David Klein - DS-GVO/BDSG

135

Unter das Arbeitsrechtfallen sowohl das Individual- als auch das Kollektivarbeitsrecht, so dass etwa Tarifverträge, Kollektivvereinbarungen und Betriebsvereinbarungen erfasst sind.[248]

136

Hinsichtlich Verarbeitungen, die den Arbeitnehmer in seiner Beziehung zum Arbeitgeber betreffen ist Art. 88zu beachten.

137

Das Recht der sozialen Sicherheit und des Sozialschutzeserfasst insbesondere die Erbringung von Sozialleistungen (z.B. im Falle einer Pflegebedürftigkeit sowie Kranken- oder Unfallversicherungen). Letztlich eröffnet Art. 9 Abs. 2 lit. bauch hier den Mitgliedstaaten einen weitgehenden Gestaltungsspielraum und die Möglichkeit zur Regulierung.[249]

138

Art. 9 Abs. 2 lit. bist somit letztlich kein eigenständiger Erlaubnistatbestand, sondern verlangt, dass sich die Erforderlichkeit der Datenverarbeitung zu vorgenannten Zwecken aus einer gesonderten, unionsrechtlichen oder einzelstaatlichen Norm ergibt.

139

Entscheidende Bedeutung kommt aber nach dem Verordnungswortlaut geeigneten Garantienzu, um die Grundrechte und Interessen der Betroffenen zu schützen. Hinsichtlich einer etwaigen Konkretisierung dieses Begriffs, trifft die DS-GVO keine Aussage. Daraus folgt, dass jedenfalls die Vorgaben der GRCh und des nationalen Verfassungsrechtseinzuhalten sind.[250] Gleichwohl sind davon insbesondere auch spezifisch datenschutzrechtliche Maßnahmender DS-GVO erfasst, wie etwa die Implementierung von Anonymisierungs- und Pseudonymisierungstechniken sowie das Treffen technisch-organisatorischer Maßnahmen im Sinne eines Privacy by Design als auch die rechtzeitige Bearbeitung im Falle der Geltendmachung von Widerspruchs-, Berichtigungs- und Löschungsrechten durch den Betroffenen.[251] Auf nationaler Ebene trägt der Gesetzgeber diesen Anforderungen im Rahmen der Öffnungsklausel in § 22 Abs. 1 Nr. 1 lit. a BDSG n.F. Rechnung.

140

Im Zusammenhang mit der Corona-App[252] stellen sich auch arbeitsrechtliche Fragen. Unter der Voraussetzung, dass per App auf dezentraler Ebene annähernd faktisch anonyme Kontakte ausgetauscht werden und die Eignung zur Eindämmung einer Pandemie erwiesen ist, stellt sich auf der dem Datenschutz nachgelagerten verfassungsrechtlichen und arbeitsrechtlichen Ebene die Frage nach der Empfehlung der Arbeitgeber zur Installation der schützenden Software auf Smartphones.[253] Während sich der Arbeitgeber mit Blick auf private Geräte der Beschäftigten auf eine Empfehlung der freiwilligen Installation beschränken muss,[254] stellt sich bei Diensthandys die Frage, ob über eine Empfehlung hinaus, das Recht oder gar die Pflicht des Arbeitgebersbesteht, die Installation auf Diensthandys verpflichtend vorzunehmen.[255] Jedenfalls da, wo Beschäftigte unvermeidlich enge Kontakte mit vulnerablen Gruppenhaben (Ärzte, Rettungsdienste, Feuerwehr etc.), ist die Frage zu prüfen, ob die Schutzpflicht zugunsten der betroffenen Patienten und übrigen Beschäftigten die Vorinstallation auf den Geräten erforderlich macht, weil sie etwa ein milderes und effektiveres Mittel darstellt, als eine Testung in kurzen Abständen.[256] Abzulehnen ist es, die Aktivität der App und möglicherweise sogar die Meldung eines positiven Kontakts beim Beschäftigten abzufragen oder zu überprüfen. Zulässig soll es aber sein, dass der Arbeitgeber Arbeitnehmer nach dem Kontakt zu positiv getesteten Personen fragt.[257]

141

Da die Verwendung der faktisch anonymen App als solche, insbesondere etwa im Vergleich zu Navigationsapps keinen nennenswerten Eingriff in die informationelle Selbstbestimmung mit sich bringen würde, wäre die Prüfung der Pflicht rein verfassungsrechtlich und nicht datenschutzrechtlich zu betrachten, weil das datenschutzrechtliche Risiko der App vor der Installation im Rahmen einer Datenschutzfolgenabschätzung ausgeschlossen worden wäre. Eine Vergleichsprüfung im Rahmen der Verhältnismäßigkeitsprüfung wäre, ob gegenüber medizinischem Personal, das mit vulnerablen Gruppen arbeitet, aus Gründen der Fürsorge bei Verfügbarkeit eines Impfstoffs eine Impflicht angeordnet werden könnte.

142

Eine weitere Ausnahmeregelung vom Verarbeitungsverbot sensitiver Daten besteht nach Art. 9 Abs. 2 lit. c, wenn zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person, die betroffene Person aus körperlichen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben.

143

Art. 9 Abs. 2 lit. cknüpft damit wie die Vorgängernorm des Art. 8 Abs. 2 lit. c DSRL an den Schutz lebenswichtiger Interessen an und erlaubt bei einer Gefährdung dieser Interessen die Verarbeitung sensibler Daten. Darüber hinaus ist der Begriff der lebenswichtigen Interessen im Rahmen des Art. 6 Abs. 1 lit. d[258] von Bedeutung.

144

In Anbetracht des Schutzgutes sind die Begriffe der physischen und rechtlichen Gründe weit zu verstehen. Daher sind die Voraussetzungen in der Regel dann erfüllt, wenn eine Verarbeitung der sensiblen Daten zur Abwehr von Gefahren für Leib oder Leben notwendig ist.[259]

145

Aus physischen Gründenist eine Einwilligung nicht möglich, wenn eine Person zu einer verantwortlichen Entscheidung und Erklärung unfähig ist, so dass sich der Begriff in erster Linie auf mangelnde körperliche oder geistige Fähigkeiten bezieht, z.B. wegen Bewusstlosigkeit oder einer schweren Erkrankung.[260] Eine Fallkonstellation kann auch darin bestehen, dass die betroffene Person nicht oder nicht rechtzeitig erreicht werden kann.[261]

146

Rechtliche Gründeliegen dann vor, wenn eine wirksame Einwilligungserklärung nach dem Recht der Mitgliedstaaten nicht möglich ist, etwa bei fehlender Erklärungs- oder Geschäftsfähigkeit.[262] Insofern regelt Art. 9 Abs. 2 lit. cAnwendungsfälle, in denen eine Einwilligung entbehrlich ist.

147

Gemäß ErwG 46soll lit. c nur dann greifen, wenn die Verarbeitung offensichtlich nicht auf eine andere Rechtsgrundlage gestützt werden kann. Insofern ist eine Verarbeitung sensibler Daten zum Schutz lebenswichtiger Interessen als ultima ratioanzusehen.[263]

148

In praktischer Hinsicht ist insbesondere die Frage relevant, wann von einem Schutz lebenswichtiger Interessen im Rahmen der Nutzung von Social-Media-Profilenausgegangen werden kann. So verwendet Facebook seit einiger Zeit ein besonderes Tool, dass Posts und Fotos der Nutzer analysiert und im Falle einer Suizidgefahr des Nutzers[264] diesen automatisch kontaktiert und zudem Kontakte zu Seelsorgern vermittelt. Hier stellt sich die Frage, ob die Verarbeitung der personenbezogenen Daten (in diesem Falle insbesondere Gesundheitsdaten und biometrische Daten) abweichend vom Verbotsgrundsatz des Art. 9 Abs. 1nach Art. 9 Abs. 2 lit. crechtmäßig ist. Ausgehend von der Begriffsdefinition dient das Tool von Facebook dem Schutz des Lebens der Nutzer und damit lebenswichtigen Interessen. Gleichwohl darf die Möglichkeit, unter Umständen einen Selbstmord eines Nutzers zu verhindern, nicht darüber hinwegtäuschen, dass zunächst einmal alle Postings und Fotos der Nutzer analysiert und gespeichert werden müssen. Eine derartige Verarbeitung von unter anderem Gesundheitsdaten oder biometrischen Daten ist dabei nach Art. 9 Abs. 1aber zunächst unzulässig. Sofern sich also keine Anzeichen für eine Selbstmordgefahr ergeben, war die Datenverarbeitung rechtswidrig. Insofern besteht für den Verantwortlichen ein enormes Risiko hinsichtlich der Verhängung einer Geldbuße. Daher muss er (etwa durch eine ausdrückliche Einwilligung) besondere, den Anforderungen des Art. 9genügende, Vorkehrungen treffen, damit eine Verarbeitung der Daten unter allen Gesichtspunkten rechtmäßig ist.