Ist die Temperaturmessung von Mitarbeitern zur Corona-Bekämpfung mit dem Datenschutz vereinbar?

Zwar arbeitet während der Corona-Pandemie laut Bitkom etwa jeder vierte Berufstätige im Home-Office. Doch ein Großteil der Beschäftigten trifft immer noch täglich in Büros, Werkhallen und an anderen Arbeitsstätten zusammen. Um Mitarbeiter vor einer Ansteckung mit dem Corona-Virus zu schützen, setzen Unternehmen unter anderem auf Überwachungsmaßnahmen wie das Messen der Körpertemperatur der Mitarbeiter. Aber ist das überhaupt datenschutzrechtlich zulässig?

Rechtliche Rahmenbedingungen der Temperaturmessung bei Mitarbeitern

Zunächst ist festzuhalten, dass es sich bei der Messung der Körpertemperatur um eine Verarbeitung von Gesundheitsdaten handelt, die eine besondere Kategorie personenbezogener Daten im Sinne des Art. 9 DSGVO (Datenschutz-Grundverordnung) darstellen und einen höheren Schutz genießen. Daher ist zum einen ein Ausnahmetatbestand des Art. 9 Abs. 2 DSGVO und zum anderen eine Rechtsgrundlage für die Verarbeitung gem. Art. 6 Abs. 1 DSGVO erforderlich.

Da es sich bei der hier zu behandelnden Fragestellung um eine Maßnahme im beruflichen Kontext handelt, ist die Zulässigkeit aufgrund der Konkretisierungsklausel des Art. 88 DSGVO anhand § 26 Bundesdatenschutzgesetz (BDSG) zu beurteilen. Danach dürfen personenbezogene Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, „wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung […] erforderlich ist.“

Knackpunkt der datenschutzrechtlichen Zulässigkeit der Maßnahme ist somit die Erforderlichkeit. Erforderlich kann eine Maßnahme nur sein, wenn Sie auch geeignet ist. Insbesondere dieser Punkt steht bei der Temperaturmessung zwecks Verhinderung der Ausbreitung des Corona-Virus jedoch zur Debatte.

Beschluss der Datenschutzkonferenz

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) merkt in ihrem Beschluss zur Thematik an, dass die Eignung und Erforderlichkeit nicht gegeben ist, da es auch COVID-19-Infizierte gibt, die keine erhöhte Körpertemperatur aufweisen. Nach Angaben des Robert-Koch-Instituts wiesen lediglich 31 % der an COVID-19 erkrankten Personen Fieber auf.

Jedoch beendet die DSK Ihre Prüfung an dieser Stelle noch nicht, sondern führt diese unter hypothetischer Bejahung der Erforderlichkeit weiter. Wie bereits erwähnt, ist neben einer Rechtsgrundlage auch ein Ausnahmetatbestand des Art. 9 Abs. 2 DSGVO erforderlich. Die DSK sieht als einzige Ausnahme vom Verarbeitungsverbot Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b bzw. § 26 Abs. 3 BDSG anwendbar. Da die besonderen Bedingungen des Art. 9 Abs. 3 DSGVO sowie des § 22 Abs. 1 Nr. 1 lit. b BDSG erfüllt sein müssen, stellt die DSK fest, dass die Temperaturmessung nur durch einen betriebsärztlichen Dienst vorgenommen werden darf.

Stellungnahme des Europäischen Datenschutzbeauftragten

Der Europäische Datenschutzbeauftragte (EDPS) hat ebenfalls ein Papier veröffentlicht, in dem auf die Temperaturmessung als Maßnahme zur Bekämpfung von COVID-19 und deren Zulässigkeit eingegangen wird. Der EDSB unterscheidet hierbei zwei Szenarien:

  1. Grundlegende Kontrollen der Körpertemperatur, die manuell durchgeführt werden und bei denen keine Registrierung, Dokumentation oder sonstige Verarbeitung der personenbezogenen Daten stattfindet.
  2. Andere Kontrollen der Körpertemperatur, die manuell durchgeführt werden und bei denen eine Registrierung, Dokumentation oder sonstige Verarbeitung der personenbezogenen Daten stattfindet.

Der EDPS ist der Ansicht, dass die Maßnahme nach Nummer 1 grundsätzlich nicht in den sachlichen Anwendungsbereich der DSGVO fällt. Es würde mangels Registrierung oder Dokumentation bereits an einer ganz oder teilweise automatisierten Verarbeitung personenbezogener Daten im Sinne des Art. 4 Nr. 2 DSGVO fehlen. Auch die DSK weist in Ihrem Beschluss auf diese Thematik hin.

Im Hinblick auf den Anwendungsbereich der DSGVO ist dies konsequent, jedoch gilt in Deutschland trotz dieser stimmigen Argumentation neben der DSGVO auch das BDSG. Zu beachten ist, dass nach § 26 Abs. 7 BDSG die Grundsätze des Datenschutzrechts im Beschäftigungskontext auch für manuelle, nicht-automatisierte Verarbeitung anzuwenden sind. Aus diesem Grund kann die Auffassung des EDPS, die lediglich die Grundsätze der DSGVO berücksichtigt, nicht automatisch auch auf Arbeitsverhältnisse im Anwendungsbereich des BDSG herangezogen werden.

Ansichten der Aufsichtsbehörden

Uns hat eine Stellungnahme des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA) zum Thema Temperaturmessung im Corona-Kontext erreicht. Insbesondere weist das BayLDA auf den oben diskutierten Beschluss der DSK hin, nach dem Temperaturmessungen an Mitarbeitern unter strengen Voraussetzungen zulässig sein können. Hervorzuheben ist die Aussage, dass das BayLDA „derartigen Maßnahmen natürlich kritisch gegenüber“ steht.

Auch Aufsichtsbehörden anderer Bundesländer haben Stellungnahmen zu diesem Thema abgegeben. So hat z. B. der hessische Datenschutzbeauftragte im Juni 2020 das Vorgehen des Konzerns Apple geprüft, der vor seinen Apple-Stores die Temperatur der Besucher prüft. Auch der Landesbeauftragte für Datenschutz und die Informationsfreiheit Rheinland-Pfalz folgt der Ansicht der DSK und kommt zu dem Schluss, dass die Temperaturmessung nicht geeignet und damit nicht erforderlich ist.

Der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen hingegen vertritt die Auffassung, dass das Messen der Körpertemperatur unter engen Voraussetzungen zulässig sein kann. Zwar gelte eine erhöhte Körpertemperatur nicht als festes Indiz für eine Corona-Infektion, allerdings könne die Temperaturmessung dazu dienen, Corona-Verdachtsfälle zu identifizieren. Dafür seien zudem die Umstände des Einzelfalls zu betrachten, insbesondere, ob es bereits Fälle nachweislich Infizierter im Unternehmen gab, das Unternehmen in einem Risikogebiet liegt oder Beschäftigte Kontakt zu Infizierten hatten. Hierbei weist der LfDI NRW darauf hin, dass möglichst eine einvernehmliche Lösung anzustreben ist. Er erwähnt dabei auch die Möglichkeit, die Temperaturmessung auf die Rechtsgrundlage der Einwilligung zu stützen. Dem ist jedoch entgegenzuhalten, dass es im Beschäftigungskontext aufgrund des Über-/Unterordnungsverhältnisses bzw. der wirtschaftlichen Abhängigkeit regelmäßig an der Freiwilligkeit einer Einwilligung fehlen wird. So sieht das auch der LfDI Rheinland-Pfalz in der oben angeführten Stellungnahme.

Fazit: Temperaturmessung ist datenschutzrechtlich kritisch

Die teilweise Uneinigkeit unter den Aufsichtsbehörden zeigt, dass die datenschutzrechtliche Zulässigkeit der Durchführung von Temperaturmessung zum Schutz der Beschäftigten vor einer Corona-Infektion nicht einfach zu beurteilen ist.

Die meisten Stimmen unter den Datenschützern tendieren jedoch eher dazu, eine Messung der Körpertemperatur zur Eindämmung des Corona-Virus als nicht mit der DSGVO zu vereinbarende Verarbeitung besonderer Kategorien personenbezogener Daten anzusehen. Daher sollten Sie vor der Einführung dieser Maßnahme intensiv prüfen, ob nicht andere mildere Maßnahmen denselben Erfolg erzielen. Solche milderen Maßnahmen können beispielweise die Einhaltung der Hygiene- und Abstandsbestimmungen und die anlassbezogene Befragung der Beschäftigten sein.

Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!

Kommentar schreiben

Ihre E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

Netiquette: Wir tolerieren keine grob unsachlichen Beiträge oder Werbung in eigener Sache und werden entsprechende Einträge nicht veröffentlichen sondern löschen. Informationen zu der Verarbeitung Ihrer personenbezogenen Daten finden Sie in unserer Datenschutzerklärung.