Gesundheitsdaten von Mitarbeitenden: was der EuGH zu Art. 9 DSGVO entschied (C-667/21)

Der erste Schritt ist ein klares Verständnis davon, was überhaupt als Gesundheitsdatum gilt. Der Begriff ist bewusst weit gefasst und umfasst alle Informationen, die Rückschlüsse auf den körperlichen oder geistigen Gesundheitszustand einer Person erlauben. Dazu gehören offensichtliche Angaben wie Diagnosen, aber auch mittelbare Informationen. Schon der Umstand, dass jemand krankheitsbedingt fehlt, kann je nach Kontext gesundheitsbezogen sein, ebenso Angaben aus Wiedereingliederungs- oder Schutzmaßnahmen.

Der rechtliche Ausgangspunkt ist denkbar streng: Die Verarbeitung solcher besonders geschützter Daten ist grundsätzlich verboten. Dieses Verbot ist die Regel, die Erlaubnis die Ausnahme. Eine Verarbeitung kommt nur in Betracht, wenn ein eng umrissener Ausnahmetatbestand greift. Dieser Grundsatz dreht die übliche Logik um: Statt zu fragen, ob etwas verboten ist, muss man positiv begründen können, warum die Verarbeitung ausnahmsweise zulässig sein soll.

Im Arbeitsverhältnis stützt sich die Zulässigkeit vor allem auf rechtliche Pflichten und Rechte aus dem Arbeits- und Sozialrecht. Typische Anknüpfungspunkte sind die Entgeltfortzahlung im Krankheitsfall, gesetzlich vorgesehene Melde- und Nachweispflichten oder Aufgaben der Personalverwaltung, die ohne bestimmte gesundheitsbezogene Angaben nicht erfüllt werden können. Außerhalb solcher klar benennbaren Zwecke fehlt es regelmäßig an einer tragfähigen Grundlage.

Aus dieser Konstruktion folgt das Prinzip der strikten Zweckbindung. Gesundheitsdaten dürfen ausschließlich für den konkreten Zweck verwendet werden, für den eine Grundlage besteht. Eine vorsorgliche Sammlung auf Vorrat, eine Nutzung für allgemeine Auswertungen oder eine Weitergabe an Stellen, die den Bezug nicht benötigen, sind damit ausgeschlossen. Jede neue Verwendung muss sich erneut an einem zulässigen Zweck messen lassen.

Ein besonders praxisrelevanter Aspekt betrifft Konstellationen, in denen eine Organisation mehrere Rollen in sich vereint. Tritt eine Stelle gleichzeitig als Arbeitgeber und in einer weiteren Funktion auf, etwa mit sozialen oder behördlichen Aufgaben, dürfen die Datenbestände dieser Rollen nicht vermischt werden. Daten, die in der einen Eigenschaft rechtmäßig erhoben wurden, dürfen nicht automatisch in der anderen Eigenschaft genutzt werden. Diese saubere Trennung von Rollen und Zwecken ist anspruchsvoll, aber zentral.

Damit verbunden ist das Gebot der Erforderlichkeit und Datensparsamkeit. Gesundheitsdaten sollten nur in dem Umfang erhoben werden, der für den jeweiligen Zweck wirklich nötig ist. Oft genügt eine knappe Information, etwa über das Bestehen einer Arbeitsunfähigkeit und deren Dauer, ohne dass Details zur Ursache erforderlich wären. Wer von vornherein nur das Nötigste erhebt, reduziert das Risiko und vereinfacht den weiteren Umgang.

Ebenso wichtig ist eine konsequente Zugriffsbeschränkung. Gesundheitsbezogene Informationen sollten nur denjenigen zugänglich sein, die sie für ihre Aufgabe zwingend brauchen. Das spricht klar dafür, solche Daten getrennt von den allgemeinen Personalakten zu führen und mit eigenen, restriktiven Berechtigungen zu versehen. Vorgesetzte benötigen häufig nur die Information über Anwesenheit oder Abwesenheit, nicht aber gesundheitliche Einzelheiten.

Die technische und organisatorische Absicherung rundet das Schutzkonzept ab. Dazu gehören Verschlüsselung sensibler Bestände, durchdachte Berechtigungskonzepte, nachvollziehbare Prozesse für die Erhebung und Weitergabe sowie klare Regeln zur Aufbewahrung. Gesundheitsdaten, die ihren Zweck erfüllt haben, sollten geordnet und fristgerecht gelöscht werden. Ein schlanker Datenbestand ist nicht nur rechtlich vorteilhaft, sondern auch im Schadensfall leichter zu beherrschen.

Für die alltägliche Umsetzung empfiehlt es sich, typische Vorgänge in klar definierte Abläufe zu gießen. Der Umgang mit Krankmeldungen, mit Bescheinigungen oder mit gesundheitsbedingten Einschränkungen sollte standardisiert sein, sodass jeder Beteiligte weiß, welche Information wohin gehört und wer sie sehen darf. Solche Standardprozesse verhindern, dass im Tagesgeschäft aus Bequemlichkeit Daten ungeschützt weitergereicht werden.

Digitale Werkzeuge können dabei eine wichtige Rolle spielen, wenn sie das Trennungs- und Zugriffsprinzip technisch unterstützen. Ein System, das gesundheitsbezogene Angaben in geschützten Bereichen führt, Berechtigungen fein steuert und nur die jeweils notwendigen Informationen anzeigt, nimmt den handelnden Personen einen Teil der Verantwortung ab und macht datenschutzkonformes Verhalten zum einfachsten Weg.

Zusammengefasst geht es beim Umgang mit Gesundheitsdaten um eine klare Grundhaltung: Im Zweifel weniger erheben, nur für klar benannte Zwecke verwenden, Rollen und Zugriffe sauber trennen und alles gut absichern. Wer diese Prinzipien in verbindliche interne Abläufe übersetzt und durch geeignete technische Mittel unterstützt, wird dem hohen Schutzniveau gerecht, schützt die Beschäftigten wirksam und bewahrt das Unternehmen zugleich vor vermeidbaren Risiken.