Corona / Covid-19 und Datenschutz

In der Regel werden solche Lösungen durch einen Dienstleister angeboten (ob mit oder ohne Installation einer Software), so dass es sich um eine Auftragsverarbeitung handelt. Somit ist eine sorgfältige Auswahl und ein Vertrag zur Auftragsverarbeitung abzuschließen. Hierzu sollten Sie die Regeln des Datenschutzhandbuchs beachten und den Muster-Vertrag in unserem Online-Formular-Center (www.Online-Formular-Center.eu) nutzen.

Des Weiteren sind auch die technischen Schutzmaßnahmen zu beachten. Unter anderem gilt es folgende Aspekte bei der Auswahl des Systems zu beachten (ausführliche Informationen zu den Anforderungen an neue Systeme finden Sie ebenfalls im Online-Formular-Center): Verschlüsselung, Löschfristen/-möglichkeiten (auch von Protokollen, Chats etc.), Rechtekonzept etc. Auch sollten Schulungen bzw. Einweisung der Mitarbeiter in das System nicht vernachlässig werden, so dass nicht durch unbedarfte Handlungen beispielsweise im Rahmen des Desktop-Sharings mehr preisgegeben wird, als gewünscht (z. B. „aufpoppende“ Maileingangsfenster).

Sofern der Dienstleister außerhalb der EU sitzen (viele Dienstleister haben Ihren Sitz in den USA) müssen Sie ferner darauf achten, ob der Dienstleister sich dem Privacy Shield unterworfen hat (siehe https://www.privacyshield.gov/list; externer Link). Alternativ sind die EU-Standardvertragsklauseln abzuschließen.

Darüber hinaus müssen Sie die Informationspflichten beachten und den Betroffenen gemäß Artikel 13 und ggf. 14 DSGVO über die Datenverarbeitung informieren. Auch hierzu finden Sie ein Muster im Online-Formular-Center.

Der Arbeitgeber hat ein Fragerecht, ob der betroffene Mitarbeiter aus einem Risikogebiet gemäß Robert-Koch-Institut kommt (beispielsweise nach Urlaubsrückkehr), so dass dies datenschutzrechtlich unproblematisch ist. Mehr Fragerechte hat der Arbeitgeber in diesem Zusammenhang aber nicht.

Bei der Verarbeitung der „Körpertemperatur“ handelt es sich um ein Gesundheitsdatum nach Art. 9 Abs. 1 DSGVO. Die Verarbeitung von Gesundheitsdaten ist untersagt, es sei denn, es liegen die in Art. 9 Abs. 2 DSGVO beschriebenen Ausnahmen vor. Ein Vorliegen einer der darin genannten Ausnahmen sehen wir grundsätzlich als nicht gegeben. Ebenso sehen wir auch zur Zweckerreichung (hier: Erkennung einer Covid-19-Erkrankung) die Verwendung einer Wärmebildkamera zur Verarbeitung der Körpertemperatur als personenbezogenem Datum nicht als das mildeste Mittel zur Zweckerreichung an. Daher sollten keine Wärmebildkameras für den genannten Zweck verwendet werden.

Bei der Verarbeitung der „Körpertemperatur“ handelt es sich um ein Gesundheitsdatum im Sinne der besonderen Kategorie personenbezogener Daten. Nach aktuellen Ausführungen der Aufsichtsbehörden bestehen gelindere Mittel zur Erreichung des Ziels, eine Ausbreitung des Virus zu verhindern. Eine geeignete Rechtsgrundlage kann folglich nur in einer Einwilligung bestehen, an deren Freiwilligkeit gerade im Beschäftigtenverhältnis erhebliche Zweifel bestehen. In Betracht zu ziehen sind deshalb weniger eingriffsintensive Mittel, aus denen Verdachtsfälle abgeleitet werden können, jedoch nicht per se Gesundheitsdaten betreffen (z. B. Befragungen über den Gesundheitszustand).

Bei der Temperaturmessung hat sich herausgestellt, dass es ein unzureichendes Mittel ist, potentielle Infektionen tatsächlich zu erkennen, weil dies nur bei direkt auftretenden Symptomen überhaupt ein Erfolg erzielen kann. Es wurde teilweise sogar das Gegenteil behauptet nämlich, dass das Risiko steigen könnte, weil infizierten Personen Zugang gewährt werden würde und eine nur vermeintliche Sicherheit zur Nachlässigkeit in anderen Bereichen führen könnte (z. B. weniger Abstand, Handeschütteln, etc.), weil man sich eben in Sicherheit wiegt.

Es kann als Maßnahmen zur Eindämmung und Bekämpfung der Corona-Pandemie als datenschutzrechtlich legitimiert betrachtet werden, wenn personenbezogene Daten (inkl. Gesundheitsdaten) von Besuchern, Gästen oder anderen Lieferanten erhoben oder verarbeitet werden. Hierbei sollte sich aber auf folgende Informationen beschränkt werden: Frage nach Infektion oder Kontakt mit einer nachweislich infizierten Person oder nach Aufenthalt in einem vom RKI (Link siehe rechts) als Risikogebiet eingestuften Gebiet. Weitere Fragen nach Gesundheitsdaten sind nicht zulässig. Vergessen Sie hierbei die Informationspflichten nach Artikel 13 DSGVO nicht.

Sofern alle Mitarbeiter von zu Hause aus arbeiten und dennoch erreichbar sein sollen, so kann die Telefonanlage oftmals so programmiert werden, dass die eingehenden Telefonate direkt auf das Diensthandy des Mitarbeiters weitergeleitet werden. Dies ist datenschutzrechtlich unproblematisch. Arbeits- und mitbestimmungspflichtige Aspekte sind hierbei nicht berücksichtigt.

Die DSGVO ist hier eindeutig, indem sie fordert, dass die Meldung nach Art. 33 Abs. 1 DSGVO „unverzüglich und möglichst binnen 72 Stunden“ zu erfolgen hat. Die gesetzliche Formulierung ist hier weiter als bei Art. 12 Abs. 3 DSGVO, sodass pandemiebedingte Einschränkungen der Arbeitsfähigkeit hier gegebenenfalls Berücksichtigung finden können. Wichtig ist jedoch, dass Sicherheitslücken sofort geschlossen werden, damit z.B. Kriminelle die aktuelle Ausnahmesituation nicht für ihre Zwecke missbrauchen können, und dass die Meldung an die Aufsichtsbehörde nicht unnötig verzögert wird. Diese Aussage gilt natürlich nicht automatisch für alle Aufsichtsbehörden in Deutschland oder Österreich. Stimmen Sie sich hier mit Ihrem Datenschutzbeauftragten ab.

Die DSGVO sieht (auch in Zeiten von Corona) eine entsprechende Möglichkeit nicht vor; jedoch lässt sich die aktuelle Pandemie ggf. im Rahmen der Bußgeldbemessung anbringen. Sprechen Sie hierbei gerne mit Ihrem Ansprechpartner bei der UIMC und/oder Ihrem Datenschutzbeauftragten. Wenn Sie keine Kontaktdaten haben, kontaktieren Sie uns mittels Kontaktformular.

Hierzu unsere Bewertung:

Grundsätzlich muss die Auskunft innerhalb eines Monats erteilt werden. Eine Verlängerung um zwei weitere Monate ist zulässig, wenn „dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist.“ Umstritten ist, ob es sich bei der Aufzählung um kumulative oder alternative Anforderungen handelt. Naheliegend ist hierbei, dass das Wort „und“ als alternative Aufzählung zu verstehen ist. Ansonsten wäre die Verlängerungsmöglichkeit eigentlich nie möglich, was nicht die Intention des Gesetzgebers sein dürfte.

Hiernach genügt somit entweder die Komplexität oder die Anzahl der Anträge zur Verlängerung der Monatsfrist. Im Rahmen der Komplexität, die sicherlich auf die inhaltlichen Aspekte der Auskunft gerichtet ist, könnten ggf. Aspekte verzögerter Rückmeldungen aus den Fachabteilungen hinsichtlich vorhandener Daten berücksichtigt werden.

Zudem lassen die Aufsichtsbehörden generell eine zweistufige Vorgehensweise zu, nach der bei großen Datenmengen zunächst die „Kerndaten“ zur Verfügung gestellt werden mit dem Hinweis, die restlichen Angaben nachzureichen, sofern der Betroffene diese auch wünscht. Vor dem Hintergrund der Corona-Pandemie könnte insofern zunächst auch der Kern der Auskunft erteilt werden, um sodann die übrigen Daten möglichst zeitnah nachzureichen.

Hinzu kommen ggf. folgende Möglichkeiten: So besteht beispielsweise im Verwaltungs- und Gerichtsverfahren die Möglichkeit einer sog. Wiedereinsetzung in den vorigen Stand. Die Wiedereinsetzung führt nicht dazu, dass sich eine (gesetzliche) Frist verlängert. Sie bewirkt vielmehr, dass eine versäumte und verspätet nachgeholte Prozesshandlung als rechtzeitig bewirkt gilt. Sie wird nur gewährt, wenn die Fristversäumnis unverschuldet erfolgte, sie also trotz Beachtung der erforderlichen Sorgfalt nicht verhindert werden konnte.

Die Rechtsprechung hat Wiedereinsetzung z. B. bei Fristversäumnis wegen längeren Urlaubs (wenn jedoch bereits eine rechtliche Auseinandersetzung geführt wird oder zu befürchten ist, muss der Urlaubnehmer Vorsorge treffen, dass er von wichtigen Zustellungen erfährt und das Erforderliche veranlassen kann), schwerer Krankheit, die auch die Einholung von Rechtsrat und Beauftragung eines Bevollmächtigten unmöglich macht, bzw. wegen von außen kommenden Ereignissen, die unter den gegebenen Umständen auch durch äußerste Sorgfalt nicht abgewendet werden können (z.B. Naturkatastrophen), als zulässig angesehen..

Die DSGVO sieht eine entsprechende Möglichkeit zur Wiedereinsetzung nicht vor; jedoch lässt sich der dahinter stehende Rechtsgedanke der Wiedereinsetzung ggf. im Rahmen der Bußgeldbemessung anbringen.

[Update 31.03.2020] Die Datenschutz-Behörde Hamburg äußerte sich hierzu wie folgt (Diese Aussage gilt natürlich nicht automatisch für alle Aufsichtsbehörden in Deutschland oder Österreich):

„Gesetzliche Fristen der DSGVO gelten unverändert weiter. So haben Betroffene zum Beispiel auch in Krisenzeiten das Recht, von jedem Verantwortlichen binnen eines Monats Auskunft über die zu ihrer Person gespeicherten Daten zu erhalten. Eine Verlängerung nach Art. 12 Abs. 3 S. 2 DSGVO ist weiterhin nur ausnahmsweise möglich, wenn dies aufgrund der Komplexität und der Anzahl von Anträgen erforderlich ist.

Im Zuge des Einschreitensermessens kann es im Einzelfall jedoch geboten sein, dass der HmbBfDI Verstöße nicht verfolgt, in denen die gesetzliche Frist überschritten wird, weil die Arbeitsfähigkeit des Verantwortlichen pandemiebedingt stark eingeschränkt ist. Bei der Beurteilung wird es entscheidend auf die Länge der Überschreitung sowie die Unternehmensgröße und die damit verbundene berechtigte Erwartung an die Professionalität des Verantwortlichen ankommen.“

Sprechen Sie hierbei gerne mit Ihrem Ansprechpartner bei der UIMC und/oder Ihrem Datenschutzbeauftragten. Wenn Sie keine Kontaktdaten haben, kontaktieren Sie uns mittels Kontaktformular.

Die Datenschutz-Behörde Hamburg äußerte sich hierzu wie folgt: „[…] Von uns gesetzte Fristen für Antworten an uns werden während der Zeit der Pandemie großzügiger bemessen. Darüber hinaus geht der HmbBfDI derzeit mit begründeten Anträgen auf Fristverlängerung wohlwollend um.“ Diese Aussage gilt natürlich nicht automatisch für alle Aufsichtsbehörden in Deutschland oder Österreich. Demnach muss eine Fristverlängerung beantragt werden. Stimmen Sie sich hier mit Ihrem Datenschutzbeauftragten ab.

Die Datenschutz-Behörde Hamburg äußerte sich hierzu wie folgt: „In laufenden Bußgeldverfahren werden derzeit bis auf weiteres keine Bußgeldbescheide erlassen, um die Unternehmen und Gewerbetreibende im gegenwärtigen Anpassungsprozess an die zahlreichen Veränderungen der Corona-Krise zu entlasten.“ Diese Aussage gilt natürlich nicht automatisch für alle Aufsichtsbehörden in Deutschland oder Österreich.