Gesundheitsdaten von Mitarbeitenden: was der EuGH zu Art. 9 DSGVO entschied (C-667/21)

Gesundheitsdaten sind alle Informationen, die Rückschlüsse auf den körperlichen oder geistigen Gesundheitszustand einer Person zulassen. Dazu gehören nicht nur Diagnosen, sondern auch indirekte Angaben, etwa zur Arbeitsunfähigkeit oder zu gesundheitlich bedingten Einschränkungen. Schon die Information, dass jemand krankheitsbedingt ausfällt, kann je nach Zusammenhang als Gesundheitsdatum eingeordnet werden.

Weil die Verarbeitung solcher Daten grundsätzlich untersagt ist, brauchen Arbeitgeber für jede Nutzung eine tragfähige Rechtsgrundlage. Im Beschäftigungskontext kommen vor allem Pflichten und Rechte aus dem Arbeits- und Sozialrecht in Betracht, etwa im Zusammenhang mit der Lohnfortzahlung oder der Personalverwaltung. Eine pauschale oder vorsorgliche Sammlung von Gesundheitsdaten ohne konkreten Zweck ist dagegen nicht zulässig.

Eine wichtige Konsequenz ist, dass derselbe Datensatz für unterschiedliche Stellen unterschiedlich behandelt werden muss. Eine Stelle, die zugleich als Arbeitgeber und als Träger einer sozialen Funktion auftritt, darf Daten, die sie in der einen Rolle erhalten hat, nicht ohne Weiteres in der anderen Rolle verwenden. Rollen und Zwecke müssen also sauber getrennt werden.

Für die Praxis heißt das: Gesundheitsdaten nur erheben, wenn es einen klaren, zulässigen Zweck gibt, den Zugriff strikt auf die Personen beschränken, die ihn wirklich brauchen, und die Daten gut absichern. Wer Krankmeldungen, Bescheinigungen und ähnliche Informationen über getrennte, zugriffsbeschränkte Wege verarbeitet, reduziert Risiken und wird dem hohen Schutzniveau gerecht.