Verarbeitung von Gesundheitsdaten: BAG fragt EuGH

Ein Mitarbeiter eines medizinischen Dienstes einer Krankenkasse (MDK) ist nach mehr als 20 Jahren Tätigkeit dauerhaft erkrankt. Sein Arbeitgeber gibt daraufhin – intern – ein Gutachten in Auftrag, um die Arbeitsunfähigkeit des Mitarbeiters zu prüfen. Dieses Gutachten wurde im System der MDK gespeichert. Die Kollegen des Betroffenen in der IT-Abteilung bekommen dadurch Zugriff auf sein Krankheitsbild, seine Diagnose und alle damit zusammenhängenden personenbezogenen Daten. Der Mitarbeiter klagt nun gegen seinen Arbeitgeber auf Schadensersatz wegen Datenschutzverletzung in Höhe von 20.000 €.

Das entschied das Gericht

Das Arbeitsgericht Düsseldorf und Landesarbeitsgericht Düsseldorf als Vorinstanzen wiesen die Klage ab. Das BAG legt die Frage, ob es mit der europäischen Datenschutzgrundverordnung (DSGVO) vereinbar ist, dass der MDK die gesundheitlichen Daten zur Arbeitsunfähigkeit der eigenen Mitarbeiter speichert, nun dem EuGH vor.

Das BAG geht davon aus, dass es gegen Art. 9 Abs. 1 DSGVO (Verarbeitung besonderer Kategorien personenbezogener Daten, z.B. Gesundheitsdaten) verstößt, wenn medizinische Gutachten der eigenen Mitarbeiter gespeichert werden. Denn im vorliegenden Falle ist das Gutachten als solches auch nicht für das Arbeitsverhältnis relevant, lediglich die Feststellung, dass eine Arbeitsunfähigkeit besteht und wie lange der Zustand voraussichtlich andauern wird. Arbeitgeber dürfen im Falle der Arbeitsunfähigkeit keine Diagnose erfahren. Da der MDK die Gesundheitsdaten hier nicht als Arbeitgeber, sondern im Auftrag der Krankenkasse als Gutachter erhoben hat, greifen auch nicht die Ausnahmen aus Art. 9 Abs. 2 DSGVO, wonach eine Verarbeitung dieser Daten erlaubt ist. Das Gericht lehnt eine Ausnahme insbesondere mit dem Argument ab, dass sich daraus für den MDK eine unzulässige erweiterte Datenverarbeitungskompetenz gegenüber anderen Arbeitgeber ergeben würde, aufgrund dessen Doppelfunktion als Gutachter und Arbeitgeber.

Sollte die Zulässigkeit der Datenverarbeitung nach Art. 9 Abs. 2 DSGVO angenommen werden, bleibt fraglich, inwieweit diese noch nach Art. 6 DSGVO(Rechtmäßigkeit der Verarbeitung) zu überprüfen sei. Weitere Anfragen an den EuGH betreffen die Zugriffsrechte von anderen Mitarbeitenden auf die gespeicherten Gesundheitsdaten sowie die Frage inwiefern der Schadensersatz verschuldensabhängig ist und ob general- und spezialpräventive Gesichtspunkte bei der Bestimmung der Höhe berücksichtigt werden müssen.

Praxishinweis

Und wieder einmal schult diese Entscheidung den Blick für die notwendige Sensibilität, die Arbeitgeber –  aber auch Personalräte  – an den Tag legen müssen, wenn es um die Verarbeitung der personenbezogenen Daten ihrer Mitarbeitenden bzw. Kolleg:innen geht. So untypisch der vorliegende Fall aufgrund der Doppelfunktion der MDK auch ist, so können die Grundsätze der Entscheidung doch auf andere Fälle übertragen werden. Grundsätzliches Ziel soll es sein, die für die Arbeitsorganisation notwendige Datenverarbeitung so eingriffsschwach wie möglich auszugestalten. Und wie so häufig, liegt dabei die Lösung häufig im Finden geeigneter technisch-organisatorischer Maßnahmen.

Die Vorlagefragen können bisher unterschiedlich entschiedene Fälle aufklären: Zunächst ist beim Verhältnis von Art. 9 DS-GVO und Art. 6 DS-GVO fraglich, ob die Anwendbarkeit des Art. 9 DS-GVO eine Überprüfung nach Art. 6 DS-GVO sperrt. Dagegen spricht die besondere Schutzbedürftigkeit der besonderen personenbezogenen Daten. Zudem wurde bei der Bemessung des Schadensersatzanspruchs teilweise über den Ausgleichscharakter des Schadensrechts hinaus, eine Abschreckungsfunktion angenommen, welche höhere Entschädigungsbeträge rechtfertigen könnte.

Dr. Michael Bachner, Fachanwalt für Arbeitsrecht und Partner bei schwegler rechtsanwälte, Frankfurt am Main

Joy Dahmen, Rechtsreferendarin und wissenschaftliche Mitarbeiterin bei schwegler rechtsanwälte, Frankfurt am Main