Neues zum Datenschutzrecht

15.5.2020

Corona -Tracing-App auf dem Diensthandy – Freiwillig, Dienstpflicht oder gar nicht?

Funktionsweise

Die sog. Corona -Tracing-App zielt auf die Rückverfolgung von Kontakten. Hierzu wird dem Endgerät ein Pseudonym in Form einer temporären Identifikationsnummer zugeordnet. Diese Pseudonymisierung und die dezentrale Datenverarbeitung sollen ein hohes Maß an Datenschutz und damit Vertrauen durch Schutz vor Diskriminierung und Überwachung gewährleisten. Alle Endgeräte, auf denen die Tracing-App installiert ist, tauschen ihre Identifikationsnummern aus und speichern diese lokal, wenn z.B. im öffentlichen Nahverkehr, in Geschäften oder im Unternehmen eine „Begegnung der Endgeräte“ stattgefunden hat. Als Kriterien für eine solche „Begegnung“ werden aktuell ein Abstand von weniger als zwei Metern und eine Dauer von mindestens 10 Minuten diskutiert.

Sollte ein Nutzer der Corona-Tracing-App positiv auf das Virus getestet werden, erhält er eine Transaktionsnummer oder einen QR-Code, um den Mechanismus der Nachverfolgung in Gang setzen zu können. Der App-Nutzer bzw. dessen Smartphone informiert die Endgeräte der „Begegnungen“ der vergangenen Tage verbunden mit der Warnung, sich in Isolation zu begeben oder testen zu lassen. Die Empfänger erhalten keine Informationen darüber, wo und wann die „Begegnung“ stattfand.

Die rechtlichen Rahmenbedingungen und Nutzungsmöglichkeiten der Tracing-App werden aktuell diskutiert. Fest steht, dass die Nutzung der App freiwillig sein wird. Doch wie sieht es mit der Installation, Nutzung und Kontrolle auf dienstlichen Geräten eines Unternehmens aus?

Corona-App-Pflicht für dienstliche Smartphones

Arbeitgeber sind auf Grund ihrer Fürsorgepflicht und nach dem Arbeitsschutzgesetz (ArbSchG) verpflichtet, die erforderlichen Maßnahmen zu treffen, um die betriebliche Sicherheit und Gesundheit der Beschäftigten zu gewährleisten. Das umfasst auch, dass der Arbeitsgeber die Beschäftigten vor einer Infektion durch eine erkrankte Person schützt. Für diesen Zweck ist es datenschutzrechtlich zulässig, Informationen darüber zu erheben, zu welchen Personen der erkrankte Mitarbeiter Kontakt hatte. Der datenschutzrechtliche Zulässigkeitstatbestand für eine Datenverarbeitung zum Zweck der arbeitsmedizinischen Vorsorge ist Art. 6 Abs. 1 Buchstabe c Datenschutz-Grundverordnung (DSGVO) i.V.m. Art. 9 Abs. 1, Absatz 4 DSGVO und §§ 26 Abs. 3 Satz 1, 22 Abs.1 Nr. 1 Buchstabe b Bundesdatenschutzgesetz (BDSG) (dazu s. Datenschutz-News vom 14.3.2020, 9.4.2020 und 1.5.2020).

Für eine betriebliche Anordnung und Durchsetzung der Tracing-Corona-App auf dienstlichen Smartphones können die vorgenannten Vorschriften jedoch nicht herangezogen werden. Auch auf das Weisungsrecht des Arbeitsgebers gegenüber den Beschäftigten ließe sich lediglich die bloße Installation der Corona-Tracing-App auf einem dienstlichen Endgerät stützen. Allerdings wäre eine solche Anordnung sinnlos, wenn sie nicht mit einer Pflicht zur Nutzung dieser App einhergeht. Die Verpflichtung zur Nutzung und eine korrespondierende Kontrolle durch den Arbeitgeber sowie eine etwaige Anzeigepflicht bzgl. Warn- und Kontaktmeldungen werfen jedoch erhebliche rechtliche Probleme auf.  Denn sie müssten einhergehen mit der Verpflichtung, entweder das dienstliche Smartphone auch außerhalb der Arbeits- bzw. Dienstzeit angeschaltet mit sich zu führen oder auf dem privaten Smartphone ebenfalls die Corona-Tracing-App nutzen. Eine Nutzung der App, die sich lediglich auf die Arbeits- bzw. Dienstzeit beschränkt, wäre für den mit dem Weisungsrecht verfolgten Zweck, die Beschäftigten zu schützen, kaum geeignet. Allerdings erstreckt sich das Weisungsrecht des Arbeitgebers grundsätzlich nicht auf das Privatleben der Beschäftigten, sofern nicht besondere betriebliche Interessen bestehen. Ein solches Interesse ließe sich mit Blick auf das aktuell bestehende Corona-Virus-Infektionsrisiko für die Beschäftigten eines Unternehmens und die damit verbundenen Folgen zwar grundsätzlich bejahen. Das allein würde aber regelmäßig nicht ausreichen, weil der Eingriff in die Rechte der Beschäftigten derart tief ist und eine absolute Notwendigkeit für dieses Vorgehen gerade nicht auf der Hand liegt. Vielmehr werden sich die Unternehmen auf die behördlichen Maßnahmen und angeordneten Pflichten wie die Hygiene- und Abstandsregeln als weniger eingriffsintensive Maßnahmen verweisen lassen müssen, mit denen das Unternehmensinteresse hinreichend gewahrt werden kann. Ausnahmen für besondere Bereiche wie das Gesundheits- und Pflegeeinrichtungen sind jedoch denkbar.

Daher wird eine Nutzung der Corona-Tracing-App auf Dienstgeräten, die zudem nicht auf die Arbeitszeit beschränkt ist, regelmäßig nur auf freiwilliger Basis möglich sein. Datenschutzrechtlich müssen die Voraussetzungen für eine Einwilligung beachtet werden (§ 7 DSGVO und § 26 Abs. 2 BDSG). Ein besonderes Augenmerk ist auf die Freiwilligkeit zu richten, was sich insbesondere in der Ausgestaltung der Einwilligungserklärung und des Prozesses widerspiegeln muss, mit dem die Einwilligung eingeholt werden soll. Entsprechende Rahmenbedingungen müssen geschaffen und verbindlich gemacht werden. Sie sollten auch Gegenstand einer Betriebs- bzw. Dienstvereinbarung sein, wenn es im Unternehmen eine Beschäftigtenvertretung.

Im Übrigen hätten Arbeitgeber bei der – letztlich nur freiwilligen und für das Dienstgerät vom Unternehmen erlaubten – Nutzung der Corona-Tracing-App auch kein Fragerecht dahingehend, ob Beschäftigte eine Warnung per App erhalten haben. Eine entsprechende Kontrolle durch Auswertung der Daten wäre unzulässig. Die Warnungen weisen lediglich ein mögliches Risiko einer Verbreitung des Corona-Virus hin und können daher noch keine unmittelbare Gefahr für die Sicherheit des Unternehmens und die Gesundheit der Beschäftigten begründen. Insoweit bleibt es bei dem bereits derzeit bestehenden Rahmen: Lediglich die Frage nach einer bestehenden Infektion müssen Beschäftigte wahrheitsgemäß beantworten und dürfen dies nicht im Wege einer „einfachen Krankmeldung“ verschweigen.

Zusammenfassung und Praxishinweise

Eine Verpflichtung zur Nutzung der Corona-Tracing-App auf dienstlichen oder privaten Smartphones kann von Unternehmen grundsätzlich nicht angeordnet werden. Ausnahmen sind für bestimmte Bereiche wie das Gesundheitswesen denkbar.

Arbeitgeber, die eine Nutzung der Corona-Tracing-App in das Schutzkonzept des Unternehmens integrieren möchten, sollten auf eine freiwillige Nutzung hinwirken. Mit Blick darauf, dass die Nutzung der Corona-Tracing-App nur dann sinnvoll ist, wenn sie durchgängig zum Einsatz kommt und die Nutzung auf einem Dienstgerät außerhalb der Arbeits- bzw. Dienstzeit geregelt werden müsste, kann es durchaus sinnvoll sein, auf die Nutzung der privaten Smartphones zu setzen.

Schließlich sollte – sofern vorhanden – die Beschäftigtenvertretung einbezogen werden.

Sollten Sie Fragen zur Verarbeitung personenbezogener Daten im Zusammenhang mit der Corona-Pandemie oder zu sonstigen datenschutzrechtlichen Themen haben oder dabei Unterstützung benötigen, können Sie mich gerne kontaktieren.

Zurück zur Übersicht