Die damit einhergegangenen organisatorischen Herausforderungen an die Arbeitgeber bei der Einführung bzw. Umsetzung der Kontrollpflicht im Betrieb sind vermutlich überwiegend in alltägliche Abläufe übergegangen.

Bei der Kontrolle müssen Arbeitgeber die Datenschutzregeln einhalten. Derzeit gibt es noch keine Verordnung, die die genauen Dokumentationspflichten bestimmt. Daher wird die Dokumentationspflicht zunächst durch die Dokumentation der Prozesse der Kontrollen zu erfüllen sein.  

Angaben über Impf-, Genesenen- oder Teststatus sind sensible Informationen, welche als Gesundheitsdaten besondere Kategorien personenbezogener Daten (Art. 9 Abs. 1 DSGVO) darstellen und zurecht durch die DSGVO geschützt werden.

Die Daten dürfen ausschließlich zu den im Infektionsschutzgesetz genannten Zwecken verarbeitet werden und sind auch sonst getrennt und vor dem Zugriffen Dritter geschützt aufzubewahren.  Insbesondere gehört die Liste bzw. die Dokumentation der Nachweise nicht in die Personalakte. 

Aus diesem Grund darf die Dokumentation zum einen nur durch einen zur Verschwiegenheit verpflichteten Personenkreis durchgeführt und zum anderen muss sie durch geeignete technische und organisatorische Maßnahmen vor dem Zugriff unbefugter Personen geschützt werden.

Wenn die Zutrittskontrolle nicht durch den Arbeitgeber selbst  bzw. einen geeigneten Beschäftigten durchgeführt, sondern durch z.B. einen externen Dienstleister betreut wird, muss unbedingt geprüft werden, ob es sich dabei um eine Auftragsverarbeitung handelt und ggf. ein Auftragsverarbeitungsvertrag geschlossen werden muss.

Um dem Grundsatz der Datenminimierung nach Artikel 5 Abs. 1 Buchst. C DSGVO zu entsprechen, ist es ausreichend, wenn tagesaktuell der Vor- und Zuname der Beschäftigten auf einer Liste abgehakt werden, nachdem der jeweilige Nachweis vorgezeigt worden ist. In dem Zusammenhang ist zu beachten, dass der Betroffene auch über die Verarbeitung der erhobenen Daten zu informieren ist.

Bei geimpften Mitarbeitern kann der gültige Impfnachweis nur einmal erfasst und dokumentiert werden, was grundsätzlich auch für Genesense gilt, wobei hier zusätzlich das Ablaufdatum des Genesenen- Status erfasst werden sollte, um dafür Sorge zu tragen, nach dem Ablauf einmalig einen Impfnachweis oder täglich einen Testnachweis vorzulegen.
Nach der einmaligen Kontrolle und der damit einhergehenden Erfassung über den Genesenen- oder Impfstatus, können die Beschäftigten für die Dauer der Gültigkeit des Nachweises anschließend von den täglichen Zugangskontrollen ausgenommen werden. Es ist geimpften und genesenen Mitarbeitern aber weiterhin freigestellt, auch tagesaktuelle Testnachweise vorzulegen.

Die Dokumentation kann händisch in Listenform oder auch in digitaler Form erfolgen, wichtig in beiden Abläufen ist, dass die Vertraulichkeit sowie die Nachvollziehbarkeit der Einträge sichergestellt sind.

Arbeitgeber dürfen die erhobenen Informationen des G-Status ihrer Beschäftigten zum Zweck der erforderlichen Nachweiskontrolle nutzen. Angesichts der Anpassung des betrieblichen Hygienekonzepts auf Grundlage der Gefährdungsbeurteilung nach §§ 5 und 6 des Arbeitsschutzgesetzes ist es dem Arbeitgeber zudem gestattet, die erhobenen G-Status-Daten zu nutzen, was aber unbedingt individuell zu prüfen ist.

Alle im Zusammenhang mit der 3G-Pflicht am Arbeitsplatz erhobenen Daten sind spätestens nach 6 Monaten zu löschen. Sobald der G-Status nicht mehr als Zugangsvoraussetzung nach §28b Abs. 3 erforderlich ist, wird die Dauer der Speicherung durch den Erforderlichkeitsgrundsatz begrenzt und die Daten sind sofort zu löschen. Abschließend bleibt noch zu erwähnen, dass die Durchführung des 3G-Nachweises am Arbeitsplatz in das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO aufzunehmen ist. Je nach Umfang der Verarbeitung kann eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO erforderlich sein.

Sandra Grassow

Zertifizierte Datenschutzbeauftragte

Dennoch war er erst vor kurzem in einem Berliner Testzentrum zugegen.

Das ehrenamtlich arbeitende IT-Kollektiv „Zerforschung“ hat Anfang Oktober wieder einmal Corona-Testzentren in Berlin überprüft und dabei erneut grobe datenschutzrechtliche Vergehen durch die genutzten IT-Anwendungen aufgedeckt.

Bei ihrer Untersuchung hat sich schnell eine völlig ungeschützte Schnittstelle gezeigt, durch die eine Datenbank voller personenbezogener Daten sämtlicher Kunden ohne Einschränkungen für Dritte im Internet einsehbar waren. Konkret konnte das IT-Kollektiv Daten mehrerer hunderttausender Getesteten einsehen. Neben den Testergebnissen konnten unter anderem vollständige Namen und Anschriften sowie Telefonnummern und Emailadressen abgerufen werden. Sie konnten außerdem digitale Test-Zertifikate umschreiben bzw. komplett neue ausstellen.
IT-Interessierte mit einem entsprechenden Wissenstand hätten sich auf diesem Weg unzählige negative PCR Testergebnisse erstellen können, ohne dafür auch nur in die Nähe eines Corona-Testzentrums kommen zu müssen.

So kam es auch dazu, dass Robert Koch, geboren am 11.12.1843, mit seinen rüstigen 177 Jahren problemlos ein negatives Corona-Testzertifikat mit dem gängigen „BärCODE*“ Sicherheitsmerkmal erhalten hat, welches eigentlich eine digitale COVID19-Testverifikation darstellt.

Nach der Aufdeckung dieser massiven Sicherheitslücken hat Zerforschung den Betreiber der Software über die aktuelle Situation informiert. Dieser hat die Datenpanne zugegeben und versichert, dass die Lücken inzwischen geschlossen seien. Außerdem sei geplant, die Betroffenen in der kommenden Woche über den Vorfall zu informieren.

Der Präsident des Bundesamtes für Sicherheit in der Informationstechnik (BSI) erklärt, dass in Deutschland hohe Standards bei den IT-Lösungen im Gesundheitswesen gewahrt werden, dies mitunter aber bei den Corona Testzentren nicht der Fall sei. Hier wurde eine Aufgabe, die eigentlich der Staat sowie die gesetzlichen Krankenversicherungen erfüllen müssen, dem freien Markt überlassen, was angesichts der vielen Meldungen diesbezüglich scheinbar nicht funktioniert.

Laut den ehrenamtlichen IT-Forschern gehen viele Teststellen unverantwortlich mit den Daten ihrer Kunden um, so seien die zuvor genannten Sicherheitsprobleme weiterverbreitet als vorstellbar. „Die Fehler im Datenschutz seien so vielfältig, dass wir uns nur auf die besonders problematischen Fälle fokussieren können, so wie in diesem Fall, wo eine Datenbank komplett offensteht.“ An eine zügige Besserung der Situation glauben die IT-Sicherheitsforscher nicht.

Lesen Sie gerne den kompletten Bericht hier: https://zerforschung.org/posts/meinschnelltest/

Von Sandra Grassow, Zertifizierte Datenschutzbeauftragte

Wir haben unsere Kanzlei seit Anfang an auf Home-Office und Remote Work Möglichkeiten ausgerichtet, aktuell erreichen uns daher vermehrt Anfragen von Mandanten, wie wir das machen.

Daher hier ein paar Tipps, wie man als Unternehmen noch schnell Home-Office tauglich werden kann.

1. Internet, Internet, Internet

Sie können alle Ihre Remote Work Pläne in die Tonne werfen, wenn das Internet streikt. Sofern Ihr Unternehmen noch nicht komplett in die Cloud gezogen ist, muss ihr Standort mit dem Internet verbunden sein und bleiben. Sie brauchen Redundanzen!

Wenn ihr DSL oder Kabelanschluss wegbricht, kann über mobile Hotspots oder UMTS-Sticks die Verbindung aufrechterhalten werden. Die Sticks gibt es zusammen mit den notwendigen SIM-Karten in den Online-Shops der Mobilfunk-Provider. Wenn Sie auf Prepaid-Modelle setzen, entstehen Ihnen erstmal keine laufenden Kosten.

2. Die richtige Hardware

Idealerweise haben Ihre Mitarbeiter Laptops, die sich von selbst mit ihrem Firmennetzwerk verbinden und es erlauben von jedem Ort der Welt zu arbeiten. Idealerweise.

Realistisch haben Ihre Mitarbeiter stationäre PCs oder vielleicht Laptops, die sie aber nicht einfach von außerhalb mit ihrem Netzwerk verbinden können.

Eine einfache und schnelle Lösung kann hier folgendes sein:

Die Rechner bleiben in der Firma und zwar angeschaltet. Der Mitarbeiter verbindet sich z.B. mit TeamViewer von seinem privaten Tablet oder PC auf den Firmen-PC. Das Ganze ist datenschutzrechtlich in Ordnung, wie wir hier dargelegt haben. Dort haben wir auch beschrieben, wie Ihre Mitarbeiter Ihre privaten Geräte für Home-Office Zwecke nutzen können.

3. Bereiten Sie jetzt Ihre Mitarbeiter vor und unterstützen Sie sie dabei

Wenn Ihre Mitarbeiter ins Home-Office gehen, helfen diese Ihnen den Betrieb aufrechtzuerhalten. Die wenigsten Mitarbeiter werden ein ausgerüstetes Büro haben. Überlegen Sie, inwieweit Schreibtische, Bürostühle oder Monitore mit nach Hause genommen werden können. Der Rücken Ihrer Mitarbeiter wird es Ihnen danken, so stellen Sie sicher, dass Ihre Mitarbeiter nicht in wenigen Tagen wegen Rückenschmerzen ausfallen.

Das ist dabei nicht nur einfach so gesagt, sondern entspricht auch Ihren Pflichten als Arbeitgeber. Die Vorschriften zum Arbeitsschutz gelten auch im Home-Office, d.h. Sie müssen als Arbeitgeber dafür sorgen, dass Ihr Mitarbeiter dort sicher und ohne Gesundheitsgefährdung arbeiten kann.

Im Übrigen: Zuschüsse für Mitarbeiter zum Internetanschluss sind abgaben- und lohnsteuerfrei.

4. Überlegen Sie, wie Sie mit Mitarbeitern kommunizieren und koordinieren

Die Koordination von Teams, bei denen alle Mitglieder im Home-Office sind, verlangt sowohl den Führungskräften als auch den Teams einiges ab.

Aktuell haben einige Hersteller ihre Tools für kleine Teams kostenlos zur Verfügung gestellt. Der Anbieter Atlassian bietet z.B. seine Cloud-Lösungen wie die Ticketverwaltung JIRA oder die Projektmanagementlösung Trello für kleine Teams bis zu 10 Personen kostenlos an.

Auch Microsoft bietet seine Kommunikations- und Chatlösung Teams aktuell kostenlos an. Gleiches gilt für die Kommunikationslösung von Slack gibt es in einer kostenfreien Version.

Was Sie beim Einsatz dieser Tools beachten müssen, habe wir hier beschrieben. Wie dort beschrieben sollten Sie keine Tools einsetzen, die nicht für Geschäftskunden gedacht sind. Eine Chat-Lösung wie Discord einzusetzen, mag verlockend sein, ist aber datenschutzrechtlich unzulässig.

5. Der Betriebsrat muss zustimmen

Home-Office ist mitbestimmungspflichtig. Da der Betriebsrat nicht seine Sitzungen nicht online vornehmen kann, sollte diese Zustimmung nicht auf die lange Bank geschoben werden.

6. Klare vertragliche Regelungen

Der Einsatz von Home-Office, ist arbeits- und datenschutzrechtlich ein Minenfeld und erfordert von Arbeitgebern und Arbeitnehmern das Einhalten klarer Regelungen. Diese lassen sich am besten vertraglich als Ergänzung zum Arbeitsvertrag festlegen. Darin sollten insbesondere Punkte zur

• Arbeitszeit
• Arbeitsschutz
• Datenschutz
• Schutz der Vertraulichkeit
• Haftung- und Kostentragung
• Kontrollrechte des Arbeitgebers

geregelt werden

Sie können uns aber auch wie gewohnt telefonisch oder per Videokonferenz erreichen, je nachdem was gebraucht oder gewünscht ist.

In Krisen wie diesen zeigt sich die Stärke unseres Kanzleikonzepts, das konsequent auf die Einbingung moderner Techniken, wie Cloud-basierte Lösungen und Remote-Work setzt.

Wir erwarten daher auch durch die aktuelle Coronavirussituation keine nennenswerten Beeinträchtigungen in unserem Kanzleibetrieb.

Soweit es möglich ist, sollten zum eigenen Schutz und zur Verhinderung der Ausbreitung des Coronavirus auf nicht zwingend notwendige Kontakte verzichtet werden.

Im Rahmen von #WirBleibenZuhause bieten wir daher auch allen Rechtsuchenden an, sich mit ihrem Anliegen über Videokonferenz ans uns zu wenden. Wie das geht, haben erklären wir Ihnen hier.

Vordruck_Arbeitgeberbestätigung.docx

Das Muster wird kostenlos für jedermann zur Verwendung zur Verfügung gestellt, ersetzt aber eine Beratung im Einzelfall nicht. Außerhalb bestehenden Mandatsverhältnissen und einer damit einhergehenden Beratung können Münch & Krone Rechtsanwälte daher keine Gewähr für die Richtigkeit übernehmen.