Blog

Beschluss der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder

Einsatz von Wärmebildkameras bzw. elektronischer Temperaturerfassung im Rahmen der Corona-Pandemie

vom 10.09.2020

Zusammenfassung

I. AUSGANGSLAGE FÜR DIE DATENSCHUTZVORSCHRIFTEN

Die Ausganglage der SARS-CoV-2-Infektion hat dazu geführt, dass elektronische Geräte, welche die Körpertemperatur messen können, nun eine wichtige Rolle in unserem Alltag spielen. Personen, die infiziert wurden, haben eine erhöhte Körpertemperatur, welche durch Thermalkameras/ Infrarot- Wärmebildkameras und Fieberthermometer gemessen werden. Es wird dabei darauf geachtet, dass diese Vorgehensweisen kontaktlos bleibt.
In Flughäfen, Geschäften, Behörden, Arbeitsstätten und noch weitere öffentliche Institutionen wird die Wärmebildkamera eingesetzt, da sie im Gegensatz zum Fieberthermometer mehrere Personen gleichzeitig auf eine erhöhte Körpertemperatur prüfen kann. Fieberthermometer werden dementsprechend bei Einzelpersonen und in Vereinzelungsschleusen angewendet, doch das Kontrollieren durch diese Methode könnte in Frage gestellt werden, wenn es in bestimmten Einsatzszenarios nicht protokolliert wird. Das wurde durch die Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO) festgelegt.
In Einzelhandelsunternehmen und Behörden werden schon vergleichbare Wärmemessungen verwendet, um den Zutritt in ihr Geschäft zu kontrollieren.

ANWENDUNGSBEREICH DES BESCHLUSSES
Der Beschluss behandelt das Thema des Einsatzes von Wärmebildkameras und elektrischen Temperaturerfassungen im Bezug auf den Zugang von öffentlichen Institutionen, wie Flughäfen (etc.), im Rahmen der Corona-Pandemie. Besondere Datenschutzvorschriften werden in Bereichen der Gesundheitsversorgung einschließlich der Pflege auftreten.

II. ZUSAMMENFASSUNG

Die Rechtsgrundlage für das elektronische Messen der Körpertemperatur, um den Zutritt von öffentlichen Institutionen (Flughäfen etc.) zu kontrollieren, kann aus Art. 6 Abs. 1 UAbs. 1 Buchst. e, Art. 9 Abs. 2 DSGVO i. V. m. § 3 BDSG und vergleichbaren Datenschutzvorschriften in den Landesdatenschutzgesetzen (Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe) bzw. Art. 6 Abs. 1 UAbs. 1 Buchst. f, Art. 9 Abs. 2 DSGVO (Verfolgung eines berechtigten Interesses) entnommen werden. Grundsätzlich ist auch die Messung als betriebliche Maßnahme des Arbeitsschutzes und unter anderem zur Beurteilung der Arbeitsfähigkeit denkbar, welches auf Art. 88 DSGVO i. V. m. § 26 Abs. 3 BDSG (bzw. das Personaldatenschutzrecht des jeweiligen Landes) bzw. § 22 Abs. 1 Nr. 1 Buchst. b BDSG i.V.m. Art. 9 Abs. 2 DSGVO gestützt ist.
Grundsätzlich fehlt es aber an der Qualifikation und Erforderlichkeit dieser Messungen, da eine erhöhte Körpertemperatur nicht unbedingt als Symptom der SARS-CoV-2-Infektion auftreten muss. Zudem weisen viele infizierte Personen keine Symptome auf, was eine erhöhte Körpertemperatur mit einbezieht. Mildere Maßnahmen, wie das Einhalten der Hygiene- und Abstandbestimmungen und die anlassbezogene Befragung des Arbeitgebers und dessen Beschäftigten wären denkbar.

III. DATENSCHUTZRECHTLICHE BEWERTUNG

Das Messen der Körpertemperatur fällt in den Anwendungsbereich der Datenschutz- Grundverordnung (EU) 2016/ 679 (DSGVO), da eine Verarbeitung von personenbezogenen Daten vorliegt. Durch die Messung der Körpertemperatur ist keine eindeutige Identifizierung der Person möglich, da keine Daten wie z.B. der Name angegeben sind, doch kann die betroffene Person durch das Personal, Videokameras und Arbeitszeiterfassungsgeräte identifiziert werden.
Eine Messung der Temperatur, welche automatisiert und ohne Protokollierung oder ohne anderweitige Zuordnung, stattfindet, hat somit seinen präventiven Zweck verfehlt.

Grundsätzlich sind Daten, die durch eine automatisierte Messung erfasst wurden, personenbezogene Daten. Benutzt man eine Infrarotkamera, welche mit einer herkömmlichen Videoüberwachungskamera verknüpft ist, kann man von einem generellen Personenbezug ausgehen. Diese Daten müssen durch eine automatisierte oder nicht automatisierte Verarbeitung in einem Dateisystem gespeichert werden.

Die nachfolgenden Ausführungen setzen die Anwendbarkeit der Datenschutz-Grundverordnung mit Ihren Datenschutzvorschriften voraus. 

Die Temperaturmessung von SARS-CoV-2- Infizierten verarbeitet Gesundheitsdaten. Die Aufhebung von Gesundheitsdaten ist nach DSGVO verboten. Sie werden nur dann aufgehoben, wenn es ein Ausnahmetatbestand erfüllt.

Im Folgenden werden Rechtsgrundlagen je nach Anwendungsfall näher betrachtet, angefangen mit den Verarbeitungsbefugnissen.
Das grundsätzliche Verarbeitungsverbot und den Ausnahmetatbeständen sind nur dann rechtmäßig, wenn mindestens eine Rechtsgrundlage bewiesen werden kann. Da diese bei einer elektronischen Temperaturmessung gewöhnlich nicht gegeben ist, kann man folgende Erwägungen beachten:

• Eine Einwilligung darf nur erteilt werden, wenn die Voraussetzungen nach  DSGVO erfüllt ist. Wichtig ist, dass die Wärmemessung eingesetzt worden ist, um eine auftretende Erkrankung zu erfassen, aus diesem Grund muss die betroffene Person eindeutig ihre Einwilligung aussprechen.

  Das Ziel durch Wärmebildmessungen die Zutrittsregulierung zu kontrollieren, scheitert oft an der Einwilligung der Verarbeitungsgrundlage, da die Freiwilligkeit der Zustimmungserklärung fehlt. Außerdem wird diese Einwilligung nicht angenommen, wenn eine transparente Information des Betroffenen vor der Durchführung des Messevorgangs zweifelhaft wirkt.

• 6 Abs. 1 UAbs. 1 Buchstabe b DSGVO scheidet auch als Rechtsgrundlage aus.

  Als Verarbeitungsgrundlage kommt der Vertrag am ehesten bei Beschäftigungsverhältnissen im nicht öffentlichen Sektor und bei Tarifbeschäftigten des öffentlichen Sektors in Betracht.

  In Art. 9 Abs. 2 Buchstabe b DSGVO ist festgelegt, dass durch die genannten Voraussetzungen eine Ausnahme des Verarbeitungsverbot vorsieht, wenn die betroffene Person eine Pflicht aus dem Arbeitsrecht zu erledigen hat. Wenn eine elektrische Temperaturmessung vorliegt, kann der Arbeitsgeber es durch die Pflichterfüllung des Arbeitsschutzrechtes begründen. Diese vertraglich Befugnis der Temperaturmessung reicht nicht weiter als eine rechtliche Verpflichtung des Verantwortlichen.

• Unternehmen nennen eine Temperaturmessung erforderlich, weil es eine rechtliche Verpflichtung sei. Es ist aber keine rechtliche Verarbeitungsgrundlage, aber eine Rechtsgrundlage im bereichspezifischen EU-Recht oder im Recht der Mitgliedsstaaten.

  Eine rechtliche Verpflichtung der Temperaturmessung von Unternehmen ist im deutschen Recht nicht vorgesehen. Der Arbeitgeber ist aber grundsätzlich dazu verpflichtet erforderliche Maßnahmen des Arbeitsschutzes „unter Berücksichtigung der Umstände zu treffen, die Sicherheit und Gesundheit der Beschäftigten bei der Arbeit beeinflussen.“. Außerdem muss er den Schutz von Leben und Gesundheit der Beschäftigten durch Maßnahmen ermöglichen. Trotzdem lässt sich keine konkrete rechtliche Aussage aus den allgemeinen Datenschutzvorschriften des betrieblichen Gesundheitsschutzes ziehen, welche begründet, ob man den Zugang zum Betriebsgelände mit einer elektronischen Temperaturmessung versehen darf. Abgesehen davon, dass die Temperaturmessung als betriebliche Maßnahme vorgesehen ist, wird keine rechtliche Verpflichtung des Arbeitsgebers, personenbezogene Daten zu verarbeiten, festgelegt. Die Arbeitsschutzstandards SARS-CoV-2 ist nur eine Leitlinie.

Es existiert keine rechtliche Verpflichtung für Verantwortliche eine elektronische Fiebermessung durchzuführen.

• Die Verarbeitung von personenbezogenen Daten ist gestatten, um lebenswichtige Interessen der betroffenen Person oder andere Personen zu schützen. Bei der oben genannten Verarbeitung von personenbezogenen Gesundheitsdaten, muss die betroffene Person körperlich, als auch aus rechtlichen Gründen nicht in der Lage sein, die Einwilligung in die Verarbeitung zu geben, sodass diese Rechtsgrundlage nicht herangezogen werden kann.
• In einzelnen Fällen kann in Betracht gezogen werden, dass eine Messung eine im öffentlichen Interesse liegende Aufgabe sein kann. …
• …

Ausführliche Fortführung und lesen Sie bitte weiter hier: PDF anzeigen

Quellenangabe 
datenschutz-online.de / DSK Datenschutzkonferenz
10.09.2020