Datenschutz bei COVID-19-Tests im Unternehmen

Seit dieser Woche sind Arbeitgeber verpflichtet, Mitarbeitern, die nicht dauerhaft im Homeoffice arbeiten, einen Corona-Test anzubieten. Korrekterweise sollte folglich nicht von einer „Testpflicht“, sondern von einer „Testangebotspflicht“ gesprochen werden, denn die entsprechende Regelung in der Arbeitsschutzverordnung sieht nur vor, dass Arbeitgeber den Test zur Verfügung stellen müssen, nicht jedoch, dass der Test auch genutzt wird oder die Ergebnisse dokumentiert werden müssten. Um den Arbeitsschutzvorgaben zu entsprechen, genügt es schon, den Mitarbeitern zertifizierte Selbsttests zukommen zu lassen und die Bestellung der Tests für die Behörden zu dokumentieren. 

Vielen Arbeitgebern erscheint es in der aktuellen Lage im Interesse eines effektiven Infektionsschutzes am Arbeitsplatz jedoch nicht ausreichend, den Mitarbeitern die Tests lediglich zur Verfügung zu stellen. Auch eine bloß wöchentlich erfolgende Testung ist einigen zu wenig. Um ihre Beschäftigten und die Betriebsabläufe bestmöglich zu schützen, bemühen sich zahlreiche Arbeitgeber daher um eine konkretere Teststrategie. Hierbei stellen sich zwangsläufig die Fragen, ob Arbeitgeber Tests anordnen können, ob sie Anspruch darauf haben, das Testergebnis zu erfahren und wie mit den Testergebnissen aus datenschutzrechtlicher Sicht umzugehen ist.

Anordnung von Tests

Auch wenn der Arbeitgeber Coronatests zur Verfügung stellt, sind die Mitarbeiter nicht zwangsläufig dazu verpflichtet, diese Tests durchzuführen. Bei coronatypischen Symptomen darf der Arbeitgeber allerdings einen Corona-Test anordnen, da die allgemeine Fürsorgepflicht des Arbeitgebers es bei konkretem Verdacht einer möglichen Ansteckung zum Schutz der anderen Beschäftigten gebietet.

Ohne konkreten Anlass können Arbeitgeber ihre Mitarbeiter in der Regel nicht verpflichten, einen Corona-Schnelltest durchzuführen. Möglich ist eine Testpflicht etwa bei medizinischem Personal oder bei sogenannten körpernahen Dienstleistungen – beispielsweise im Frisörhandwerk. Das Bundesministerium für Arbeit und Soziales (BMAS) weist in einem aktuellen FAQ darauf hin, dass eine Testpflicht derzeit grundsätzlich nicht besteht, bestimmte Beschäftigtengruppen aber aufgrund bundes- oder landesrechtlicher Bestimmungen zu Tests verpflichtet werden können.

Abfragen von Testergebnissen

Wenn Mitarbeiter sich einem Corona-Selbsttest unterziehen, schließt sich die Frage an, ob sie das Ergebnis – insbesondere dann, wenn es positiv ist – ihrem Arbeitgeber melden müssen. Im oben bereits genannten FAQ des BMAS vertritt dieses derzeit noch die Auffassung, dass „keine Verpflichtung [besteht], den Arbeitgeber über das Testergebnis zu informieren.“

Diese Ansicht halten wir für sehr bedenklich und im Ergebnis widersinnig, denn Sinn und Zweck der Testangebotspflicht und weitergehender Teststrategien in den Unternehmen ist es gerade, etwaige infizierte Mitarbeiter zu identifizieren und so zu isolieren, sodass eine Ansteckung weiterer Personen im Arbeitsumfeld und darüber hinaus verhindert wird. Wenn Arbeitnehmer nicht gehalten sind, ihre positiven Testergebnisse dem Arbeitgeber zu melden, können die Arbeitgeber ihrer Fürsorgepflicht gegenüber allen Mitarbeitern nicht nachkommen; die Testangebotspflicht läuft ins Leere. Dem Arbeitgeber muss folglich in diesem Zusammenhang ein Auskunftsrecht auf Grundlage der Wahrnehmung der Fürsorgepflicht zustehen. Auch aus der Sicht der Mitarbeiter muss man unseres Erachtens nach zu dem Ergebnis kommen, dass die Mitteilung eines positiven Selbsttests im Rahmen der arbeitsvertraglichen Nebenpflicht verpflichtend sein muss, denn die Mitarbeiter sind unter anderem gehalten, die Arbeitsschutzmaßnahmen zu begleiten, soweit ihnen dies möglich und zumutbar ist. Hierzu zählt auch, der Ansteckung mit übertragbaren Krankheiten entgegenzuwirken.

Der Arbeitnehmer ist bei einem positiven Testergebnis verpflichtet, sich sofort zu isolieren und das Ergebnis durch einen zuverlässigeren PCR-Test überprüfen zu lassen. Das Verschweigen eines positiven Tests und das gleichzeitige Erscheinen am Arbeitsplatz im Betrieb stellt nach unserer Ansicht zudem eine Pflichtverletzung dar, die mit den zur Verfügung stehenden arbeitsrechtlichen Maßnahmen vom Arbeitgeber entsprechend sanktioniert werden kann.

Datenschutz bei Teststrategie

Wird eine Teststrategie im Unternehmen ausgearbeitet, muss der Datenschutz von Beginn an beachtet und eingehalten werden. Bei den im Zusammenhang mit einem Corona-Test verarbeiteten personenbezogenen Daten handelt es sich um Gesundheitsdaten, welche gemäß Artikel 9 der EU-Datenschutz-Grundverordnung (DS-GVO) zu den besonderen Kategorien personenbezogener Daten zählen. Das bedeutet, dass diese Gesundheitsdaten gemäß der DS-GVO besonders geschützt sind und eine Verarbeitung grundsätzlich untersagt ist. Gesundheitsdaten dürfen nur dann verarbeitet werden, wenn eine in einem Gesetz normierte Ausnahme dies rechtfertigt.

Diese Ausnahme kann gerade im Fall von Corona-Tests in der Fürsorgepflicht liegen, die Arbeitgeber gegenüber ihren Mitarbeitern haben, denn Arbeitgeber sind verpflichtet, die Gesundheit der Belegschaft bestmöglich zu schützen. Arbeitgeber stehen somit in zweierlei Hinsicht in der Verantwortung: Sie müssen den Infektionsschutz im Unternehmen sicherstellen und zugleich die strengen Vorgaben des Datenschutzes insbesondere in Bezug auf die Verhältnismäßigkeit bei der Verarbeitung von Gesundheitsdaten wahren.

Als Rechtsgrundlage für die datenschutzrechtliche Zulässigkeit der Verarbeitung von Gesundheitsdaten kommt insbesondere Paragraf 26 Absatz 3 des Bundesdatenschutzgesetzes (BDSG) in Betracht. Demnach ist eine Verarbeitung besonders geschützter personenbezogener Daten für Zwecke des Beschäftigungsverhältnisses zulässig, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt.

Darüber hinaus können weitere Rechtsgrundlagen aus der DS-GVO, wie etwa Artikel 9 Absatz 2 b), h) i), herangezogen werden.

Vorab muss zudem vom Arbeitgeber geprüft werden, ob es noch andere Wege gibt, die das erklärte Ziel der Maßnahmen, unerkannte Infektionen aufzudecken und weitere Ansteckungen zu verhindern, ebenso gut erreichen, aber weniger stark in die Persönlichkeitsrechte der Mitarbeiter eingreifen. Aus unserer Sicht fällt diese Verhältnismäßigkeitsprüfung zum jetzigen Zeitpunkt der Pandemie in den allermeisten Fällen klar zugunsten des Rechts und der Pflicht des Arbeitgebers aus, auf Basis positiver Testergebnisse schnellstmögliche Maßnahmen zur Eindämmung der Infektionen zu treffen.

Dies alles entbindet Arbeitgeber selbstverständlich nicht, die Grundsätze des Datenschutzrechts – insbesondere das Prinzip der Datensparsamkeit und der Zweckbindung – zu beachten. Sofern also Arbeitgeber Gesundheitsdaten erheben, müssen in jedem Fall besondere Vorkehrungen für den Schutz der Daten getroffen werden, um zu verhindern, dass diese missbräuchlich verwendet werden. Außerdem müssen die Daten wieder gelöscht werden, sobald der Zweck erfüllt ist, zu dem sie erhoben wurden.

Eine regelmäßige arbeits- und datenschutzrechtliche Überprüfung der Teststrategie ist vor dem Hintergrund der sich laufend verändernden pandemischen Lage sowie der politischen Entscheidungen empfehlenswert.