Einrichtungsbezogene Impfpflicht: Datenschutzkonforme Dokumentation des Impfstatus durch Arbeitgeber

Kaum ein Thema beschäftigt derzeit medizinische und pflegerische Einrichtungen mehr als die einrichtungsbezogene Impfpflicht. Diese verlangt, dass alle Personen, die in medizinischen und pflegerischen Einrichtungen arbeiten, bis zum 15. März 2022 einen Immunitätsnachweis (geimpft, genesen) vorlegen müssen. Sie sind verunsichert, was sie von den dort tätigen Personen prüfen und was sie dokumentieren müssen, um den gesetzlichen Anforderungen zu entsprechen. Leider unterliegen sie einem gefährlichen Trugschluss, dass es einen erheblichen Unterschied zwischen dem was sie prüfen und was sie dokumentieren dürfen, gibt! Es geht um hochsensible Gesundheitsdaten und damit um das Vertrauen Ihrer Mitarbeiterinnen und Mitarbeitern. Da Sie dieses dünne Band leichtfertig beschädigen können, sollten sie sorgfältig prüfen, wie sie den Spagat zwischen Impfpflicht und Datenschutz meistern. Um den Clou vorneweg zu nehmen: Datenschutz behindert nicht die Umsetzung – er vereinfacht diese dramatisch!

Für wen gilt die einrichtungsbezogene Impfpflicht?

Die einrichtungsbezogene Impfpflicht gilt für

  • medizinische Rehabilitationseinrichtungen,
  • voll- und teilstationäre Pflegeeinrichtungen,
  • Wohnformen der Eingliederungshilfe,
  • Werkstätten für behinderte Menschen oder betreute Wohngruppen mit behinderten Kindern und Jugendlichen,
  • ambulante Pflegedienste oder Beförderungsdienste, die z.B. Menschen zu den Werkstätten befördern,
  • familienentlastende Dienste in der Behindertenhilfe oder auch
  • ambulant betreute Wohngruppen

Sie betrifft nahezu alle Einrichtungen, die es mit den vulnerablen Gruppen zu tun haben und alle Personen, die dort arbeiten. Sie gilt auch für ehrenamtliche Kräfte oder Praktikantinnen und Praktikanten.

Weitere Informationen hierzu finden Sie im FAQ des Bundesgesundheitsministeriums zu 20a IfSG.

Was müssen die Mitarbeiterinnen und Mitarbeiter vorlegen bzw. was müssen die Einrichtungen kontrollieren?

Die Mitarbeiterinnen und Mitarbeiter müssen einen gültigen Impf- oder Genesenennachweis vorlegen, welche den Vorgaben der COVID-19-Schutzmaßnahmen-Außnahmenverordnung entspricht.  Dies gilt sowohl für Personen, die bereits vor dem 15.03.2022 in einer Einrichtung beschäftigt waren, als auch für Personen die erst nach dem 15.03.2022 zu arbeiten beginnen. Wer sich aus medizinischen Gründen nicht impfen lassen kann, benötigt eine ärztliche Bescheinigung. Seit dem 15. Januar 2022 ist eine doppelte Impfung über alle zugelassenen Impfstoffe hinweg erforderlich, um über die Grundimmunität zu verfügen. Dem war eine umstrittene Gesetzesänderung vorhergegangen. Das Paul-Ehrlich-Institut kann damit gemeinsam mit dem Robert-Koch-Institut den aktuell gültigen Impfstatus definieren und über die Webseite https://www.pei.de/impfstoffe/covid-19 kommunizieren – ohne Parlamentsvorbehalt und ohne Vorlaufzeit.

Weitere Informationen wie ein gesetzlicher Impfnachweis, Genesenennachweis oder ein gültiges ärztliches Zeugnis aussieht, enthält die Handreichung zum Gesetz zur Stärkung der Impfprävention gegen COVID-19 des Ministeriums für Soziales, Gesundheit und Integration Baden-Württemberg.

Wie erfolgt die datenschutzkonforme Kontrolle der Nachweise?

Viele der betroffenen Einrichtungen tendieren nun dazu, sehr sorgfältig zu kontrollieren. Bezüglich der Art und Weise, wie sie die Vorgaben kontrollieren, ist das absolut erforderlich. Sie müssen z.B. darauf achten, dass die vorgelegten Nachweise gültig sind. Das heißt, dass die letzte Impfung mindestens 14 bzw. die Genesung 28 Tage zurückliegt oder dass eine doppelte Impfung vorliegt. Alternativ ist es auch möglich, eine ärztliche Bescheinigung vorzulegen, dass aus gesundheitlichen Gründen keine Impfung möglich ist. Am besten dokumentieren Sie den Prüfprozess so genau wie möglich. Stellen Sie darüber hinaus sicher, dass alle Personen, die die Nachweise prüfen, bis ins letzte Detail damit vertraut sind, was wie zu prüfen ist. Die prüfenden Personen müssen dafür sensibilisiert sein,

  • wie sensibel die Daten sind, die sie prüfen,
  • was sie einsehen müssen und
  • dass sie so sorgfältig wie möglich mit diesen Daten verfahren.

Selbstverständlich müssen die Einrichtungen die gesetzlich geregelten Daten von den Personen an das Gesundheitsamt melden, die am 16.03.2022 noch nicht über den erforderlichen Immunitätsnachweis verfügen. Welche das sind, dazu kommen wir weiter unten.

Wer kontrolliert die Nachweise und was ist dabei zu beachten?

Das Ministerium für Soziales, Gesundheit und Integration Baden-Württemberg empfiehlt in seiner o.g. Handreichung, dass Mitarbeitende des Personalbereichs besonders geeignet dafür sind. Direkte oder weitere Vorgesetzte seien keine ideale Besetzung für diese Aufgabe. Das dürfte Einrichtungen mit unterschiedlichen Häusern und Einrichtungen herausfordern, da die Personalbereiche häufig zentralisiert sind und somit häufig nur die jeweiligen Vorgesetzten vor Ort in den Häusern sind. Wenn andere Personen die Nachweise prüfen, dann ist sicherzustellen, dass diese auf den Umgang mit Gesundheitsdaten auf Vertraulichkeit verpflichtet sind. Außerdem müssen sie die Dokumentation separat und geschützt vor Zugriffen von anderen Personen verwahren.

Bitte verzichten Sie darauf, die Mitarbeiterinnen und Mitarbeiter dazu aufzufordern, die Nachweise per E-Mail zu übermitteln. Die Übermittlung ist nicht ausreichend gesichert. Nur mit einer Ende-zu-Ende-Verschlüsselung wäre es möglich, einen Nachweis elektronisch zu übermitteln.

Wie erfolgt die datenschutzkonforme Dokumentation der einrichtungsbezogenen Impfpflicht?

Achtung: Es drohen Datenschutzverstöße, wenn Einrichtungen Kopien von Nachweisen verlangen oder zu viele Daten ihrer Prüfungen dokumentieren!

1. Nachweise sind vorzulegen, dürfen jedoch nicht gespeichert werden.

Gemäß § 20a Abs. 2 Infektionsschutzgesetz (IfSG) „ist der Nachweis der Leitung der jeweiligen Einrichtung…vorzulegen.“

Vorzulegen heißt genau das – einen Nachweis vorlegen. Es heißt nicht, „kopieren“, „abspeichern“ oder „hinterlegen“. Die gesetzliche Regelung schreibt weder vor, Nachweise zu kopieren oder zu speichern, noch erlaubt sie es.

2. Wenn bis zum 15.03.2022 ein Nachweis nicht vorliegt oder Zweifel zur Gültigkeit vorliegen, so sind die Daten der Person, nicht jedoch der Nachweis an das Gesundheitsamt zu übermitteln.

Wenn der Nachweis nicht bis zum 15. März 2022 vorgelegt wird oder wenn Zweifel an der Echtheit oder inhaltlicher Richtigkeit des vorgelegten Nachweises bestehen, hat die Leitung der jeweiligen Einrichtung unverzüglich das Gesundheitsamt, …darüber zu benachrichtigen und dem Gesundheitsamt personenbezogene Daten zu übermitteln.

Hier könnte man vermuten, dass die Einrichtung den Nachweis der Person, welcher ggf. ungültig oder zweifelhaft erscheint, an das Gesundheitsamt zu melden hat. Das ist jedoch gerade nicht der Fall! Nach § 2 Nr. 16 IfSG sind die hier relevanten personenbezogenen Daten:

  • Name und Vorname,
  • Geschlecht,
  • Geburtsdatum,
  • Anschrift der Hauptwohnung oder des gewöhnlichen Aufenthaltsortes und, falls abweichend, Anschrift des derzeitigen Aufenthaltsortes der betroffenen Person
  • Telefonnummer und E-Mail-Adresse, soweit vorliegend.

Das heißt, die Einrichtungen müssen lediglich die Kontakt- und Anschriftsdaten übermitteln, den Nachweis jedoch explizit nicht.

Das ist so auch sinnvoll, denn das Gesundheitsamt wendet sich direkt an die jeweilige Person und fordert sie innerhalb einer Frist auf, einen entsprechenden Impf- oder Genesenennachweis dem Gesundheitsamt vorzulegen. Falls die Person dem nicht nachkommt, kann das Gesundheitsamt der Person auch ein Betretungs- und Tätigkeitsverbot anordnen. Hat das Gesundheitsamt Zweifel daran, dass ein Nachweis echt oder inhaltlich richtig ist, so kann es eine ärztliche Untersuchung anordnen. All dies erfolgt jedoch wieder unmittelbar zwischen Gesundheitsamt und der jeweiligen Person. Die Einrichtung bleibt außen vor!

Wie übermittelt die Einrichtung die Daten an das Gesundheitsamt?

Hierfür möchte das Ministerium für Soziales, Gesundheit und Integration Baden-Württemberg ein Portal bereitstellen, über das die Einrichtungen die o.g. Daten übermitteln. Aktuell ist das Portal noch nicht verfügbar. Gemäß dem Stand der Technik muss das Portal eine verschlüsselte Übermittlung der Daten sicherstellen. Einrichtungsseitig sollten nur die Personen, die ohnehin die Nachweise prüfen, auch die relevanten Datensätze übermitteln.

Wie kann die Einrichtung denn nachweisen, dass sie die Nachweise sorgfältig überprüft hat, wenn sie diese nicht kopiert?

Wie eben erwähnt verlangt das Gesetz nur, dass ein Nachweis vorzulegen ist. Details dazu was sie hierfür dokumentieren müssen, beinhaltet das IfSG nicht. Das erinnert an die Regelung zu 3G am Arbeitsplatz, also wie Arbeitgeber sicherstellen, dass nur Beschäftigte vor Ort am Arbeitsplatz sind, die geimpft, getestet oder genesen. Bereits bei dieser Regelung waren die Vorgaben ähnlich schwammig.

Der LfDI Baden-Württemberg Stefan Brink wies in seiner Orientierungshilfe 3G-Nachweis im Beschäftigtenverhältnis S. 11 daraufhin, dass bei unspezifischen Vorgaben zur Dokumentation die allgemeinen Vorgaben der DS-GVO greifen. Konkret, der Grundsatz der Erforderlichkeit ist zu berücksichtigen. Einrichtungen dürfen nur die Daten verarbeiten, die sie benötigen, um die gesetzliche Pflicht zu erfüllen.

Der LfDI ist der Auffassung, dass es bei 3G am Arbeitsplatz ausreicht, „wenn Arbeitgeber nachprüfbare Prozesse in ihrem Unternehmen etabliert haben, in denen beschrieben wird, auf welche Weise täglich der 3G-Status der Beschäftigten geprüft wird.

Den Arbeitgeber trifft demnach gerade keine Pflicht, Nachweisdokumente zu speichern; dies ist damit datenschutzrechtlich unzulässig (Grundsatz der Datenminimierung, Art. 5 Abs. 1 lit. c DS-GVO). Das Anfertigen von Kopien, Scans oder ähnlichen Vervielfältigungen der Nachweisdokumente der Beschäftigten durch den Arbeitgeber ist rechtswidrig.

Da der Gesetzgeber die gesetzlichen Vorgaben zur Dokumentation der einrichtungsbezogenen Impfpflicht genauso unspezifisch regelte, wie dies bei 3G am Arbeitsplatz der Fall ist, greift hier nach meinem Erachten die gleiche Argumentation.

3. Es kommt auf den nachprüfbaren Prozess in der Einrichtung an, mit dem sie verlässlich prüft, dass die Mitarbeiterinnen und Mitarbeiter die Nachweise vorgelegt haben, es trifft sie jedoch keine Pflicht Nachweisdokumente zu speichern.

Wie sieht eine datenminimierte auf erforderliche Daten beschränkte Dokumentation der einrichtungsbezogenen Impfpflicht aus?

In den letzten Wochen stellten uns Leserinnen und Leser diverse Fragen zum Thema. Sie berichten davon, dass sie ihren Arbeitgebern die Namen der Impfstoffe mit denen sie getestet wurden, mitteilen müssen. Immer wieder begegneten uns Listen in unserer Beratung, in der das ebenfalls der Fall war. Etwas datenminimierter ist der Ansatz des Diakonischen Werk Württemberg. Dieses stellte eine Vorlage bereit, die evangelischen Einrichtungen helfen soll, die Nachweise zu dokumentieren. Diese Übersicht enthält die folgenden Felder:

  • Zur Person (Name, Vorname, Kostenstelle)
  • Zum Status (Vorgelegt (ja/nein), Vorgaben (ja/nein), Nachweis am)
  • Impfstatus (1. Impfung am; 2. Impfung am; 3. Impfung am; 4. Impfung; Impfstatus bis; Aktualisierung bis)
  • Genesenenstatus (Genesen seit; Genesenenstatus bis; Aktualisierung bis)
  • Ärztliches Zeugnis (Vorgelegt (ja))

Wie ist diese Dokumentation vom Impfstatus durch den Arbeitgeber zu bewerten und sind diese Daten erforderlich?

Die Daten zur Person und zum Status sind erforderlich. Die Einrichtung kann so nachvollziehbar darstellen, ob alle relevanten Personen einen Nachweis vorgelegt haben oder nicht (Dokumentation: Ja oder Nein). Zusätzlich dokumentiert sie, ob die Vorgaben an den Nachweis (z.B. offizieller Nachweis gemäß der gesetzlichen Vorgaben, zweifache Impfung erhalten) erfüllt sind (Dokumentation: Ja oder Nein) und dokumentiert, wann sie den Nachweis geprüft hat (Dokumentation: Datum).

Beim Impfstatus erschließt sich leider nicht, warum die gesamte Impfhistorie erforderlich sein soll. Stand heute sind für die zugelassenen Impfstoffe 2 Impfungen erforderlich, um die Grundimmunisierung zu erreichen: Natürlich kann man argumentieren, dass der Gesetzgeber im Januar plötzlich die Anzahl der erforderlichen Impfungen von 1 auf 2 beim Johnson & Johnson Impfstoff erhöht hat. Natürlich gibt es Diskussionen über Auffrischungsimpfungen. Auf Vorrat Daten zu speichern, weil sich möglicherweise wieder etwas ändern könnte, sieht das Datenschutzrecht allerdings nicht vor. Wir orientieren uns daher an den heute geltenden gesetzlichen Regelungen. Somit dürfen Einrichtungen nur die erforderlichen Daten speichern. Wenn die internen Prüfvorgaben beinhalten, dass eine doppelte Impfung vorhanden ist und dass die letzte länger als 14 Tage zurück liegt, dann dokumentieren Sie das datenminimiert, in dem Sie das Feld „Vorgaben“ mit „Ja“ befüllen. Eine Speicherung der Impfhistorie ist somit nicht erforderlich.

Der Impfstatus läuft doch ab und ist doch nur noch 9 Monaten gültig?

Ist das so? Im offiziellen FAQ zur COVID-19-Impfung des Bundesgesundheitsministeriums heißt es zur Gültigkeitsdauer von Impfnachweisen:

„Die nach zweimaligem und erst recht nach dreimaligem Impfen ausgestellten Impfnachweise und digitalen Impfzertifikate der EU…, sind im Hinblick auf die innerdeutsche Verwendung bisher unbefristet.“

Die EU-Verordnung 2021/2288 vom 21. Dezember ändert daran nur in einem Fall etwas: Zwar läuft ein digitales Impfzertifikat der EU nach der Grundimmunisierung (also nach der 2. Impfung) nach 270 Tagen (also 9 Monaten) ab, aber diese Dauer gilt nur für grenzüberschreitende Reisen.

Stand heute gibt es kein Verfallsdatum der Grundimmunisierung durch eine doppelte Impfung. Daher ist es auch nicht erforderlich zu speichern, bis wann der Impfstatus gültig ist oder bis wann dieser aktualisiert ist. Nach geltendem Recht sind diese zusätzliche Daten nicht erforderlich und Einrichtungen dürfen sie folglich auch nicht dokumentieren.

Disclaimer: Sofern der Gesetzgeber diese Regelungen ändern sollte, kann sich eine andere Situation ergeben. Wie eben begründet, orientieren wir uns am heute geltenden Recht und erheben keine Daten für Eventualitäten, auf Verdacht hin oder aus dem Gefühl heraus, dass sich da etwas ändern könnte.

Was ist bei genesenen Personen zu dokumentieren?

Eine Person kann mit einem entsprechend gültigen Nachweis als genesene Person nachweisen, dass sie immunisiert ist. Damit sie als genesen gilt, muss der positive PCR-Test mindestens 28 Tage und höchstens 90 Tage zurückliegen. Was bedeutet das für die Dokumentation des Impfstatus durch den Arbeitgeber?

  • Sofern jemand weniger als 28 Tage genesen ist, erfüllt er die Vorgaben nicht. Daher ist es unnötig ein Datum „genesen seit“ zu erfassen. Stattdessen trägt man als Datum bei der nächsten Kontrolle ein, wann die 28 Tage um sind.
  • Sofern jemand länger als 28 Tage genesen ist, erfüllt er die Vorgabe. Da der Status jedoch nur 90 Tage gültig ist, ist eine Nachkontrolle erforderlich (sofern der Status vor dem 31.12.22 ausläuft). Dieses Datum erfassen Sie, jedoch ohne separates Feld „Genesenenstatus bis“ oder „Aktualisierung bis“.

Als dritte Möglichkeit kann der Mitarbeiter sich möglicherweise aus gesundheitlichen Gründen nicht impfen lassen und er weist dies mit einem ärztlichen Zeugnis nach. Ist dieses gültig, so dokumentiert man, „Ja“ bei „Vorgaben erfüllt“. Zweifeln Sie daran, ob das Zeugnis gültig ist, so dokumentieren Sie „Nein“ bei „Vorgaben erfüllt“ und halten ein Datum für die nächste Kontrolle fest. Anschließend ist die Meldung an das Gesundheitsamt mit den o.g. Kontakt- und Anschriftsdaten vorzunehmen, der Nachweis jedoch explizit nicht. Alles Weitere klärt das Gesundheitsamt direkt mit der jeweiligen Person.

Wie sieht nun die datenminimierte Dokumentation der durchgeführten Kontrollen aus?

Erstaunlicherweise reicht eine äußerst knappe und kompakte Dokumentation des Impfstatus durch Arbeitgeber aus, um die vielfältigen Fällen zu erfassen. Als Download können Sie ein Muster zur Dokumentation in Ihrer Einrichtung herunterladen. Darin sehen Sie, wie kompakt die Dokumentation ist. Sie benötigen nur noch folgende Informationen:

  • Zur Person (Name, Vorname, ggf. Geburtsdatum zur eindeutigen Identifkation)
  • Zum Status (Vorgelegt (ja/nein), Vorgaben erfüllt (ja/nein), Nachweis am, Nachkontrolle nach 1 Monat
Download als PDF
Download als Excel-Datei (xlsx)

Mit diesen wenigen Feldern lassen sich sämtliche Fälle abdecken, die auftreten können. Egal ob der gültige Impfschutz vorliegt, erst eine Impfung oder ein gültiger Genesenenstatus. Egal ob der Genesenenstatus zukünftig ausläuft oder ob Sie ein ärztliches Zeugnis als gültig oder ungültig bewerten, all das lässt sich mit diesen wenigen Feldern abbilden. Beachten Sie die Kommentare in unserer Downloaddatei und Sie können nachvollziehen, wie die unterschiedlichen Fälle zu dokumentieren sind.

Am Donnerstag, den 03.02.2022 beantwortete das Ministerium für Soziales, Gesundheit und Integration in Baden-Württemberg in einer Live-Informationsveranstaltung mit ca. 3000 Teilnehmerinnen und Teilnehmern deren Fragen. Dabei lieferte es jedoch weder Hinweise zur datenschutzkonformen Dokumentation, noch beantworteten sie unsere im Vorfeld eingereichten Fragen dazu.

Dass die „Mühlen“ der Ministerien zuweilen „langsam mahlen“ zeigt sich auch im Hinweis auf die 4 Arbeitspakete, die das Ministerium schnürte. Als zweiten von vier Arbeitsschritten sollen demnach noch Handreichungen/Handlungsempfehlungen mit Musterformularen folgen. Wann genau ließen die Referenten offen („in den nächsten Wochen“) und deckt vermutlich leider auch nicht Ihren Wunsch/Bedarf einer vorausschauenden Personalplanung ab. Die versprochene Handreichung veröffentlichte das Ministerium für Soziales, Gesundheit und Integration in Baden-Württemberg am 21.02.2022.

Wie lange ist die Dokumentation des Impfstatus vom Arbeitgeber zu führen?

Bis zum 31.12.2022 gilt die einrichtungsbezogene Impfflicht. Sofern der Gesetzgeber diese nicht verlängert, ist die Dokumentation dann nicht mehr erforderlich und daher unverzüglich zu löschen. Sollte es in Einzelfällen zu Rechtsstreitigkeiten bezüglich der Nachweise kommen, so dürfen die Einrichtungen die relevanten Einträge so lange aufbewahren, bis die Verfahren abgeschlossen sind.

Fazit: Datenschutz behindert nicht die Umsetzung – er vereinfacht diese dramatisch!

Unglaublich aber wahr. Obwohl man Datenschutzbeauftragten immer wieder vorwirft, dass Datenschutz viele Dinge erschwert und kompliziert macht, zeigt die Dokumentation der einrichtungsbezogenen Impfpflicht genau das Gegenteil. In diesem Fall sollten Einrichtungen die erheblichen Vorteile des Datenschutz nutzen:

  1. Sie reduzieren den Aufwand der Prüfungen bzw. der Dokumentation dramatisch.
  2. Dadurch, dass Sie nur erforderliche Daten erheben, verhindern Sie, dass Sie Daten ohne Rechtsgrundlage erheben und vermeiden dadurch teure Datenschutzverstöße.
  3. Sie behandeln ihre Mitarbeiterinnen und Mitarbeiter bei diesem schwierigen Thema auf Augenhöhe. Dadurch, dass sie darauf verzichten hochsensible Nachweise aller Art zu kopieren, speichern oder abzulegen, stärken sie das gegenseitige Vertrauen und vermeiden unnötige Diskussionen.

Sie sehen also, Datenschutz behindert nicht die Umsetzung – er vereinfacht diese dramatisch. Nutzen Sie die Chance!

P.S. Der DSG-EKD Beauftragte bestätigt am 10.02.2022 in seiner Stellungnahme zum 3G-Nachweis am Arbeitsplatz und zum einrichtungsbezogenen Immunitätsnachweis, dass Einrichtungen keine Kopien von Nachweisen machen dürfen und dass die Dokumentation auf das erforderliche zu beschränken ist. Genauso, wie wir das bereits 3 Tage vorher empfohlen haben!

P.P.S. Das Ministerium für Soziales, Gesundheit und Integration in Baden-Württemberg bestätigt am 21.02.2022 in seiner Handreichung dies nochmals. Einrichtungen dürfen Nachweise nicht kopieren und nur so wenig Daten wie möglich dokumentieren! Genauso, wie wir das bereits am 07.02.2022 empfohlen haben!

Verfasser: Julian Häcker, 07.02.2022, zuletzt aktualisiert am 24.02.2022

Bild von mohamed Hassan auf Pixabay

Hilfreiche Links:

Schreiben Sie einen Kommentar

Ihre E-Mail-Adresse wird nicht veröffentlicht.