Dürfen Arbeitgeber Informationen zum Impfstatus ihrer Mitarbeitenden verarbeiten? Diese Frage treibt viele Unternehmen um, würde doch die Kenntnis über den Impfstatus die Organisation von betrieblichen Infektionsschutzmaßnahmen und nicht zuletzt die Administration der betrieblichen Abläufe während der Pandemie erheblich erleichtern.

Obwohl es in vielen Bereichen zur akzeptierten Routine gehört, das Impfzertifikat beispielsweise beim Besuch im Restaurant oder im Fitnessstudio vorzuzeigen, wird die Frage im Arbeitsumfeld kontrovers diskutiert.

Folgt man der Auffassung der Datenschutzbehörden, ist die Rechtslage eindeutig! Oder doch nicht?

Zum Hintergrund.

Beim Impfstatus handelt es sich um Informationen, die Rückschlüsse auf die Gesundheit der Beschäftigten erlauben und damit um Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DS-GVO. Diese Daten unterliegen einem besonderen Schutz. Aus Gründen des Persönlichkeitsschutzes der Mitarbeitenden haben Unternehmen zu Gesundheitsdaten der Beschäftigten nur in sehr begrenzten Ausnahmefällen Zugang. Grundsätzlich dürfen diese Daten nicht verarbeitet werden. Beispielsweise dürfen Arbeitgebende bei krankheitsbedingter Arbeitsunfähigkeit keine Kenntnis von der ärztlichen Diagnose haben. Ärztliche Arbeitsunfähigkeitsbescheinigungen weisen genau aus diesem Grund keine ärztliche Diagnose aus.

Können die gesetzlichen Vorschriften zum Arbeitsschutzvorschriften die Abfrage des Impfstatus legitimieren?

Vor dem Hintergrund des aktuellen Infektionsgeschehens wird in Datenschutzkreisen diskutiert, ob die gesetzlichen Arbeitsschutzvorschriften (insb. §§ 3, 5, 16 ArbSchG) in Verbindung mit den datenschutzrechtlichen Ermächtigungsnormen der DS-GVO eine gesetzliche Grundlage für die Erhebung des Impfstatus im Arbeitsverhältnis sein können.

Dieser Diskussion erteilte das Bayrische Landesamt für Datenschutzaufsicht (BayLDA) jüngst eine jähe Absage.

In seiner gerade zu dieser Fragestellung veröffentlichen Stellungnahme stellt das BayLDA fest, dass die Verarbeitung von Impfdaten durch Arbeitgeber aus besonderen Gründen der Pandemiebekämpfung gesetzlich nur in den in § 23a IfSG und in § 36 Abs. 3 IfSG genannten eng begrenzten Ausnahmefällen vorgesehen ist.

Eine Verarbeitung von Impfdaten durch den Arbeitgeber ist danach derzeit nur für Beschäftigte von Einrichtungen nach § 23 Abs. 3 IfSG (z.B. Krankenhäuser, Arztpraxen) und nach § 36 Abs. 3 IfSG – jedenfalls bis zum 24.11.2021 - für Beschäftigte von Kindertageseinrichtungen, Schulen, Behinderten- und Pflegeeinrichtungen etc. zulässig.

Nach Auffassung des BayLDA lasse sich eine allgemeines Fragerecht des Arbeitgebers zum Impfstatus auch nicht aus Gesichtspunkten des Arbeitsschutzes und der arbeitgeberseitigen Fürsorgepflicht für die Belegschaft ableiten (insbesondere § 3 Abs. 1 Arbeitsschutzgesetz, §§ 2-4 Corona-ArbSchV i.V.m. § 26 Abs. 3 BDSG). Die SARS-Cov-2 Arbeitsschutzverordnung unterscheide nicht zwischen geimpften und nicht geimpften Beschäftigten und enthalte auch keine Verpflichtung der Beschäftigten, dem Arbeitgeber Auskunft über ihren Impf- oder Genesungsstatus zu erteilen.

Ein Fragerecht des Arbeitgebers nach dem Impfstatus von Beschäftigten besteht danach, außer in den gesetzlich ausdrücklich geregelten Ausnahmefällen, nicht.

Können Mitarbeitende in die Verarbeitung des Impfstatus einwilligen?

Unter Datenschützern wird auch diskutiert, ob die Verarbeitung des Impfstatus auf Grundlage einer vom Mitarbeitenden erteilten Einwilligung möglich ist. Auch dieser Überlegung schiebt das BayLDA einen Riegel vor. Es sieht in einer Einwilligung keine taugliche Ermächtigungsgrundlage zur Speicherung des Impfstatus. Einwilligungen müssten den Anforderungen des Art. 7 DS-GVO genügen, insbesondere müssten sie freiwillig erteilt werden. Eine freiwillige Einwilligung sei infolge der Abhängigkeiten im Beschäftigungsverhältnis in der Regel nicht gegeben.

(Zwischen-) Fazit.

Fassen wir zusammen:

Es gibt keine gesetzliche Grundlage, die Unternehmen die Erhebung und Verarbeitung von Informationen über den Impfstatus ihrer Mitarbeitenden erlaubt.
Der Impfstatus darf auch dann nicht verarbeitet werden, wenn der betroffene Mitarbeitende in die Verarbeitung einwilligt, weil es an der Freiwilligkeit der Einwilligung fehlt.

Die Datenschutzbehörden halten es aber für zulässig, dass der Arbeitgeber den Impfstatus „zur Kenntnis“ nehmen darf, wenn er vom Beschäftigten freiwillig angegeben wird. Eine Befugnis zur Speicherung der vorgelegten Nachweise ließe sich daraus aber nicht ableiten, so die Datenschutzbehörden.

Was bedeutet das für die Praxis?

Politik und Behörden geben den Unternehmen (wieder mal) Steine statt Brot. Unternehmen dürfen den Impfstatus „zur Kenntnis“ nehmen, wenn er vom Mitarbeitenden freiwillig mitgeteilt wird. Was alles unter den Begriff des „zur Kenntnisnehmens“ fällt, bleibt unklar. Klar ist, dass jede sinnvolle Verarbeitung der Information zum Impfstatus durch Arbeitgeber (bis auf weiteres) ausgeschlossen bleibt.

Aber es gibt Licht am Ende des Tunnels. SPD, Grüne und FDP planen bundesweit die Einführung der 3G-Regel am Arbeitsplatz. Mitarbeitende müssen dann nachweisen, dass sie entweder geimpft, genesen oder negativ auf das Corona-Virus getestet sind. Arbeitgeber müssen dann in der Lage sein, diese Informationen datenschutzkonform verarbeiten zu dürfen. Der Bundesdatenschutzbeauftragte Ulrich Kelber hält eine 3G-Regelung am Arbeitsplatz zwar grundsätzlich für möglich, hat aber bereits darauf hingewiesen, dass dies eine entsprechende Rechtsgrundlage voraussetze, die noch geschaffen werden müsse.

Der nächste Akt im Drama um den Impfstatus kündigt sich an!

Thorsten Walter berät nationale und internationale Unternehmen umfassend im Bereich des individuellen und kollektiven Arbeitsrechts und angrenzender Rechtsgebiete.