Die Corona-Warn-App: Direktionsrecht des Arbeitgebers oder datenschutzrechtliche Bedenken?

Im Juni 2020 informierten wir bereits über die Handlungsmöglichkeiten von Arbeitgebern im Hinblick auf eine für Arbeitnehmer verpflichtende Anordnung zur Installation der Corona-Warn-App. Bisher wurde die App knapp 25 Millionen Mal heruntergeladen und installiert (RKI, Stand: 18.01.2020). Die derzeitigen Infektionszahlen, verschärfte Maßnahmen sowie die Stellungnahmen von Datenschutzbehörden und der drei Kandidaten um die Parteispitze der CDU erfordern einen erneuten Blick auf die Frage, ob Arbeitgeber zwecks Arbeitnehmer- und Betriebsschutz die Installation und Benutzung der App anordnen können und welche Bedenken dabei bestehen. Bejaht man dies, stellt sich die Folgefrage, ob ein gewählter Betriebsrat zu beteiligen ist und Mitbestimmungsrechte hat.

Sinnvoll und durchsetzbar erscheint die Anordnung nur in Betrieben, die durch eine gewisse Fluktuation und Häufigkeit an persönlichen Kontakten geprägt sind (Copyright: Wilfried/adobe.stock).

Funktionsweise der App

Die App funktioniert mithilfe der Bluetooth-Technik. Kommt es zu einer Begegnung mit anderen Menschen, auf deren Smartphones ebenfalls die Corona-Warn-App installiert ist, messen die Handys über die Stärke des Bluetooth-Signals den ungefähren Abstand der Personen zueinander sowie die Dauer der Begegnung. Übersteigen diese Referenzwerte einen gewissen Schwellenwert, tauschen die Geräte zuvor zufällig generierte Codes (sog. „Bluetooth-ID“) aus. Diese Codes werden verschlüsselt auf dem Smartphone der Benutzer für einen Zeitraum von 14 Tagen gespeichert. Eine Speicherung der Begegnungen oder sonstiger Daten auf einem externen Server findet nicht statt. Infiziert sich eine Person mit dem Virus, kann sie das positive Testergebnis in der Corona-Warn-App angeben. Um Missbrauch vorzubeugen, muss die infizierte Person jedoch eine Authentifizierung und Registrierung der Testergebnisse vornehmen. Dies kann etwa durch das Einscannen eines QR-Codes auf dem Testdokument oder durch die Eingabe einer mit dem Testergebnis zugeteilten TAN erfolgen. Anschließend werden die vom Smartphone der positiv getesteten Person erstellten Codes – vollständig pseudonymisiert – den Benutzern der App zum Abgleich über einen zentralen Server zur Verfügung gestellt. Die App überprüft dann lokal auf dem jeweiligen Smartphone, ob einer der Codes der infizierten Person in den letzten 14 Tagen empfangen wurde. Ist dies der Fall, warnt die App den Benutzer, dass Kontakt zu einer infizierten Person bestanden hat.

Hinweis für die Praxis:
Für die Benutzung der App bedarf es keinerlei Registrierung oder Angabe persönlicher Daten. Eine Identifikation der Person ist damit ausgeschlossen – weder über die App selbst, noch über die ausgetauschten Zufallscodes. Ebenso wenig werden Standortdaten erhoben. Die einzigen, ausschließlich auf dem Handy des Benutzers erhobenen und gespeicherten Daten sind damit der Zeitpunkt und die Dauer der Begegnung und der jeweilige Zufallscode. 

Direktionsrecht des Arbeitgebers

Ob der Arbeitgeber die Arbeitnehmer verpflichten kann, die Corona-Warn-App zu installieren und zu benutzen, hängt maßgeblich davon ab, ob es sich um ein Privat- oder Diensthandy handelt. Das Direktionsrecht des Arbeitgebers aus § 106 GewO erstreckt sich nur auf das Arbeitsverhältnis. Das Privatleben und die Art und Weise des Umgangs mit privatem Eigentum sind hingegen nicht umfasst. Daraus folgt bereits, dass der Arbeitgeber den Arbeitnehmer nicht verpflichten kann, die App auf dem privaten Handy zu installieren und nutzen.

Diensthandy und Datenschutz?

Anders gewichtet ist der Fall, in dem es sich um ein Diensthandy handelt. Die Befugnis, die Nutzung der App anzuordnen, wird von gewichtigen Stimmen mit Verweis auf die strengen Anforderungen der DSGVO und des BDSG und der – zumindest unterstellt – fehlenden Einwilligung durch die Arbeitnehmer abgelehnt (so Fuhlrott, GWR 2020, 275; die Bundesregierung in den FAQs zur Corona-Warn-App sowie der Datenschutzbeauftrage des Landes Baden-Württemberg). Auch wenn sich datenschutzrechtliche Bedenken nicht gänzlich von der Hand weisen lassen, vermag die pauschale Ablehnung einer solchen Anordnung nicht zu überzeugen. So lässt sich einerseits schon hinterfragen, inwieweit überhaupt personenbezogene Daten erhoben werden: Die generierten Codes lassen keine Rückschlüsse auf die Person zu, die Nutzer der App bleiben anonym. Weder eine Registrierung ist notwendig, noch werden Standortdaten oder sonstige persönliche Daten gespeichert. Für Außenstehende ist es damit unmöglich, über die ausgetauschten Zufallscodes Rückschlüsse auf die Person zu ziehen. Dies spricht gegen die Annahme von personenbezogenen Daten (ähnlich, wenn auch zurückhaltender Paal/Pauly, in: Paal/Pauly, DS-GVO BDSG, Einleitung DS-GVO Rn. 47). Unterstellt man dennoch, dass es sich bei den erhobenen Daten um personenbezogene Daten (bzw. um die vulnerableren Gesundheitsdaten) handelt, kann eine Verarbeitung aber in Einzelfällen gerechtfertigt sein.

Zulässigkeit einer Datenverarbeitung?

Werden personenbezogene Daten ohne Einwilligung erhoben, so heißt dies nicht, dass die Erhebung insgesamt unzulässig ist. Die DSGVO und das BDSG kennen für personenbezogene Daten und Gesundheitsdaten Ausnahmevorschriften, nach denen eine Verarbeitung in Einzelfällen zulässig sein kann. Insbesondere kann dies der Fall sein, wenn die Verarbeitung der Daten für das Vertrags- bzw. Arbeitsverhältnis und die daraus resultierenden Pflichten notwendig ist. Relevant für Arbeitgeber sind hier insbesondere die Schutz- und Fürsorgepflichten gegenüber den Arbeitnehmern. Im Kern kommt es auf eine Abwägung der widerstreitenden Interessen unter Zugrundelegung aller Umstände an. Hierbei ist etwa zu berücksichtigen, welche Abläufe im Betrieb typisch sind und welche damit verbundenen konkreten Schutzpflichten den Arbeitgeber treffen, inwieweit mildere Maßnahmen gleich geeignet wären und wie stark der Eingriff in das Recht auf informationelle Selbstbestimmung ist. Allgemeinverbindliche Aussagen lassen sich damit nicht treffen.

Entscheidend ist der konkrete Umgang im Betrieb

Ob der Arbeitgeber die Nutzung der App anordnen kann, hängt damit maßgeblich davon ab, wie der Betrieb strukturiert ist und ob sich der Gebrauch des Diensthandys nach Dienstende auf den privaten Bereich erstreckt. In kleinen Betrieben, in denen das Diensthandy nur vor Ort für die Dauer des Dienstes getragen wird und die Mitarbeiter lediglich Kontakt untereinander haben, stellt die Anordnung wohl kein erforderliches Mittel zur Unterbrechung von Infektionsketten dar. Anders ist der Fall zu beurteilen in Betrieben, deren Arbeitnehmer naturgemäß viele Kontakte zu anderen Personen haben. Beispielhaft sei hier der Hausmeister oder der Handwerker im Außendienst genannt. Bei derartigen Tätigkeiten ist davon auszugehen, dass es eine Vielzahl an persönlichen Kontakten gibt und die analoge Nachverfolgung wohl kaum ein effektives Mittel zur Unterbrechung von Infektionsketten darstellt. Um schnell und angemessen auf mögliche Infektionen reagieren zu können, kann es in einem solchen Fall erforderlich sein, die Corona-Warn-App auf dem Diensthandy installieren zu lassen, zumal, wie oben genannt, die erhobenen Daten aufgrund der dezentralen Speicherung weder für den Arbeitgeber, noch für Dritte einsehbar sind. Verglichen mit der Fürsorgepflicht des Arbeitgebers und negativen Konsequenzen bei zu spät erkannten Infektionen, die bis hin zu einer Betriebsschließung führen können, stünde in einem solchen Fall das Interesse der Arbeitnehmer hinten an.

Keine Allgemeingültigkeit!

Das zeigt, dass es in konkreten Einzelfällen durchaus angemessen sein kann, die Installation und Nutzung der Corona-Warn-App auf dem Diensthandy anzuordnen. Es kann aber nicht genug betont werden, dass es jeweils auf konkreten Einzelfall ankommt, sodass die obigen Ausführungen keine Allgemeingültigkeit entfalten. Wichtig ist, dass eine strenge und einzelfallbezogene Verhältnismäßigkeitsprüfung der arbeitgeber- und arbeitnehmerseitigen Belange vorgenommen wird.

Mitbestimmung des Betriebsrats

Nimmt man an, dass die Anordnungsbefugnis besteht, stellt sich die weitere Frage, ob der gewählte Betriebsrat hierbei ein Mitbestimmungsrecht hat. Ein solches könnte sich aus § 87 Abs. 1 Nr. 1, Nr. 6 oder Nr. 7 BetrVG ergeben.

Ordnung des Betriebs und Verhalten der Arbeitnehmer?

Die Weisung zur Installation und Nutzung der Corona-App könnte eine Frage der Ordnung des Betriebs und des Verhaltens der Arbeitnehmer im Betrieb darstellen, sodass ein Mitbestimmungsrecht des Betriebsrats gemäß § 87 Abs. 1 Nr. 1 BetrVG in Frage käme. Zweifelhaft erscheint an dieser Stelle aber, inwieweit sich die Installation der App auf das Verhalten der Arbeitnehmer in Bezug auf die Ordnung des Betriebes auswirken soll. Durch die reine Installation und Nutzung der App wird die Verhaltensweise der Arbeitnehmer weder individuell, noch kollektiv beeinflusst. Auch ändert sich die Art und Weise der Verwendung des Diensthandys nicht. Die Weisung bezieht sich lediglich auf den Gebrauch des Diensthandys als Betriebsmittel und konkretisiert die Art und Weise der Arbeitspflicht (ähnlich in Bezug auf den Gebrauch von Messenger-Diensten Schrey/Kielkowski/Gola, MMR 2017, 736). Ein Mitbestimmungsrecht aus § 87 Abs. 1 Nr. 1 BetrVG kommt damit nicht in Frage.

Technische Überwachungseinrichtung?

Ein aus § 87 Abs. 1 Nr. 6 BetrVG folgendes Mitbestimmungsrecht scheitert an der Voraussetzung des „Überwachens“: es fehlt schon an der Geeignetheit, das Verhalten oder die Leistung des Arbeitnehmers zu kontrollieren. Der Arbeitgeber hat keine Einsicht in die Daten, sodass der App keine Überwachungsfunktion zukommt und sich ein Mitbestimmungsrecht nicht aus Nr. 6 herleiten lässt.

Arbeitsschutz?

Ein Mitbestimmungsrecht könnte sich allenfalls auf § 87 Abs. 1 Nr. 7 BetrVG stützen lassen. Die Anordnung zur Installation und Nutzung der App dient dem Gesundheitsschutz der Arbeitnehmer und ist Ausdruck der aus § 3 Abs. 1 ArbSchG folgenden Schutzpflicht. Zwar ließe sich dieser Punkt durchaus kritisch hinterfragen, da es für die Warn-App keine rechtliche Grundlage gibt. Dennoch sollte der Betriebsrat vorsichtshalber beteiligt werden.

Freiwillige Betriebsvereinbarung

Daneben könnte auch eine freiwillige Betriebsvereinbarung gemäß § 88 Nr. 1 BetrVG geschlossen werden. Wichtig ist hierbei, dass die oben genannten Grundsätze nicht durch eine freiwillige Betriebsvereinbarung unterlaufen werden dürfen. Vor Abschluss einer solchen Betriebsvereinbarung sind folglich die jeweiligen Interessen ebenfalls miteinander abzuwägen und die datenschutzrechtlichen Vorgaben einzuhalten.

Verhalten im Falle der Warnung

Für den Fall, dass ein Arbeitnehmer Kontakt zu einer infizierten Person hatte und die App vor einem erhöhten Infektionsrisiko warnt, trifft den Arbeitnehmer eine Mitteilungspflicht als arbeitsvertragliche Nebenpflicht. Der Arbeitnehmer muss den Arbeitgeber also darüber informieren, dass er innerhalb der letzten 14 Tage Kontakt zu einer infizierten Person hatte.

Hinweis für die Praxis:
Diese arbeitsvertragliche Nebenpflicht ist grundlegender Natur, sodass sie auch unabhängig von der Installation der Corona-Warn-App besteht.

Spiegelbildlich zur Mitteilungspflicht des Arbeitnehmers besteht für den Arbeitgeber ein Fragerecht bezogen auf eine mögliche Infektion. Erlangt der Arbeitgeber Kenntnis von dem erhöhten Infektionsrisiko eines Arbeitnehmers, kann er die Weiterarbeit im Home-Office oder eine bezahlte Freistellung bis zur Klärung anordnen. Erst eine tatsächlich nachgewiesene Infektion begründet eine Arbeitsunfähigkeit im Sinne des EFZG und damit auch die Pflicht zur Entgeltfortzahlung gemäß § 3 Abs. 1 EFZG.

Folge bei Weigerung oder Verstoß

Weigert sich der Arbeitnehmer, die App zu installieren oder kommt er seiner Mitteilungspflicht im Falle der Warnung durch die Corona-Warn-App nicht nach, stehen die üblichen arbeitsrechtlichen Sanktionsmöglichkeiten zur Verfügung, also Ermahnung, Abmahnung und zuletzt die Kündigung. Angesichts der oben genannten datenschutzrechtlichen Aspekte und dem Fehlen einer gefestigten Rechtsprechung wird hier aber zur Zurückhaltung geraten.

Fazit

Die Frage, ob Arbeitgeber die Installation und Nutzung der Corona-Warn-App auf dem Diensthandy anordnen können, lässt sich nicht pauschal beantworten. Betroffen sind empfindliche Rechtsgüter, die eine genaue Abwägung miteinander erfordern. Da dem Datenschutz ein hoher Stellenwert zukommt, stellt eine für Arbeitnehmer verbindliche Anordnung wohl die Ausnahme dar, sie ist aber nicht grundsätzlich abzulehnen. Sinnvoll und durchsetzbar erscheint die Anordnung daher nur in Betrieben, die durch eine gewisse Fluktuation und Häufigkeit an persönlichen Kontakten geprägt sind. Bisher fehlt es an Rechtsprechung zu dieser Frage, sodass, auch mit Blick auf die ablehnende Haltung der Datenschutzbehörden, in allen Fällen geraten wird, den Arbeitnehmern gegenüber vorerst lediglich eine dringende Empfehlung zur Installation und Nutzung der App auf dem Diensthandy auszusprechen.

Auszeichnungen

• TOP-Wirtschafts­kanzlei für Arbeits­recht
  (FOCUS SPEZIAL 2023, 2022, 2021, 2020)

---

• TOP-Kanzlei für Arbeitsrecht
  (WirtschaftsWoche 2023, 2022, 2021, 2020)

---

• TOP-Anwältin für Arbeitsrecht: Ebba Herfs-Röttgen
  (WirtschaftsWoche, 2023, 2022, 2021, 2020)

---

• TOP-Anwalt für Arbeitsrecht: Prof. Dr. Nicolai Besgen
  (WirtschaftsWoche 2023, 2020)