Seit April müssen Coronatests in Unternehmen angeboten werden. Die Durchführung stellt so manchen Arbeitgeber vor organisatorische Herausforderungen, aber nun heißt es, einen kühlen Kopf zu bewahren. Denn die Vorbereitung, Durchführung und Dokumentation solcher Coronatests in Unternehmen berühren auch den Datenschutz.
Landesrechtliche Verordnungen beachten
Mit der dritten Verordnung zur Änderung der SARS-CoV-2-Arbeitsschutzverordnung sind Arbeitgeber nun verpflichtet, ihren Angestellten mindestens zwei Mal pro Woche vor Ort einen Coronatest anzubieten. Annehmen müssen Beschäftigte das Angebot nicht, insofern es keine landesrechtliche Anordnung zu einer Testpflicht gibt. Das ist wichtig: Welche Regelungen und Pflichten in einzelnen Ländern und Städten gelten, bestimmen immer die individuellen landesrechtlichen Anordnungen. Deshalb sollten Arbeitgeber sich informieren, welche Bestimmungen für sie zutreffen.
So ist die Testpflicht in vielen Bundesländern wie Berlin, Hamburg, Bayern oder Nordrhein-Westfalen für alle Beschäftigte im Gesundheitswesen angeordnet. Das betrifft insbesondere Pflegende in Heimen oder von ambulanten Pflegediensten. In Berlin (§ 6a Abs. 2 2. InfSchMV) und in Sachsen (§ 3a Abs. 1 SächsCoronaSchVO) gibt es eine Testpflicht für Personen, die direkten Kundenkontakt haben. Bremen ist das erste Bundesland, dass eine allgemeine Testpflicht in Unternehmen eingeführt hat. Sie gilt ab dem 10. Mai.
Dokumentationspflicht: Wer beschafft die Coronatests für Unternehmen?
Die bundesweite Verordnung sieht nach § 5 Abs. 3 der 2. SARS-CoV-2-Arbeitsschutzverordnung vor, dass Unternehmen die Beschaffung der Coronatests sowie – wenn vorhanden – Vereinbarungen, z. B. zur Durchführung der Tests – mit externen Dienstleistern dokumentieren. Die Nachweisdokumente müssen laut Verordnung bis zum 21. Juni 2021 aufgehoben werden. Und was ist mit dem Datenschutz? Da in solchen Dokumenten wahrscheinlich keine personenbezogenen Daten enthalten sind, müssen hier keine besonderen datenschutzrelevanten Regelungen beachtet werden. Anders sehe es aus, wenn Unternehmen die Testergebnisse ihrer Mitarbeitenden schriftlich festhalten würden. Hierbei würde es sich um personenbezogene Gesundheitsdaten handeln, die streng schutzwürdig sind. Auf Bundesebene gibt es aber keine Dokumentationspflicht für die Testergebnisse.
ShapeMinds Aber auch hier müssen Unternehmen wieder auf das jeweilige Landesrecht schauen. So ist in Hamburg vorgesehen, unter bestimmten Umständen ein Testlogbuch zu führen (§ 10e der Hamburgischen SARS-CoV-2-EindämmungsVO), in dem die Tests und auch Testergebnisse dokumentiert werden
In Berlin besteht für Unternehmen die Pflicht, den Beschäftigten eine Bescheinigung über das Testergebnis auszuhändigen (§ 5 Abs. 1 der 2. InfSchMV). In Ländern wie Nordrhein-Westfalen, Hamburg oder Sachsen ist eine solche Bescheinigung nicht Pflicht, aber unter bestimmten Voraussetzungen eine Option.
Und hier kommt der Datenschutz ins Spiel: Unternehmen sollten sehr genau recherchieren, welche Regelungen sie zu beachten haben. So dürfen beispielsweise in Hamburg solche Bescheinigungen nur von Unternehmen ausgestellt werden, die einen Sicherheitsbeauftragten (§ 22 SGB VII) bestellt haben. Im Berlin wiederum sind Unternehmen dazu verpflichtet, Kopien der Bescheinigungen aufzuheben, in Hamburg werden andererseits die Testbeauftragten zur Aufbewahrung der Testbescheinigung verpflichtet (§ 10i Abs. 1 Nr. 5 der Hamburgischen SARS-CoV-2-EindämmungsVO).
Braucht es für die Coronatestung in Unternehmen die Einwilligung zur Datenvereinbarung?
Wenn Coronatests in Unternehmen durchgeführt werden, wird zur Organisation und Durchführung zumindest handschriftlich festgehalten, wann welcher Person ein Test ausgehändigt wurde und ggf. wann er durchgeführt wurde. Auch eine Testbescheinigung beinhaltet personenbezogene Daten.
Eine wichtige Frage ist, ob es eine individuelle Zustimmung zur Verarbeitung solcher personenbezogenen Daten braucht. Eine mögliche Antwort bietet der Art. 6 Abs. 1 S. 1 lit. f DSGVO, in dem es heißt, dass eine Verarbeitung von Daten rechtmäßig ist, wenn sie „zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen“.
Nun lässt sich argumentieren, dass Arbeitgeber gegenüber ihren Arbeitnehmenden eine Fürsorgepflicht haben, um sie möglichst vor vermeidbaren Infektionen mit dem Coronavirus zu schützen. Das stellt ein wichtiges und großes Interesse dar, in deren Rahmen Coronatests ohne schriftliche Einwilligung zulässig sind.
Bescheinigung des Testergebnisses benötigt Einwilligung
Anders sieht es aus, wen Testergebnisse bescheinigt werden, denn hier werden Gesundheitsdaten verarbeitet. Wird eine Bescheinigung ausgestellt, die das Testergebnis beinhaltet, handelt es sich um eine Preisgabe von Gesundheitsdaten (§ 26 Abs. 3 BDSG und Art. 9 Abs. 2 lit. b DSGVO). Es braucht eine landesrechtliche Verordnung, die eine solche Datenverarbeitung zulässt oder die unmissverständliche schriftliche oder elektronische Einwilligung des jeweiligen Arbeitnehmers.
So binden Sie Coronatests in ihr Datenschutzmanagement ein
Mit dem Angebot von Coronatests in Unternehmen müssen Arbeitgeber die neuen Gegebenheiten wie jede andere Änderung innerhalb der Organisationstruktur im Datenschutzkonzept berücksichtigen.
Das müssen Sie als Verantwortliche angehen:
- Informationspflichten nach Art. 13 DSGVO nachkommen
- Festlegen von Zugriffsregelungen für Daten
- Verarbeitungsverzeichnis führen und aktualisieren
- Festlegen von Aufbewahrungs- und Löschfristen
- Einführen von geeigneten Maßnahmen zum Schutz der Gesundheitsdaten (z.B. Pseudonymisierung, Verschlüsselung der Daten, Bestellen eines Datenschutzschutzbeauftragen)
- Prüfen von Pflicht zur Durchführung einer Datenschutzfolgenabschätzung
Kontaktieren Sie uns!