Datenschutz und Gesundheitsdaten von Beschäftigten / 3.1 Allgemein

Um Gesundheitsdaten von Beschäftigten und damit personenbezogene Daten besonderer Kategorien rechtswirksam verarbeiten zu können, bedarf es für den Arbeitgeber einer passenden Rechtsgrundlage. Denn die DSGVO stellt die Verarbeitung von Gesundheitsdaten unter ein Verbot mit Erlaubnisvorbehalt. Das heißt, die Verarbeitung von personenbezogenen Daten besonderer Kategorien ist grundsätzlich unzulässig, es sei denn es greift eine gesetzliche Legitimation. Diese sind in Art. 9 Abs. 2 DSGVO geregelt, wobei grundsätzliche eine Verschärfung dieser Anforderungen im Bereich der Gesundheitsdaten für die Mitgliedsstaaten möglich ist. Folgende Rechtsgrundlagen kommen für die Verarbeitung von Gesundheitsdaten von Beschäftigten vornehmlich in Betracht:

• Einwilligung: Nach Art. 9 Abs. 2 Buchst. a DSGVO dürften die Daten aufgrund einer Einwilligung des Beschäftigten verarbeitet werden. Auf diese Weise ist auch eine Entbindung von der gesetzlichen Schweigepflicht möglich. Die Einwilligung muss sich an den allgemeinen Anforderungen des Art. 7 DSGVO messen lassen und aufgrund von § 26 Abs. 2 Satz 3 BDSG schriftlich eingeholt werden. Die Einwilligung muss freiwillig erfolgen, d. h. ohne dass dies Konsequenzen für den Arbeitnehmer bei einer Verweigerung hat. Dies ist im Rahmen eines Beschäftigungsverhältnisses nicht unproblematisch, da hier häufig keine echte Freiwilligkeit vorliegen wird. Freiwilligkeit kann nach § 26 Abs. 2 Satz 2 BDSG u. a. dann vorliegen, wenn der Beschäftigte einen rechtlichen oder wirtschaftlichen Vorteil erlangt.
• Erfüllung von Arbeitgeberpflichten: Nach Art. 9 Abs. 2 Buchst. b DSGVO ist die Verarbeitung auch dann zulässig, wenn sie erforderlich ist, damit der Verantwortliche die ihm aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenen Rechte ausüben und seinen diesbezüglichen Pflichten nachkommen kann. So ist es beispielsweise denkbar, dass die Verarbeitung von Gesundheitsdaten erforderlich ist, da bestimmte Behinderungen im konkreten Einzelfall zu einem Beschäftigungsverbot führen würden und der Arbeitgeber die Einhaltung dieser Vorschriften durch die Verarbeitung sicherstellen möchte
• Durchsetzung von Rechtsansprüchen: Nach Art. 9 Abs. 2 Buchst. f DSGVO ist eine Verarbeitung von Gesundheitsdaten zulässig, wenn die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Dies ist beispielsweise dann der Fall, wenn der Arbeitnehmer Schadensersatz aufgrund der Verletzung bestimmter Arbeitsschutzgesetze geltend macht und der Arbeitnehmer eine Einhaltung dieser Schutzgesetze nur durch Offenlegung personenbezogener Daten besonderer Kategorien demonstrieren kann (z. B. Ergebnisse von medizinischen Tests vor Einsatz in einem körperlich besonders herausfordernden Bereich).

Sofern die Verarbeitung von Gesundheitsdaten rechtlich zulässig ist, dürfen sie dennoch regelmäßig nicht innerhalb des Unternehmens veröffentlicht werden. Der jeweils verfolgte Zweck wird meist auch dann zu erreichen sein, wenn die Gesundheitsdaten der Beschäftigten nicht kommuniziert werden. Aufgrund der besonderen Sensibilität der Daten sollten die Zugriffsrechte sehr restriktiv vergeben werden. Bevor ein Zugriff erteilt wird, sollte genau geprüft werden, ob die Person den Zugriff unbedingt zur Aufgabenerfüllung benötigt.

Praxis-Tipp

Erfassung unnötiger Gesundheitsdaten vermeiden

In der Praxis finden sich häufig teamübergreifende Kalender, in denen die Verfügbarkeit der einzelnen Mitarbeiter ersichtlich ist. Um an dieser Stelle unnötige Gesundheitsdaten zu vermeiden, sollten alle Abwesenheitsgründe (wie z. B. Urlaub, Krankheit, Mutterschutz, Dienstreise etc.) unter dem Merkmal "abwesend" zusammengefasst werden. Aus dem Merkmal ‹abwesend› kann kein Rückschluss auf die Gesundheit der Arbeitnehmer geschlossen werden. Folglich handelt es sich dann nicht mehr um Gesundheitsdaten.

Zudem sollte der Arbeitgeber allgemeine datenschutzrechtliche Grundsätze beachten, wie beispielsweise Löschpflichten oder die Zweckbindung personenbezogener Daten.^[1]

Praxis-Tipp

Bei Erhebung der Daten bereits an die Löschpflichten denken

Um zu einem späteren Zeitpunkt die im Ausnahmefall erhobenen Daten einfach löschen zu können, sollten diese Daten getrennt von allen anderen Daten erhoben und verarbeitet werden. Idealerweise sollten die Daten über Infektionen oder Kontakte einer Person nicht in bestehende Personalmanagementsysteme integriert werden. Werden die Daten in einer getrennten Datei gespeichert, kann diese Datei nach Zweckfortfall einfach gelöscht werden. Fließen die Daten hingegen in Bestandssysteme, so wird eine Löschung nach Zweckfortfall mehr Zeit und Ressourcen in Anspruch nehmen.

[1] Vgl. Die Bedeutung der Datenschutz-Grundverordnung für das Arbeitsverhältnis.