Umgang mit personenbezogenen Daten im Bezug auf COVID-19
Grundsätzlich ist der Arbeitgeber nicht berechtigt seine Beschäftigten nach dem Grund einer Erkrankung zu fragen. Auch darf er niemanden verpflichten den letzten Aufenthaltsort sowie Urlaubsort zu offenbaren. Und schon garnicht darf der Arbeitgeber diese Informationen ohne eine explizite Einwilligung an andere Beschäftigte weitergeben. Hierbei würde es sich nämlich um die Verarbeitung von besonders sensiblen Daten (Gesundheitsdaten) handeln, die nach Art. 9 DSGVO besonders strikt geregelt ist.
Wir haben zusammengefasst, was nach aktuell herrschender Meinung (Stand 20.03.2020) zulässig ist und worauf Arbeitgeber verzichten müssen.
Zulässige Maßnahmen
- Erhebung, ob ein Beschäftigter sich in einem Risikogebiet aufgehalten hat oder mit infizierten Personen direkten Kontakt hatte. Sofern es die Gesundheitsbehörde verlangt: Übermittlung dieser Daten an die Behörden
- Freiwillige Selbstauskunfts- und Fragebögen der Mitarbeiter
- Freiwillige Fiebermessung
Unzulässige Maßnahmen
- Nennung bestimmter Mitarbeiter, die am Virus erkrankt sind oder Kontakt zu einer infizierten Person hatten (stattdessen sollten diese Abteilungen "isoliert" werden), es sei denn, die Kenntnis ist für die Kollegen unbedingt erforderlich
- Pauschale Befragung aller Mitarbeiter zu ihren Reisezielen
- Pauschale Befragung aller Mitarbeiter zu ihrem Gesundheitszustand
- Meldepflicht für andere Mitarbeiter, sobald ein Kollege Symptome zeigt
- Verpflichtende Fiebermessung oder andere medizinische Maßnahmen am Eingang des Firmengeländes, es sei denn, dass die Ergebnisse nur zur Entscheidung über den Zutritt zum Firmengelände genutzt werden
- Pauschale Erhebung privater Kommunikationsdaten (Handynummer) zu Informationszwecken
Unternehmen können weitere organisatorische Maßnahmen ergreifen, um Ihre Beschäftigten zu schützen:
- Information und Unterrichtung über strenge Hygienemaßnahmen
- Ermöglichung von Homeoffice
- Vorranging telefonischer Kontakt oder Besprechung mittels Videokonferenzen oder Onlinemeetings
- Einschränkung der Besuchsmöglichkeiten
Weitere Informationen
- Pressemitteilung des Bundesbeauftragten für Datenschutz und Informationssicherheit
- "Fragen und Antworten zu Corona" der Datenschutzaufsicht Baden-Württemberg

Daniel Steffen, Geschäftsführer der Digitalagentur novinet und zertifizierter Datenschutzbeauftragter (DSB-TÜV) berät deutschlandweit Unternehmen sowie Vereine und Agenturen im Bereich des Datenschutzes.
Hinweis: Dieser Artikel wurde auf Basis der aktuell verfügbaren Literatur erstellt. Er dient als erste Einschätzung von potentiellen Problemen innerhalb der Datenschutzgrundverordnung (DSGVO). Es wird darauf hingewiesen, dass viele der hier behandelten Probleme noch nicht abschließend, insbesondere durch höchstrichterliche Rechtsprechungen, geklärt wurden und teilweise auch noch keine Stellungnahmen der Landesdatenschutzbehörden vorliegen, weshalb zu einigen Punkten unterschiedliche Auffassungen vertreten werden. Wir übernehmen daher keine Haftung auf Richtigkeit und Vollständigkeit. Insbesondere ist darauf hinzuweisen, dass jeder Fall gesondert zu prüfen ist und keine individuelle Rechtsberatung ersetzt.