9 Abs. 2 lit. b an Art. 8 Abs. 1 lit. b DSRL an.
134
Zu beachten ist hierbei, dass Art. 9 Abs. 2 lit. b zwei Voraussetzungen enthält: Die Verarbeitung der sensiblen Daten muss zum einen nach Unionsrecht oder dem Recht eines Mitgliedstaates zulässig sein. Der Arbeitnehmerdatenschutz bleibt damit im Wesentlichen eine Materie, die den Mitgliedstaaten übertragen wird und ihnen einen weiten Gestaltungsspielraum eröffnet.[246] Zum anderen muss die Verarbeitung im o.g. Sinne erforderlich sein.[247] Hierbei ist insbesondere auf die beispielhafte Aufzählung des ErwG 52 S. 1 zu verweisen. Dieser nennt etwa die Sicherstellung und Überwachung der Gesundheit und Gesundheitswarnungen sowie die Prävention und Kontrolle von Krankheiten oder anderer Gesundheitsgefahren.
135
Unter das Arbeitsrecht fallen sowohl das Individual- als auch das Kollektivarbeitsrecht, so dass etwa Tarifverträge, Kollektivvereinbarungen und Betriebsvereinbarungen erfasst sind.[248]
136
Hinsichtlich Verarbeitungen, die den Arbeitnehmer in seiner Beziehung zum Arbeitgeber betreffen ist Art. 88 zu beachten.
137
Das Recht der sozialen Sicherheit und des Sozialschutzes erfasst insbesondere die Erbringung von Sozialleistungen (z.B. im Falle einer Pflegebedürftigkeit sowie Kranken- oder Unfallversicherungen). Letztlich eröffnet Art. 9 Abs. 2 lit. b auch hier den Mitgliedstaaten einen weitgehenden Gestaltungsspielraum und die Möglichkeit zur Regulierung.[249]
138
Art. 9 Abs. 2 lit. b ist somit letztlich kein eigenständiger Erlaubnistatbestand, sondern verlangt, dass sich die Erforderlichkeit der Datenverarbeitung zu vorgenannten Zwecken aus einer gesonderten, unionsrechtlichen oder einzelstaatlichen Norm ergibt.
139
Entscheidende Bedeutung kommt aber nach dem Verordnungswortlaut geeigneten Garantien zu, um die Grundrechte und Interessen der Betroffenen zu schützen. Hinsichtlich einer etwaigen Konkretisierung dieses Begriffs, trifft die DS-GVO keine Aussage. Daraus folgt, dass jedenfalls die Vorgaben der GRCh und des nationalen Verfassungsrechts einzuhalten sind.[250] Gleichwohl sind davon insbesondere auch spezifisch datenschutzrechtliche Maßnahmen der DS-GVO erfasst, wie etwa die Implementierung von Anonymisierungs- und Pseudonymisierungstechniken sowie das Treffen technisch-organisatorischer Maßnahmen im Sinne eines Privacy by Design als auch die rechtzeitige Bearbeitung im Falle der Geltendmachung von Widerspruchs-, Berichtigungs- und Löschungsrechten durch den Betroffenen.[251] Auf nationaler Ebene trägt der Gesetzgeber diesen Anforderungen im Rahmen der Öffnungsklausel in § 22 Abs. 1 Nr. 1 lit. a BDSG n.F. Rechnung.
140
Im Zusammenhang mit der Corona-App[252] stellen sich auch arbeitsrechtliche Fragen. Unter der Voraussetzung, dass per App auf dezentraler Ebene annähernd faktisch anonyme Kontakte ausgetauscht werden und die Eignung zur Eindämmung einer Pandemie erwiesen ist, stellt sich auf der dem Datenschutz nachgelagerten verfassungsrechtlichen und arbeitsrechtlichen Ebene die Frage nach der Empfehlung der Arbeitgeber zur Installation der schützenden Software auf Smartphones.[253] Während sich der Arbeitgeber mit Blick auf private Geräte der Beschäftigten auf eine Empfehlung der freiwilligen Installation beschränken muss,[254] stellt sich bei Diensthandys die Frage, ob über eine Empfehlung hinaus, das Recht oder gar die Pflicht des Arbeitgebers besteht, die Installation auf Diensthandys verpflichtend vorzunehmen.[255] Jedenfalls da, wo Beschäftigte unvermeidlich enge Kontakte mit vulnerablen Gruppen haben (Ärzte, Rettungsdienste, Feuerwehr etc.), ist die Frage zu prüfen, ob die Schutzpflicht zugunsten der betroffenen Patienten und übrigen Beschäftigten die Vorinstallation auf den Geräten erforderlich macht, weil sie etwa ein milderes und effektiveres Mittel darstellt, als eine Testung in kurzen Abständen.[256] Abzulehnen ist es, die Aktivität der App und möglicherweise sogar die Meldung eines positiven Kontakts beim Beschäftigten abzufragen oder zu überprüfen. Zulässig soll es aber sein, dass der Arbeitgeber Arbeitnehmer nach dem Kontakt zu positiv getesteten Personen fragt.[257]
141
Da die Verwendung der faktisch anonymen App als solche, insbesondere etwa im Vergleich zu Navigationsapps keinen nennenswerten Eingriff in die informationelle Selbstbestimmung mit sich bringen würde, wäre die Prüfung der Pflicht rein verfassungsrechtlich und nicht datenschutzrechtlich zu betrachten, weil das datenschutzrechtliche Risiko der App vor der Installation im Rahmen einer Datenschutzfolgenabschätzung ausgeschlossen worden wäre. Eine Vergleichsprüfung im Rahmen der Verhältnismäßigkeitsprüfung wäre, ob gegenüber medizinischem Personal, das mit vulnerablen Gruppen arbeitet, aus Gründen der Fürsorge bei Verfügbarkeit eines Impfstoffs eine Impflicht angeordnet werden könnte.
c) Schutz lebenswichtiger Interessen (Art. 9 Abs. 2 lit. c)
142
Eine weitere Ausnahmeregelung vom Verarbeitungsverbot sensitiver Daten besteht nach Art. 9 Abs. 2 lit. c, wenn zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person, die betroffene Person aus körperlichen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben.
143
Art. 9 Abs. 2 lit. c knüpft damit wie die Vorgängernorm des Art. 8 Abs. 2 lit. c DSRL an den Schutz lebenswichtiger Interessen an und erlaubt bei einer Gefährdung dieser Interessen die Verarbeitung sensibler Daten. Darüber hinaus ist der Begriff der lebenswichtigen Interessen im Rahmen des Art. 6 Abs. 1 lit. d[258] von Bedeutung.
144
In Anbetracht des Schutzgutes sind die Begriffe der physischen und rechtlichen Gründe weit zu verstehen. Daher sind die Voraussetzungen in der Regel dann erfüllt, wenn eine Verarbeitung der sensiblen Daten zur Abwehr von Gefahren für Leib oder Leben notwendig ist.[259]
145
Aus physischen Gründen ist eine Einwilligung nicht möglich, wenn eine Person zu einer verantwortlichen Entscheidung und Erklärung unfähig ist, so dass sich der Begriff in erster Linie auf mangelnde körperliche oder geistige Fähigkeiten bezieht, z.B. wegen Bewusstlosigkeit oder einer schweren Erkrankung.[260] Eine Fallkonstellation kann auch darin bestehen, dass die betroffene Person nicht oder nicht rechtzeitig erreicht werden kann.[261]
146
Rechtliche Gründe liegen dann vor, wenn eine wirksame Einwilligungserklärung nach dem Recht der Mitgliedstaaten nicht möglich ist, etwa bei fehlender Erklärungs- oder Geschäftsfähigkeit.[262] Insofern regelt Art. 9 Abs. 2 lit. c Anwendungsfälle, in denen eine Einwilligung entbehrlich ist.
