Hintergrund
Die Bundesregierung hat Ende letzten Jahres den § 28b Infektionsschutzgesetz („IfSG“) angepasst. Ziel der gesetzlichen Regelung war, dass Beschäftigte (m/w/d) Arbeitsstätten, in denen physische Kontakte untereinander oder zu Dritten nicht ausgeschlossen werden können, nur betreten dürfen, wenn die Beschäftigten geimpft, genesen oder getestet waren („3G“).
Nach § 28b IfSG alte Fassung (a.F.) mussten die Beschäftigten einen Impfnachweis, einen Genesenennachweis oder einen Testnachweis mit sich führen, zur Kontrolle verfügbar halten oder bei dem Arbeitgeber hinterlegt haben. § 28b IfSG a.F. verpflichtete die Arbeitgeber die Einhaltung der 3G-Regelungen durch Nachweiskontrollen täglich zu überwachen und regelmäßig zu dokumentieren; der Arbeitgeber war der zuständigen Behörde zur Auskünfte bzgl. der zur Durchführung ihrer Überwachungsaufgabe verpflichtet.
§ 28b IfSG a.F. sah vor, dass die erhobenen Daten spätestens am Ende des sechsten Monats nach ihrer Erhebung zu löschen waren. Diese Regelungen waren befristet bis zum 19. März 2022. Was nun tun mit den noch vorhandenen Daten?
Datenverarbeitung aufgrund von § 28b IfSG a.F.
Bei einem Impfnachweis, einem Genesenennachweis oder einem Testnachweis handelt es sich um besonderere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO, da dies Gesundheitsdaten sind. Die Verarbeitung von Gesundheitsdaten ist nur eingeschränkt möglich, etwa aufgrund einer Einwilligung. Art 9 Abs. 2 lit. i) DSGVO eröffnet den nationalen Gesetzgebern die Möglichkeit, eine gesetzliche Grundlage für die Verarbeitung von Gesundheitsdaten zu schaffen, wenn diese aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren, erforderlich ist.
Hiervon hat der deutsche Gesetzgeber auch Gebrauch gemacht. In § 28b Abs. 3 IfSG a.F. war klargestellt, dass Gesundheitsdaten, einschließlich Daten zum Impf-, Sero- und Teststatus, vom Arbeitgeber verarbeitet werden dürfen, um die Einhaltung der 3 G Maßnahmen zu überwachen und regelmäßig zu dokumentieren. Diese gesetzliche Grundlage ist nun weggefallen, denn sie war befristet bis zum 19. März 2022.
Der deutsche Gesetzgeber stellte zudem klar, dass die Bestimmungen des allgemeinen Datenschutzrechts unberührt bleiben, sodass sich die Zulässigkeit der weiteren Verarbeitung insbesondere nach der DSGVO bemisst.
Löschung erforderlich
Grundsätzlich gilt, dass personenbezogene Daten nur solange verarbeitet werden dürfen, wie dies für den jeweiligen Zweck erforderlich ist. Dies bedeutet konsequenterweise, dass personenbezogene Daten zu löschen sind, wenn keine Zwecke mehr vorhanden sind, zu denen sie verarbeitet werden sollen. Eine Vorratsdatenspeicherung ist unzulässig.
Der deutsche Gesetzgeber hatte in § 28b Abs. 3 IfSG a.F. klar festgelegt, dass die betreffenden Gesundheitsdaten nur zum Zwecke der Einhaltung der 3 G Maßnahmen verarbeitet werden dürfen. Dieser Zweck ist nun weggefallen. Auch ist keine andere Rechtsgrundlage des Art. 9 Abs. 2 DSGVO einschlägig, um die Verarbeitung der Gesundheitsdaten zu rechtfertigen. Ergänzende Zwecke, zu denen diese personenbezogenen Daten weiterhin zu verarbeiten wären, fehlen ebenfalls.
Konsequenterweise sind personenbezogene Daten, die zur Kontrolle und Überwachung der Einhaltung der 3G-Regelungen erhoben worden sind, zu löschen. Diese Löschung muss datenschutzkonform erfolgen, d.h. derart, dass die betroffenen personenbezogenen Daten nicht wiederhergestellt werden können. Wie dies umgesetzt werden kann, hängt davon ab, ob die personenbezogenen Daten digital oder auf Papier erfasst sind.
Gegen diese sofortige Löschpflicht spricht auch nicht § 28b Abs. 3 IfSG a.F., der eine Löschfrist nach 6 Monaten vorsah. Diese war ausweislich des Wortlauts eine maximale Aufbewahrungsfrist, die sich dennoch an den zuvor allgemeinen Grundsätzen (keine Vorratsdatenspeicherung) zu messen hat.
Fazit
Sollten Sie noch 3G-Nachweise Ihrer Mitarbeitenden aufbewahren, sind diese schnellstmöglich und endgültig zu löschen bzw. zu vernichten.