Datenschutz und Impfungen

Datenschutz und Impfungen

Gerade in der Debatte um die Corona-Impfungen gewinnt der Impfpass immer mehr an Bedeutung und viele bekommen das Gefühl, dass er ein „Schein in die Freiheit“ wird. Es wird darauf gesetzt, dass der Impfpass den Zugang zu öffentlichen Veranstaltungen, Sommerurlauben und auch den Weg raus aus dem Home-Office ermöglicht.

Doch wie ist das Vorzeigen des Impfpasses aus datenschutzrechtlicher Sicht zu beurteilen?

Impfnachweis gegenüber dem Arbeitgeber

Darf der Arbeitgeber Einsicht in den Impfpass oder den Nachweis einer bestimmten Impfung fordern?

Der Impfpass enthält viele personenbezogene Daten und vor allem auch Gesundheitsdaten, die unter Art. 9 DSGVO fallen und damit besonders zu schützen sind.

Der Arbeitgeber darf grundsätzlich nur solche Daten verarbeiten, die für das Beschäftigungsverhältnis erforderlich sind. Tatsächlich besteht in einigen Berufen seit Einführung des Masernschutzgesetzes (dies stützt sich auf Art. 9 II lit. i DSGVO) eine Pflicht zum Nachweis einer Impfung gegen Masern. Aber das heißt nicht, dass der Arbeitgeber den ganzen Impfpass einsehen oder die entsprechende Seite kopieren darf. Hier sollte zur Wahrung der Datensparsamkeit und Zweckbindung auf andere Lösungen (wie eine Einsichtnahme und schriftliche Bestätigung zweier Personaler) zurückgegriffen werden.

In jedem Fall befindet sich der Arbeitgeber in einer Zwickmühle zwischen der Nachweispflicht und dem Datenschutz und sollte einzelfallabhängig den jeweiligen Datenschutzbeauftragten zu Rate ziehen.

Kann der Arbeitgeber andere Impfungen verlangen?

Andere Impfungen als die gegen Masern sind bis jetzt nicht verpflichtend in Deutschland. Dementsprechend darf der Arbeitgeber diese auch nicht als Nachweis einfordern.

Selbst um zum Beispiel gegen Covid-19 geimpften Arbeitnehmern das Arbeiten im Büro vor Ort statt im Home-Office zu ermöglichen, bräuchte es nach aktueller Lage einer Gesetzesänderung.

Umgang mit Corona-Tests

Auch bei Corona-Tests/Schnelltests und deren Ergebnisse gilt der besondere Schutz des Art. 9 DSGVO. Zu beachten ist deshalb, dass die Ergebnisse sicher verwahrt und möglichst schnell vernichtet werden, sowie dass nur die Personen Zugriff erhalten, die dies unbedingt müssen (zum Beispiel die mit der Verwahrung beauftragten Mitarbeiter oder der Betriebsarzt) ganz nach dem „need-to-know-Prinzip“.

Ist ein Test positiv, darf dies auch nur anonym kommuniziert werden.

Gerade im Thema Corona und Datenschutz ist noch vieles in Bewegung und es ist unbedingt erforderlich, regelmäßig Rücksprache mit dem Datenschutzbeauftragten zu halten. Mit Impfausweisen und -daten ist in jedem Fall sehr sorgsam umzugehen.

Digitaler Impfnachweis und Datenschutz

Der digitale Impfnachweis, etwa über die CovPass-App oder vergleichbare Anwendungen, wirft eigenständige datenschutzrechtliche Fragen auf. Im Gegensatz zum klassischen Impfpass in Papierform werden beim digitalen Nachweis Daten elektronisch verarbeitet und können potenziell von verschiedenen Stellen ausgelesen werden. Bei der Entwicklung des EU-weiten digitalen COVID-Zertifikats wurden Datenschutzaspekte zwar berücksichtigt, in der praktischen Umsetzung zeigten sich jedoch Schwachstellen. So wurden QR-Codes teilweise in sozialen Medien geteilt, wodurch personenbezogene Daten wie Name, Geburtsdatum und Impfstatus für jedermann einsehbar waren.

Grundsätzlich gilt: Digitale Impfnachweise sollten nur gegenüber berechtigten Stellen vorgezeigt werden. Das Fotografieren oder Kopieren des QR-Codes durch Dritte ist nicht zulässig. Prüfende Stellen dürfen die angezeigten Daten nicht speichern, sondern lediglich die Gültigkeit des Zertifikats überprüfen.

Impfdaten am Arbeitsplatz: Rechte und Pflichten

Die Frage, inwieweit der Arbeitgeber Impfdaten seiner Mitarbeiter verarbeiten darf, ist differenziert zu betrachten. Grundsätzlich gilt das Prinzip der Datensparsamkeit. Der Arbeitgeber darf nur diejenigen Daten erheben, die für das Beschäftigungsverhältnis erforderlich sind. Im Regelfall gehören Impfdaten nicht dazu.

Es gibt jedoch Ausnahmen, die eine Verarbeitung von Impfdaten rechtfertigen können:

• Gesetzliche Nachweispflichten: Im medizinischen Bereich, in Gemeinschaftseinrichtungen und bei der Betreuung immungeschwächter Personen besteht seit dem Masernschutzgesetz eine Impfnachweispflicht.
• Arbeitsschutzrechtliche Anforderungen: Bei bestimmten Tätigkeiten, etwa in Laboren mit biologischen Arbeitsstoffen, können arbeitsmedizinische Vorsorgeuntersuchungen einschließlich Impfstatuserhebungen erforderlich sein.
• Entsendung ins Ausland: Bei Dienstreisen in Länder mit besonderen Gesundheitsrisiken kann der Arbeitgeber den Nachweis empfohlener Impfungen verlangen, um seiner Fürsorgepflicht nachzukommen.

In allen Fällen gilt: Der Arbeitgeber sollte die Daten nicht selbst speichern, sondern die Überprüfung dem Betriebsarzt überlassen. Der Datenschutzbeauftragte sollte bei der Ausgestaltung der Prozesse einbezogen werden.

Impfregister und staatliche Datenverarbeitung

In Deutschland wird seit längerem über die Einführung eines nationalen Impfregisters diskutiert. Ein solches Register würde die zentrale Erfassung aller Impfungen ermöglichen und könnte die Impfquoten transparenter machen. Aus datenschutzrechtlicher Sicht sind dabei erhebliche Anforderungen zu beachten. Die Speicherung von Gesundheitsdaten in einem zentralen Register erfordert eine spezialgesetzliche Grundlage, die den Anforderungen des Art. 9 DSGVO genügt. Technische und organisatorische Maßnahmen müssen den Schutz vor unbefugtem Zugriff sicherstellen.

Die Erfahrungen aus anderen europäischen Ländern wie Dänemark oder den Niederlanden zeigen, dass ein Impfregister bei sorgfältiger Umsetzung sowohl den öffentlichen Gesundheitsschutz verbessern als auch den Datenschutz wahren kann. Entscheidend sind transparente Zugriffsregelungen, strenge Zweckbindung und das Recht der Betroffenen auf Einsicht und Widerspruch.

Schulen, Kitas und Impfnachweise

Seit der Einführung des Masernschutzgesetzes im März 2020 müssen Kinder vor dem Eintritt in Kindertagesstätten oder Schulen einen Nachweis über die Masernimpfung oder eine Immunität vorlegen. Die Einrichtungen sind verpflichtet, den Nachweis zu prüfen und zu dokumentieren. Dabei dürfen jedoch nur die für die Prüfung erforderlichen Daten erhoben werden, nämlich der Name des Kindes und der Nachweis der Impfung oder Immunität. Der vollständige Impfpass darf nicht kopiert oder einbehalten werden.

Bei fehlenden Nachweisen sind die Einrichtungen verpflichtet, eine Meldung an das zuständige Gesundheitsamt vorzunehmen. Die Übermittlung dieser Daten ist gesetzlich vorgeschrieben und stellt keinen Datenschutzverstoß dar. Das Gesundheitsamt kann daraufhin ein Bußgeld verhängen oder ein Betretungsverbot für Gemeinschaftseinrichtungen aussprechen.

Empfehlungen für Unternehmen und Einrichtungen

Unternehmen und Einrichtungen, die mit Impfdaten arbeiten müssen, sollten klare Prozesse etablieren. Erstellen Sie eine Datenschutzrichtlinie, die den Umgang mit Impf- und Gesundheitsdaten regelt. Definieren Sie, wer Zugriff auf diese Daten erhält und wie lange sie gespeichert werden. Nutzen Sie das Prinzip der Datensparsamkeit konsequent: Speichern Sie nur den Impfstatus, nicht die gesamte Impfhistorie. Und informieren Sie die Betroffenen transparent über die Datenverarbeitung gemäß Art. 13 DSGVO.

Betriebsärztliche Versorgung und Impfdaten

Der Betriebsarzt nimmt eine besondere Stellung beim Umgang mit Impfdaten ein. Er unterliegt der ärztlichen Schweigepflicht und darf dem Arbeitgeber nur mitteilen, ob ein Mitarbeiter für eine bestimmte Tätigkeit gesundheitlich geeignet ist oder nicht. Konkrete Diagnosen, Befunde oder den Impfstatus darf er nicht weitergeben. Diese Trennung ist aus datenschutzrechtlicher Sicht zentral und muss strikt eingehalten werden.

In der Praxis bedeutet dies: Wenn der Arbeitgeber den Nachweis einer Masernimpfung benötigt, sollte der Betriebsarzt die Überprüfung vornehmen und dem Arbeitgeber lediglich bestätigen, dass der Nachweis erbracht wurde. Der Impfpass selbst oder Kopien davon dürfen nicht in die Personalakte gelangen. Diese datenschutzkonforme Vorgehensweise schützt sowohl den Mitarbeiter als auch den Arbeitgeber vor möglichen Datenschutzverstößen.

Reiseimpfungen und Datenschutz im internationalen Kontext

Bei Geschäftsreisen ins Ausland können bestimmte Impfungen erforderlich oder empfohlen sein. Einige Länder verlangen den Nachweis bestimmter Impfungen bei der Einreise, beispielsweise gegen Gelbfieber. In diesen Fällen ist die Erhebung der Impfdaten durch den Arbeitgeber auf Basis seiner Fürsorgepflicht gerechtfertigt. Allerdings sollte auch hier der Grundsatz der Datensparsamkeit gelten: Es genügt die Information, dass die erforderliche Impfung vorliegt, nicht die gesamte Impfhistorie des Mitarbeiters. Die internationalen Gesundheitsvorschriften der WHO sehen vor, dass Impfnachweise nur von autorisierten Stellen ausgestellt und nur zu Einreisezwecken verwendet werden dürfen.

Datenschutz bei Pandemie-Maßnahmen in Unternehmen

Die Erfahrungen aus der Corona-Pandemie haben gezeigt, dass Unternehmen bei der Umsetzung von Gesundheitsschutzmaßnahmen häufig in Konflikt mit dem Datenschutz geraten. Kontaktnachverfolgung, Temperaturmessungen am Eingang und die Abfrage von Symptomen sind Maßnahmen, die eine umfangreiche Verarbeitung von Gesundheitsdaten erfordern. Unternehmen sollten für zukünftige Pandemie-Situationen ein Datenschutzkonzept vorbereiten, das die rechtskonforme Umsetzung solcher Maßnahmen regelt.

Wichtig ist dabei die strikte Zweckbindung: Daten, die zum Zweck der Pandemiebekämpfung erhoben werden, dürfen nicht für andere Zwecke verwendet werden, etwa zur Leistungskontrolle oder Personalplanung. Nach Ende der Pandemie-Maßnahmen müssen alle erhobenen Daten umgehend gelöscht werden. Die Dokumentation der Löschung sollte aufbewahrt werden, um bei einer späteren Prüfung nachweisen zu können, dass die Daten ordnungsgemäß vernichtet wurden. Ein regelmäßiger Austausch mit dem Datenschutzbeauftragten hilft, die Balance zwischen Gesundheitsschutz und Datenschutz zu wahren.