Frage: Die Personalabteilung hat sich bei mir gemeldet. Sie hätte gerne meine Einschätzung als Datenschutzbeauftragter zu Unterlagen, die im Zusammenhang mit der Coronapandemie erstellt wurden. Ich habe mir die Unterlagen angeschaut. Teilweise handelt es sich um Impfzertifikate von Mitarbeitern, die aus meiner Sicht keine Relevanz mehr haben. Können wir diese vernichten?
Antwort: Solche Unterlagen waren zwar während der Coronapandemie erforderlich, um etwa den Impfstatus nachzuweisen und vor Ort im Unternehmen arbeiten zu können. Die diesbezügliche Verarbeitung ließ sich auf die speziellen gesetzlichen Regelungen stützen, und zwar in Verbindung mit Art. 6 Abs. 1 Satz 1 Buchst. c Datenschutz-Grundverordnung (DSGVO). Unter Umständen ließ sich eine Verarbeitung auch auf § 26 Abs. 3 Bundesdatenschutzgesetz oder das überwiegende berechtigte Interesse des Unternehmens stützen, sprich auf Art. 6 Abs. 1 Satz 1 Buchst. f DSGVO.
Klären Sie die Erforderlichkeit
Unabhängig von der Rechtsgrundlage stellte sich immer die Frage der Erforderlichkeit. Nur wenn eine Verarbeitung bestimmter Informationen für einen konkreten Zweck erforderlich war, kann sie auch zulässig sein. Das ist auch heute nicht anders: Bezüglich der von Ihnen vorgefundenen Daten sollten Sie den Kollegen immer die Frage stellen: Ist die Verarbeitung der Informationen noch erforderlich?
Meist wird man das verneinen. Die entsprechenden speziellen Regelungen im Infektionsschutzgesetz gibt es nicht mehr. Auch sind inzwischen die im Zusammenhang mit Corona geschaffenen besonderen gesetzlichen Vorgaben nicht mehr in Kraft. Fehlt es an einer Rechtsgrundlage bzw. an der Erforderlichkeit einer Verarbeitung, ist die Folge klar. Aus Art. 17 Abs. 1 Buchst. a DSGVO ergibt sich, dass personenbezogene Daten zu löschen sind, wenn sie für die bei der Erhebung festgelegten Zwecke nicht mehr notwendig sind.
Sie müssen das Ganze nicht entscheiden
Geht es um Fragen rund um Aufbewahrungs- oder Löschpflichten, wendet man sich gerne an den Datenschutzbeauftragten. Doch Sie sind mit Ihrer Prüfung meist schnell durch. Dreh- und Angelpunkt sind personenbezogene Daten und Art. 17 DSGVO. Aus dieser Vorschrift ergibt sich, wann zu löschen ist bzw. wann eben nicht. Letzteres kann der Fall sein, wenn es eine Aufbewahrungspflicht gibt. Und die ergibt sich meist aus einer gesetzlichen Vorschrift. Die müsste eigentlich den Kollegen bekannt sein, denn meist wird hierauf die Verarbeitung gestützt. Eventuell kann in diesem Zusammenhang ein Blick in das Verzeichnis von Verarbeitungstätigkeiten weiterhelfen. Ansonsten sollten Sie die Kollegen bitten, sich auf die Suche zu machen.
