Wurden Sie von Ihrem Arbeitgeber schon einmal über eine bestimmte Impfung befragt? Nein? Das könnte sich bald ändern. Viele Arbeitgeber würden zu gerne wissen, ob ihre Arbeitnehmer*innen gegen COVID-19 geimpft sind. Aber dürfen sie das eigentlich wissen bzw. dürfen Sie als Arbeitnehmer*in wahrheitswidrig antworten?
Dass eine Impfpflicht durch den Arbeitgeber nicht unmittelbar angeordnet werden kann, ist insoweit unstrittig, als es sich nicht um eine behördliche Impfpflicht für bestimmte Berufsgruppen handelt.[1] Dennoch hat der Arbeitgeber entsprechende Fürsorgepflichten gegenüber seinen Mitarbeiter*innen und muss diese auch vor infektiösen Krankheiten schützen. Darunter fällt beispielsweise auch eine potentielle Ansteckung von Arbeitskolleg*innen oder Kund*innen. Dass eine Schutzimpfung hinreichenden Schutz vor einer Erkrankung bietet, ist wissenschaftlich bestätigt.[2] Das bedeutet in weiterer Folge, dass geimpfte Mitarbeiter*innen nicht (oder nicht so stark) an Corona erkranken und damit auch die Viren nicht (oder nicht so stark) an andere Kolleg*innen und Kund*innen weiterverbreiten können. Der Arbeitgeber hat also ein entsprechendes Interesse daran, zu wissen, ob seine Arbeitnehmer*innen geimpft sind und ob ein entsprechender Schutz besteht, um entsprechende Maßnahmen ableiten zu können.
Eingriff in die Persönlichkeitsrechte?
In Art 8 EMRK ist die Achtung des Privat- und Familienlebens, somit die Wurzel des Persönlichkeitsrechts und auch die Grundlage für das Recht auf Geheimhaltung der personenbezogenen Daten im Sinne des Datenschutzrechts geregelt. Demnach soll jeder für sich selbst entscheiden können, ob bestimmte Daten bekannt gegeben oder geheim gehalten werden sollen. Doch auch dieses Grundrecht wirkt nicht absolut, sondern ist mit anderen Grundrechten entsprechend abzuwägen. Es ist durchaus nicht verboten in das Privat- oder Familienleben einzugreifen, wenn dadurch andere Grundrechte gewährleistet werden.
Es bedarf somit einer Interessenabwägung und es ist zu klären, ob durch die Preisgabe der höchstpersönlichen Entscheidung, ob man sich einer Impfung unterzieht, der Grundsatz der Verhältnismäßigkeit gewahrt ist. Das Recht auf Geheimhaltung kann und muss in bestimmten Fällen also gebrochen werden können.
Aufgrund der DSGVO darf der Arbeitgeber das sicher nicht wissen, oder etwa doch?
Die Tatsache, ob jemand geimpft ist oder nicht, ist definitiv ein personenbezogenes Datum, welches unter den besonderen Schutzbereich der sensiblen Daten fällt. Gesundheitsdaten sind „Daten besonderer Kategorien“ und deren Zulässigkeit muss nach Art 9 DSGVO beurteilt werden. Grundsätzlich verbietet die DSGVO jede Verarbeitung personenbezogener Daten, aber sie erlaubt diese auch in bestimmten Fällen. Bei der Frage der Impfung ist zu prüfen, ob ein Erlaubnistatbestand iSd Art 9 Abs 2 DSGVO vorliegt.
Neben der ausdrücklichen Einwilligung gibt es noch neun weitere Alternativen, wobei in diesem Fall vorerst lit b in Betracht kommt, wonach die Bekanntgabe des Impfstatus dann zulässig ist, wenn die Verarbeitung erforderlich ist, um Pflichten aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit nachkommen zu können.
Aufgrund der Fürsorge- und Treuepflicht des Arbeitgebers (insbes § 1157 ABGB, § 18 AngG) kann eine solche Pflicht begründet werden. Die Datenschutzbehörde ist der Ansicht, dass dazu auch der Ausschluss von Gesundheitsrisiken am Arbeitsplatz zählen.[3] Der Arbeitgeber hat deshalb ein Interesse den Impfstatus seinen Mitarbeiter*innen zu kennen.
Allenfalls kommt auch noch lit h in Betracht, nach dem die Verarbeitung für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich […] erforderlich ist. Dieser Ausnahmetatbestand trägt der fundamentalen Bedeutung der Gesundheit für die betroffene Person sowie für die gesamte Gesellschaft Rechnung.[4] Bei näherer Betrachtung kommt man allerdings zum Ergebnis, dass diese Alternative lediglich für Zwecke der Gesundheitsvorsorge, der Arbeitsmedizin, zur Beurteilung der Arbeitsfähigkeit der Beschäftigten, zur medizinischen Diagnostik, zur Versorgung oder Behandlung im Gesundheits- oder Sozialbereich bzw. zur Verwaltung von Systemen und Diensten im Gesundheits- und Sozialbereich zur Anwendung kommt.
Eventuell greift hier aber auch lit i, der die Verarbeitung aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit vorsieht. Als konkrete Beispiele für die Zulässigkeit der Verarbeitung sensibler Daten aus Gründen der öffentlichen Gesundheit können zB. die Pflichten des Arbeitgebers zur Auskunftserteilung über Verdachtsfälle und Infektionen nach Art 9 Abs 2 lit i DSGVO genannt werden.
Private Unternehmen sollen sich grundsätzlich nicht auf diese Alternative berufen können. Allerdings sieht Art 168 AEUV vor, dass die Mitgliedstaaten ein hohes Gesundheitsschutzniveau sicherstellen und dadurch unter anderem das strategische Ziel verfolgen, die Bürger vor Gefahren für ihre Gesundheit zu schützen und somit die Verbesserung der Überwachung und Vorsorge in Bezug auf Epidemien zu gewährleisten.[5]
Eine entsprechende Interessenabwägung wird somit in den meisten Fällen zugunsten des Arbeitgebers ausfallen und soweit geeignete technische und organisatorische Maßnahmen gesetzt werden und die Verarbeitung angemessen ist, kann es also durchaus legitim sein, dem Arbeitgeber wahrheitsgemäß Auskunft über den Impfstatus geben zu müssen.
Warum soll der Arbeitgeber das wissen?
Um seine Fürsorgepflichten zu erfüllen, muss er seine Mitarbeiter*innen und Kund*innen entsprechend vor Gefahren schützen. Die bloße Kenntnis, ob jemand geimpft ist, wird ihn bei der Erfüllung seiner Fürsorgepflichten nicht helfen. Vielmehr müssen entsprechende Maßnahmen gesetzt werden und beispielweise eine betriebliche Impfaktion durchgeführt oder entsprechende Sicherheitsmaßnahmen für nicht geimpfte Personen initiiert werden.
Die reine Neugier bzw. das Interesse des Arbeitgebers erfüllt gerade nicht die Voraussetzungen des Zweckbindungsgrundsatzes der DSGVO. Es müssen schon Taten folgen, um die Neugier rechtfertigen zu können. Immerhin geht es um die Gesundheit der Mitarbeiter*innen und Kund*innen. Soweit beispielsweise eine betriebliche Impfaktion angeboten wird und/oder entsprechende Maßnahmen für nicht-geimpfte Mitarbeiter*innen gesetzt werden, ist es essentiell zu wissen, ob sich jemand impfen lassen will oder bereits geimpft ist.
Zusammenfassung
Das Grundrecht auf Geheimhaltung ist kein absolutes Recht und muss im Zuge einer Interessenabwägung der Fürsorgepflicht des Arbeitgebers gegenübergestellt werden. Auch die DSGVO ist hier keine Hürde. Selbst wenn das eigentliche Ziel der Verordnung der Schutz personenbezogener Daten ist, bedeutet dies nicht das bedingungslose Verbot einer Datenverarbeitung. IdR wird die Interessenabwägung zugunsten des Arbeitgebers ausfallen und es muss wahrheitsgemäß beantwortet werden, ob jemand geimpft ist bzw. geimpft werden möchte. Dass es im Arbeitsverhältnis bei wahrheitswidriger Aussage bzw. bei der Verweigerung einer Schutzimpfung in bestimmten Bereichen bis zur Kündigung des Arbeitsverhältnisses kommen kann, hat bereits Hainz bestätigt.[6] Mit der Frage, ob eine Impfverweigerung auch sozialrechtlich sanktioniert werden kann, hat sich Krückl im Gastbeitrag der Presse beschäftigt.[7]
ERGÄNZUNG 14.5.2021: Auch Franz Marhold vom Institut für Arbeits- und Sozialrecht der WU bestätigt, dass der Arbeitgeber ein Recht daran hat, über den Impfstatus der Mitarbeiter informiert zu werden.[8]
[1] Vgl. Grimm, Verpflichtende Impfung von Mitarbeitern im Gesundheitsbereich? in Aigner/Grimm/Kletecka-Pulker/Wiedermann-Schmidt (Hrsg), Schutzimpfungen – Rechtliche, ethische und medizinische Aspekte. Siehe auch https://www.verlagoesterreich.at/schutzimpfungen-rechtliche-ethische-und-medizinische-aspekte-aigner/grimm/kletecka-pulker/wiedermann-schmidt-978-3-7046-6786-1.
[2] Vgl. Hainz, Impfstatus im Arbeitsverhältnis, CuRe 2021/3.
[3] Siehe https://www.dsb.gv.at/informationen-zum-coronavirus-covid-19 (abgefragt am 10.5.2021)
[4] Vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung (DSGVO) Art 9, Rz 98.
[5] Vgl. Weichert in Kühling/Buchner, Datenschutz-Grundverordnung Kommentar, Art 9 Rz 117.
[6] Vgl. Hainz, Impfstatus im Arbeitsverhältnis, CuRe 2021/3.
[7] Siehe https://www.diepresse.com/5975401/wie-impfverweigerung-sanktioniert-werden-konnte. (abgefragt am 10.5.2021)
[8] Siehe https://www.salzburg24.at/news/oesterreich/impfstatus-muss-arbeitgeber-auskunft-bekommen-103783633 (abgefragt am 14.5.2021)
Bildnachweis: Adobe Stock/escapejaja