Vielfach wird von Unternehmen gefordert, dass diese Hygienekonzepte aufstellen, um ihrer Geschäftstätigkeit zumindest eingeschränkt nachgehen zu können oder mehr oder weniger genau definierte Hygiene- und Infektionsschutzstandards beachtet werde müssen. Aber auch aus allgemeinen Fürsorgeaspekten stellt sich an der einen oder anderen Stelle die Frage, welche Hygienemaßnahmen sinnvoll und überhaupt rechtlich zulässig sind, um das miteinander möglich und sicherer zu machen. Auf das Thema Besucherlisten und die Kontrolle der Richtigkeit der Angaben ist ein Thema, auf das an anderer Stelle schon einmal eingegangen wurde. Auch die Frage, ob die Installation der Corona-App vorausgesetzt werden kann ist so ein Thema. Heute wollen wir uns mit dem Thema Fiebermessen in den unterschiedlichsten Situationen beschäftigen.
So ist es scheinbar Usus, dass man mittlerweile bei Betreten eines Apple-Stores Fieber gemessen bekommt und auch an Flughäfen gibt es teilweise eine solche Praxis (https://www.zdf.de/nachrichten/panorama/coronavirus-fieber-temperatur-messen-100.html).
Die Sinnhaftigkeit des Fiebermessens ist allerdings nicht unumstritten. Sowohl das RKI als auch Virologen bezeichneten dieses als ineffektiv. „Insgesamt werden Entry- und Exit-Screening-Maßnahmen an Flughäfen mit Temperaturmessungen bei der Covid-19-Bewältigung in Deutschland für ineffektiv und der mögliche Mehrwert für vernachlässigbar eingeschätzt“ (vgl. https://www.zdf.de/nachrichten/panorama/coronavirus-fieber-temperatur-messen-100.html).
Wir schauen uns hier die folgenden Fallgruppen an.
Ist das Fiebermessen bei Beschäftigten* zulässig? Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit aus Rheinland-Pfalz hat sich kritisch zu diesem Thema geäußert. Im Ergebnis soll eine verpflichtende Fiebermessung der Mitarbeiter als Zugangskontrolle unzulässig sein. Nach Art. 9 Abs. 2 lit. b DSGVO i.V.m. § 26 Abs. 3 BDSG sei die Verarbeitung besonderer Kategorien personenbezogener Daten für Zwecke des Beschäftigungsverhältnisses unter anderem zulässig, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt. Eine rechtliche Pflicht kann sich aus der Fürsorgepflicht des Arbeitgebers ergeben. Fraglich ist jedoch, ob die Fiebermessung zur Erfüllung der genannten Zwecke auch erforderlich ist. Erforderlich wäre eine Datenverarbeitung dann, wenn die personenbezogenen Daten für die Aufgabenerfüllung der verantwortlichen Stelle unabdingbar sind. Dies ist der Fall, wenn die Aufgabe ohne die Kenntnis der Information nicht, nicht rechtzeitig, nur mit unverhältnismäßigem Aufwand oder nur mit sonstigen unverhältnismäßigen Nachteilen erfüllt werden kann.
Die genannte Aufsichtsbehörde zweifelt für solche Fälle die Geeignetheit einer solchen Maßnahme grundsätzlich an, da wenn eine erhöhte Körpertemperatur zu verzeichnen ist, dies noch nicht automatisch den Schluss auf das Vorliegen einer Corona-Erkrankung zulässt und auch eine bereits bestehende Corona-Erkrankung nicht zwangsläufig eine erhöhte Körpertemperatur zur Folge hat. Nach Ansicht der Aufsichtsbehörde ist auch das Einholen einer Einwilligung der Beschäftigten zur Legitimation der Fiebermessung kein Lösung, da hierfür die erforderliche Freiwilligkeit, also das Vorhandensein einer echten Wahlmöglichkeit, fehle (vgl. www.datenschutz.rlp.de/de/themenfelder-themen/beschaeftigtendatenschutz-corona/.)
Mit der Temperaturmessung in den Apple Stores z.B. haben sich zwischenzeitlich auch die Aufsichtsbehörden beschäftigt. Der hessische Datenschutzbeauftragte Michael Ronellenfitsch hatte sich im April 2020 dazu geäußert, diese Praxis datenschutzrechtlich prüfen zu wollen. Ob diese Prüfung abgeschlossen ist und mit welchem Ergebnis ließ sich 2021/1 jedenfalls nicht herausfinden. Einfach scheint diese Frage daher wohl nicht zu beantworten zu sein.
Einige Aufsichtsbehörden haben sich aber unabhängig von dem Apple-Stores-Fall bereits zu der Frage geäußert. Der Landesbeauftragte für den Datenschutz in Sachsen-Anhalt hat sich gegen eine zumindest grundsätzliche Eignung der Körpertemperaturmessungen ausgesprochen. Für Nordrhein-Westfalen stellt die Aufsichtsbehörde für den Datenschutz (Landesbeauftragter für Datenschutz und Informationsfreiheit Nordrhein-Westfalen) fest, dass Temperaturkontrollen ein geeignetes Mittel sein können, um Hinweise auf etwaige Corona-Verdachtsfälle zu erhalten und macht die Zulässigkeit vom Ergebnis geeigneter Einzelfallbetrachtungen abhängig. Allerdings beschränkt sich diese Aussage auf das Beschäftigungsverhältnis und ist daher nur bedingt aussagekräftig (vgl. https://www.ldi.nrw.de/mainmenu_Datenschutz/submenu_Datenschutzrecht/Inhalt/Personalwesen/Inhalt/Corona/Corona.html Punkt 5: „Darf der Arbeitgeber bei den Beschäftigten Fiebermessungen durchführen?“
Ähnlich führt auch der Datenschutzbeauftragte für Kirche und Diakonie für Sachsen, Thüringen und Sachsen-Anhalt aus, dass kontaktlose Fiebermessungen am Eingang zu Betriebsgeländen oder Gebäuden unter den Voraussetzungen § 13 Abs. 2 Nr. 2 DSG-EKD gerechtfertigt sein können, jedoch immer einer Einzelfallprüfung zu unterziehen sei (vgl. „Hinweise zur Verarbeitung von Daten zum Schutz vor ansteckenden Krankheiten“ vom 19.05.2020, abrufbar unter https://dsbkd.de/hinweise-zur-verarbeitung-von-daten-zum-schutz-vor-ansteckenden-krankheiten/).
Das Katholische Datenschutzzentrum für die Erzdiözesen Köln und Paderborn sowie die Diözesen Aachen, Essen und Münster (nordrhein-westfälischer Teil) äußert sich in einer Stellungnahme von 19.3.2020 jedenfalls nicht eindeutig zu der Frage des Fiebermessens, ist aber auch nicht eindeutig ablehnend. (vgl. „Datenschutzrechtliche Informationen zur Verarbeitung von personenbezogenen Daten durch Dienstgeber im Bereich der nordrhein-westfälischen (Erz-)Diözesen im Zusammenhang mit der Corona-Pandemie“, abrufbar unter: https://www.katholisches-datenschutzzentrum.de/datenschutzrechtliche-informationen-zur-verarbeitung-von-personenbezogenen-daten-durch-dienstgeber-im-bereich-der-nordrhein-westfaelischen-erz-dioezesen-im-zusammenhang-mit-der-corona-pandemie/).
Vermehrt kommt auch im Einzelhandel und bei Messen usw. der Wunsch auf, vorab Fiebermessungen durchzuführen. Da es keine gesetzliche Verpflichtung zu dieser konkreten Maßnahmen gibt, kommt auch hier am nur eine Einwilligung als Rechtfertigung in Betracht.
Hier könnte man sinnvoller Weise differenzieren, ob es sich um individuelle Messungen handelt oder ob fest installierte Körperscanner installiert werden. Sofern der Betroffene bei festen Anlagen keine andere Möglichkeit hat einzutreten, ohne sich messen zu lassen, kann von einer echten Freiwilligkeit nicht gesprochen werden. Hier kommt es dann vor allem auf den Einzelfall an, ob für den Betroffen z.B. eine alternative Einkaufsmöglichkeit gibt. Bei örtlichen Supermärkten wird man das wohl nicht immer annehmen können, bei kleinen Nischenläden vielleicht.
Sofern ein Mitarbeiter die Messung durchführt und vorher fragt, kann man schon eher von einer freiwilligen Maßnahme ausgehen, wenn auch Betroffenen, die nicht mit der Messung einverstanden sind, hereingelassen werden. Das wird aber so nicht beabsichtigt sein. Problematisch wird es, wenn die Betroffenen dann nicht hereingelassen werden.
Eine interessante Frage in diesem Zusammenhang ist auch, ob überhaupt personenbezogene Daten erhoben werden? Eine Aufsichtsbehörde verweist in dieser Angelegenheit auf den Beschluss der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) zum Einsatz von Wärmebildkameras bzw. elektronischer Temperaturerfassung im Rahmen der Corona-Pandemie vom 10.09.2020 (abrufbar unter https://www.datenschutzkonferenz-online.de/media/dskb/20200910_beschluss_waeremebildkameras.pdf) und die dortigen Ausführungen zur kontaktlosen Temperaturmessung per Infrarotmessung.
Bei einer Infrarotmessung misst das Thermometer die vom Körper abgegebene Infrarotstrahlung und ermittelt daraus die Temperatur. Die Messung der Körpertemperatur eines Menschen stellt eine Verarbeitung personenbezogener Daten i.S.d. Art. 4 Nr. 1 und 2 DSGVO dar. Der gemessene Wert wird vom Personal der Person zugeordnet, an welcher die Messung durchgeführt worden ist. Der Begriff der Verarbeitung bezeichnet nach Art 4 Nr. 2 DSGVO jeden Vorgang, der mit oder ohne Hilfe automatisierter Verfahren im Zusammenhang mit personenbezogenen Daten ausgeführt wird. Das Ablesen und das Abfragen werden in Art. 4 Nr. 2 DSGVO explizit genannt. Im Übrigen zeige die umfassende Aufzählung von Vorgängen in Art. 4 Nr. 2 DSGVO, dass der Begriff der Verarbeitung jeglichen Umgang mit personenbezogenen Daten erfasst (vgl. BVerwG, Urteil vom 27.03.2019, AZ. 6 C 2/18, Absatz 43 der Entscheidungsgründe (abrufbar unter: https://www.bverwg.de/270319U6C2.18.0).
Auf der einen Seite erscheint diese Auffassung der Aufsichtsbehörde im Zusammenhang mit der Fiebermessung merkwürdig, der da der Besucher regelmäßig gar nicht bekannt ist und es auch zu keiner weitergehenden Erhebung oder Speicherung kommt, welche in dem Dateisystem gespeichert werden würden. Die Beobachtung eines einzelnen Mitarbeiters als Speicherung anzusehen ist etwas fernliegend.
Gerne wird hier das Hausrecht als juristische Komponente mit herangeführt, eine datenschutzrechtliche Grundlage ergibt sich daraus jedoch nicht. Soweit man hier vom Vorliegen von Gesundheitsdaten i.S.d. Art. 9 Abs. 1 DSGVO ausgehen möchten, scheidet ein berechtigtes Interesse als Rechtsgrundlage nämlich aus. Ich sag mal so, ganz fernliegend, hier eine Verarbeitung personenbezogener Daten zu sehen, scheint es mir auch wieder nicht. Bei Bildaufnahmen kennt man ja auch nicht unbedingt die dahinterstehende Person namentlich, nur die zumindest temporäre Speicherung zu erkennen fällt mir schwer.
In dem zitierte DSK-Beschluss steht selber auch: „…da mittels klassischer Fieberthermometer keine Temperaturmessung bei größeren Gruppen erfolgen kann. Sie kann höchstens für die Messung von Einzelpersonen nacheinander, wie z.B. in Vereinzelungsschleusen zum Einsatz kommen, wobei bei einer einzelnen Fiebermessung mittels Thermometer ohne Protokollierung abhängig vom Einsatzszenario die Anwendbarkeit der Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO) in Frage stehen kann.“
Auch der EU-Datenschutzbeauftragte hat sich zu einer solchen Fragestellung geäußert (dieser ist jedoch nur für EU-Institutionen zuständig): „The EDPS considers that “basic body temperature checks”, designed to measure body temperature only, operated manually and which are not followed by registration, documentation or other processing of an individual’s personal data would, in principle, not be subject to the scope of the Regulation.“ (abrufbar unter: https://edps.europa.eu/sites/edp/files/publication/01-09-20_edps_orientations_on_body_temperature_checks_in_the_context_of_euis_en.pdf, Seite 2, Absatz 3). Hiernach wäre, wenn die Temperatur „händisch“ gemessen wird und keine automatisierte Weiterverarbeitung der Daten erfolgt, das Datenschutzrecht nicht anwendbar.
Das Thema Fiebermessung im Rahmen der Corona Prävention ist und bleibt umstritten. Neben der Frage, ob es Sinn macht, bestehen durchaus auch rechtliche Bedenken. Wer an eine solche Maßnahme denkt, ist gut beraten sich vorher mit seiner Datenschutz Aufsichtsbehörde abzustimmen.
Freiwilligkeit von Einwilligungen
Schwerpunkt der Frage der Zulässigkeit ist mangels eindeutiger Vorschriften nur eine mögliche Einwilligung mit der sich daran anschließnden Frage der Freiwilligkeit der Messung. Wird die Messung jedoch den Besuchern anheimgestellt, ist die grundsätzliche sinnhaftigkeit der Maßnahme vermutlich schon nicht mehr gegeben.
Die Freiwilligkeit wäre durch organisatorische Maßname sicherzustellen, z.B. getrennte Eingänge o.ä.
Im Ergebnis würde die sichergestellte Freiwilligkeit zwar das Risiko für die Bestroffenen minimieren, nichts an der Problematik ändern, dass die Erforderlichkeit der Maßnahme immer noch in Zweifel gezogen werden kann.
*Aus stilistischen Gründen verzichten wir auf gendersensitive Schreibweise
