Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat am 19.10.2021 einen Beschluss zur Verarbeitung des Datums „Impfstatus“ von Beschäftigten durch den Arbeitgeber veröffentlicht (https://www.datenschutzkonferenz-online.de/media/dskb/20211025_DSK_Beschluss_Impfstatus_von_Besch%C3%A4ftigten.pdf). Die DSK stellt damit klar, unter welchen rechtlichen Voraussetzungen ihrer Ansicht nach der Impfstatus bzgl. einer Impfung gegen COVID-19 erlaubt sein kann. Wir berichteten bereits über die Stellungnahmen der sächsischen und der bayerischen Datenschutzaufsichtsbehörden zu diesem Thema.

Bevor wir uns den Beschluss genauer ansehen, können wir jedoch schon mitteilen, dass die DSK nicht sehr viel Neues zum Thema zu sagen hat und damit keine besondere Erleichterung für Arbeitgeber erreicht.

Die DSK legt sich zunächst grundsätzlich darauf fest, dass § 26 Abs. 3 S. 1 BDSG als Rechtsgrundlage für die Verarbeitung des Impfstatus nicht zum Tragen kommt. Eine Datenverarbeitung von Gesundheitsdaten wie dem Impfstatus wäre demnach zulässig, wenn dies zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes als Ausformung der allgemeinen Fürsorgepflicht des Arbeitgebers heraus erforderlich wäre. Die DSK lehnt diese Rechtsgrundlage ohne weitere Begründung ab.

Ebenso wie die Datenschutzbehörden aus Sachsen und Bayern sieht die DSK ansonsten nur bei bestimmten, im Infektionsschutzgesetz genannten, Berufsgruppen im Gesundheitsbereich (§§ 23a, 23 Abs. 3 IfSG, Krankenhäuser, Arztpraxen) und in bestimmten öffentlichen Einrichtungen (§ 36 Abs. 3 IfSG, Kita, JVA, Schule) eine Rechtsgrundlage für die Abfrage des Impfstatus. Außerdem dürfen Arbeitgeber nach § 56 Abs. 1 IfSG bei Beschäftigten nach dem Impfstatus fragen, die einen Anspruch auf Lohnersatz geltend machen aufgrund von Quarantäne und/oder Erkrankung an COVID-19.

Zur Frage nach einer Einwilligung in die Erhebung des Impfstatus äußert sich die DSK nur zögerlich und legt sich nicht konkret fest, denn die Freiwilligkeit ist bei einer Einwilligung gegenüber dem Arbeitgeber durchaus fraglich.

Sollte eine Erhebung des Impfstatus erfolgen, muss der Grundsatz der Datenminimierung beachtet werden, d. h., dass eine reine Erfragung des Impfstatus durchaus schon ausreichen kann, eine Speicherung ist nicht immer notwendig. Sobald der Zweck für eine Speicherung des Impfstatus entfallen ist, sollte in jedem Fall gelöscht werden. Von Kopien des Impfausweises oder vergleichbaren Bescheinigungen sollte abgesehen werden.

Abschließend lässt sich also feststellen, dass dieser Beschluss wenig Rechtssicherheit für Arbeitgeber bringt. Sollte der Impfstatus erhoben werden, muss eine gute Begründung vorliegen und die Freiwilligkeit gegeben sein, sofern nicht Berufsgruppen, bei denen die Abfrage gestattet ist, betroffen sind.

Die DSK hat mit dem Beschluss den Ball an den Gesetzgeber zurückgespielt, denn nach wie vor fehlt eine Rechtsgrundlage für die Verarbeitung des Impfstatus. Diese müsste vom Gesetzgeber geschaffen werden.