DSGVO-konforme Verarbeitung von Gesundheitsdaten der Arbeitnehmer

Wesentliche rechtliche Anforderungen

Die Datenschutz-Grundverordnung (DSGVO) verbietet die Verarbeitung besonderer Kategorien personenbezogener Daten, zu denen auch Daten über den Gesundheitszustand einer natürlichen Person gehören, sofern nicht eine der in der Verordnung ausdrücklich genannten Ausnahmen erfüllt ist.

Mit anderen Worten: Der Arbeitgeber darf keine Informationen über Krankheiten, Diagnosen oder Behinderungen eines Arbeitnehmers erheben oder erfassen, wenn er dafür keinen eindeutigen gesetzlichen Grund und keine entsprechende Rechtsgrundlage hat. Neben den allgemeinen Verarbeitungsgrundsätzen (wie Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Datenminimierung usw.) muss der Arbeitgeber daher für jede Verarbeitung von Gesundheitsdaten zwei Ebenen von Voraussetzungen erfüllen:

1. „Gewöhnliche“ Rechtsgrundlage nach Art. 6 DSGVO:

Es muss einer der Verarbeitungsgründe vorliegen, die die DSGVO für personenbezogene Daten allgemein anerkennt (z. B. Erfüllung einer rechtlichen Verpflichtung, berechtigtes Interesse, ausnahmsweise Einwilligung der betroffenen Person usw.).

2. Ausnahme für sensible Daten nach Art. 9 DSGVO:

Über die gewöhnliche Rechtsgrundlage hinaus muss auch eine besondere Bedingung erfüllt sein, die die Verarbeitung von Gesundheitsdaten erlaubt. Die DSGVO schützt solche Daten nämlich strenger – ihre Verarbeitung ist a priori verboten, sofern der Verantwortliche nicht nachweist, dass sie unter eine der abschließend aufgezählten Ausnahmen fällt (z. B. die Verarbeitung ist für Zwecke der Gesundheitsversorgung, arbeitsrechtlicher Pflichten u. Ä. erforderlich).

Typische Ausnahmen, die dem Arbeitgeber eine rechtmäßige Verarbeitung von Gesundheitsdaten der Arbeitnehmer ermöglichen, sind zum Beispiel:

1. Erfüllung von Pflichten im Arbeitsrecht und Arbeitsschutz: 

Wenn die Verarbeitung von Gesundheitsdaten durch ein besonderes Gesetz vorgeschrieben oder zur Erfüllung einer Pflicht des Arbeitgebers nach dem tschechischen Arbeitsgesetzbuch (Gesetz Nr. 262/2006 Slg., im Folgenden „ArbGB“) oder nach sozialversicherungsrechtlichen Vorschriften erforderlich ist. Hierzu gehören z. B. die Erfassung vorübergehender Arbeitsunfähigkeiten für die Auszahlung des Krankengeldes, die Führung von Aufzeichnungen über Arbeitsunfälle oder Berufskrankheiten u. Ä.

2. Präventive und arbeitsmedizinische Versorgung: 

Daten aus ärztlichen Untersuchungen, Gutachten über die Arbeitsfähigkeit oder Testergebnisse, sofern sie zur Beurteilung der gesundheitlichen Eignung des Arbeitnehmers für die Arbeit erforderlich sind. Diese Daten darf in der Regel der Anbieter arbeitsmedizinischer Dienste oder eine andere zur Verschwiegenheit verpflichtete medizinische Fachkraft verarbeiten. Der Arbeitgeber sollte nur das Ergebnis der Eignungsbeurteilung („arbeitsfähig/arbeitsunfähig“) erhalten, nicht jedoch detaillierte Diagnosen.

3. Schutz lebenswichtiger Interessen: 

Z. B. die Weitergabe von Gesundheitsinformationen in einer Situation, in der es um die Rettung des Lebens oder der Gesundheit des Arbeitnehmers oder einer anderen Person geht und der Arbeitnehmer nicht in der Lage ist, seine Einwilligung zu erteilen (typischerweise ein akuter medizinischer Eingriff am Arbeitsplatz).

4. Öffentliches Interesse im Bereich der Gesundheit: 

Außergewöhnliche Situationen wie Epidemien können eine bestimmte Verarbeitung rechtfertigen – z. B. Temperaturmessungen, die Erfassung von Testergebnissen auf Infektionskrankheiten u. Ä., wenn dies im Interesse des Schutzes der öffentlichen Gesundheit liegt und zugleich auf Rechtsvorschriften oder auf dem berechtigten Interesse des Arbeitgebers beruht, seine Pflicht zur Gewährleistung eines sicheren Arbeitsumfelds zu erfüllen.

5. Ausdrückliche Einwilligung des Arbeitnehmers:

Nur ausnahmsweise, wenn keine andere Rechtsgrundlage anwendbar ist, kann der Arbeitnehmer freiwillig seine ausdrückliche Einwilligung in die Verarbeitung einer bestimmten Gesundheitsangabe für einen bestimmten Zweck erteilen. Die Einwilligung muss freiwillig und informiert sein, sie darf nicht bloß „vorausgesetzt“ oder erzwungen werden, und der Arbeitnehmer kann sie jederzeit widerrufen.

Im Beschäftigungsverhältnis ist jedoch Vorsicht geboten – angesichts des Unterordnungs- und Abhängigkeitsverhältnisses wird angenommen, dass die Einwilligung des Arbeitnehmers oft nicht ganz freiwillig erteilt wird, und die Aufsichtsbehörden stellen die Wirksamkeit solcher Einwilligungen in Frage. Die Einwilligung sollte daher eher ausnahmsweise verwendet werden, z. B. bei völlig freiwilligen Benefits oder Zusatzleistungen, die der Arbeitnehmer nicht in Anspruch nehmen muss.

Neben der Wahl der richtigen Rechtsgrundlage ist es entscheidend, auch die Grundsätze der Datenminimierung und der Zweckbindung einzuhalten. In der Praxis bedeutet dies, über den Arbeitnehmer nur solche Gesundheitsinformationen zu erheben, die zur Erreichung eines legitimen Zwecks erforderlich sind, und sie nicht in einer mit dem ursprünglichen Zweck unvereinbaren Weise weiterzuverwenden.

Wie die Datenschutzbehörde im erwähnten Berliner Fall treffend feststellte – wenn der Arbeitgeber nicht nachweisen kann, dass er bestimmte Gesundheitsdaten tatsächlich für einen berechtigten Zweck oder eine gesetzliche Pflicht benötigt, verstößt er gegen den Grundsatz der Erforderlichkeit und der Datenminimierung nach Art. 5 DSGVO.

Ein Unternehmen sollte daher stets begründen können, warum es die jeweiligen konkreten Gesundheitsinformationen anfordert und verarbeitet.

Praktische Schritte für Unternehmen

Aus Sicht der täglichen Praxis im Personalwesen und Personalmanagement gibt es zahlreiche Situationen, in denen der Umgang mit Gesundheitsdaten der Arbeitnehmer notwendig sein kann. Nachfolgend stellen wir übliche Szenarien, richtige Vorgehensweisen und Empfehlungen vor, wie die Einhaltung der DSGVO sichergestellt werden kann:

Typische Situationen, die eine Verarbeitung von Gesundheitsdaten erfordern:

1. Krankheit (vorübergehende Arbeitsunfähigkeit)

Erkrankt ein Arbeitnehmer, muss er in der Regel eine ärztliche Bescheinigung vorlegen. Die dem Arbeitgeber übergebene Standard-Arbeitsunfähigkeitsbescheinigung enthält nur die Information, dass der Arbeitnehmer vorübergehend arbeitsunfähig ist und für wie lange, nennt jedoch weder die Diagnose noch Einzelheiten der Erkrankung. 

Eine solche Bescheinigung enthält keine sensiblen Gesundheitsdaten im Sinne der DSGVO, sodass ihre Entgegennahme und Erfassung unbedenklich ist. Der Arbeitgeber sollte gerade auf diesem Formular bestehen. 

Er ist hingegen nicht berechtigt, vom Arbeitnehmer einen detaillierten ärztlichen Bericht mit Angabe der Diagnose zu verlangen (z. B. die Beschreibung aus einem Unfallbericht oder Testergebnisse über das für die Beurteilung der Arbeitsfähigkeit notwendige Maß hinaus). Würde der Arbeitgeber solche detaillierten Gesundheitsunterlagen ohne gesetzliche Pflicht sammeln, verstieße er gegen das Verbot der Verarbeitung besonders sensibler Daten.

Aus aktuellen Stellungnahmen ergibt sich, dass Arbeitgebern empfohlen werden kann, als Nachweis einer Krankheit stets nur die Standard-Arbeitsunfähigkeitsbescheinigung ohne Diagnose zu akzeptieren – die Entgegennahme von Unterlagen mit konkreten Gesundheitsangaben (z. B. der Krankheitsursache) kann als Verwaltungsdelikt im Bereich des Datenschutzes gewertet werden. (Ausgenommen sind Situationen, in denen eine andere Rechtsvorschrift die Übermittlung von Einzelheiten ausdrücklich verlangt – siehe unten die Erfassung von Arbeitsunfällen.)

2. Arbeitsunfälle und Berufskrankheiten

Bei einem Unfall am Arbeitsplatz oder der Feststellung einer Berufskrankheit ist der Arbeitgeber gesetzlich verpflichtet, diese Ereignisse zu erfassen und zu melden (z. B. der Arbeitsinspektion (inspekce práce) oder der Versicherung). Im Rahmen der Erfassung von Arbeitsunfällen werden in der Regel eine Beschreibung der Verletzung oder Erkrankung, die Umstände des Ereignisses und weitere Gesundheitsinformationen angegeben, die zur Beurteilung der Ansprüche des Arbeitnehmers erforderlich sind.

Hier besteht also eine gesetzliche Grundlage auch für die Verarbeitung detaillierterer Angaben über den Gesundheitszustand – es handelt sich um die Erfüllung einer rechtlichen Pflicht des Arbeitgebers im Bereich der Arbeitssicherheit. Diese Aufzeichnungen müssen jedoch ebenso sorgfältig geschützt werden wie andere sensible Daten, und Zugang zu ihnen sollten nur berechtigte Personen haben (siehe unten).

Ferner ist zu beachten, dass das Gesetz besondere Aufbewahrungsfristen für Unfallunterlagen festlegt: Nach den arbeitsrechtlichen Vorschriften werden Aufzeichnungen über Arbeitsunfälle und Berufskrankheiten 30 Jahre aufbewahrt (für Zwecke der Rentenversicherung). Das Unternehmen muss daher die sichere Archivierung dieser Daten für diesen Zeitraum und anschließend ihre sichere Vernichtung gewährleisten.

3. Einstellungs- und regelmäßige ärztliche Untersuchungen

Das ArbGB und die damit zusammenhängenden Vorschriften verpflichten den Arbeitgeber sicherzustellen, dass Arbeitnehmer eine ihrer gesundheitlichen Eignung entsprechende Arbeit verrichten. Vor Arbeitsantritt und in bestimmten Abständen während des Arbeitsverhältnisses müssen Arbeitnehmer daher arbeitsmedizinische Untersuchungen absolvieren. Das Gutachten über die gesundheitliche Eignung stellt der Vertragsarzt aus, und der Arbeitgeber erhält in der Regel nur das Ergebnis: geeignet/nicht geeignet für die Arbeit (ggf. mit Einschränkungen). Einzelheiten der Untersuchung oder Diagnosen bleiben zwischen Arbeitnehmer und Arzt vertraulich.

Für die Personalabteilung lautet die Empfehlung daher – nur die ärztlichen Gutachten selbst (bzw. die Bestätigung des Ergebnisses) aufzubewahren, nicht die vollständige medizinische Dokumentation. Die Verarbeitung dieser Daten stützt sich auf eine gesetzliche Pflicht (Erfüllung der Arbeitsschutzanforderungen) und auf die Ausnahme nach Art. 9 Abs. 2 Buchst. h DSGVO (Präventivmedizin, Beurteilung der Arbeitsfähigkeit). Auch hier gilt die Pflicht, diese Unterlagen vor unbefugtem Zugriff zu schützen.

4. Tests auf COVID-19 und andere Gesundheitsscreenings

Die Ausnahmesituation während der Pandemie stellte viele Arbeitgeber vor die Frage, ob sie Gesundheitsinformationen wie Ergebnisse von COVID-19-Tests oder Impfungen erheben oder beim Betreten des Arbeitsplatzes die Temperatur messen dürfen. Das Amt für den Schutz personenbezogener Daten (ÚOOÚ) bestätigte während der Pandemie, dass die Temperaturmessung oder die Erfassung eines negativen Tests unter strengen Voraussetzungen zulässig sein kann – insbesondere wenn dies durch die Pflicht des Arbeitgebers gerechtfertigt ist, ein sicheres und gesundheitlich unbedenkliches Arbeitsumfeld zu gewährleisten.

Rechtsgrundlage kann hier das berechtigte Interesse und die Erfüllung einer gesetzlichen Pflicht (Arbeitsschutz) sein; zugleich muss die Ausnahme für die Verarbeitung von Gesundheitsdaten aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit oder zum Schutz von Leben und Gesundheit erfüllt sein (Art. 9 Abs. 2 Buchst. i bzw. Buchst. b DSGVO).

In der Praxis bedeutet dies, nur die unbedingt notwendigen Maßnahmen durchzuführen (z. B. nicht flächendeckend messen, wenn die Situation es nicht erfordert, Daten nicht länger als nötig aufbewahren) und auf eine maximale Sicherheit der so gewonnenen Daten zu achten. Erfasst ein Unternehmen beispielsweise, dass ein Arbeitnehmer an einem bestimmten Tag positiv getestet wurde, muss es diese Aufzeichnung streng vertraulich behandeln und nach Wegfall des Zwecks löschen.

Welche Rechtsgrundlagen wählen

In jeder der oben beschriebenen Situationen sollte sich der Arbeitgeber klarmachen, auf welcher Grundlage (aus welchem Grund) er Gesundheitsdaten verarbeitet. In der Regel handelt es sich um:

1. die Erfüllung einer gesetzlichen Pflicht (Rechtsgrundlage nach Art. 6 Abs. 1 Buchst. c DSGVO – z. B. die Pflicht, Unfälle zu erfassen, die Kontrolle von Krankmeldungen zu ermöglichen, ärztliche Untersuchungen sicherzustellen usw.), oder

2. das berechtigte Interesse des Arbeitgebers (Art. 6 Abs. 1 Buchst. f – typischerweise die Gewährleistung der Sicherheit am Arbeitsplatz, der Schutz der Gesundheit anderer Arbeitnehmer, die Kontrolle des Missbrauchs von Sick Days u. Ä.).

3. Seltener kann es sich um die Einwilligung des Arbeitnehmers handeln (Art. 6 Abs. 1 Buchst. a); diese sollten Sie jedoch nur dann nutzen, wenn es sich tatsächlich nicht um eine Pflicht oder einen notwendigen Schritt handelt (z. B. wenn ein Arbeitnehmer freiwillig über seine gesundheitliche Einschränkung informiert, damit ihm der Arbeitgeber entgegenkommen kann – auch hier ist die Grundlage oft eher die Pflicht, ihn nicht zu diskriminieren).

Wichtig ist, nicht mehrere Rechtsgrundlagen unübersichtlich zu kombinieren – wählen Sie für jeden Verarbeitungszweck die zutreffendste und geben Sie diesen Grund auch im Verzeichnis der Verarbeitungstätigkeiten und in den Informationen für die Arbeitnehmer an. Vergessen Sie auch nicht die Anforderung des Art. 9 DSGVO: Zur gewählten Rechtsgrundlage nach Art. 6 benötigen Sie auch eine entsprechende Ausnahme für sensible Daten (siehe oben). Beispiel: Speichern Sie Arbeitsunfähigkeitsbescheinigungen, ist die Rechtsgrundlage die Erfüllung einer rechtlichen Pflicht (Nachweis gegenüber der Tschechischen Sozialversicherungsverwaltung (ČSSZ)) und die besondere Ausnahme Art. 9 Abs. 2 Buchst. b DSGVO (erforderlich zur Erfüllung von Pflichten im Bereich des Arbeitsrechts).

Richtiges Einholen und Aufbewahren von Einwilligungen 

Stützen Sie sich tatsächlich einmal auf die Einwilligung des Arbeitnehmers in die Verarbeitung von Gesundheitsdaten, achten Sie sorgfältig auf Form und Inhalt. Die Einwilligung muss ausdrücklich sein, also am besten schriftlich oder elektronisch mit Unterschrift, keinesfalls konkludent. Geben Sie konkret an, in welche Daten und zu welchem Zweck der Arbeitnehmer einwilligt (z. B. eine einmalige Erhebung biometrischer Daten für ein freiwilliges Gesundheitsprogramm).

Die Einwilligung darf nicht im Arbeitsvertrag oder in den AGB versteckt sein – es muss sich um ein eigenständiges Dokument oder eine klar abgegrenzte Klausel handeln.

Belehren Sie den Arbeitnehmer auch darüber, dass er die Einwilligung jederzeit widerrufen kann, und bieten Sie ihm dafür einen einfachen Weg an (z. B. Kontakt zur Personalabteilung oder zum DSB). Machen Sie übliche arbeitsrechtliche Vorgänge niemals von einer Einwilligung abhängig – betrachten Sie z. B. die Unterzeichnung einer Einwilligung nicht als Pflicht bei Arbeitsantritt. Damit verlöre die Einwilligung ihre Freiwilligkeit und wäre rechtlich unwirksam.

Erteilte Einwilligungen sollten sorgfältig dokumentiert werden; führen Sie idealerweise ein Einwilligungsregister, in dem Sie festhalten, wer wann und zu welchem Zweck eingewilligt hat, damit Sie dies im Falle einer Kontrolle nachweisen können.

Gestaltung interner Prozesse zur Gewährleistung des Datenschutzes

Die wichtigste praktische Maßnahme besteht darin, im Unternehmen klare Regeln festzulegen, wer mit Gesundheitsdaten der Arbeitnehmer wie umgehen darf. Gesundheitsunterlagen und -informationen sollten nur einem begrenzten Personenkreis zugänglich sein – typischerweise Personalmitarbeitern, Mitarbeitern der Lohnbuchhaltung (wegen des Krankengeldes) oder der Führungskraft, jedoch nur im erforderlichen Umfang. Sensible ärztliche Berichte oder Gutachten sollten getrennt von der gewöhnlichen Personalakte aufbewahrt werden, beispielsweise in einem versiegelten Umschlag oder in einem elektronischen HR-System mit eingeschränkten Zugriffsrechten.

Die technische Sicherung muss der Art der Daten entsprechen: Gesundheitsdaten in elektronischer Form sollten verschlüsselt oder zumindest durch ein starkes Passwort geschützt sein, der Zugriff auf Ordner protokolliert und an eine Berechtigung geknüpft werden. Papierunterlagen bewahren Sie in verschlossenen Schränken auf, mit Kontrolle darüber, wer Einsicht genommen hat. Jede digitale Erfassung von Gesundheitsdaten muss Teil der internen Sicherheitsmaßnahmen sein – unzureichende technische und organisatorische Sicherungen (z. B. Speicherung unverschlüsselter Daten, fehlende geregelte Verfahren für Zugriff und Benutzerauthentifizierung) stellen einen schwerwiegenden Verstoß gegen die DSGVO dar. Schulen Sie daher Mitarbeiter, die mit sensiblen Daten in Berührung kommen, über ihre Verschwiegenheitspflicht und die richtigen Verfahren.

Eine interne Richtlinie sollte festlegen, wie Gesundheitsdaten erfasst werden, wer Zugriffe genehmigt, wie bei einer Anfrage nach sensiblen Daten vorzugehen ist (z. B. wer die Diagnose aus einem Unfallprotokoll einsehen darf) und was im Falle eines möglichen Vorfalls zu tun ist (Verlust eines Dokuments, unbefugter Zugriff usw.).

Vergessen Sie auch nicht die Verschwiegenheitspflicht – hat das Unternehmen z. B. einen eigenen Betriebsarzt oder eine medizinische Fachkraft, muss es diese Person vertraglich zur Geheimhaltung verpflichten. Nicht zuletzt empfiehlt es sich, Daten überall dort zu anonymisieren oder zu pseudonymisieren, wo eine detaillierte Identifizierung nicht erforderlich ist – für Krankenstandsstatistiken genügen z. B. aggregierte Daten ohne Namen.

Aufbewahrungsdauer von Gesundheitsdaten

Die DSGVO verlangt, dass personenbezogene Daten nur so lange aufbewahrt werden, wie es für den Zweck erforderlich ist. Für Gesundheitsdaten gilt dies doppelt – das Unternehmen sollte sie nicht länger archivieren als notwendig. Legen Sie daher Löschfristen für die verschiedenen Dokumenttypen fest:

• Eine gewöhnliche Arbeitsunfähigkeitsbescheinigung oder ein Abwesenheitsvermerk kann vernichtet werden, sobald die gesetzliche Frist für eine etwaige Kontrolle oder die Verjährung von Ansprüchen abgelaufen ist (in der Regel einige Jahre). Sicherheitshalber wird oft eine Aufbewahrung von 3–4 Jahren nach Beendigung des Arbeitsverhältnisses wegen möglicher Streitigkeiten empfohlen, danach sind die Daten jedoch zu vernichten.

• Ärztliche Eignungsgutachten bewahren Sie für die Dauer des Arbeitsverhältnisses (bzw. der Gültigkeit des Gutachtens) und die gesetzlich festgelegte Zeit danach auf. Einige Vorschriften können eine Archivierung auch mehrere Jahre nach dem Ausscheiden des Arbeitnehmers verlangen (z. B. wegen etwaiger Ansprüche aus Berufskrankheiten).

• Unterlagen über Arbeitsunfälle und Berufskrankheiten unterliegen, wie oben erwähnt, einer besonders langen Frist – 30 Jahre ab dem Ereignis. Archivieren Sie diese Aufzeichnungen daher getrennt und sicher für diesen Zeitraum und vernichten Sie sie erst danach.

• Haben Sie die Einwilligung eines Arbeitnehmers für eine einmalige Aktion (z. B. ein Screening) eingeholt und hat die Aktion stattgefunden, besteht kein Grund, die Daten weiter vorzuhalten – löschen Sie die Daten unmittelbar nach Erreichen des jeweiligen Zwecks. Denken Sie daran: Widerruft der Arbeitnehmer seine Einwilligung, müssen Sie die Verarbeitung beenden und die Daten löschen (sofern Sie keinen anderen gesetzlichen Grund haben).

Zur Erleichterung kann in die interne Richtlinie oder die Akten- und Löschordnung eine Übersicht der Dokumenttypen mit personenbezogenen Daten der Arbeitnehmer aufgenommen werden, denen Aufbewahrungsfristen nach Rechtsvorschriften oder internen Bedürfnissen zugeordnet werden. Vernichten Sie die Daten nach Ablauf der jeweiligen Frist sicher (Schreddern von Papier, Löschung und Anonymisierung elektronischer Aufzeichnungen). So verhindern Sie eine unnötige Anhäufung sensibler Daten und verringern das Risiko, dass künftig jemand unbefugt darauf zugreift.

Haben Sie Zweifel an der richtigen Archivierungsdauer der Gesundheitsaufzeichnungen Ihrer Arbeitnehmer? Wir helfen Ihnen, interne Regeln festzulegen.

Typische Fehler und wie man sie vermeidet

Selbst mit den besten Absichten unterlaufen Unternehmen bei der Verarbeitung von Gesundheitsdaten der Arbeitnehmer manchmal Fehler.

Hier sind vier häufige Fehltritte, ergänzt um Beispiele aus der Praxis und Tipps, wie man sie vermeidet:

1. Erhebung unnötig detaillierter Informationen: 

Manchmal erfassen Arbeitgeber mehr Gesundheitsdaten, als sie tatsächlich benötigen – sie verlangen vom Arbeitnehmer etwa einen detaillierten ärztlichen Bericht mit Diagnose statt der ausreichenden Arbeitsunfähigkeitsbescheinigung. Damit verstoßen sie gegen den Grundsatz der Datenminimierung und können sich einer rechtswidrigen Verarbeitung sensibler Daten schuldig machen.

Wie vermeiden: Fragen Sie sich stets, ob Sie die jeweilige Information wirklich kennen müssen. Erheben Sie nur, was zur Erfüllung der Pflicht erforderlich ist (z. B. Beginn und Ende der Arbeitsunfähigkeit). Medizinische Details (Diagnosen, Krankheitsbeschreibungen) überlassen Sie den Ärzten und verlangen Sie sie nicht von den Arbeitnehmern.

2. Unklare oder unwirksame Einwilligung des Arbeitnehmers: 

Ein häufiger Fehler ist der Versuch, sich mit einer universellen Einwilligung des Arbeitnehmers „abzusichern“, die jedoch eine sehr weitreichende Verarbeitung (alle möglichen Daten) abdeckt oder rein formal ohne echte Wahlmöglichkeit eingeholt wird. Eine solche Pauschaleinwilligung widerspricht der DSGVO – sie ist weder bestimmt noch freiwillig. Zudem kann der Arbeitnehmer die Einwilligung jederzeit widerrufen, was das Unternehmen in Schwierigkeiten bringt, wenn es notwendige Prozesse darauf gestützt hat.

Wie vermeiden: Verlassen Sie sich nicht auf eine Einwilligung, wo Sie die Verarbeitung auf eine andere Rechtsgrundlage stützen können (gesetzliche Pflicht, berechtigtes Interesse). Benötigen Sie doch eine Einwilligung, formulieren Sie sie eng für den jeweiligen Zweck und geben Sie dem Arbeitnehmer wirklich die Wahl (keine Sanktionen oder Nachteile bei Ablehnung). Ein Beispiel guter Praxis ist ein freiwilliges Gesundheitsprogramm – bieten Sie den Arbeitnehmern die Teilnahme an, aber zwingen Sie sie nicht. Archivieren Sie die Einwilligung und prüfen Sie regelmäßig, ob sie noch gültig und erforderlich ist.

3. Unzureichende Sicherheit und Verschwiegenheit: 

Selbst die beste Rechtsgrundlage hilft nicht, wenn das Unternehmen organisatorische und technische Maßnahmen zum Datenschutz vernachlässigt. In der Praxis gab es Fälle, in denen sensible Ordner mit Arbeitnehmerdaten aufgrund einer fehlerhaften Systemkonfiguration einem größeren Personenkreis frei zugänglich waren – so geschehen z. B. im Fall H&M, in dem interne Aufzeichnungen über Gesundheit und Privatleben der Arbeitnehmer vorübergehend dem gesamten Unternehmen zugänglich waren, was anschließend zu einem Rekordbußgeld führte. 

Wie vermeiden: Führen Sie strikte Zugriffsrechte ein – nur beauftragte Personen erhalten Zugang zu Gesundheitsdaten. Verschlüsseln Sie Dateien und nutzen Sie gesicherte Speicher. Kommunizieren Sie intern konsequent, dass Gesundheitsinformationen vertraulich sind. Jeder, der mit ihnen arbeitet, sollte zur Verschwiegenheit verpflichtet sein. Führen Sie regelmäßige Audits durch, ob es zu unbefugten Zugriffen kommt. Achten Sie bei IT-Systemen auf Updates und Sicherheitsfunktionen (Verschlüsselung, Zwei-Faktor-Authentifizierung, Zugriffsprotokollierung). So beugen Sie Datenlecks und Datenmissbrauch vor.

4. Missbrauch von Gesundheitsdaten zu unzulässigen Zwecken: 

Am schwerwiegendsten ist die Situation, in der der Arbeitgeber erlangte sensible Daten gegen Arbeitnehmer oder für diskriminierende Entscheidungen verwendet. So deckte etwa der erwähnte Berliner Fall auf, dass ein Unternehmen eine Liste „kritischer“ Arbeitnehmer auf Grundlage psychischer Erkrankungen und weiterer persönlicher Informationen führte und diese bei Entlassungen verwendete. Das ist ein grober Verstoß gegen Gesetz und Ethik – die DSGVO bestimmt eindeutig, dass Gesundheitsdaten nicht zum Zweck einer unzulässigen Bewertung oder Diskriminierung von Arbeitnehmern verarbeitet werden dürfen.

Wie vermeiden: Verankern Sie in der Unternehmenskultur eine Null-Toleranz gegenüber jeglichem Missbrauch personenbezogener Daten. Gesundheitsdaten dienen ausschließlich gesetzlichen Zwecken (z. B. Gesundheitsschutz, Pflichterfüllung) und niemals der Entscheidung darüber, wer eine Gehaltserhöhung erhält, befördert oder entlassen wird, sofern dies nicht unmittelbar mit der betreffenden Information zusammenhängt.

Entscheidungen in Arbeitsangelegenheiten müssen auf Leistung, Qualifikation und objektiven Kriterien beruhen – niemals darauf, dass jemand gesundheitliche Probleme hat oder etwa ein krankes Familienmitglied pflegt. Überprüfen Sie Ihre internen Prozesse (Einstellung, Beurteilung, Beendigung des Arbeitsverhältnisses) und stellen Sie sicher, dass sie keine gesundheitsbezogenen Fragen oder Kriterien enthalten, die sich nicht auf Pflichten des Arbeitgebers stützen.

Wenn Sie unsicher sind, ob in Ihrem Fall die Erfüllung einer rechtlichen Pflicht oder die Einwilligung besser geeignet ist, beurteilen wir Ihre Situation gerne individuell.