Deutsche Wirtschaft rüstet sich für „Corona-Alltag“

Einsatz von Tracing-Apps in Unternehmen _ Die deutsche Wirtschaft fährt im Zuge der allgemeinen Lockerungen wieder hoch. Um die Gefahr innerbetrieblicher Infektionswellen auszuschließen, arbeiten viele Unternehmen an datenbasierten Lösungen wie z. B. Tracing-Apps – mit entsprechenden Auswirkungen auf Datenschutz und Arbeitsrecht. Ein Überblick von Nicolas Dumont und Dagmar Nolden, Anwälte im Frankfurter Büro der Kanzlei Arnold & Porter.

Auf technischer Seite werden in Deutschland zurzeit mehrere Optionen erwogen: 1. Tracing-Apps auf dem Diensthandy, 2. Zugangskontrollen mit Befragungen über den Gesundheitszustand und 3. Transponder-Lösungen, die es bei einer Infektion ermöglichen, festzustellen, zu welchen Mitarbeitern die infizierte Person besonders engen Kontakt hatte. Sowohl Transponder-Lösungen als auch Tracing-Apps dienen einer nachträglichen Identifikation möglicher (räumlicher) Kontakte zu infizierten Personen. Unternehmen bewegen sich mit solchen Plänen allerdings, insbesondere in Deutschland, in einem zumindest medial kritischen Umfeld. Das gegenwärtige Meinungsklima scheint der Einhaltung der DSGVO einen nahezu ausnahmslosen Vorrang gegenüber anderen Interessen einzuräumen. Dies zeigt nicht zuletzt die erst mit erheblichen Verzögerungen veröffentlichte „Corona-Warn-App“.

Der Datenschutz dient dazu, das Individuum vor unzulässigen Übergriffen zu schützen und seine informationelle Selbstbestimmung zu gewährleisten. Diese Rechte werden allerdings durch „Zulässigkeitstatbestände“ eingeschränkt, d. h. der Einsatz von Zugangskontrollen oder Tracing-Apps in Unternehmen stellt dann keinen Verstoß gegen die DSGVO dar, wenn die getroffene Maßnahme – wie hier zur Pandemiebekämpfung – einen der abschließend in Art. 9 Abs. 2 DSGVO genannten Zulässigkeitstatbestände erfüllt und damit für diesen konkreten Fall die Verarbeitung personenbezogener Gesundheitsdaten gestattet. Die Gesundheit von Betriebsangehörigen sowie das berechtigte wirtschaftliche Interesse von Unternehmen, möglichst bald wieder den Betrieb aufzunehmen, fallen in diese Kategorie. Auch Vertreter der Gewerkschaften stehen solchen Überlegungen nicht mehr ablehnend gegenüber, vorausgesetzt, die informationelle Selbstbestimmung der Mitarbeiter bleibt gewährleistet. Weiter regelt die DSGVO, dass die erfassten Daten ohne Zutun der betreffenden Person gelöscht werden müssen, wenn sie nicht mehr benötigt werden. Im Falle einer Corona-Tracing-App sollte dies nach zwei bis spätestens drei Wochen (Inkubationszeit) erfolgen.

Arbeitsrechtliche Implikationen

Aus arbeitsrechtlicher Sicht sind drei Faktoren relevant:
1. Bei der Corona-Warn-App verarbeitet der Arbeitgeber keine Gesundheitsdaten. 2. Die Freiwilligkeit einer Einwilligung des Arbeitsnehmers ist wegen des Ober-/Unterordnungsverhältnisses zwischen Arbeitgeber und Arbeitnehmer oftmals zweifelhaft. 3. Sollten Gesundheitsdaten im Rahmen des Arbeitsverhältnisses verarbeitet werden, kann dies gemäß § 26 Abs. 3 BDSG zulässig sein, wenn dies „…zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht (insbesondere Fürsorgepflicht des Arbeitgebers) erforderlich ist und das schutzwürdige Interesse der betroffenen Person nicht überwiegt.“

Eine verpflichtende Nutzung der neuen Corona-Warn-App auf Diensthandys ist also nicht per se ausgeschlossen. Voraussetzung dafür ist jedoch, dass die Maßnahme für den Gesundheitsschutz der anderen Arbeitnehmer im Betrieb verhältnismäßig ist und kein milderes Mittel zur Verfügung steht. Im Falle von Präventivmaßnahmen gegen COVID-19 wäre die Fürsorgepflicht des Arbeitgebers ein Grund, den Arbeitnehmer zur Nutzung der Warn-App aufzufordern, wenn die Gesundheit der Mitarbeiter nicht durch andere Maßnahmen besser geschützt werden kann.

Firmen-Apps für die betriebliche Infektionskontrolle sind nur zulässig, wenn sie zur Erfüllung der Fürsorgepflicht erforderlich sind und schutzwürdige Interessen des Arbeitnehmers nicht überwiegen. Zwei Beispiele: Ein Berliner Start-up erfasst mit einer selbstentwickelten App für Tablets verschiedene, COVID-19-relevante Informationen, die die Mitarbeiter selbst eingeben. Gibt es Auffälligkeiten, bleiben sie entweder für mindestens zwei Wochen im Homeoffice oder unterziehen sich einem Corona-Test. Ein Maschinenbauer hat seinen Mitarbeitern nahegelegt, eine Bluetooth-basierte Tracing-App auf dem Diensthandy, dessen private Nutzung ausdrücklich erlaubt ist, zu nutzen. Damit können Kontaktpersonen bei einer Corona-Infektion schneller ausfindig gemacht werden. Dort hat der Betriebsrat die Einführung der App sogar vorangetrieben, damit die Produktion weitergeführt werden kann.

Ausblick

Wir erwarten, dass es in Unternehmen immer wieder kritische Situationen geben wird, wenn Instrumente eingesetzt werden sollen, um Infizierungen mit COVID-19 vorzubeugen. Im Ernstfall müssen Gerichte über die Abwägung zwischen dem Gemeinwohl und dem individuellen Recht auf Datenschutz entscheiden. Unternehmen sollten daher klar kommunizieren, was genau mit ihren Daten geschieht, wann sie gelöscht werden und ob und an wen sie anonymisiert weitergegeben werden. Mitarbeiter sollten die Möglichkeit haben, die Weitergabe abzulehnen. Im Sinne einer guten Corporate Citizenship empfiehlt
es sich, die Daten unentgeltlich relevanten Institutionen wie dem Robert-Koch-Institut zur Verfügung zu stellen.