Datenschutz während der Corona-Krise

 

Allgemeines:

Die datenschutzrechtlichen Regeln gelten grundsätzlich auch während einer Krise wie der gegenwärtigen Corona-Pandemie. Nichts desto trotz sieht das Datenschutzrecht, sowohl in der europäischen Datenschutz-Grundverordnung (DSGVO) als auch im liechtensteinischen Datenschutzgesetz (DSG), Möglichkeiten vor, in solchen Situationen vorübergehende Einschränkungen des Datenschutzes und der daraus fliessenden Rechte vorzunehmen bzw. die Verarbeitung personenbezogener Daten wie zur Zeit etwa Standortdaten oder Gesundheitsdaten temporär auszuweiten. Das Datenschutzrecht stellt hierfür kein Hindernis dar, sondern verlangt nur die allgemein bei Grundrechtseinschränkungen notwendige Beschränkung solcher Massnahmen auf das absolut erforderliche und verhältnismässige Mass.

 

Behörden:

Zur Eindämmung und Bekämpfung der Corona-Pandemie haben die Behörden die ausserordentliche Lage gemäss Art. 7 Epidemie-Gesetz (SR 818.101) ausgerufen und diverse Massnahmen ergriffen.¹ Diese umfassen nebst Einschränkungen etwa des Wirtschaftslebens oder der Bewegungsfreiheit auch die Verarbeitung von personenbezogenen Daten zum Beispiel zur Identifikation von mit dem Virus Infizierten oder möglichen Kontaktpersonen von solchen. Daran beteiligt sind mitunter auch private Akteure wie Gesundheitseinrichtungen oder Telekomdienstleister.

Datenschutzrechtlich gesehen stützen sich solche Verarbeitungen von personenbezogenen Daten und den besonders sensiblen Gesundheitsdaten zunächst auf die rechtliche Grundlage aus dem Epidemie-Gesetz (Art. 6 Abs. 1 Bst. c und e DSGVO). Sie sind ausserdem gerechtfertigt, da es sich bei den Massnahmen zur Eindämmung und Bekämpfung der Pandemie um ein erhebliches öffentliches Interesse handelt bzw. soweit die Verarbeitung „aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren […], erforderlich“ ist (Art. 9 Abs. 2 Bst. g und i DSGVO sowie auch Art. 21 bis 24 DSG). Darüber hinaus dürfen in diesem Zusammenhang auch die datenschutzrechtlichen Rechte und Pflichten beschränkt werden, sofern damit wichtige Ziele des allgemeinen öffentlichen Interesses im Bereich der öffentlichen Gesundheit verfolgt werden (Art. 23 Abs. 2 Bst. e DSGVO).

All die ergriffenen Massnahmen, welche die erweiterte Verarbeitung personenbezogener Daten beinhalten, stellen jedoch stets Eingriffe in das Grundrecht auf Privatsphäre dar. Sie müssen daher nebst ihrer rechtlichen Begründung immer auch zweckgebunden und verhältnismässig bzw. auf das mildeste Mittel beschränkt sein. Darüber hinaus ist sicherzustellen, dass sie auf die zeitlich notwendige Dauer begrenzt sind und die Daten danach gelöscht und nicht noch zu anderen Zwecken weiterverwendet werden. Schliesslich ist auch eine transparente Information über die Datenverarbeitung unerlässlich.

Der Europäische Datenschutzausschuss wird sich in Kürze dazu äussern, wie weit eine Verarbeitung der zur Eindämmung und Bekämpfung der Corona-Pandemie erhobenen Daten auch zu wissenschaftlichen Forschungszwecken zulässig ist.

1Das Schweizer Epidemiegesetz ist aufgrund des Zollvertrages mit der Schweiz in Liechtenstein in weiten Teilen direkt anwendbar.

 

Arbeitgeber:

Der Arbeitgeber hat gegenüber seinen Mitarbeitenden eine Fürsorgepflicht. So muss er sie insbesondere auch vor Gesundheitsgefährdungen schützen und dazu zweckdienliche, erforderliche Massnahmen treffen (siehe etwa § 1173a Art. 27 ABGB, Art. 6 Arbeitsgesetz). Aus diesem Grund kann er etwa die Präsenzpflichten einschränken und eine Arbeit im Home-Office anordnen, sofern er dafür die Voraussetzungen schafft (siehe dazu auch die Hinweise der Datenschutzstelle. Oder er kann vorübergehend zusätzliche private Kontaktdaten zur kurzfristigen, notfallmässigen Erreichbarkeit der Mitarbeitenden erheben und speichern. Auch darf er die Mitarbeitenden (und Besucher) in gewissem Rahmen nach Aufenthalten in Risikogebieten, Kontakten zu Corona-Patienten oder ihrem gegenwärtigen Gesundheitszustand fragen, um andere Mitarbeitende vor einer allfälligen Ansteckung zu schützen. Die Auskunft der Mitarbeitenden auf solche Erhebungen und Fragen bleibt aber freiwillig. Nichts desto trotz trifft auch sie eine gewisse Mitwirkungspflicht bei den Gesundheits-Schutzmassnahmen des Arbeitgebers (§ 1173a Art. 7 ABGB, Art. 7 Arbeitsgesetz).

Datenschutzrechtlich gründet sich die Verarbeitung von personenbezogenen Daten zur Eindämmung und Bekämpfung der Corona-Pandemie durch den Arbeitgeber auf die genannte Fürsorgepflicht im ABGB und Arbeitsgesetz (insb. auch § 1173a Art. 28a Abs. 1 ABGB). Die Verarbeitung von Gesundheitsdaten ist darüber hinaus aufgrund von Art. 9 Abs. 2 Bst. b DSGVO iVm den jeweiligen arbeitsrechtlichen und sozialrechtlichen Pflichten des Arbeitgebers, § 1173a Art. 28a Abs. 2 ABGB sowie Art. 21 Abs. 1 Bst. a DSG und allenfalls Art. 23 DSG gerechtfertigt. Eine Übermittlung von personenbezogenen (Gesundheits-)Daten an die Behörden wird durch Art. 9 Abs. 2 Bst. i DSGVO iVm Art. 22 DSG legitimiert.

Auch im Fall der von einem Arbeitgeber im Rahmen seiner Fürsorgepflicht ergriffenen Massnahmen zur Eindämmung und Bekämpfung der Corona-Pandemie gelten jedoch die weiter oben genannten Bedingungen: Sie müssen rechtlich begründet, zweckgebunden und verhältnismässig bzw. auf das mildeste Mittel beschränkt sein. Darüber hinaus müssen vom Arbeitgeber als Verantwortlichem die Informationspflichten über zusätzliche Datenverarbeitungen gewahrt  werden. Ausserdem muss er allenfalls zusätzliche technische und organisatorische Massnahmen für die Datensicherheit ergreifen, wenn Mitarbeitende vom Home-Office aus arbeiten, sowie die Meldepflicht einhalten, sollte es dennoch zu Datenschutzverletzungen mit einem Risiko für die Betroffenen kommen. Und schliesslich gilt es die Speicherfrist zu begrenzen, damit die zusätzlich verarbeiteten personenbezogenen Daten gelöscht werden, sobald sie nicht mehr zur Zweckerreichung erforderlich sind.

 

Für weitere Informationen zur Corona-Krise und zu Massnahmen zu ihrer Bekämpfung besuchen Sie bitte auch die Informationsseiten der Regierung und des Amtes für Gesundheit.