Wohin mit Daten über den Impfstatus?

Zuletzt aktualisiert am 1. Juni 2026

Die Coronapandemie hat es für viele Arbeitgeber notwendig gemacht, den Impfstatus von Mitarbeitern zu erfassen. Gerade im Bereich der einrichtungsbezogenen Impfpflicht musste dieser auch dokumentiert und gegebenenfalls nachgewiesen werden.

Mit dem Ende der einrichtungsbezogenen Impfpflicht geht nun die Frage einher, wie mit diesen Daten ab jetzt umzugehen ist. Löschen oder aufbewahren, das ist hier die Frage. Um die Impfstatusdaten weiter speichern zu können, müsste dafür eine Rechtsgrundlage vorliegen. Diese könnte sich aus verschiedenen Vorschriften ergeben.

Impfstatus in den Corona-Verordnungen der Länder

Für Personen, die in Krankenhäusern, Rehabilitationseinrichtungen, Pflegeeinrichtungen und vergleichbaren Einrichtungen arbeiten, gilt nach § 28b I Nr. 3 IfSG weiterhin eine Testpflicht. Dieser Test muss dreimal pro Woche durchgeführt werden. Einige Bundesländer haben abweichend davon geregelt, dass sich solche Personen nur zweimal pro Woche testen müssen, wenn sie einen Impfnachweis oder einen Genesenennachweis vorlegen (z.B. § 4 I 1 Niedersächsische Corona-Verordnung).

Nimmt ein Arbeitnehmer von dieser Ausnahmeregelung Gebrauch, besteht eine Rechtsgrundlage für die weitere Speicherung des Impfstatus.

Impfstatus im Infektionsschutzgesetz

§ 35 VI IfSG regelt, dass voll- und teilstationäre „Einrichtungen zur Betreuung und Unterbringung älterer, behinderter oder pflegebedürftiger Menschen oder vergleichbare Einrichtungen“ verpflichtet sind, dem Robert-Koch-Institut (RKI) Angaben zum Impfstatus zu machen. Diese Angaben beinhalten den Anteil der Personen, die geimpft sind. Dies bezieht sich auf alle in der Einrichtung beschäftigten und behandelten beziehungsweise gepflegten Personen. Die Daten werden in anonymisierter Form an das RKI übermittelt.

In diesen Fällen besteht eine Rechtsgrundlage zur weiteren Speicherung der Impfstatusdaten.

Einwände zur Praktikabilität der Löschung

Zum Teil wird argumentiert, dass Arbeitgeber die Impfstatusdaten weiter speichern sollen, weil nicht absehbar ist, ob sie in naher Zukunft wieder erhoben werden müssen. Sollte sich das Infektionsgeschehen in Zukunft wieder so weit zuspitzen, dass Impfstatusdaten wieder relevanter werden, müssten diese neu erhoben werden, was einen hohen Aufwand mit sich bringen würde.

Diese Einwände bilden keine Grundlage für eine weitere Speicherung der Impfstatusdaten. Ob und wie sich der Corona-Virus weiterverbreitet, kann niemand genau bestimmen. In solchen Fällen muss die Entscheidung zur weiteren Speicherung der Entscheidungsprärogative des Gesetzgebers überlassen werden.

Speichert man die Impfstatusdaten trotzdem weiter, käme dies einer unzulässigen Vorratsdatenspeicherung gleich. Dies würde ein Einschreiten der Aufsichtsbehörden bedeuten.

Fazit

In den meisten Fällen bedeutet das Ende der einrichtungsbezogenen Impfpflicht und das Abflachen der gesetzlichen Regelungen zur Aufbewahrung von Impfstatusdaten, dass diese Daten zu löschen sind. Der Zweck der Speicherung ist entfallen.

In den wenigen genannten Ausnahmefällen können die Daten weiter gespeichert werden. Wenn diese Ausnahmen in Zukunft auch auslaufen, sind die betroffenen Impfstatusdaten ebenso zu löschen. Betroffene Arbeitgeber sollten schon jetzt über ein geeignetes Löschverfahren nachdenken.

Rechtsgrundlage für die Verarbeitung von Impfdaten

Impfdaten sind Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO und unterliegen damit einem besonders strengen Schutz. Die Verarbeitung solcher besonderen Kategorien personenbezogener Daten ist grundsätzlich verboten und nur unter den eng definierten Ausnahmen des Art. 9 Abs. 2 DSGVO zulässig. Während der Pandemie konnten sich Arbeitgeber auf verschiedene gesetzliche Grundlagen stützen — insbesondere auf § 20a und § 36 Abs. 3 des Infektionsschutzgesetzes (IfSG) in der damals geltenden Fassung.

Mit dem Wegfall der einrichtungsbezogenen Impfpflicht zum 1. Januar 2023 entfiel jedoch auch die gesetzliche Grundlage für die Erhebung und Speicherung von Impfdaten durch Arbeitgeber in den meisten Fällen. Unternehmen, die den Impfstatus ihrer Mitarbeiter weiterhin gespeichert haben, stehen daher vor der drängenden Frage, wie mit diesen Daten umzugehen ist. Die Antwort ergibt sich aus den allgemeinen Grundsätzen der DSGVO, insbesondere dem Grundsatz der Zweckbindung und der Speicherbegrenzung.

Löschpflichten nach der DSGVO

Der Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO schreibt vor, dass personenbezogene Daten nur so lange gespeichert werden dürfen, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Da der Zweck der Impfstatuserfassung — die Erfüllung der einrichtungsbezogenen Impfpflicht — weggefallen ist, besteht grundsätzlich eine Pflicht zur unverzüglichen Löschung dieser Daten.

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat hierzu klargestellt, dass Impfstatusdaten nach Wegfall der gesetzlichen Grundlage unverzüglich zu löschen sind. Eine Frist von wenigen Wochen nach dem Ende der einrichtungsbezogenen Impfpflicht wurde als angemessen erachtet, um die organisatorischen Voraussetzungen für die Löschung zu schaffen.

Besonderheiten in bestimmten Branchen

In bestimmten Branchen können jedoch Ausnahmen von der generellen Löschpflicht bestehen. Im Gesundheitswesen beispielsweise kann die Kenntnis des Impfstatus von Mitarbeitern auch nach dem Ende der einrichtungsbezogenen Impfpflicht relevant sein — etwa im Rahmen des allgemeinen Arbeitsschutzes oder zur Erfüllung spezifischer Hygieneanforderungen. In solchen Fällen muss jedoch eine neue Rechtsgrundlage für die weitere Verarbeitung identifiziert werden.

Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG kommt als Rechtsgrundlage in Betracht, wenn die Verarbeitung der Gesundheitsdaten zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht erforderlich ist. Dies muss jedoch im Einzelfall geprüft und dokumentiert werden. Ohne eine tragfähige Rechtsgrundlage sind die Daten auch in diesen Branchen zu löschen.

Praktische Umsetzung der Löschung

Die Löschung von Impfstatusdaten muss systematisch und nachvollziehbar erfolgen. Unternehmen sollten zunächst eine Bestandsaufnahme durchführen, um festzustellen, wo überall Impfdaten gespeichert sind. Häufig befinden sich diese nicht nur in der Personalakte, sondern auch in E-Mail-Postfächern, auf lokalen Festplatten, in Cloud-Speichern oder in speziellen Compliance-Systemen. Alle diese Speicherorte müssen identifiziert und bereinigt werden.

Die Löschung muss dabei so erfolgen, dass die Daten nicht wiederhergestellt werden können. Bei digitalen Daten bedeutet dies ein sicheres Überschreiben oder die Vernichtung des Datenträgers. Bei physischen Dokumenten — etwa Kopien von Impfausweisen — ist eine datenschutzgerechte Vernichtung nach DIN 66399 erforderlich. Der Löschvorgang sollte dokumentiert werden, um bei einer späteren Prüfung durch die Aufsichtsbehörde nachweisen zu können, dass die Löschpflicht erfüllt wurde.

Konsequenzen bei Nichtlöschung

Die fortgesetzte Speicherung von Impfstatusdaten ohne gültige Rechtsgrundlage stellt einen Verstoß gegen die DSGVO dar. Da es sich um besondere Kategorien personenbezogener Daten handelt, greift Art. 83 Abs. 5 lit. a DSGVO, der Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vorsieht. Außerdem können betroffene Mitarbeiter Schadensersatzansprüche nach Art. 82 DSGVO geltend machen.

Die Aufsichtsbehörden haben angekündigt, die Löschung von Impfdaten aktiv zu kontrollieren. Unternehmen, die ihrer Löschpflicht nicht nachkommen, riskieren nicht nur finanzielle Sanktionen, sondern auch einen erheblichen Vertrauensverlust bei ihren Mitarbeitern. Die Bearbeitung dieses sensiblen Themas sollte daher mit höchster Priorität behandelt werden.

Lehren für den Umgang mit sensiblen Mitarbeiterdaten

Die Situation rund um die Impfstatusdaten bietet wichtige Lehren für den künftigen Umgang mit sensiblen Mitarbeiterdaten. Unternehmen sollten bei jeder Erhebung personenbezogener Daten — insbesondere bei Gesundheitsdaten — von Anfang an ein Löschkonzept mit definierten Aufbewahrungsfristen und Löschzeitpunkten implementieren. Nur so lässt sich vermeiden, dass Daten länger als erforderlich gespeichert werden und das Unternehmen einem unnötigen Bußgeldrisiko aussetzen.

Ein externer Datenschutzbeauftragter kann bei der Entwicklung solcher Konzepte wertvolle Unterstützung leisten und sicherstellen, dass alle datenschutzrechtlichen Anforderungen — von der Erhebung über die Verarbeitung bis zur Löschung — konsequent eingehalten werden. Die DATUREX GmbH berät Unternehmen in Dresden und ganz Sachsen zu allen Fragen des Beschäftigtendatenschutzes und unterstützt bei der Umsetzung rechtskonformer Löschkonzepte.

Abschließend ist festzuhalten, dass die Coronapandemie die Bedeutung eines professionellen Datenschutzmanagements eindrucksvoll unterstrichen hat. Die kurzfristige Einführung der Impfpflicht und ihr späterer Wegfall haben gezeigt, wie dynamisch sich die rechtlichen Rahmenbedingungen für die Verarbeitung personenbezogener Daten ändern können. Unternehmen, die über flexible und gut dokumentierte Datenschutzprozesse verfügen, können auf solche Veränderungen schnell und rechtskonform reagieren — und vermeiden so kostspielige Fehler. Eine regelmäßige Überprüfung aller Datenverarbeitungsprozesse durch einen qualifizierten Datenschutzbeauftragten ist der beste Weg, um dauerhaft auf der sicheren Seite zu stehen und das Vertrauen der Mitarbeiter in den verantwortungsvollen Umgang mit ihren personenbezogenen Daten zu stärken.

Sie benötigen Unterstützung im Bereich Datenschutz? Unser Team an Experten steht Ihnen gerne zur Seite. Kontaktieren Sie uns hier!