Die Frage nach dem Impfstatus im Arbeitsverhältnis - ein unbewältigter Konflikt?

Gesundheitsdaten im Beschäftigungsverhältnis - kein Regelfall

Die Verarbeitung von Gesundheitsdaten wie dem Impfstatus der Beschäftigten durch den Arbeitgeber ist ein stets spezifisch begründungs- und regelungsbedürftiger Ausnahmefall. Dieser unmittelbar aus Art. 9 Abs. 1 und Abs. 2 lit. h DS-GVO abzuleitende Grundbefund kann auch i.R.d. durch Art. 88 DS-GVO im Beschäftigungskontext eröffneten mitgliedstaatlichen oder kollektivrechtlichen Regelungsbefugnisse nicht in Frage gestellt werden. Auch diese erlauben nicht mehr als spezifischere, aber nicht im Schutzkonzept grundlegend divergierende Verarbeitungserlaubnisse. Die gegenwärtige normative Ausgestaltung dieser Verarbeitungsbefugnisse für besonders geschützte Daten in § 26 Abs. 3 BDSG spiegelt diese Grenzen wider, auch wenn sie nach ihrem Wortlaut eine weitreichende, systematisch aber schon durch die Subsidiarität des BDSG und den grundrechtlichen Wesentlichkeitsvorbehalt begrenzte Rechtsgrundlage vermittelt.

Auch die besonderen Erfordernisse des Bevölkerungsschutzes in Zeiten einer Pandemie eröffnen für den Arbeitgeber außerhalb einiger, durch ein erhöhtes Gefährdungspotenzial geprägter Einrichtungen keine weitergehenden Verarbeitungsbefugnisse. Dies gilt insbesondere nicht für die mit Art. 6 Abs. 1 UAbs. 1 lit. d und 9 Abs. 2 lit. c DS-GVO eingeräumten Erlaubnistatbestände zur Wahrung lebenswichtiger Interessen des Betroffenen und anderer Personen. Der diesen Bestimmungen zuzuordnende Erwägungsgrund 46 anerkennt zwar, dass „Verarbeitungen für humanitäre Zwecke einschließlich der Überwachung von Epidemien und deren Ausbreitung“ erforderlich sein können. Gleichzeitig postuliert er aber ausdrücklich einen Nachrang des Verarbeitungsgrunds „lebenswichtiger Interessen“ gegenüber anderen Erlaubnissen („offensichtlich nicht auf eine andere Rechtsgrundlage gestützt werden kann“), der besonders strenge Maßstäbe an die Prüfung der Erforderlichkeit einer so legitimierten Datenverarbeitung verlangt. Da Arbeitgeber zwar eine Vielzahl anerkennenswerter, altruistischer Motive geltend machen mögen, funktional aber eine Datenverarbeitung von Impf- oder Serostatus noch immer nicht epidemiologischen sondern primär betrieblichen Schutzzwecken dient, kann eine Rechtfertigung solcher Verarbeitungen durch „lebenswichtige Interessen“ nicht anerkannt werden.

Ausweitung spezifisch geregelter Ausnahmefälle

I.R.e. erst am Ende der parlamentarischen Beratungen aufgenommenen Begleitregelung des Aufbauhilfegesetzes 2021 hatte der Bundesgesetzgeber zum Ausklang der 19. Legislaturperiode zuletzt die Befugnis zur Verarbeitung von Impfdaten durch Arbeitgeber aus besonderen Gründen der Pandemiebekämpfung erweitert. Neben den bereits in § 23a IfSG genannten Einrichtungen erlaubt nunmehr § 36 Abs. 3 IfSG in weiteren, eng konditionierten Fällen die Erhebung von Impf- und Serostatus bei Beschäftigten. Der Erlaubnistatbestand setzt dabei die Feststellung einer epidemischen Lage von nationaler Tragweite durch den Deutschen Bundestag nach § 5 Abs. 1 S. 1 IfSG (derzeit bis zum 24.11.2021) voraus und erlaubt eine Abfrage nur insoweit als dies zur Verhinderung der Verbreitung der Coronavirus-Krankheit-2019 (COVID-19) erforderlich ist.

Somit ist eine Verarbeitung von Impfdaten durch den Arbeitgeber nicht mehr nur bei den Beschäftigten von Einrichtungen _£nach § 23 Abs. 3 IfSG, wie z.B. Krankenhäusern und Arztpraxen, sondern während einer festgestellten epidemischen Lage von nationaler Tragweite nach § 5 Abs. 1 S. 1 IfSG und soweit es zur Verhinderung der Verbreitung des Coronavirus erforderlich ist, auch für weitere Beschäftigtengruppen zulässig. Erfasst werden nunmehr z.B. Beschäftigte in Kindertageseinrichtungen, Schulen, Behinderten- und Pflegeeinrichtungen, Einrichtungen zur gemeinschaftlichen Unterbringung von Asylbewerbern, sonstigen Massenunterkünften, Justizvollzugsanstalten oder im ambulanten Pflegedienst.

Diese ausdrückliche gesetzgeberische Entscheidung ist als Bestätigung bzw. Fortführung des grundsätzlichen Verbots der Verarbeitung von Gesundheitsdaten durch den Arbeitgeber anzuerkennen, nicht als Paradigmenwechsel. Der in § 36 Abs. 3 S. 2 IfSG aufgenommene Vorbehalt zu Gunsten des allgemeinen Datenschutzrechts soll, nach der vom Bundestag angenommenen Beschlussempfehlung, ausdrücklich klarstellen, dass es „für andere Beschäftigtendaten und für Beschäftigte außerhalb des Anwendungsbereichs der § 36 Abs. 1 und Abs. 2 bei den allgemeinen Bestimmungen“ bleibt (BT-Drs. 19/32275, 29). Auch die rechtspolitische Debatte im Vorfeld der Neuregelung lässt keinen Konsens über weitergehende Verarbeitungsbefugnisse für Impfdaten durch Arbeitgeber erkennen, wie z.B. eine Stellungnahme des BfDI v. 18.8.2021 zur „Verarbeitung von Daten zu Impfstatus und Testungen im Zusammenhang mit dem Coronavirus durch den Arbeitgeber/Dienstherren“ verdeutlicht.

Systematisch bleiben daneben noch spezifische, auf infektionsschutzrechtlichen Verordnungsermächtigungen der Länder gestützte Verpflichtungen zur Erhebung des Impfstatus im Zusammenhang mit sog. 2G- oder 3G-Modellen denkbar: Da solche Regelungen als Zugangsbeschränkungen zu bestimmten Veranstaltungen oder Einrichtungen ausgestaltet sind, erfassen sie nach Schutzzweck und Wortlaut unterschiedslos Kund*innen bzw. Besucher*innen wie auch Beschäftigte. Sie legitimieren damit auch bei Beschäftigten als Regelungen zum Schutz der öffentlichen Gesundheit i.S.v. Art. 9 Abs. 2 lit. i DS-GVO bzw. - mangels angemessener und spezifischer Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person - als arbeitsrechtliche Verpflichtung in Verbindung mit der Generalbefugnis des § 26 Abs. 3 BDSG die Verarbeitung von Impfstatusdaten durch Arbeitgeber unter den jeweiligen Voraussetzungen des Landesrechts. Die Verankerung dieser Erhebungsverpflichtungen im Landesrecht stellt Arbeitgeber mit Standorten in mehreren Bundesländern vor die Aufgabe, standortspezifische Regelungen zu treffen, um den ggf. unterschiedlichen Anforderungen der infektionsschutzrechtlichen Landesverordnungen Rechnung zu tragen.

Ein Grenzfall: Die Erfassung des Impfstatus im Rahmen von Quarantäne-Entschädigungen

Neben präventiven, der Pandemiebekämpfung und spezifischen Erfordernissen des Arbeitsschutzes dienenden Zwecken kann sich außerdem i.R.d. Erstattungsverfahrens für die Vorausleistung von Quarantäneentschädigungen für Arbeitgeber die Frage nach dem Impfstatus der betroffenen Beschäftigten stellen. Anknüpfungspunkt dafür ist der in § 56 Abs. 1 S. 4 IfSG angeordnete, zunächst nicht allein für die aktuelle COVID-19-Pandemie geltende Ausschluss solcher Verdienstausfallleistungen für Fälle, in denen die Quarantäne durch zumutbare Selbstschutzmaßnahmen wie Impfungen hätte vermieden werden können. Die Regelung wurde i.R.d. parlamentarischen Beratungen des Masernschutzgesetzes bereits mit Wirkung ab dem 1.3.2020 in das Infektionsschutzrecht aufgenommen und soll nun nach einem Beschluss der Gesundheitsministerkonferenz in Fällen angewendet werden, in denen den Quarantänepflichtigen eine Impfung möglich gewesen wäre.

Trotz ihrer Einführung bereits unter Geltung der DS-GVO und deren explizite Anforderungen an nationale Regelungen des Gesundheitsschutzes enthält die Entschädigungsregelung lediglich eine unbestimmte Regelungsermächtigung der Länder für Einzelheiten der Antragübermittlung und „des näheren Verfahrens“ (§ 56 Abs. 11 IfSG). Ansätze zur Bewältigung der damit aufgeworfenen Datenschutzfragen fehlen hingegen. Auch die knappe Begründung der zu Grunde liegenden Ausschussempfehlung (BT-Drs. 19/32275, 58) geht nicht näher auf die mit dem Vollzug des Ausschlusstatbestands unvermeidbar verbundene Offenlegung von Gesundheitsdaten der Beschäftigten ein.

Für die Anwendungspraxis ergeben sich daraus Rechtsunsicherheiten, für deren Bewältigung entweder komplexere Einwilligungslösungen oder ein Rückgriff auf die allgemeine Verarbeitungsbefugnis des § 26 Abs. 3 BDSG zur Verfügung stehen. Auch bei Anerkennung der infektionsschutzrechtlichen Entschädigungsleistung als Erfüllung einer rechtlichen Pflicht aus dem Arbeitsrecht i.S.v. § 26 Abs. 3 S. 2 BDSG bleibt in der Verfahrensgestaltung den besonderen Schutzbedürfnissen der Beschäftigten Rechnung zu tragen, z.B. indem der Nachweis von Kontraindikationen in einem ärztlichen Attest auch ohne nähere Angaben zur Diagnose berücksichtigt wird.

Arbeitsschutzrecht vermittelt keine Befugnis zur Erhebung des Impfstatus

Anders als beim Entschädigungsverfahren nach § 56 IfSG enthält das allgemeine Arbeitsschutzrecht auch in seinen zur Pandemiebekämpfung fortentwickelten Verpflichtungen des Arbeitgebers zu Schutz- und Hygienemaßnahmen weiterhin keinen Anknüpfungspunkt, der die Erhebung des Impfstatus von Beschäftigten legitimiert. Ebenso die zum 10.9.2021 in Kraft getretene Verlängerung und Ergänzung der Arbeitsschutzverordnung sieht keine Pflicht zur Erhebung des Impfstatus von Beschäftigten vor. Sie beschränkt sich vielmehr auf allgemeine Forderungen nach Hygienekonzepten, bei deren Aufstellung vorliegende Informationen zum Impfstatus „berücksichtigt“ werden können, wie das BMAS selbst erläutert.

Nachbesserungserfordernisse des Gesetzgebers

Die Bestandsaufnahme macht deutlich, dass die datenschutzrechtlichen Grenzen bei der Frage nach dem Impfstatus im Beschäftigungsverhältnis auf bewusste Wertungen und Grundsatzentscheidungen des parlamentarischen Gesetzgebers zurückzuführen sind, die nur durch die Rechtspolitik, aber nicht durch die Anwendungspraxis in Frage gestellt oder nachgebessert werden sollten. Aufgabe des Gesetzgebers bleibt es, neben der Evaluation der neu geschaffenen Instrumente erste Nachbesserungen wie etwa bei der in § 28a Abs. 5 IfSG aufgenommenen Zweckbindung für Kontaktnachverfolgungsdaten systematisch fortzuführen, um dem von DS-GVO für Gesundheitsdaten auch in der Pandemie geforderten Schutzniveau deutlich näher zu kommen.