Diesbezüglich nahm der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Professor Ulrich Kelber Stellung, indem er klarstellte, dass sich der Datenschutz und die Infektionsbekämpfung nicht im Wege stehe. Außerdem verwies er darauf, dass sich Arbeitgeber ihrer besonderen Verantwortung durch den sensiblen Inhalt der Gesundheitsdaten ihrer Mitarbeiter bewusst werden müssen. Eine verhältnismäßige Herangehensweise des Arbeitgebers, ob Daten erhoben werden, sowie ein vertraulicher Umgang mit den erhaltenen Informationen, seien dabei unverzichtbar.

Folgende Maßnahmen, die mit einer Datenerhebung und Verarbeitung von Gesundheitsdaten der Beschäftigten verbunden sind, können zur Eindämmung der Corona-Pandemie als datenschutzrechtlich legitim betrachtet werden:

Wie bereits aufgezeigt, können in dem beschriebenen Rahmen die (Gesundheits-) Daten von Beschäftigten weitestgehend datenschutzkonform verarbeitet werden. Stets zu beachten ist dabei der Grundsatz der Verhältnismäßigkeit. Im gegenwärtigen Kontext also vor allem die Frage, ob die jeweilige Datenverarbeitung erforderlich, geeignet sowie im Wesentlichen auch angemessen ist. Dies gilt insbesondere dann, wenn es um die Veröffentlichung von Informationen über nachweislich infizierte oder unter Infektionsverdacht stehende Personen geht. Grundsätzlich sollte in solchen Fällen äußerst restriktiv vorgegangen werden, da die Nennung des konkreten Namens eines am Virus erkrankten Beschäftigten oder eines Verdachtsfalls zu einer enormen Stigmatisierung führen kann. Was in der Theorie recht einfach klingt, kann praktisch durchaus herausfordernd sein. Etwa wenn sich ein nach längerer Zeit wieder erscheinender Patient einer Arztpraxis nach der fehlenden MFA an der Anmeldung erkundigt, welche sonst immer für die Patientenaufnahme zuständig ist. Sollte die nun vertretende Kollegin der MFA den Patienten mit dem Hinweis „die Frau Müller befindet sich gerade in Quarantäne“ auf den aktuellen Stand bringen, dann wäre diese Information aus Sicht des Datenschutzes wohl nicht erforderlich und daher problematisch.

Idealerweise sollten Arbeitgeber schwerpunktmäßig datenschutzunerhebliche Maßnahmen ergreifen, die ebenfalls geeignet sind, das Infektionsrisiko für Beschäftigte zu minimieren. Entsprechende Maßnahmen könnten sein: