Die Datenschutzaufsichtsbehörden von Bayern und Sachsen haben sich kürzlich in Stellungnahmen dazu geäußert, ob sie eine Abfrage des Impfstatus für eine Impfung gegen den Coronavirus durch den Arbeitgeber als datenschutzrechtlich zulässig ansehen und kommen dabei zu ähnlichen Ergebnissen (Bayern: https://www.lda.bayern.de/de/thema_impfstatus.html?s=03; Sachsen: https://www.saechsdsb.de/images/stories/sdb_inhalt/Pressearbeit/20210928_Stellungnahme_Abfrage_Impfstatus_2G_Optionsmodell.pdf). Aufgrund von 2G und 3G Regelungen in vielen Bereichen, ist dies zunehmend auch für Arbeitgeber ein wichtiges Thema, welches zum Teil noch ungeklärt ist. Wir wollen hiermit klären ob, und in welchen Fällen die allgemeine Abfrage des Impfstatus zulässig sein kann.

1. Zugehörigkeit zu einer Berufsgruppe, bei der die Abfrage gestattet ist

Grundsätzlich ist die Abfrage des Impfstatus nur unter sehr engen Voraussetzungen möglich. Eine dieser Voraussetzungen ist beispielsweise, dass der Arbeitgeber in einem Berufsfeld tätig ist, in dem sehr nah mit Menschen zusammengearbeitet wird. Eine Rechtsgrundlage stellt § 23 Abs. 3 IfSG dar. Beschäftigte aus Einrichtungen wie Krankenhäusern und Arztpraxen können nach ihrem Impfstatus gefragt werden.

Außerdem können Beschäftigte von Kindertageseinrichtungen, Schulen, Behinderten- und Pflegeeinrichtungen, Justizvollzugseinrichtungen, ambulanten Pflegediensten oder sonstiger Masseneinrichtungen nach ihrem Impfstatus gefragt werden. Dies gilt allerdings nur solange eine epidemische Lage von nationaler Tragweite gem. § 5 Abs. 1 S. 1 IfSG vorliegt, was derzeit noch bis zum 24.11.2021 der Fall ist.

Arbeitgeber die nicht in einem solchen Bereich tätig sind, müssen auf andere Rechtsgrundlagen zurückgreifen.

2. Einwilligung

Der Impfstatus stellt ein Gesundheitsdatum und damit ein besonderes personenbezogenes Datum gem. Art. 9 Abs. 1 DSGVO dar. Für die Verarbeitung solcher Daten gelten gem. Art. 9 Abs. 2 DSGVO gesonderte Rechtsgrundlage.

Hiervon könnte eine Rechtsgrundlage die Einwilligung der Mitarbeiter in die Erhebung dieser Daten sein.

Die Bayerische Datenschutzaufsicht lehnt die Einwilligung aber mit Verweis auf das Abhängigkeitsverhältnis zwischen Arbeitsgeber und Arbeitnehmer und damit fehlender Freiwilligkeit komplett ab. Die sächsische Datenschutzaufsicht hingegen sieht die Einwilligung unter besonderen Voraussetzungen, die nicht näher erläutert werden, durchaus als mögliche Rechtsgrundlage für die Datenerhebung an.

3. Erfassung des Impfstatus zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes

Als Rechtsgrundlage können gem. § 26 Abs. 3 BDSG auch die Verarbeitung des Impfstatus zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes in Frage. Die Behörden weisen hier jedoch auf eine fehlende gesetzliche Grundlage hin, welche der Gesetzgeber erlassen müsste, damit diese Vorschrift Anwendung finden kann. Da es diese Rechtsgrundlage bisher nicht gibt, fällt auch diese Option für Arbeitgeber weg.

4. Kollektivvereinbarung/Betriebsvereinbarungen

Andererseits könnte mit Betriebsvereinbarungen eine gültige Rechtsgrundlage für die Erhebung des Impfstatus geschaffen werden. Grundsätzlich wird diese Lösung nicht abgelehnt, sie hat aber mit Verweis auf die Verantwortung des Betriebsrats in Bezug auf die Achtung des Persönlichkeitsrechts der Arbeitnehmer gem. § 75 Abs. 2 BetrVG hohe Hürden, die nicht in jedem Unternehmen mit Betriebsrat überwunden werden dürften.

5. Freiwillige Angaben

Abgesehen von einer ausdrücklichen Einwilligung, kann es auch vorkommen, dass Mitarbeiter freiwillig ihren Impfstatus gegenüber dem Arbeitgeber preisgeben. In einigen Bundesländern ist dies beispielsweise üblich, um sich von der regelmäßigen Testpflicht zu befreien. Laut den Datenschutzbehörden stellt die Überprüfung des Impfstatus kein Problem dar. Jedoch darf diese Information nicht vom Arbeitgeber gespeichert werden, da dies wiederum einer Datenverarbeitung gleichkommen würde, für die es keine Rechtsgrundlage gibt.

6. Fazit

Im Ergebnis ist festzustellen, dass es für Arbeitgeber, die nicht in einem medizinischen Tätigkeitsfeld oder in einer Branche nach § 36 Abs. 3 arbeiten keine sichere Rechtsgrundlage haben, um den Impfstatus von Mitarbeitern abzufragen.

Der Gesetzgeber hat hier versäumt eine Rechtsgrundlage für diese Datenverarbeitung zu schaffen. Zeit genug wäre hierfür, seit Impfungen gegen das Coronavirus absehbar waren, gewesen.

Bisher bleibt Arbeitgebern deshalb nur zu raten, auf die Abfrage des Impfstatus zu verzichten und alle Mitarbeiter nach den Maßgaben der 3-G-Regeln zu behandeln.

Aus rein datenschutzrechtlicher Sicht ist es durchaus auch begrüßenswert, dass keine Gesundheitsdaten durch den Arbeitgeber abgefragt werden können.

Die einzige Lösung für Arbeitgeber ist derzeit, dass die Arbeitnehmer freiwillig ihren Impfstatus bekanntgeben, dieser jedoch nicht gespeichert wird.