24. März 2022
In ihrer Stellungnahme vom 23.März 2022 äußert sich die Datenschutzbeauftragte des Landes NRW zu den datenschutzrechtlichen Folgen des ab dem 20. März 2022 entfallenen 3G- Nachweises am Arbeitsplatz.
Zuvor galt nach § 28 b Abs. 3 S. 1 IfSG a.F. die Pflicht des Arbeitsgebers, den sog. 3G-Nachweis über eine bestehende Impfung, Genesung oder Negativtestung zu überwachen und zu dokumentieren. Den Arbeitgebern wurde es nach § 28 b Abs. 3 IfSG a.F. ausdrücklich gestattet personenbezogene Daten zu verarbeiten, um sicherzustellen, dass, wie in § 28 b Abs. 1 S. 1 IfSG a.F. vorgesehen, nur Personen mit 3G-Nachweis die Arbeitsstätte betreten. Die Änderung des Infektionsschutzgesetzes mit Wirkung zum 20. März 2022 hat zur Folge, dass § 28 b IfSG keinen 3G-Nachweis am Arbeitsplatz mehr verlangt.
Demnach entfällt auch die Rechtsgrundlage zur Verarbeitung von Gesundheitsdaten, die besondere personenbezogene Daten iSd Art. 9 Abs. 1 DSGVO darstellen. Vor diesem Hintergrund weist die Datenschutzbeauftragte des Landes NRW darauf hin, dass gesammelte Daten 6 Monaten nach Erhebung zu löschen seien. Außerdem geht sie davon aus, dass bereits jetzt Gesundheitsdaten zu löschen sein könnten, weil die entsprechende Rechtsgrundlage aufgehoben wurde.
In der Praxis sind beispielsweise Vermerke des Arbeitsgebers über den Impfstatus seiner Angestellten umgehend bzw. spätestens in sechs Monaten zu löschen. Die Datenschutzbeauftragte des Landes NRW weist insbesondere darauf hin, dass ein Arbeitsgeber, der den Impfausweis der Angestellten kopiert oder gescannt hat, diesen Nachweis spätestens jetzt löschen sollte. Dies gelte umso mehr, als das diese Vorgehensweise bereits nach alter Rechtslage untersagt war.
Zur Löschung der Gesundheitsdaten müssen diese „ ‚(…) vollständig und unwiderruflich vernichtet werden.‘ “ Laut der Datenschutzbeauftragten des Landes NRW soll bei der Löschung von Daten in Papierform ein geeigneter Aktenvernichter verwendet werden. Es reiche nicht aus, diese einfach zu zerreißen.
21. Mai 2015
In einem Urteil von Anfang diesen Jahres hat der BGH geurteilt (vgl. BGH vom 20.01.2015 VI ZR 137/14), dass ein Klinikträger die Privatanschrift eines bei ihm beschäftigten Arztes nicht herausgeben muss.
Grundlage dieser Entscheidung war, dass der Kläger, ein Patient im Krankenhaus des beklagten Klinikträgers, beabsichtigte, den Klinikträger sowie einen bei diesem angestellten Arzt auf Schadensersatz und Schmerzensgeld wegen eines Behandlungsfehlers zu verklagen.
Um die Klage dem Arzt zuzustellen, forderte der Kläger den Klinikträger auf, ihm die Privatanschrift des Arztes zu nennen. Dies verweigerte der Beklagte. Daraufhin verklagte der Kläger den Klinikträger auf Auskunft.
Nachdem die Klage den Instanzenzug durchlief, urteilte der BGH schließlich, dass ein solcher Auskunftsanspruch nicht besteht.
Die Anspruchsgrundlage für den Auskunftsanspruch des Patienten gegen den Klinikträger ergibt sich aus den Grundsätzen von Treu und Glauben, § 242 BGB. Danach ist derjenige zur Auskunft verpflichtet, der in zumutbarer Weise Auskünfte beschaffen kann und der Anspruchsteller diese Auskünfte zur Vorbereitung oder Durchführung seines Rechts nicht selber beschaffen kann.
Die Privatanschrift des Arztes ist hier jedoch nicht zur Vorbereitung oder Durchführung der Rechte des klagenden Patienten notwendig, so der BGH in seiner Urteilsbegründung.
Zunächst ist für eine wirksame Zustellung einer Klage nicht erforderlich, dass die Klageschrift dem Beklagten an dessen Privatanschrift zugestellt wird. Daneben stehen auch datenschutzrechtliche Grundsätze der Weitergabe der Privatadresse entgegen.
Gemäß § 32 BDSG durfte der Klinikträger als Arbeitgeber des Arztes dessen Privatanschrift – ein personenbezogenes Datum – zur Durchführung des Beschäftigungsverhältnisses erheben und nutzen. In diesem Umfang ist eine Datenverarbeitung der Privatanschrift zulässig. Die Weitergabe der Privatanschrift ist von dem Zweck der Durchführung des Beschäftigungsverhältnisses jedoch nicht mehr gedeckt. Die Auskunft an den klagenden Patienten würde mithin gegen den im Datenschutzrecht geltenden Zweckbindungsgrundsatz verstoßen. Dieser besagt, dass Daten nur für den vorweg festgelegten Zweck verarbeitet werden dürfen.
Da die Weitergabe zum Zwecke der Rechtsverfolgung nicht mehr in den Umfang der Durchführung des Beschäftigungsverhältnisses fällt, kann der Klinikträger auch nicht zur Weitergabe verpflichtet werden. Auch die Voraussetzungen einer nachträglichen Zweckänderung der Datenverarbeitung waren im vorliegenden Fall nicht gegeben.
In diesem Fall überwog das Interesse des Arztes an seiner Privatsphäre dem Auskunftsersuchen des Patienten. Dieser kann seine Klage dem Arzt allerdings auch wirksam an dessen Arbeitsplatz zustellen und nicht zwingend an dessen Privatanschrift.
