Hygienekonzepte und viele Maßnahmen zum Schutz der Mitarbeiter vor Corona wurden in den letzten Wochen und Monaten in vielen Organisationen umgesetzt. Doch was ist, wenn es trotz der Maßnahmen zum Ernstfall kommt und sich doch Mitarbeiter mit dem Virus infiziert haben? Wir haben in den letzten Tagen häufiger Anfragen dazu erhalten, wie man die Belegschaft aus datenschutzrechtlicher Sicht informieren sollte, wenn sich Mitarbeiter mit Corona infiziert haben und kurz zuvor noch auf Arbeit waren. Hier stellen sich datenschutzrechtliche Fragen, da die Daten der Betroffenen zu schützen sind.

Grundsätzlich sind Informationen darüber, ob sich eine Person mit dem Coronavirus infiziert hat, Gesundheitsdaten. Diese Informationen sind demnach besondere Kategorien personenbezogener Daten und besonders schutzbedürftig. Gemäß Art. 9 Abs. 2 DS-GVO dürfen Gesundheitsdaten nur in den dort genannten Ausnahmefällen verarbeitet werden, z. Bsp. nach Einwilligung oder aus Gründen des öffentlichen Interesses im Bereich der Gesundheit.

Um diese Gesundheitsdaten der Betroffenen im Falle einer Corona-Infektion adäquat zu schützen, schlagen wir ein dreistufiges Vorgehen vor:

1. Allgemeine Information der Mitarbeiter

Die Mitarbeiter können allgemein darüber informiert werden, dass es eine Infektion im Unternehmen gegeben hat. Eine konkrete Nennung der Infizierten sollte nicht erfolgen.

2. Information von Kontaktpersonen

Kollegen, welche im gleichen Büro mit den Betroffenen sitzen oder anderweitig häufig engeren Kontakt mit den Betroffenen haben, können durchaus darüber informiert werden, dass Sie möglicherweise Kontakt zu der infizierten Person hatten. Dies sollte allerdings im persönlichen Gespräch aufgeklärt werden. Weitere Anweisungen und Nachverfolgungen der Kontakte sollten aus dem Gesundheitsamt nach Abstimmung mit den Betroffenen kommen.

3. Bekanntgabe der Betroffenen nur bei Einwilligung

Nach der allgemeinen Information der Belegschaft über eine Infektion, kommen daraufhin sicherlich Nachfragen, um welche Person es sich handelt. Grundsätzlich sollte diese Information nur herausgegeben werden, wenn die betroffene Person eindeutig eingewilligt hat, dass ihre Infektion im Unternehmen bekannt gegeben werden darf. Daher ist sich hierfür zuvor die Einwilligung einzuholen.

Mit diesen Schritten kann verhindert werden, dass Datenschutzverstöße durch die voreilige Benennung von Infizierten begangen werden.