Verarbeitung von Gesundheitsdaten im Arbeitsverhältnis: In Ausnahmefällen erlaubt
Marzena SickingEin Arbeitgeber, der als Medizinischer Dienst Gesundheitsdaten eines eigenen Arbeitnehmers verarbeitet, ist nicht verpflichtet dafür zu sorgen, dass überhaupt kein anderer Beschäftigter Zugang zu diesen Daten hat. Das hat das Bundesarbeitsgericht in einem aktuellen Urteil bestätigt.
Das Bundesarbeitsgericht hat in einem aktuellen Urteil (8 AZR 253/20) klargestellt, dass die Verarbeitung von Gesundheitsdaten durch einen Medizinischen Dienst, der von einer gesetzlichen Krankenkasse mit der Erstellung eines Gutachtens beauftragt wird, auch dann zulässig ist, wenn es hierbei um die Daten eines Angestellten des Medizinischen Dienstes geht. Das Gericht beruft sich bei seinem Urteil auf Art. 9 Abs. 2 DSGVO und stellt klar, dass der Arbeitgeber nicht verpflichtet ist, den Zugang zu diesen Daten für andere Mitarbeiter vollständig zu verhindern.
Klage gegen Verarbeitung sensibler Daten landet vor dem Bundesarbeitsgericht
Der Medizinische Dienst Nordrhein, der im Auftrag der gesetzlichen Krankenkassen medizinische Begutachtungen durchführt, wurde im vor Gericht verhandelten Fall für die Begutachtung eines eigenen Mitarbeiters zuständig. Dieser Mitarbeiter war seit längerer Zeit arbeitsunfähig erkrankt und erhielt Krankengeld. Die Krankenkasse beauftragte den Medizinischen Dienst mit der Erstellung eines Gutachtens zur Klärung der Arbeitsunfähigkeit. Die Begutachtung und anschließende Verarbeitung der Gesundheitsdaten erfolgte durch eine speziell eingerichtete Organisationseinheit innerhalb des Medizinischen Dienstes, die Zugriff auf einen gesperrten Bereich des IT-Systems hatte.
Klage auf immateriellen Schadenersatz
Der Kläger, selbst ein Mitarbeiter der IT-Abteilung des Medizinischen Dienstes, argumentierte, dass die Verarbeitung seiner Gesundheitsdaten durch den eigenen Arbeitgeber unzulässig gewesen sei. Er forderte immateriellen Schadenersatz gemäß Art. 82 Abs. 1 DSGVO und machte geltend, dass das Gutachten von einem anderen Medizinischen Dienst hätte erstellt werden müssen. Zudem bemängelte er die Sicherheitsmaßnahmen im Umgang mit seinen Daten und führte an, dass die unrechtmäßige Verarbeitung bei ihm Sorgen und Befürchtungen ausgelöst habe.
Verarbeitung der Gesundheitsdaten durch eigenen Arbeitgeber zulässig
Die Vorinstanzen und das Bundesarbeitsgericht wiesen die Klage ab. Das Gericht stellte fest, dass die Verarbeitung der Gesundheitsdaten des Klägers durch den Medizinischen Dienst rechtmäßig und unionsrechtlich zulässig war. Die Verarbeitung diente der Erfüllung eines Auftrags zur Beseitigung von Zweifeln an der Arbeitsunfähigkeit und war im Rahmen der gesetzlichen Vorgaben erforderlich. Das Gericht betonte, dass die Sicherheitsmaßnahmen des Medizinischen Dienstes den Anforderungen der DSGVO entsprachen und dass alle beteiligten Mitarbeiter einer beruflichen Verschwiegenheitspflicht unterlagen.
Schlussfolgerung und Auswirkungen auf die Praxis
Das Urteil des Bundesarbeitsgerichts verdeutlicht, dass die Verarbeitung von Gesundheitsdaten durch einen Arbeitgeber, der als Medizinischer Dienst tätig ist, auch bei eigenen Arbeitnehmern zulässig ist, sofern die gesetzlichen Vorgaben eingehalten werden. Arbeitgeber müssen dabei sicherstellen, dass organisatorische und technische Maßnahmen zum Schutz der Daten getroffen werden, aber sie sind nicht verpflichtet, jeglichen Zugang durch andere Mitarbeiter zu verhindern. Diese Entscheidung schafft Klarheit für die Praxis und betont die Bedeutung der DSGVO-konformen Verarbeitung von Gesundheitsdaten im Arbeitsverhältnis.