Grundsätzlich sind datenschutzrechtliche Bestimmungen auch während der aktuellen Krise anwendbar und müssen daher auch weiterhin beachtet werden.

Dies bedeutet allerdings nicht, dass notwendige Maßnahmen zur Eindämmung und Bekämpfung der aktuellen Epidemie aufgrund datenschutzrechtlicher Vorgaben verhindert oder erschwert würden. Die DSGVO sieht zB in Art 9, der die Rechtmäßigkeit der Verwendung sensibler Daten (wie Gesundheitsdaten) regelt, mehrere Tatbestände vor, welche die Verarbeitung und Weitergabe gerade auch in der aktuellen Situation erlauben. Auch § 10 DSG enthält eine Regelung über die Verarbeitung personenbezogener Daten im Katastrophenfall und ermöglich Behörden und Hilfsorganisationen die Nutzung solcher Daten.

Insbesondere ist die Verarbeitung von Gesundheitsdaten zulässig, wenn damit arbeitsrechtlichen Pflichten entsprochen wird oder die Verarbeitung zum Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren erforderlich ist. Zu beachten ist allerdings, dass solche Datenverarbeitungen auf diesen Zweck beschränkt werden und insofern nach dem Ende der momentanen Krise wiederum eine Löschung der verarbeiteten Daten zu erfolgen hat. Auch eine Verwendung solcher Daten für andere Zwecke wird in der Regel nicht zulässig sein.

Im Hinblick auf die Rechte der betroffenen Personen besonders wichtig ist, dass entsprechende Datenverarbeitungen in transparenter Form erfolgen sollten und insofern nach Möglichkeit eine Information der betroffenen Personen gemäß Art 13 und 14 DSGVO erfolgen sollte.

Die Datenschutzbehörde hat eine FAQ-Liste zum Datenschutz und Coronavirus veröffentlicht, die laufend aktualisiert wird und unter folgendem Link abrufbar ist.

Ein weiterer wichtiger Aspekt insbesondere in Zusammenhang mit der nunmehr vermehrt genutzten Möglichkeit, Arbeiten im Home-Office zu erledigen, ist die Datensicherheit.

Die Nutzung privater Geräte und Infrastruktur kann zusätzliche Sicherheitsrisiken erzeugen, die den Schutz sowohl personenbezogener Daten als auch von sonstigen Geschäfts- und Betriebsgeheimnissen gefährden kann. Insofern ist es ratsam nach Möglichkeit verschlüsselte Verbindungen (zB VPN-Tunnel) zu verwenden und weder personenbezogene Daten noch sonstige wichtige Dokumente lokal auf privaten Geräten zu speichern.

Inzwischen wurden auch Berichte bekannt, wonach die aktuelle Situation auch von Kriminellen ausgenutzt wird und sich entsprechende Angriffsversuche (Trojaner, Phishing, Social Engineering) häufen. In diesem Zusammenhang ist zu beachten, dass gerade in einer ungewohnten Arbeitsumgebung (zB privater Laptop statt Firmen-PC) die Identifizierung von gefälschten Webseiten oder Spam-E-Mails schwieriger sein kann, weshalb hier besondere Aufmerksamkeit geboten ist. Auch Anrufe oder Nachrichten von angeblichen Vorgesetzten mit ungewöhnlichem Inhalt wären allenfalls durch konkrete Nachfrage beim jeweiligen Absender zu hinterfragen.

Sollten Sie Fragen zu konkreten datenschutzrechtlichen Problemstellungen haben stehen wir Ihnen natürlich auch während der aktuellen Krise gerne zur Verfügung.

(Dr. Christian Wirthensohn, Stand 26.3.2020)