Covid-19-Pandemie und der Schutz personenbezogener Daten

Um die nachteiligen Auswirkungen des Coronavirus (COVID-19) sowohl auf Unternehmen als auch auf Einzelpersonen in der Türkei zu beseitigen, war es erforderlich, rechtliche Maßnahmen hinsichtlich der Regelungen zur Verarbeitung und zum Schutz personenbezogener Daten, insbesondere Gesundheitsdaten, zu ergreifen. In diesem Zusammenhang veröffentlichte die Datenschutzbehörde am 27. März 2020 eine Bekanntmachung unter dem Titel „Erforderliche Informationen im Kampf gegen Covid-19 im Rahmen des Gesetzes zum Schutz personenbezogener Daten“.

Dieser Beitrag soll Informationen zu häufig gestellten Fragen zur Durchführung von Datenverarbeitungstätigkeiten gemäß dem Gesetz zum Schutz personenbezogener Daten und der aufgrund der Coronavirus-(Covid-19)-Pandemie von der Datenschutzbehörde erlassenen Bekanntmachung liefern.

1) Hat der Arbeitgeber im Zusammenhang mit den im Hinblick auf COVID-19 ergriffenen Sondermaßnahmen eine besondere Aufklärungspflicht?

Gemäß Artikel 10 des Gesetzes zum Schutz personenbezogener Daten Nr. 6698 („KVKK“) ist jeder Verantwortliche verpflichtet, zum Zeitpunkt der Erhebung personenbezogener Daten über die Datenverarbeitungstätigkeiten zu informieren. Der Umfang dieser Aufklärungspflicht wird durch die Bestimmungen des genannten Artikels bestimmt; die Pflicht der Arbeitgeber, ihre Arbeitnehmer gemäß KVKK aufzuklären, besteht fort, wenn die Umsetzung der vom Arbeitgeber zur Verhinderung der Verbreitung der Coronavirus-(COVID-19)-Pandemie ergriffenen zusätzlichen Maßnahmen die Verarbeitung personenbezogener Daten erfordert (einschließlich Angaben zu früheren Reisen oder COVID-19-Testergebnissen).

2) Darf der Arbeitgeber Gesundheitsdaten der Arbeitnehmer verarbeiten (einschließlich Fieber und allgemeiner medizinischer Untersuchungsdetails)?

Sollen Gesundheitsdaten durch Arbeitgeber verarbeitet werden, ist neben der Aufklärungspflicht des Verantwortlichen die ausdrückliche Einwilligung der Arbeitnehmer einzuholen, da Gesundheitsdaten gemäß Artikel 6 KVKK als besondere personenbezogene Daten gelten. Aus diesem Grund müssen Arbeitgeber bei der Verarbeitung COVID-19-bezogener Daten ihrer Arbeitnehmer deren ausdrückliche Einwilligung einholen.

3) Macht die Verarbeitung von Gesundheitsdaten durch den Betriebsarzt einen Unterschied hinsichtlich der ausdrücklichen Einwilligung?

Obwohl die Verarbeitung von Gesundheitsdaten durch den Arbeitgeber eine ausdrückliche Einwilligung erfordert, können Gesundheitsdaten auch von zur Verschwiegenheit verpflichteten Personen ohne ausdrückliche Einwilligung des Betroffenen gemäß den in der einschlägigen Gesetzgebung genannten Zwecken verarbeitet werden, einschließlich Schutz der öffentlichen Gesundheit sowie präventiver Medizin, medizinischer Diagnose, Behandlung und Pflege. Werden entsprechende Praktiken durch den Arbeitgeber über den Betriebsarzt durchgeführt, muss der Arbeitgeber nur die einschlägigen Aufklärungsfragen berücksichtigen. In diesem Zusammenhang ist die ausdrückliche Einwilligung der Arbeitnehmer nicht erforderlich.

4) Ist ein Arbeitnehmer mit COVID-19-Symptomen verpflichtet, den Betriebsarzt über diese Situation zu informieren?

Gemäß Artikel 19/1 des Gesetzes über Arbeitsschutz und Arbeitsmedizin dürfen Arbeitnehmer nicht die Gesundheit und Sicherheit ihrer selbst und anderer Arbeitnehmer gefährden, die von ihren Handlungen und Arbeitsleistungen betroffen sind. In diesem Fall muss der Arbeitgeber die Arbeitnehmer angemessen informieren und warnen, dass sie sich unverzüglich an den Betriebsarzt wenden müssen, wenn festgestellt wird, dass sie Symptome von COVID-19 aufweisen.

5) Darf der Arbeitgeber von den betroffenen Personen Daten über frühere Reisen verlangen?

Informationen über kürzliche Reisen fallen gemäß dem Gesetz Nr. 6698 in den Anwendungsbereich personenbezogener Daten. Obwohl unter normalen Bedingungen die Verarbeitung personenbezogener Daten die ausdrückliche Einwilligung des Betroffenen erfordert, hat die Bekanntmachung der Datenschutzbehörde klargestellt, dass solche Informationen Artikel 5 KVKK unterliegen und Angaben zu kürzlich bereisten Ländern nicht als besondere personenbezogene Daten gelten können. Zusammenfassend kann der Arbeitgeber, sofern er sicher ist, die Aufklärungspflicht erfüllt zu haben, betroffene Personen zu deren Reisen in der jüngeren Vergangenheit befragen.

6) Wie können andere Arbeitnehmer über einen COVID-19-Vorfall am Arbeitsplatz informiert werden?

In der Bekanntmachung der Datenschutzbehörde wird folgendes Beispiel für die Information anderer Arbeitnehmer über einen solchen Vorfall gegeben:

„… Wir wollten unsere anderen Mitarbeiter darüber informieren, dass der COVID-19-Test unseres Kollegen im fünften Stock unseres Generaldirektionsgebäudes positiv ausgefallen ist. Personen, die Kontakt hatten, werden anhand der jeweiligen Daten identifiziert und informiert.“ Unter Berücksichtigung dieser Aussage muss festgestellt werden, dass ein Arbeitgeber seine anderen Mitarbeiter warnen muss, wenn ein Mitarbeiter positiv getestet wurde, die Identität geheim halten, zu notwendigen Maßnahmen auffordern und keine zur Identifizierung geeigneten Details weitergeben darf. Ist die Offenlegung der Identität zum Schutz erforderlich, muss der Arbeitgeber als Verantwortlicher die betroffenen Mitarbeiter vorab informieren.

7) Ist es erlaubt, Gesundheitsdaten des Arbeitnehmers mit Behörden zu teilen?

Der Arbeitgeber kann personenbezogene Daten von Arbeitnehmern mit meldepflichtigen ansteckenden Krankheiten gemäß Artikel 8 KVKK und den Bestimmungen anderer einschlägiger Gesetze über ansteckende Krankheiten an die zuständigen Behörden weitergeben.

8) Welche Sicherheitsmaßnahmen sind während der Heimarbeit zu ergreifen?

Institutionen und Organisationen dürfen zur Sicherstellung der Arbeitskontinuität im Rahmen von Telearbeit tätig werden. Die Datenschutzbehörde hat klargestellt, dass auch in diesem Prozess administrative und technische Maßnahmen zur Einhaltung des KVKK aufrechterhalten werden müssen. In diesem Zusammenhang hat die Behörde daran erinnert, dass der Verantwortliche von seinen Pflichten zur Sicherheit personenbezogener Daten nicht entbunden ist.

Zusammenfassend müssen im Kampf gegen die COVID-19-Pandemie alle technischen und administrativen Maßnahmen zum Schutz personenbezogener Daten ergriffen werden. Zusätzlich sind Maßnahmen zum Schutz der Gesundheitsdaten als besondere personenbezogene Daten erforderlich. Bei diesen Maßnahmen müssen die im Rahmen der Aufklärungspflicht bereitzustellenden Informationen prägnant, leicht zugänglich und verständlich sein; es ist eine klare und einfache Sprache zu verwenden. Werden Tätigkeiten des Gesundheitsministeriums und autorisierter Behörden als präventive, schützende und nachrichtendienstliche Maßnahmen gemäß Artikel 28 angesehen, finden die Bestimmungen dieses Gesetzes keine Anwendung.

Für weitere Informationen und Anfragen wenden Sie sich bitte an:

Rechtsanwältin Ebru ACAR – ebruozduran@hansu.av.tr

de.hansu.av.tr | +90 216 464 12 12

© Hansu Attorney Partnership

Hansu Attorney Partnership erbringt Rechtsdienstleistungen für inländische und internationale Mandanten, insbesondere in den Bereichen Immobilien-, Gesellschafts-, Steuer-, Energie- und Immaterialgüterrecht. Dieser Artikel soll aktuelle Entwicklungen in der Türkei darstellen und stellt keine Rechts- oder Fachberatung dar. Leserinnen und Leser sollten sich bei konkreten Rechtsfragen an einen Rechtsanwalt wenden.