Welche Gesundheitsdaten von Mitarbeitern dürfen erhoben und gespeichert werden?

Schon damit ein Arbeitsverhältnis überhaupt zustande kommen kann, ist es notwendig, dass Arbeitgeber personenbezogene Daten ihrer Beschäftigten erheben und verarbeiten. Dabei gelten natürlich Anforderungen an den Schutz dieser Daten. Umso mehr gilt das, wenn es sich dabei um Daten der sogenannten besonderen Kategorien handelt, zu denen insbesondere Gesundheitsdaten zählen. Welche Grundlagen spielen hier eine Rolle?

Gesundheitsdaten sind besonders schützenswert

Damit personenbezogene Daten überhaupt verarbeitet werden dürfen, muss sich der Verantwortliche auf eine Rechtsgrundlage stützen können. Das gilt im Umgang mit Kunden gleichermaßen wie im Umgang mit Beschäftigten.

Handelt es sich bei diesen personenbezogenen Daten um besonders schutzwürdige, gelten für die Verarbeitung noch einmal besondere Vorschriften, die diese besondere Schutzwürdigkeit berücksichtigen. Die DSGVO geht hierauf in Artikel 9 ein, welcher die Verarbeitung besonderer Kategorien personenbezogener Daten betrifft.

Das sind entsprechende Daten, aus denen „die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen“, betroffen ist auch die Verarbeitung „von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person“.

Gesundheitsdaten sind dabei Daten, die sich auf die körperliche oder geistige Gesundheit beziehen und aus denen Informationen über den Gesundheitszustand hervorgehen. Darunter können beispielsweise Gesundheitszeugnisse fallen oder auch Krankschreibungen. 

Verarbeitung nur im „Ausnahmefall“

Solche Gesundheitsdaten dürfen nur in solchen Ausnahmefällen verarbeitet werden, die gesetzlich vorgesehen sind. Dazu gehören laut der DSGVO hier insbesondere die Situationen, 

• dass die beschäftigte Person wirksam und ausdrücklich in die Verarbeitung der Gesundheitsdaten eingewilligt hat oder
• dass die Verarbeitung zur Erfüllung arbeitsvertraglicher Pflichten erforderlich ist. 

Bei Datenverarbeitungen für Zwecke des Beschäftigungsverhältnisses gibt außerdem § 26 BDSG (Bundesdatenschutzgesetz) weitere Rahmenbedingungen vor – beispielsweise im Hinblick auf eine Einwilligung. Diese muss, um wirksam zu sein, freiwillig vom Betroffenen ausgesprochen werden. Für die Beurteilung der Freiwilligkeit gibt § 26 Abs. 2 BDSG vor, dass hierfür etwa die bestehende Abhängigkeit der beschäftigten Person und die Umstände zu berücksichtigen sind, unter denen die Einwilligung erteilt wurde.

In welchem Umfang ist die Verarbeitung wirklich erforderlich?

In der Praxis können die Situationen damit durchaus komplex sein, schließlich kommt es auf diverse Details an. So hat ein Arbeitgeber beispielsweise natürlich ein Interesse an der Erfassung der Fehlzeiten seiner Beschäftigten. Ausschlaggebend ist, dass die Vorlage einer Arbeitsunfähigkeitsbescheinigung für die Erfüllung arbeitsvertraglicher Pflichten erforderlich ist, etwa mit Blick auf die Entgeltfortzahlung.

Das erlaubt dem Arbeitgeber aber eben nicht jedweden Umgang mit der Krankmeldung des Mitarbeiters, und begrenzt auch den Informationsumfang: Der Zeitraum der Krankmeldung ist für den Arbeitgeber sehr relevant, die Diagnose hingegen geht ihn in der Regel nichts an. So ist auch das Anfertigen von Kopien der AU-Bescheinigung problematisch.

Und auch das Informieren der anderen Mitarbeiter über die Krankheit eines Kollegen ist in der Regel nicht erforderlich – nicht einmal die komplette Personalabteilung muss zwingend Zugriff auf die Daten haben. Soll heißen: Auch die Zugangsrechte zu gesundheitsbezogenen Daten müssen im Einzelfall geregelt werden, so wie die Datensicherheit. Hierzu gehört etwa auch eine ordnungsgemäße Entsorgung etwaiger Unterlagen. Das gilt im Bereich der Krankschreibungen wie auch im Hinblick auf Reha-Maßnahmen, Unfälle, Schwerbehinderungen und ähnliches. 

Arbeitgeber müssen sich im Hinblick auf den Umgang mit Gesundheitsdaten ihrer Beschäftigten also unbedingt an die gesetzlichen Vorgaben halten und auch die nötigen Vorkehrungen treffen, die vor dem Hintergrund der besonderen Sensibilität dieser Daten erforderlich und angezeigt sind.