Archive for Juli 29th, 2021

3G im Unternehmen – Daten- und Gesundheitsschutz

Posted by Birgit von Maurnböck

3G: Getestet, geimpft, genesen ­– das gilt derzeit in vielen Unternehmen und wird uns wohl auch noch eine Zeit lang begleiten. Doch wie sieht es hier mit dem Datenschutz aus? Immerhin handelt es sich beim 3G-Nachweis um Gesundheitsdaten, die besonders geschützt werden müssen. Wir haben uns das genauer angeschaut und geben Tipps für die optimale datenschutzrechtliche Vorgehensweise im Unternehmen.

Ist 3G im Unternehmen wirklich notwendig und laut DSGVO erlaubt?

Im Rahmen der Fürsorgepflicht sind Unternehmen verpflichtet, für die Sicherheit und den Gesundheitsschutz ihrer Mitarbeitenden zu sorgen. Eine zusätzliche Sorgfaltspflicht trifft bei direktem Kontakt mit Kunden, Geschäftspartnern und sonstigen Dritten zu.

Das Datenschutzrecht sieht vor, dass die 3G-Gesundheitsdaten in jenem Ausmaß verwendet werden können, das notwendig ist, um die Verbreitung des Virus zu stoppen und um Menschen zu schützen. Die Datenerhebung von Personen, bei denen COVID-19 bestätigt wurde oder bei Verdacht auf Infektion wegen eines Kontakts mit einer infizierten Person, zählt auch dazu.

Zur Risikoprävention ist es auch zulässig, dass Unternehmen die private Telefonnummer aller im Unternehmen tätigen Personen (auch von Freelancern oder Leihpersonal) speichern, um diese kurzfristig über eine Infektion verständigen zu können.

Darf man im Unternehmen Tätige um den 3G-Nachweis fragen?

Führungskräfte sind grundsätzlich berechtigt, ihre Mitarbeitenden und auch Bewerber zu fragen, ob sie geimpft, genesen oder getestet sind. Die Frage muss wahrheitsgemäß beantwortet werden. 

Gibt es eine Pflicht, dem Unternehmen gegenüber, einen 3G-Nachweis zu erbringen?

Generell gibt es (noch) keine allgemeine rechtliche Verpflichtung, Angaben über den eigenen Status gegenüber dem Unternehmen machen zu müssen. Das bedeutet in der Praxis, dass das Erheben von Testergebnissen, Impfstatus oder bereits überwundenen COVID-Infektionen nur auf Basis einer freiwilligen Einwilligung des Arbeitnehmenden möglich ist. Ohne Einwilligung also keine Datenverarbeitung!

Ausnahmen finden sich jedoch in jenen Bereichen, wo Maskenpflicht herrscht. Oder eben nicht, wenn der entsprechende 3G-Nachweis erbracht wird: Bei körpernahen Dienstleistern zum Beispiel. In diesem Zusammenhang gibt es eine gesetzliche Grundlage für das Unternehmen, den 3G-Nachweis der Beschäftigten zu erheben; somit wird hier wird keine Einwilligung benötigt.

Wie geht man mit der 3G-Information datenschutzkonform um? 

Ein No-Go ist das Kopieren des Impfpasses, bitte machen Sie das auf keinen Fall! Wie Sie es besser machen: Im Unternehmen tätige Personen sollen zum Beispiel das Impfzertifikat oder den Genesungsnachweis vorzeigen. Dabei wird eine eigene Liste vom Unternehmen geführt, in der der Status vermerkt wird (zum Beispiel ein Excel). Erfasst wird der Name, der Status und wie lange der Status gilt. Auf das Excel dürfen dann nur wenige Personen (zum Beispiel Personen aus der Personalabteilung) zugreifen und es wird zusätzlich mit einem guten Passwort geschützt. So vermeiden Sie unnötiges Papier und weitere datenschutzrechtliche Herausforderungen.

Eine Verwendung der Gesundheitsdaten für andere Zwecke als der Gesundheitsvorsorge, der Eindämmung und der Heilbehandlung ist aber nicht erlaubt! Nach Ende von COVID-19 sind auch alle Daten, die mit dem 3G-Nachweis zu tun haben, zu löschen. Und auch ganz wichtig: Der Status ist ein höchstpersönliches „Gut“: Mitarbeitenden den Status anderer Mitarbeitenden mitzuteilen, ist ebenfalls ein absolutes No-Go.

Unsere Praxistipps

TOMs – Technische und organisatorische Maßnahmen Teil 1

Posted by Birgit von Maurnböck

Seit Inkrafttreten der DSGVO hört man ständig den Ausdruck „TOMs“ in Zusammenhang mit dem Datenschutz. Wofür steht die Abkürzung überhaupt und was kann man sich in der Praxis darunter vorstellen? In unserer 3 teiligen Serie, erklären wir Ihnen alle wichtigen Begriffe, praxisorientiert und leicht verständlich für den Arbeitsalltag. In diesem Teil geht es um die vier Kontrollschritte Zutritts-, Zugangs-, Zugriffs- und Weitergabekontrolle.

Mit den TOMs sind die technischen und organisatorischen Maßnahmen gemeint. Dabei handelt es sich um Sicherheitsvorkehrungen, die personenbezogene Daten vor unberechtigtem Zugriff schützen. Die Maßnahmen kann man anhand der folgenden acht Gebote darstellen, die in Form von Kontrollschritten beschrieben werden:

  1. Zutrittskontrolle
  2. Zugangskontrolle
  3. Zugriffskontrolle
  4. Weitergabekontrolle
  5. Eingabekontrolle
  6. Auftragskontrolle
  7. Verfügbarkeitskontrolle
  8. Datentrennungskontrolle

Auf die ersten vier Kontrollschritte gehen wir nun genauer ein:

Zutrittskontrolle

Unbefugte dürfen sich keinen Zutritt zu Ihrem Betriebsgelände oder Bürogebäude, in denen sich Ihre betrieblichen Räumlichkeiten befinden, verschaffen. Das kann durch Maßnahmen wie beispielsweise sichere Türschlösser, Videoüberwachung oder eine Besucherkontrolle durch einen Portier gewährleistet werden. Übrigens: Das Türschloss am Beitragsfoto ist aus heutiger Sicht definitiv nicht mehr als sicher einzustufen.

Zugangskontrolle

Hat ein Dritter nun bereits Zutritt erlangt, so stellt die Zugangskontrolle sicher, dass sich die Person dennoch nicht den Zugang zu den EDV-Anlagen (Serverräumen, PCs, Laptops) schafft. Dazu dienen unter anderem biometrisch gesicherte Serverräume, das Wegsperren von Laptops, aber auch Firewalls und Anti-Viren-Programme.

Zugriffskontrolle

Sollten nun bereits die Zutritts- und Zugangskontrolle versagt haben und der unbefugte Dritte ist bereits zu einem PC, Laptop oder an Ihren Schreibtisch gelangt, so regelt die Zugriffskontrolle, dass die Person trotzdem keinen Zugriff auf personenbezogene Daten erhält. Was sind die hier wichtigsten Maßnahmen: Gute Passwörter, versperrte Akten.

Weitergabekontrolle

Die Weitergabekontrolle stellt sicher, dass Daten nur an berechtigte Empfänger übermittelt werden. Welche Maßnahmen stellen in der Praxis sicher, dass Daten ausschließlich in die richtigen Hände geraten? Beispiele für die Umsetzung der Weitergabekontrolle sind die Verschlüsselung von Emails, VPN-Technologie, Authentifizierung der User, Passwortschutz bei Email Anhängen sowie die Verwendung von digitalen Signaturen.

Unsere Praxistipps