Art. 9 Abs. 1 DSGVO definiert u.a. Gesundheitsdaten als „besonders sensible Daten“. Dazu gehört fraglos die Information, ob eine Person mit SARS-Cov2 infiziert ist oder an COVID-19 erkrankt ist.

Solche besonders sensiblen Daten dürfen nur sehr eingeschränkt verarbeitet werden.

Eine Ausnahme findet sich insoweit in Art. 9 Abs. 2 lit. b DSGVO im Rahmen der Fürsorgepflicht des Arbeitgebers für seine Arbeitnehmer. Diese umfasst auch den Schutz der Gesundheit, sodass der Arbeitgeber in der aktuellen Situation Maßnahmen zum Gesundheitsschutz nicht nur einleiten kann, sondern muss. Soweit dafür die Erhebung und Verarbeitung von Gesundheitsdaten erforderlich ist, ist das zulässig. Erforderlich in diesem Sinne ist es, Daten derjenigen Personen zu erheben, die infiziert sind oder hinsichtlich derer ein begründeter Verdacht einer Infektion besteht. Eine Weitergabe dieser Daten an Dritte ist grundsätzlich nicht zulässig – außer an die zuständige Gesundheitsbehörde. Darüber hinaus dürfen Personen, die mit einem infizierten Kontakt hatten, über diesen Umstand informiert werden. Dabei ist aber in der Regel nicht erforderlich – und damit auch nicht zulässig – die Identität des Infizierten zu offenbaren. Gleiches gilt für eine allgemeine Mitarbeiterinformation, dass in einem Unternehmen ein Verdachtsfall oder eine Infektion aufgetreten ist.

Eine weitere Ausnahmeregelung gemäß Art. 9 Abs. 2 lit. h) DSGVO (Verarbeitung zum Zweck der Gesundheitsvorsorge. Schließlich erlaubt Art. 9 Abs. 2 lit. i) DSGVO eine Verarbeitung sensibler Daten aus Gründen des öffentlichen Interesses im Bereich der Gesundheit.

Weitere Details finden sich ... 

• ... in einem Statement des Bundesdatenschutzbeauftragten
• ... in einem FAQ-Papier des Datenschutzbeauftragten Baden-Württemberg
• ... und in einer Veröffentlichung des Datenschutzbeauftragten Rheinland-Pfalz

In jedem Fall bedarf es aber einer einzelfallbezogenen Bewertung und es müssen die grundlegenden datenschutzrechtlichen Prinzipien nach Art. 5 DSGVO beachtet werden, insbesondere die Gebote der Transparenz und der Datensparsamkeit.