Die Infektionszahlen steigen, und in Berlin wird gerade über eine Änderung des Infektionsschutzgesetzes beraten, die eine 3G-Regel am Arbeitsplatz vorsieht: Wer in den Betrieb kommt, soll geimpft, genesen oder getestet sein. Für viele Arbeitgeber stellt sich damit eine ganz praktische Frage: Wie kontrolliere ich das, ohne beim Datenschutz in die Falle zu tappen? Denn 3G am Arbeitsplatz bedeutet Umgang mit Gesundheitsdaten, und die gehören zu den sensibelsten Daten, die ein Unternehmen überhaupt verarbeiten kann.
Vorweg ein ehrlicher Hinweis: Stand heute (12. November 2021) ist die Regelung noch nicht beschlossen. Einzelheiten können sich im Gesetzgebungsverfahren noch ändern. Die Grundsätze, die wir hier beschreiben, gelten aber unabhängig davon, wie der Gesetzestext am Ende genau aussieht.
Wo wir gerade stehen
Bisher durften Arbeitgeber den Impf- oder Genesenenstatus ihrer Beschäftigten nur in bestimmten Bereichen abfragen, etwa in Krankenhäusern, Pflegeeinrichtungen, Kitas und Schulen. In allen anderen Betrieben war die Frage „Sind Sie geimpft?“ datenschutzrechtlich heikel und ohne gesetzliche Grundlage in der Regel unzulässig. Gleichzeitig gilt die Corona-Arbeitsschutzverordnung, nach der Arbeitgeber Beschäftigten, die nicht ausschließlich im Homeoffice arbeiten, regelmäßig Tests anbieten müssen.
Kommt die 3G-Pflicht am Arbeitsplatz, entsteht eine neue gesetzliche Grundlage für die Kontrolle. Das ist wichtig, denn Gesundheitsdaten nach Art. 9 DSGVO dürfen nur verarbeitet werden, wenn eine ausdrückliche Rechtsgrundlage das erlaubt.
3G am Arbeitsplatz: Datenschutz von Anfang an mitdenken
Auch wenn die Kontrolle gesetzlich vorgeschrieben wird, gelten die Grundsätze der DSGVO weiter. Die wichtigsten für die Praxis:
- Datenminimierung: Erheben Sie nur, was Sie für die Kontrolle wirklich brauchen. Meist reicht die Information „Nachweis liegt vor, gültig bis …“.
- Zweckbindung: Die Daten dienen ausschließlich der 3G-Kontrolle. Für Personalentscheidungen, Urlaubsplanung oder Beförderungen sind sie tabu.
- Vertraulichkeit: Nur wenige, klar benannte Personen sollten Nachweise einsehen. Die Liste gehört nicht in den allgemeinen Teams-Ordner.
- Speicherbegrenzung: Sobald die Daten nicht mehr gebraucht werden, müssen sie gelöscht werden. Spätestens, wenn die Regel ausläuft.
- Transparenz: Beschäftigte müssen wissen, welche Daten Sie wofür und wie lange speichern.
So organisieren Sie die Kontrolle in der Praxis
1. Verantwortliche festlegen
Bestimmen Sie, wer kontrolliert, und legen Sie Vertretungen fest. In kleinen Betrieben ist das oft die Geschäftsführung oder die Personalabteilung, in größeren auch Teamleitungen. Wichtig ist, dass diese Personen kurz eingewiesen werden: Was prüfe ich? Was notiere ich? Was notiere ich ausdrücklich nicht?
2. Sichtkontrolle statt Kopie
Der datensparsamste Weg ist die Sichtkontrolle am Eingang oder zu Arbeitsbeginn. Kopien von Impfpässen, Screenshots von QR-Codes oder eingescannte Testbescheinigungen braucht in aller Regel niemand. Wenn Sie dokumentieren müssen, dass kontrolliert wurde, genügt ein Vermerk mit Datum, Name und Ergebnis.
3. Geimpfte und Genesene einmalig erfassen
Bei Geimpften ist es vertretbar, nach einmaliger Prüfung zu vermerken, dass ein gültiger Nachweis vorliegt. Bei Genesenen sollten Sie das Ablaufdatum notieren. So müssen nicht jeden Morgen alle ihr Handy zücken. Ob das zulässig ist, hängt allerdings vom endgültigen Gesetzestext ab. Beschäftigte sollten selbst entscheiden können, ob sie diesen Weg wählen oder lieber täglich vorzeigen.
4. Getestete täglich prüfen
Bei Getesteten ist die Kontrolle naturgemäß täglich nötig. Hier reicht ebenfalls ein Haken in der Liste. Überlegen Sie, ob Sie Testmöglichkeiten im Betrieb anbieten, damit der Weg zum Testzentrum nicht zur Dauerausrede für Verspätungen wird.
5. Liste sicher aufbewahren
Papierlisten gehören in einen abschließbaren Schrank, digitale Listen in einen Ordner mit eingeschränkten Zugriffsrechten. Excel-Dateien auf dem Desktop eines Abteilungsleiters sind ein Klassiker, den wir leider öfter sehen.
Checkliste für Arbeitgeber
| Aufgabe | Erledigt? |
|---|---|
| Kontrollverantwortliche und Vertretungen benannt | ☐ |
| Kurze schriftliche Anweisung für Kontrolleure erstellt | ☐ |
| Dokumentationsvorlage ohne überflüssige Felder angelegt | ☐ |
| Zugriffsrechte auf die Dokumentation beschränkt | ☐ |
| Datenschutzinformation für Beschäftigte vorbereitet | ☐ |
| Löschfrist festgelegt und im Kalender eingetragen | ☐ |
| Betriebsrat (falls vorhanden) frühzeitig eingebunden | ☐ |
| Verzeichnis der Verarbeitungstätigkeiten ergänzt | ☐ |
Was Sie besser lassen
- Den Impfstatus im Intranet, am Schwarzen Brett oder per Rundmail sichtbar machen
- Gründe erfragen, warum jemand nicht geimpft ist
- Nachweise in der allgemeinen Personalakte ablegen
- Daten an Kunden oder Auftraggeber weitergeben, ohne dass es dafür eine Grundlage gibt
- Die Liste „vorsichtshalber“ über das Ende der Regel hinaus aufheben
Und der Betriebsrat?
Wenn es in Ihrem Betrieb einen Betriebsrat gibt, sollten Sie ihn früh einbinden. Die gesetzliche Pflicht selbst steht nicht zur Verhandlung, aber bei der Ausgestaltung, etwa der Frage, wie und wo kontrolliert wird oder ob ein digitales Tool eingesetzt wird, kann es Mitbestimmungsrechte geben. Eine kurze gemeinsame Regelung schafft außerdem Akzeptanz bei der Belegschaft.
Und was ist mit Homeoffice, Kunden und Dienstleistern?
Wer ausschließlich im Homeoffice arbeitet, betritt die Arbeitsstätte nicht und muss daher auch nicht kontrolliert werden. Für Monteure, Reinigungskräfte oder Leiharbeitnehmer, die regelmäßig in Ihren Räumen arbeiten, sollten Sie früh klären, wer die Kontrolle übernimmt: Sie selbst oder der jeweilige Arbeitgeber. Doppelte Listen bei zwei Firmen helfen niemandem.
Unser Fazit
3G am Arbeitsplatz wird für viele Betriebe zusätzlichen Aufwand bedeuten, ein Datenschutzproblem muss daraus aber nicht werden. Wer sich jetzt einen einfachen, sparsamen Ablauf überlegt, ist vorbereitet, sobald die Regel kommt. Und wer unsicher ist, sollte den endgültigen Gesetzestext abwarten, bevor er Listen mit Gesundheitsdaten anlegt, die er womöglich gar nicht führen darf.
Wir helfen Ihnen gerne: Der Bereich Datenschutz der Mittelstandsoptimierer erstellt Ihnen kurzfristig eine Kontrollanweisung, eine Datenschutzinformation für Beschäftigte und den passenden Eintrag im Verarbeitungsverzeichnis. Informationen unter www.mittelstandsoptimierer.de oder direkt unter 06131 144928-0.
Herzliche Grüße aus Mainz
