Zuletzt aktualisiert am 2. August 2026

Rechtsgrundlagen für die Verarbeitung von Corona-Testdaten

Die datenschutzrechtliche Beurteilung von Corona-Tests am Arbeitsplatz erfordert eine differenzierte Betrachtung der Rechtsgrundlagen. Grundsätzlich ist zwischen der reinen Dokumentation der Testdurchführung und der Verarbeitung des Testergebnisses zu unterscheiden.

Die Dokumentation, welcher Mitarbeiter wann einen Schnelltest durchgeführt hat, lässt sich auf § 26 Abs. 1 BDSG (Beschäftigtendatenschutz) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) stützen. Das berechtigte Interesse des Arbeitgebers liegt in der Erfüllung seiner Fürsorgepflicht und dem Schutz der übrigen Belegschaft.

Besonderer Schutz von Gesundheitsdaten

Sobald das konkrete Testergebnis verarbeitet wird, handelt es sich um Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO. Diese unterliegen einem besonderen Schutz und dürfen nur unter den strengen Voraussetzungen des Art. 9 Abs. 2 DSGVO verarbeitet werden. Im Beschäftigungskontext kommt insbesondere Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG als Rechtsgrundlage in Betracht.

Ein externer Datenschutzbeauftragter kann Unternehmen dabei unterstützen, die Verarbeitung von Gesundheitsdaten rechtskonform zu gestalten und die erforderliche Dokumentation im Verarbeitungsverzeichnis vorzunehmen.

Pflichten des Arbeitgebers bei der Testdurchführung

Bei der Durchführung von Corona-Tests am Arbeitsplatz müssen Arbeitgeber zahlreiche datenschutzrechtliche Anforderungen beachten:

• Informationspflicht: Mitarbeiter müssen gemäß Art. 13 DSGVO umfassend über die Verarbeitung ihrer Daten informiert werden
• Zweckbindung: Die erhobenen Daten dürfen ausschließlich zum Zweck des Infektionsschutzes verwendet werden
• Datenminimierung: Es dürfen nur die für den Zweck unbedingt erforderlichen Daten erhoben werden
• Speicherbegrenzung: Testdaten müssen nach Ablauf des Zwecks zeitnah gelöscht werden
• Vertraulichkeit: Testergebnisse dürfen nur einem eng begrenzten Personenkreis zugänglich sein

Aufbewahrungsfristen für Corona-Testdaten

In Sachsen gibt es keine ausdrückliche Aufbewahrungspflicht für den Arbeitgeber bezüglich der Testbescheinigungen. Für die Beschäftigten selbst wird eine Aufbewahrung der Testbescheinigung von vier Wochen empfohlen. Der Arbeitgeber sollte die Testergebnisse den Mitarbeitern aushändigen und keine eigene Kopie aufbewahren, soweit dies nicht zur Erfüllung gesetzlicher Pflichten erforderlich ist.

Nach Wegfall der rechtlichen Grundlage – etwa durch Aufhebung der entsprechenden Corona-Verordnung – müssen alle gespeicherten Testdaten unverzüglich gelöscht werden. Eine weitergehende Speicherung ist datenschutzrechtlich nicht zulässig.

Technisch-organisatorische Maßnahmen beim Testen

Um den Datenschutz bei der Durchführung von Corona-Tests zu gewährleisten, sollten Arbeitgeber folgende technisch-organisatorische Maßnahmen implementieren:

1. Separate, zugangsbeschränkte Räumlichkeiten für die Testdurchführung
2. Verschlossene Aufbewahrung aller Testunterlagen
3. Beschränkung des Zugriffs auf Testergebnisse auf das zwingend erforderliche Personal
4. Klare Vertretungsregelungen und Zuständigkeiten
5. Dokumentation der ergriffenen Schutzmaßnahmen
6. Sichere Entsorgung der Testmaterialien und -unterlagen

Lehren aus der Pandemie für den betrieblichen Datenschutz

Die Corona-Pandemie hat gezeigt, wie schnell Unternehmen mit der Verarbeitung besonders sensibler personenbezogener Daten konfrontiert werden können. Ein professionelles Datenschutzkonzept, das auch auf außergewöhnliche Situationen vorbereitet ist, schützt Unternehmen vor kostspieligen Datenschutzverstößen.

Die DATUREX GmbH aus Dresden berät Unternehmen in ganz Sachsen zu allen Fragen des Beschäftigtendatenschutzes – auch in Krisensituationen, die schnelles und dennoch rechtskonformes Handeln erfordern.

Arbeitsrechtliche Implikationen der Testpflicht

Die Einführung einer Testpflicht am Arbeitsplatz berührt neben dem Datenschutz auch arbeitsrechtliche Fragestellungen. Der Arbeitgeber hat zwar das Recht, im Rahmen seines Direktionsrechts bestimmte Maßnahmen zum Gesundheitsschutz anzuordnen, muss dabei jedoch die Persönlichkeitsrechte der Arbeitnehmer wahren.

Die Verweigerung eines Tests durch einen Mitarbeiter kann arbeitsrechtliche Konsequenzen haben, wobei die Verhältnismäßigkeit laufend gewahrt bleiben muss. Arbeitgeber sollten im Zusammenspiel mit dem Betriebsrat klare Regelungen treffen und diese in einer Betriebsvereinbarung dokumentieren. Diese Betriebsvereinbarung kann zugleich als Rechtsgrundlage für die Datenverarbeitung dienen.

Datenschutz-Folgenabschätzung bei Corona-Tests

Da bei der Verarbeitung von Gesundheitsdaten ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen bestehen kann, ist gemäß Art. 35 DSGVO zu prüfen, ob eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen ist. Eine DSFA ist insbesondere dann erforderlich, wenn Gesundheitsdaten systematisch und in größerem Umfang verarbeitet werden.

Die DSFA muss mindestens folgende Elemente enthalten:

• Systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Verarbeitungszwecke
• Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung
• Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen
• Geplante Abhilfemaßnahmen und Sicherheitsvorkehrungen

Übermittlung von Testergebnissen an Dritte

Eine besondere Herausforderung stellt die Frage dar, ob und an wen der Arbeitgeber positive Testergebnisse weitergeben darf. Grundsätzlich gilt:

Gesundheitsamt: Die Meldung positiver Corona-Testergebnisse an das zuständige Gesundheitsamt ist aufgrund der Meldepflichten nach dem Infektionsschutzgesetz (IfSG) datenschutzrechtlich zulässig und sogar verpflichtend. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den einschlägigen Vorschriften des IfSG.

Kollegen: Die Information von Kollegen über ein positives Testergebnis eines Mitarbeiters ist grundsätzlich unzulässig, sofern der betroffene Mitarbeiter nicht eingewilligt hat. Der Arbeitgeber kann jedoch allgemeine Schutzmaßnahmen ergreifen, ohne den Namen des betroffenen Mitarbeiters zu nennen.

Kunden und Geschäftspartner: Eine Weitergabe von Testergebnissen an Kunden oder Geschäftspartner ist ohne Einwilligung des betroffenen Mitarbeiters nicht zulässig. Auch hier können jedoch allgemeine Informationen über Hygienemaßnahmen kommuniziert werden.

Dokumentationspflichten des Arbeitgebers

Um die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO zu erfüllen, sollte der Arbeitgeber folgende Dokumentationen vorhalten:

1. Aktualisiertes Verarbeitungsverzeichnis mit der Verarbeitungstätigkeit Corona-Tests
2. Datenschutzinformation für Mitarbeiter zur Testdurchführung
3. Gegebenenfalls eine Datenschutz-Folgenabschätzung
4. Betriebsvereinbarung oder Dienstanweisung zur Testdurchführung
5. Dokumentation der technisch-organisatorischen Maßnahmen
6. Nachweis über die Löschung der Testdaten nach Fristablauf

Die Erfahrungen aus der Pandemie haben deutlich gemacht, dass betrieblicher Datenschutz ein dynamisches Feld ist, das sich schnell an neue Gegebenheiten anpassen muss. Unternehmen, die über ein robustes Datenschutzmanagementsystem verfügen, sind für solche Herausforderungen deutlich besser gerüstet.

Lehren aus der Corona-Pandemie für den betrieblichen Datenschutz

Die Corona-Pandemie hat in den Jahren 2020 bis 2023 den betrieblichen Datenschutz vor beispiellose Herausforderungen gestellt. Die Erfahrungen aus dieser Zeit haben wichtige Erkenntnisse für den Umgang mit Gesundheitsdaten im Arbeitsverhältnis geliefert, die auch 2026 noch relevant sind. Viele der damals etablierten Grundsätze gelten unverändert für die Verarbeitung von Gesundheitsdaten im Beschäftigungsverhältnis.

Gesundheitsdaten im Arbeitsverhältnis — Grundsätze

Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO. Ihre Verarbeitung ist grundsätzlich untersagt, es sei denn, es greift einer der in Art. 9 Abs. 2 DSGVO normierten Ausnahmetatbestände. Im Beschäftigungsverhältnis kommt insbesondere Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG als Rechtsgrundlage in Betracht.

Folgende Grundsätze gelten für die Verarbeitung von Gesundheitsdaten durch den Arbeitgeber:

• Erforderlichkeit: Die Verarbeitung muss zur Erfüllung arbeitsrechtlicher Pflichten erforderlich sein.
• Datenminimierung: Es dürfen nur die absolut notwendigen Gesundheitsdaten erhoben werden.
• Zweckbindung: Gesundheitsdaten dürfen ausschließlich zu dem Zweck verarbeitet werden, zu dem sie erhoben wurden.
• Speicherbegrenzung: Gesundheitsdaten sind zu löschen, sobald der Verarbeitungszweck entfallen ist.
• Vertraulichkeit: Der Zugang zu Gesundheitsdaten muss strikt auf die Personen beschränkt werden, die diese Informationen für ihre Aufgabenerfüllung benötigen.

Betriebliches Eingliederungsmanagement (BEM) und Datenschutz

Ein praxisrelevantes Beispiel für die Verarbeitung von Gesundheitsdaten im Arbeitsverhältnis ist das Betriebliche Eingliederungsmanagement nach § 167 Abs. 2 SGB IX. Arbeitgeber sind verpflichtet, Mitarbeitern, die innerhalb eines Jahres länger als sechs Wochen ununterbrochen oder wiederholt arbeitsunfähig sind, ein BEM anzubieten.

Datenschutzrechtlich ist bei der Durchführung eines BEM Folgendes zu beachten:

• Die Teilnahme am BEM ist für den Mitarbeiter freiwillig und setzt eine informierte Einwilligung voraus.
• Die im BEM-Verfahren erhobenen Gesundheitsdaten sind in einer separaten, verschlossenen BEM-Akte aufzubewahren.
• Der Zugang zu BEM-Unterlagen ist streng zu beschränken — die Personalakte darf lediglich den Vermerk enthalten, dass ein BEM angeboten und durchgeführt oder abgelehnt wurde.
• Nach Abschluss des BEM-Verfahrens sind die Gesundheitsdaten zu löschen, sofern keine Aufbewahrungspflicht besteht.

Arbeitsmedizinische Vorsorge und Eignungsuntersuchungen

Auch bei arbeitsmedizinischen Vorsorgeuntersuchungen und Eignungsuntersuchungen werden Gesundheitsdaten verarbeitet. Hier ist zu unterscheiden: Der Betriebsarzt unterliegt der ärztlichen Schweigepflicht. Der Arbeitgeber erhält lediglich eine Vorsorgebescheinigung ohne Diagnosen. Die Aufbewahrung der ärztlichen Unterlagen erfolgt beim Betriebsarzt, nicht beim Arbeitgeber.

Impfstatus und Infektionsschutz am Arbeitsplatz

Die Frage, ob und inwieweit ein Arbeitgeber den Impfstatus seiner Mitarbeiter abfragen darf, war während der Corona-Pandemie ein zentrales Thema. Die damaligen Sonderregelungen sind inzwischen weitgehend ausgelaufen. Grundsätzlich gilt: Ohne spezielle gesetzliche Grundlage darf ein Arbeitgeber den Impfstatus seiner Mitarbeiter nicht abfragen. Die Erfahrungen aus der Pandemie haben jedoch die Bedeutung klarer datenschutzrechtlicher Regelungen für den Gesundheitsschutz am Arbeitsplatz verdeutlicht.

Homeoffice und Datenschutz

Eine weitere dauerhafte Auswirkung der Pandemie ist die verstärkte Nutzung von Homeoffice. Auch im Homeoffice gelten die datenschutzrechtlichen Anforderungen uneingeschränkt. Arbeitgeber sind verpflichtet, angemessene technisch-organisatorische Maßnahmen für die Arbeit im Homeoffice zu implementieren:

• Verschlüsselung von Endgeräten und Datenträgern
• VPN-Verbindung für den Zugriff auf Unternehmensdaten
• Bildschirmsperre bei Abwesenheit
• Separater, abschließbarer Arbeitsbereich
• Sichere Entsorgung von Dokumenten (Aktenvernichter)
• Verbot der Nutzung privater Geräte für dienstliche Zwecke (oder klare BYOD-Richtlinien)

Dokumentation und Rechenschaftspflicht

Art. 5 Abs. 2 DSGVO verpflichtet den Verantwortlichen, die Einhaltung aller Datenschutzgrundsätze nachweisen zu können. Dies gilt in besonderem Maße für die Verarbeitung von Gesundheitsdaten. Ein strukturiertes Verarbeitungsverzeichnis dokumentiert alle relevanten Verarbeitungstätigkeiten und bildet die Grundlage für die Erfüllung der Rechenschaftspflicht.

Die DATUREX GmbH berät Unternehmen in Dresden und Sachsen umfassend zum Beschäftigtendatenschutz. Ob Homeoffice-Regelungen, BEM-Verfahren oder der Umgang mit Gesundheitsdaten — als externer Datenschutzbeauftragter sorgen wir für rechtssichere Prozesse in Ihrem Unternehmen.