Nun ist sie da – die Coronatest(angebots)pflicht. Seit dieser Woche müssen alle Unternehmen, deren MitarbeiterInnen nicht ausschließlich im Home-Office arbeiten, Testmöglichkeiten für ihre Beschäftigten anbieten. Während das öffentliche Leben seit geraumer Zeit im Dämmerschlaf verweilt, konnten die Wirtschaftsunternehmen ihren Betrieb vor Ort in vielen Fällen aufrechterhalten und riskierten damit ein erhöhtes Ansteckungspotential. Die Corona-Tests sollen nun dafür sorgen, dass Infektionen frühestmöglich erkannt und durch schnelles Handeln weitere Ausbreitungen des Virus verhindert werden können.
Die neuen Vorgaben resultieren zum einen aus der bundesweit geltenden zweiten Verordnung zur Änderung der SARS-CoV-2 Arbeitsschutzverordnung. Zum anderen können sich weitere Vorgaben aus den Verordnungen der einzelnen Bundesländer zur Eindämmung der Ausbreitung des Coronavirus ergeben. Für Unternehmen bedeutet die Testangebotspflicht einen erheblichen organisatorischen Aufwand. Dabei ergeben sich viele Fragen zur Umsetzung, die unter anderem auch den Datenschutz betreffen.
Wir haben uns die gesetzlichen Vorschriften auf nationaler Ebene sowie die Länderverordnung für Hamburg einmal angesehen und zeigen Ihnen in diesem Beitrag, was Sie als Unternehmen beachten und wissen sollten.
Was gilt grundsätzlich?
SARS-CoV-2 Arbeitsschutzverordnung
Die neue Testangebotspflicht ergibt sich aus der bundesweit geltenden SARS-CoV-2 Arbeitsschutzverordnung und verpflichtet alle ArbeitgeberInnen, ihren Beschäftigten, die nicht ausschließlich im Home-Office arbeiten, mindestens eine Testmöglichkeit pro Woche anzubieten. Bei bestimmten Berufsgruppen, die personennahe Dienstleistungen anbieten oder die direkten Kundenkontakt haben, müssen zwei Tests pro Woche angeboten werden. Die davon betroffenen Berufsgruppen werden in § 5 Abs. 2 der SARS-CoV-2 Arbeitsschutzverordnung explizit aufgelistet. Es steht den ArbeitgeberInnen grundsätzlich frei, darüber hinaus weitere Tests pro Woche anzubieten.
Den ArbeitgeberInnen steht es ebenfalls frei, welche Tests zur Anwendung kommen sollen. Es können alle Tests zum direkten Erregernachweis von SARS-CoV-2 angeboten werden, das umfasst PCR-Tests oder Antigen-Schnelltests zur professionellen beziehungsweise zur Selbstanwendung.
Ganz wichtig: Grundsätzlich handelt es sich nicht um eine Testpflicht, sondern um eine Testangebotspflicht. ArbeitnehmerInnen ist die Wahrnehmung des Testangebots freigestellt und sie sind im Voraus darüber zu unterrichten, dass weder die Annahme noch die Ablehnung des Testangebots zu Nachteilen führt.
Hamburgische SARS-CoV-2-Eindämmungsverordnung
Die Hamburgische SARS-CoV-2-Eindämmungsverordnung geht noch einen Schritt weiter und sieht für bestimmte Einrichtungen die Erstellung eines betrieblichen Testkonzepts und damit einhergehend eine Testpflicht der dort beschäftigten MitarbeiterInnen vor. Ein betriebliches Testkonzept ist dabei insbesondere von Schulen, Dienstleistern im Bereich der Körperpflege und Körperhygiene, Krankenhäusern und anderen medizinischen Einrichtungen, sowie ambulanten Pflegediensten vorzuhalten.
Was müssen ArbeitgeberInnen aus Datenschutzsicht beachten?
Bei Testergebnissen handelt es sich um Gesundheitsdaten, die nach Art. 9 DSGVO unter die besonderen Kategorien personenbezogener Daten fallen, die besonders geschützt werden müssen. Eine Verarbeitung dieser Daten ist nur unter strengen Voraussetzungen, insbesondere dann, wenn eine gesetzliche Pflicht besteht, erlaubt.
SARS-CoV-2 Arbeitsschutzverordnung
Die Verordnung beinhaltet keine Dokumentationspflicht der Testergebnisse für ArbeitgeberInnen. Somit scheidet eine konkrete Pflicht an dieser Stelle aus. Doch haben die ArbeitgeberInnen dennoch die Möglichkeit freiwillig eine Dokumentation der Testergebnisse zu führen? Hierbei ist angesichts der Tatsache, dass es sich um Gesundheitsdaten handelt, allerhöchste Vorsicht geboten. Im Hinblick auf den Grundsatz der Datensparsamkeit dürfen nur solche Daten verarbeitet werden, die zur Erfüllung des Zwecks erforderlich sind. Unter Betrachtung der Tatsache, dass es sich bei Testergebnissen um eine Momentaufnahme handelt, die bereits kurze Zeit später nicht mehr aktuell oder gar richtig sein können, haben die Testergebnisse keine anhaltende Bedeutsamkeit. Eine Speicherung wäre höchstens nach Abgabe einer wirksamen Einwilligung des Beschäftigten denkbar. Aufgrund des Ober-/Unterverhältnisses im Arbeitsverhältnis werden an die Freiwilligkeit einer Einwilligung im Beschäftigtenverhältnis jedoch besonders hohe Anforderungen gestellt und es bedarf in jedem Fall eine Prüfung im Einzelfall. Im Ergebnis raten wir somit von einer Dokumentation und Speicherung der Testergebnisse ab.
Ganz im Sinne der allgegenwärtigen Rechenschaftspflicht der DSGVO, geht es aber natürlich nicht ganz ohne Dokumentation. Die Verordnung verpflichtet alle Unternehmen, die Nachweise über die Beschaffung der Tests für vier Wochen aufzubewahren. Ziel ist es, die Testangebotspflicht nachprüfen zu können. Zum Nachweis reichen Belege über die gekauften oder organisierten Tests.
Die Organisation der Testungen kann vor allem bei größeren Unternehmen mit vielen MitarbeiterInnen eine Herausforderung darstellen. Um den Überblick über die organisierten Testungen oder herausgegebene Selbsttests nicht zu verlieren, kann es hilfreich sein Listen zu führen und zu dokumentieren, welche MitarbeiterInnen an welchen Tagen einen Test erhalten. Unserer Ansicht nach, ist dieses Vorgehen legitim, da keine Gesundheitsdaten verarbeitet werden und die Verarbeitung auf ein berechtigtes Interesse des Unternehmens an einer einwandfreien Organisation der Testungen gestützt werden kann. Denken Sie in diesem Fall daran, die Informationspflichten zu erfüllen und die Datenschutzinformation für Beschäftigte entsprechend zu ergänzen.
Hamburgische SARS-CoV-2-Eindämmungsverordnung
Hamburg verpflichtet alle Unternehmen und Einrichtungen, die ein Testkonzept vorhalten müssen, die Testungen und ihre Ergebnisse schriftlich oder elektronisch in einem Testlogbuch zu dokumentieren. Für die damit einhergehenden Datenverarbeitungen der Gesundheitsdaten liegt somit eine Rechtsgrundlage nach Art. 9 Abs. 2 Buchst. g) DSGVO i.V.m. § 10e Abs. 1 Nr. 2 HmbSARS-CoV-2-EindämmungsVO vor. Doch Vorsicht, diese Pflicht gilt nur für bestimmte Unternehmen und Einrichtungen in Hamburg und darf von solchen, die nicht darunterfallen, nicht als Freifahrtschein für die Erhebung dieser Daten verstanden werden.
Müssen MitarbeiterInnen ArbeitgeberInnen ein positives Ergebnis eines Selbsttests mitteilen?
Die Verordnung trifft grundsätzlich keine Regelungen darüber, wie im Fall eines positiven Testergebnisses weiter zu verfahren ist. Es stellt sich insbesondere bei Selbsttests unmittelbar die Frage, ob Beschäftigte zur Mitteilung gegenüber den ArbeitgeberInnen verpflichtet sind.
Laut den FAQs zur Corona-Arbeitsschutzverordnung des Bundesministeriums für Arbeit und Soziales (BMAS) bestehe grundsätzlich keine Verpflichtung, die ArbeitgeberInnen über das Testergebnis zu informieren. Folgt man dieser Ansicht, würde die Testangebotspflicht ins Leere laufen. Denn fokussiert man sich auf den eigentlichen Zweck, einer möglichst frühen Erkennung von Corona-Infektionen und der sofortigen Vermeidung weiterer Ansteckungen, müssen die ArbeitgeberInnen über positive Testergebnisse in Kenntnis gesetzt werden. Nur so können sie der Fürsorgepflicht gegenüber der restlichen Belegschaft nachkommen. Wir halten es daher für vertretbar, die Benachrichtigung im Falle eines positiven Tests, als arbeitsvertragliche Nebenpflicht einzuordnen und die betroffenen ArbeitnehmerInnen entsprechend darüber zu unterrichten.
Das BMAS stellt in seinen FAQ insbesondere bei einem Selbsttest hohe Anforderungen an das eigenverantwortliche Handeln jedes Einzelnen. Betroffene müssen sich danach telefonisch mit der Hausarztpraxis oder einem geeigneten Testzentrum in Verbindung setzen, damit eine PCR-Testung in die Wege geleitet wird, um das Ergebnis des Antigen-Schnelltests zu bestätigen oder zu widerlegen. Beschäftigte, bei denen ein positives PCR-Ergebnis vorliegt, müssen sich umgehend in Isolation begeben.
Fazit
Ab sofort müssen alle ArbeitgeberInnen, deren Beschäftigte weiterhin vor Ort und nicht im Home-Office arbeiten, ihren Beschäftigten mindestens eine Testung pro Woche ermöglichen. Dabei bleibt es den ArbeitsgeberInnen überlassen, welche Tests sie anbieten oder ob sie die Testungen gar von einem Dienstleister durchführen lassen. Die Rechte und Freiheiten der betroffenen Beschäftigten sind dabei stets im Auge zu behalten. Deshalb gilt: Tests dürfen nicht verpflichtend sein und von der Speicherung von Testergebnissen ist grundsätzlich abzuraten. Ausnahme dieser Regeln können sich aus den länderspezifischen Verordnungen ergeben.
Im Ergebnis hoffen wir Alle darauf, dass die Maßnahme Wirkung zeigt und sie zur Bekämpfung der Pandemie beiträgt.
Julia Ruhe ist Wirtschaftsjuristin, zertifizierte Datenschutzbeauftragte und Datenschutzauditorin. Sie berät als Managing Consultant die Mandanten der Datenschutzkanzlei bei der Einführung und Umsetzung wirksamer Datenschutz-Management-Prozesse.