Polen: Datenverarbeitung in Zeiten der Coronavirus Pandemie

​veröffentlicht am 1. April 2020 | Lesedauer: ca. 4 Minuten

Nach einer kurzen Pressemitteilung veröffentlichte der Europäische Datenschutz­ausschuss (EDSA) eine vollständige Erklärung über die Verarbeitung personen­bezogener Daten im Kontext der COVID-19-Pandemie. 

• Grundlagen der Datenverarbeitung »

• Telekommunikationsdaten auf der Grundlage der ePrivacy-Richtlinie »

• Hauptgrundsätze der DSGVO zur Verarbeitung personenbezogener Daten »

• Fragen und Antworten »

EDSA weist darauf hin, dass die Rechtsakte (darunter die DSGVO) die Maßnahmen der einzelnen Länder zur Bekämpfung des Virus nicht behindern. Die Begrenzung einer Pandemie liegt im gemeinsamen Interesse der Menschheit, ebenso wie der diesbezügliche Einsatz moderner Technologien.

EDSA betont, dass die Verantwortlichen auch in der aktuell sehr schwierigen Situation den Schutz personenbezogener Daten betroffener Personen gewährleisten und eine Reihe von Faktoren berücksichtigen müssen, um die rechtmäßige Verarbeitung personenbezogener Daten zu gewährleisten.

Die außergewöhnliche Situation, in der wir uns derzeit befinden, kann bis zu einem gewissen Grad eine Einschränkung der Freiheiten rechtfertigen, Voraussetzung ist jedoch, dass diese Einschränkungen verhältnismäßig und auf die Dauer der außergewöhnlichen Situation beschränkt sind und dass sie umkehrbar sein müssen.

Grundlagen der Datenverarbeitung

EDSA behauptet, dass die DSGVO unmittelbar die Regeln bestimmt, die auf die Datenverarbeitung in Zeiten der COVID-19-Pandemie Anwendung finden. Die Verordnung ermöglicht den für die öffentliche Gesundheit zuständigen Behörden und den Arbeitgebern, personenbezogene Daten gemäß inländischem Recht zu verarbeiten.

EDSA weist auf Folgendes hin:

• die Datenverarbeitung durch die für die öffentliche Gesundheit zuständigen Behörden ist gemäß Art. 6 und 9 DSGVO möglich,
• in Bezug auf die Beschäftigung und Datenverarbeitung durch die Arbeitgeber weist EDSA darauf hin, dass die Datenverarbeitung im Zusammenhang mit der Notwendigkeit der Arbeitgeber, bspw. die rechtlichen Pflichten im Bereich der Arbeitssicherheit und -hygiene oder der durch öffentliches Interesse begründeten Pflichten zu erfüllen, unerlässlich sein kann. Als mögliche Grundlagen der Verarbeitung von Daten zum Gesundheitszustand wurden folgende Vorschriften genannt:
  • Art. 9 Abs. 2 Buchst. i) – die Verarbeitung ist aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit erforderlich,
  • Art. 9 Abs. 2 Buchst. c) – die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen.

In der zweiten der o.g. Grundlagen weist EDSA auf den Erwägungsgrund (46) DSGVO hin, in dem eindeutig auf die Überwachung der Epidemie Bezug genommen wird: „(46) Die Verarbeitung personenbezogener Daten sollte ebenfalls als rechtmäßig angesehen werden, wenn sie erforderlich ist, um ein lebenswichtiges Interesse der betroffenen Person oder einer anderen natürlichen Person zu schützen. Personenbezogene Daten sollten grundsätzlich nur dann aufgrund eines lebenswichtigen Interesses einer anderen natürlichen Person verarbeitet werden, wenn die Verarbeitung offensichtlich nicht auf eine andere Rechtsgrundlage gestützt werden kann. Einige Arten der Verarbeitung können sowohl wichtigen Gründen des öffentlichen Interesses als auch lebenswichtigen Interessen der betroffenen Person dienen; so kann beispielsweise die Verarbeitung für humanitäre Zwecke einschließlich der Überwachung von Epidemien und deren Ausbreitung oder in humanitären Notfällen insbesondere bei Naturkatastrophen oder vom Menschen verursachten Katastrophen erforderlich sein”.

Telekommunikationsdaten auf der Grundlage der ePrivacy-Richtlinie

Die Verarbeitung von Telekommunikationsdaten, wie z.B. Standortdaten, muss auch im Einklang mit dem inländischen Recht und den inländischen Vorschriften, mit denen die ePrivacy-Richtlinie (Datenschutz­richtlinie für elektronische Kommunikation) umgesetzt wird, erfolgen. Der Hauptgrundsatz der Richtlinie besagt, dass die Standortdaten grundsätzlich mit Zustimmung der betroffenen Person oder anonym verarbeitet werden dürfen.

Art. 15 der Richtlinie ermöglicht jedoch, einige der in der Richtlinie vorgesehenen Rechte und Pflichten einzuschränken, sofern diese Einschränkung in einer demokratischen Gesellschaft ein notwendiges, angemessenes und verhältnismäßiges Mittel ist, um die nationale Sicherheit, die Landesverteidigung und die öffentliche Sicherheit sicherzustellen.

Solche Beschränkungen müssen mit der außergewöhnlichen Situation eng verbunden sein und sollten nicht länger als diese Situation selbst dauern.

Hauptgrundsätze der DSGVO zur Verarbeitung personenbezogener Daten

Die Verarbeitung personenbezogener Daten in den o.g. Situationen darf die Hauptgrundsätze der DSGVO nicht verletzen, d.h.:

• die Daten werden nur in dem erforderlichen Umfang und zu dem Zweck, zu dem sie gesammelt wurden, verarbeitet (Zweckbindung),
• es gilt der Grundsatz der Transparenz – d.h. die betroffene Person ist (gemäß Art. 13 oder 14 DSGVO) über die Hauptprinzipien der Verarbeitung, darunter über die Datenaufbewahrung und die Zwecke der Verarbeitung, auf transparente, verständliche und für den Informationsempfänger leicht zugängliche Art und Weise zu informieren,
• es sind angemessene Sicherheitsmaßnahmen zu gewährleisten und Vertraulichkeitsregeln auszuarbeiten, um sicherzustellen, dass die Daten nicht an Unbefugte weitergegeben werden (Integrität und Vertraulichkeit). Die eingeführten Mittel sowie der damit verbundene Entscheidungsprozess sind entsprechend zu dokumentieren (Rechenschaftspflicht).

Fragen und Antworten

In der Erklärung des EDSA ist eine FAQ-Rubrik zur Verarbeitung von Standortdaten aus mobilen Endgeräten und von denjenigen Daten, die im Rahmen von Einstellungsverfahren verarbeitet werden, zu finden. In dem die Arbeitgeber betreffenden Teil verweist der EDSA jedoch auf die inländischen Vorschriften, d.h. zur Möglichkeit, Daten zum Gesundheitszustand von Personen einzuholen, die den Arbeitsbetrieb besuchen, zur Möglichkeit, den Gesundheitszustand der Arbeitnehmer zu untersuchen, und zu Daten, die im Kontext der Pandemie unerlässlich sind.

Lediglich auf die Frage, ob ein Arbeitgeber den Kollegen seines Arbeitnehmers oder außenstehenden Personen offenlegen darf, dass dieser an COVID-19 erkrankt ist, erteilt der EDSA eine ausführliche Antwort: Der Arbeitgeber hat sein Personal über COVID-19-Fälle zu informieren und Schutzmaßnahmen zu ergreifen, aber er sollte nicht mehr Informationen als nötig weitergeben. Wenn es notwendig ist, den Nachnamen des/der Arbeitnehmer/s, der/die sich mit dem Virus infiziert hat/haben, offenzulegen (z.B. als Vorbeugemaßnahme), und dies aufgrund des inländischen Rechts zulässig ist, sind die betroffenen Arbeitnehmer darüber mit Vorlauf zu benachrichtigen, wobei ihre Würde und Integrität zu schützen sind.

Die Erklärung des EDSA kann den Unternehmern als Hinweis dienen und bei der Auslegung der Vorschriften im Zusammenhang mit der Verarbeitung von personenbezogenen Daten zum Gesundheitszustand der Arbeitnehmer behilflich sein. Die Erklärung bestätigt dabei den Standpunkt der inländischen Kommentatoren, und trägt nichts Neues zum Thema bei. Ein wichtiger Hinweis ist die Möglichkeit für Arbeitgeber, sich auf die Voraussetzung der Datenverarbeitung zu berufen, da dies im Zusammenhang mit der Erfüllung der rechtlichen, mit der Arbeitssicherheit und-hygiene verbundenen Pflichten durch die Arbeitgeber verbunden ist, z.B. Art. 207 und 211 ArbGB-PL, kraft deren der Arbeitgeber für die Arbeitssicherheit und -hygiene in seinem Arbeitsbetrieb verantwortlich und somit verpflichtet ist, die Gesundheit und das Leben der Arbeitnehmer durch Sicherstellung gefahrenfreier und hygienischer Arbeitsbedingungen unter entsprechender Anwendung der Errungenschaften der Wissenschaft und Technik zu schützen (Art. 207 ArbGB-PL), und kraft deren die Arbeitnehmer verpflichtet sind, mit dem Arbeitgeber und den Vorgesetzten zusammenzuarbeiten (Art. 211 ArbGB-PL).