DSGVO und BDSG: Wie Arbeit­geber korrekt mit den Gesund­heits­daten ihrer Beschäf­tigten umgehen

Wenn Beschäftigte länger krank sind, müssen Arbeitgeber klären, ob sie das Entgelt weiter fortzahlen oder ob das Krankengeld greift. Dafür brauchen sie Informationen zum Gesundheitszustand der betroffenen Mitarbeitenden. Da insbesondere Gesundheitsdaten sehr sensible Daten sind, entsteht häufig die Frage, welche Angaben erfragt werden dürfen, welche nicht und wie der Arbeitgeber mit den Daten umgehen muss. 

Dazu hat die Landesdatenschutzbeauftragte in NRW (LDI NRW) nun eine Hilfestellung rund um das Thema "Fortsetzungserkrankungen" veröffentlicht. 

Mehrere Erkrankungen können eine fortgesetzte Erkrankung sein

Ob noch Anspruch auf Entgeltfortzahlung besteht, muss auch geklärt werden, wenn es zu mehreren Erkrankungen hintereinander kommt. Da der Anspruch auf Entgeltfortzahlung (in der Regel) nach 6 Wochen endet, möchten Arbeitgeber in so einem Fall ermitteln, ob es sich möglicherweise um Fortsetzungserkrankungen handelt: Wird beispielsweise ein Arbeitnehmer mehrfach hintereinander wegen derselben Krankheit arbeitsunfähig, beginnt nicht jedes mal wieder der 6-Wochen-Zeitraum. Stattdessen werden die Arbeitsunfähigkeiten als fortgesetzte Erkrankung zusammengezählt.  

Daten stehen unter besonderem Schutz

Um beurteilen zu können, ob es sich um eine Fortsetzungserkrankung handelt, müssen Arbeitgeber wahrscheinlich Gesundheitsdaten erfragen. Da diese Informationen jedoch besonders sensibel sind, stehen sie unter dem strengen Schutz der Datenschutz-Grundverordnung ( DSGVO ) und des Bundesdatenschutzgesetzes ( BDSG ).

Auf welcher Rechtsgrundlage dürfen Arbeitgeber Gesundheitsdaten verarbeiten?

Grundsätzlich gilt: Arbeitgeber dürfen nur Daten verarbeiten, die nötig sind, um ihre arbeitsrechtlichen Pflichten zu erfüllen. Rechtsgrundlage für die Verarbeitung ist vor allem § 26 Abs. 3 BDSG (Bundesdatenschutzgesetz) in Verbindung mit Art. 9 Abs. 2b DSGVO (Datenschutz-Grundverordnung).

Bei der Entgeltfortzahlung im Krankheitsfall ergibt sich die Erforderlichkeit aus dem Entgeltfortzahlungsgesetz ( EntgFG ). 

Die Verarbeitung von Gesundheitsdaten erfolgt also zur Erfüllung von Rechten und Pflichten aus dem Arbeitsverhältnis. Dazu ist eine zusätzliche Rechtsgrundlage notwendig, nämlich Art. 6 Abs. 1 UAbs. 1b DSGVO in Verbindung mit dem Arbeitsvertrag. Gemäß DSGVO ist die Verarbeitung zulässig, wenn sie "für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, erforderlich ist".

Wichtig: Bloßer Verdacht auf Fortsetzungserkrankung reicht nicht

Dabei kommt es allerdings häufig zu einem Irrtum: Die Verarbeitung ist nämlich nur zulässig, wenn sie tatsächlich erforderlich ist. Der bloße Verdacht, dass eine Fortsetzungserkrankung vorliegen könnte, reicht nicht aus. Stattdessen muss der Arbeitgeber im Einzelfall konkret vermuten, dass die Erkrankungen zusammenhängen, zum Beispiel durch zeitliche Nähe oder durch inhaltliche Hinweise.

Arbeitgeber müssen außerdem "mildere Mittel" prüfen. Dazu gehört die Anfrage bei der Krankenkasse, ob es sich aus ihrer Sicht um eine Fortsetzungserkrankung handele. Ein weiteres Mittel kann das Einholen einer medizinischen Einschätzung durch den Betriebsarzt sein, ohne dass der Arbeitgeber sensible Gesundheitsdaten erhält. 

Auch wenn das Bundesarbeitsgericht diese Maßnahmen im gerichtlichen Verfahren zur Entgeltfortzahlung nicht für ausreichend hält, sollten sie dennoch im Rahmen der vorprozessualen Datenverarbeitung genutzt und geprüft werden (BAG, Urteil v. 18.01.2023, Az. 5 AZR 93/22).

Was ist, wenn Beschäftigte ihre Diagnosedaten freiwillig offenlegen wollen?

Auch wenn Beschäftigte ausdrücklich einwilligen, ihre Diagnosedaten offenzulegen - etwa, um einem möglichen Streit über die Fortsetzungserkrankung zuvorzukommen - dürfen Arbeitgeber diese Daten in der Regel nicht verarbeiten. Denn dafür muss die Einwilligung freiwillig erfolgen, was in einem Beschäftigungsverhältnis selten der Fall ist. Insbesondere bei einer Erkrankung können Beschäftigte unter Druck geraten, weil sie um ihre Lohnfortzahlung fürchten.

Wie müssen die Gesundheitsdaten aufbewahrt werden?

Im Umgang mit Gesundheitsdaten bei Entgeltfortzahlungsansprüchen gelten besonders hohe Anforderungen an Sicherheit und Vertraulichkeit. Arbeitgeber sind dazu verpflichtet, entsprechende technische und organisatorische Maßnahmen zu treffen, um die Daten zu schützen. Dazu gehört vor allem, dass die Daten nicht zusammen mit der eigentlichen Personalakte gespeichert werden.

Auch eine gemeinsame Ablage mit den Arbeitsunfähigkeitsbescheinigungen wird datenschutzrechtlich kritisch gesehen. Denn diese AU-Bescheinigungen enthalten nur den Beginn und die Dauer der Arbeitsunfähigkeit und keine Angaben zu Diagnosen. Sobald weitergehende Gesundheitsdaten verarbeitet werden wie zum Beispiel ärztliche Gutachten oder Informationen aus Gesprächen, müssen diese getrennt und besonders geschützt aufbewahrt werden, ähnlich wie bei der betrieblichen Wiedereingliederung . 

Wie lange dürfen Gesundheitsdaten aufbewahrt werden?

Die Speicherung ist nur so lange zulässig, wie sie für die Prüfung des Entgeltfortzahlungsanspruchs nötig ist. Die Dauer der Speicherung richtet sich außerdem nach den Fristen im Entgeltfortzahlungsgesetz. Darüber hinaus kann sich die Speicherfrist auch aus tarifvertraglichen Regelungen oder aus gesetzlichen Verjährungs- und Ausschlussfristen ergeben. 

Der Verdacht, dass Mitarbeitende rechtliche Schritte einleiten, hat keinen Einfluss auf Speicherfristen. Ebenso ist es bei Auffälligkeiten in Krankheitsmustern: Auch dann dürfen Arbeitgeber Gesundheitsdaten nicht länger speichern.

Dürfen Gesundheitsdaten weitergegeben werden?

Nein, im Regelfall ist die Weitergabe an Dritte ist ausgeschlossen. Das gilt auch innerhalb des Unternehmens: Die Weitergabe an Vorgesetzte oder andere Stellen nur zulässig, wenn sie zur Zweckerfüllung erforderlich ist. Bei Sachverhalten rund um die Lohnfortzahlung ist dies normalerweise nicht der Fall.

Die Ausnahme vom Regelfall: Wenn sich Arbeitgeber gegen geltend gemachte Ansprüche verteidigen müssen, dürfen sie die Daten interne Juristinnen und Juristen sowie an externe Rechtsanwältinnen oder Anwälte weitergeben. Auch die Weitergabe an den Arbeitgeberverband ist zulässig, wenn dieser die rechtliche Vertretung übernimmt. Die Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen stellt ein berechtigtes Interesse dar, das die Datenweitergabe erlaubt (Art. 6, Abs. 1, Satz 1f DSGVO). Allerdings mit einer Einschränkung: Es dürfen nur die Daten weitergegeben werden, die wirklich erforderlich sind. 

Fazit: Nur wenn tatsächlich notwendig

Zusammengefasst lässt sich sagen: 

• Arbeitgeber dürfen im Zusammenhang mit der Entgeltfortzahlung bestimmte Gesundheitsdaten verarbeiten - allerdings müssen diese tatsächlich erforderlich sein und es dürfen keine milderen Alternativen bestehen. 
• Nicht erlaubt sind die pauschale Erhebung von Diagnosen und die Abfrage von chronischen Vorerkrankungen außerhalb des Entgeltfortzahlungszeitraums. 
• Die besonders sensiblen Gesundheitsdaten müssen sicher und getrennt aufbewahrt werden.
• Gesundheitsdaten unterliegen Aufbewahrungsfristen und müssen entsprechend frühzeitig gelöscht werden.
• Gesundheitsdaten dürfen nur in ganz bestimmten Fällen und nicht beliebig weitergegeben werden. 

Landesdatenschutzbeauftragte: Hier finden Sie den Originaltext

Sie möchten den Text im Original nachlesen? Hier finden Sie die Hilfestellung der LDI NRW.

Weitere Infos zur Entgeltfortzahlung, zu Vorerkrankungsanfragen und zum Umlageverfahren finden Sie in unseren FAQ zur Entgeltfortzahlungsversicherung .