabe durch unseren Administrator. Bitte beachten Sie auch unsere Nutzungsbedingungen und unsere Datenschutzerklärung.