Es erscheint als Ironie des Schicksals, dass ausgerechnet unser Unternehmen, dass seit Jahren zu allen Themen des Datenschutzes berät und bei vielen Firmen den Datenschutzbeauftragten stellt, bei einem Autohaus (das nicht zu unseren Kunden zählt) „Opfer“ eines gravierenden Datenschutzverstosses wurde. Als bei dem Auto einer unserer Mitarbeiterinnen eine Warnmeldung aufleuchtete, wollte sie dies umgehend bei dem Autohaus, über das der PKW bezogen wurde, reparieren lassen. Dazu sollte es jedoch nicht kommen, weil das Autohaus datenschutzwidrige Methoden zur vermeintlichen Abwehr des Coronavirus anwendet.
Fragebogen mit persönlichen Gesundheitsfragen
Als unsere Mitarbeiterin den – vorher eigens desinfizierten – Schlüssel (unter zusätzlicher Beigabe eines Desinfektionstuches) bei dem Autohaus abgeben wollte, hielt man ihr einen Fragebogen mit persönlichen Gesundheitsfragen vor. Als diese, unter Verweis auf grob datenschutzrechtliche Verstösse, das Ausfüllen des Fragebogens ablehnte, teilte man ihr mit, dass man unter diesen Umständen das Auto nicht reparieren würde.
Selbst als im Nachgang unser Geschäftsführer nochmals eindringlich auf den Daten-schutzverstoß hinwies und eine Anzeige bei der Landesdatenschutzbehörde ankündigte, zeigte sich das Autohaus nicht einsichtig und blieb dabei, dass man das Auto nicht repariere, so lange der Fragebogen nicht ausgefüllt werde.
In dem Fragebogen mit der Überschrift „COVID 19 Gesundheitserklärung“ wurden folgende Angaben gefordert:
– Auslandsaufenthalte in bestimmten Ländern
– Aufenthalt in Gebieten, die ein erhöhtes Infektionsrisiko haben
– Ob man Kontakt zu Personen hatte, die sich in den gefragten Ländern aufgehalten hatten
– Fragen zum eigenen Gesundheitszustand
Darunter steht, dass man bei Beantwortung einer der Fragen mit „Ja“ den Termin verschieben solle.
Landesdatenschutzamt bestätigt Datenschutzverstoß
In einem Telefonat mit dem Landesdatenschutzamt wurde uns erwartungsgemäß bestätigt, dass die Vorgehensweise des Autohauses einen Datenschutzverstoß darstellt. Prinzipiell dürfe man zwar einen solchen Fragebogen heranziehen, aber unter Beachtung der Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO) und nur, wenn es verhältnismäßig ist. Wenn beispielsweise ein direkter, „enger“ Kontakt mit einer Person unausweichlich ist, könne man entsprechende Fragen erheben. Im Falle einer Autoreparatur ist dies nicht der Fall. Entsprechende Sicherheitsvorkehrungen zwingen nicht zu einem solchen engen Kontakt. Aber auch wenn es einen Fall gibt, der einen engeren Kontakt erfordert, ein Gesundheitsfragebogen also relevant ist, müssen die gesetzlichen Vorgaben zum Datenschutz eingehalten werden – auch in Zeiten von Corona.
Gesetzliche Vorgaben
Ein Unternehmen kann und sollte zum Schutz vor dem Coronavirus diverse Maßnahmen durchführen. Dazu zählt unter anderem die Aufforderung zur Desinfketion der Hände oder auch zur Einhaltung der Abstände zu Mitarbeitern und anderen Kunden.
Auch eine mündliche Befragung ist möglich, allerdings ohne Speicherung der Daten und nur auf freiwilliger Basis.
Der Einsatz von Fragebögen zur Risikoermittlung ist nach Art. 9 Abs. 2 lit. a DSGVO nur dann möglich, wenn die Einwilligung der Person vorliegt und nur, wenn die datenschutzrechtlich inhaltlichen und formalen Kriterien eingehalten wurden, unter anderem die Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO) und dem entsprechenden, schriftlichen Hinweis darauf.
Die betroffenen Personen müssen ihre Einwilligung dabei ausdrücklich in Bezug auf die Gesundheitsdaten abgeben. Vor allem muss sie freiwillig erfolgen, sie darf nicht zwingend verlangt werden!
Wehret den Anfängen!
Lassen Sie sich nicht durch Fragebögen dieser Art versunsichern und schon gar nicht „erpressen“. Auch zu Zeiten der Corona-Krise darf ein Unternehmen nicht eigenmächtig den Datenschutz aushebeln. Im Zweifel können Sie sich gerne an uns wenden. Wir melden Datenschutzverstösse dem Landesdatenschutzamt.
Noch mag es sich vielleicht um Ausnahmefälle handeln, aber wenn man nicht konsequent gegen solche rechtswidrigen Praktiken vorgeht, kann es durchaus überhand nehmen.
Stellen Sie sich vor, Sie wollen einkaufen, müssen aber vorher einen Gesundheitsfragebogen ausfüllen und der Supermarkt entscheidet dann anhand Ihrer Antworten, ob Sie einkaufen dürfen oder nicht. Zugegeben, ein überspitztes Szenario, das aber deutlich veranschaulicht, dass ein Unternehmen nicht Gesundheitspolizei spielen darf.
Im Falle unserer Auto-Reparatur hätte es eine ganz einfache Lösung gegeben. Der Schlüssel wird in einen Briefkasten geworfen. Der Schlüssel hätte dann von den Mitarbeitern desinfiziert werden können.
Toole Story. In der Pandemie meinen viele Unternehmen dass die Gesetzgebung in Sachen Datenschutz für nichtig erklärt wurde. Der hier genannte Fall ist schon extrem aber was in Sachen Gastro / Frisör Meldewesen abgeht ist schon der Hit. Da kommt man wirklich zum nachdenken!