20.06.2024 BAG: Verarbeitung von Gesundheitsdaten – Medizinischer Dienst
In diesem Fall besteht die Besonderheit, dass der Kläger selbst Arbeitnehmer des Medizinischen Dienstes war, dessen Gesundheitsdaten von diesem Dienst verarbeitet wurden.
Der achte Senat stellt, nach Vorabentscheidung durch den EUGH, klar, dass die Verarbeitung von Gesundheitsdaten auch dann nach Art 9 Abs. 2 h) DSGVO zulässig sein kann, sofern der Betroffene selbst Arbeitnehmer des Verarbeiters ist.
Art. 9 Abs 2 h) DSGVO lässt die Verarbeitung von Gesundheitsdaten zum Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit der Beschäftigten (…) erforderlich ist. Dabei müssen die Bedingungen und Garantien des Art 9 Abs 3 DSGVO gewahrt werden.
Der beklagte medizinische Dienst Nordrhein führt im Auftrag der gesetzlichen Krankenkassen ärztliche Begutachtungen zur Beseitigung von Zweifeln an de Arbeitsunfähigkeit gesetzlich Versicherte durch, und zwar auch dann, wenn es seine eigenen Mitarbeiter betrifft. Ein solcher Fall lag hier vor. In einer Dienstvereinbarung mit dem Personalrat ist ein Zugriffssystem geschaffen worden, welches den Anforderungen des Art. 9 Abs. 3 DSGVO entspricht.
Der Kläger war bei der Beklagten als Systemadministrator in der IT Abteilung beschäftigt und seit November 2017 ununterbrochen arbeitsunfähig. Ab Mai 2018 bezog der von seiner gesetzlichen Krankenkasse Krankengeld. Diese beauftragte im Juni 2028 die Beklagte mit der Begutachtung es Klägers zwecks Beseitigung an Zweifeln an der Arbeitsunfähigkeit des Klägers.
Eine bei der Beklagten angestellte Ärztin fertigte ein Gutachten, dass die Diagnose der Krankheit des Klägers enthielt. Dazu wurde von ihr im Vorfeld die telefonische Auskunft eines den Kläger behandelnden Arztes eingeholt. Dieser wiederum unterrichtete den Kläger von dem Auskunftsersuchen.
Der Kläger kontaktierte eine Kollegin aus der IT-Abteilung, die das Gutachten recherchierte, hiervon Fotos anfertigte und dem Kläger mittels eines Messengerdienstes übermittelte.
Daraufhin verlangte er immateriellen Schadenersatz auf Grundlage des Art. 82 Abs. 1 DSGVO von der Beklagten. Er berief sich darauf, dass seine Gesundheitsdaten nicht hätten von der Beklagten verarbeitet werden dürfen, sondern von einem anderen medizinischen Dienst. Die Ärztin sei nicht berechtigt gewesen Auskünfte von seinem Arzt einzuholen; die Sicherheitsmaßnahmen und die Archivierung sei unzureichend gewesen. Die Verarbeitung habe bei Ihm bestimmte – nicht näher bezeichnete – sorgen und Befürchtungen ausgelöst.
Der Senat hat in einer Vorabentscheidung den EuGH die Frage klären lassen, ob die Verarbeitung der Gesundheitsdaten des Klägers unionsrechtlich zulässig sei (EuGH C-667/21 Krankenversicherung Nordrhein), insbesondere im Hinblick darauf, dass der Kläger selbst beim Verarbeiter (der Beklagten) beschäftigt ist. Der EUGH hat die Zulässigkeit der Verarbeitung der Daten des Klägers mit Hinweis auf Art 9 Abs. 2 h) DSGVO bestätigt. Im Wesentlichen seien die Voraussetzungen zur Zulässigkeit der Datenverarbeitung aufgrund von Art 9 Abs. 2 h DSGVO so streng, dass es einer weiteren Differenzierung dahingehend, ob ein eigener Arbeitnehmer des begutachtenden medizinischen Dienstes begutachtet wird, nicht notwendig sei.
In der Frage des Schutzes der Gesundheitsdaten hat der achte Senat die Maßnahmen der Beklagten als ausreichend erachtet, da einzig der unberechtigte Zugriff auf die Daten auf Initiative des Klägers erfolgte.
Anmerkung:
Es wird leicht übersehen, dass auch die besonders geschützten Gesundheitsdaten zulässig verarbeitet werden dürfen. Art 9 Abs. 2 h) ist nur eines der Beispiele. In der hier dargestellten Entscheidung kam der Beklagten zugute, dass Sie über eine Dienstvereinbarung die Rechtsgrundlage geschaffen hatte, welche im Zusammenhang mit der dazugehörigen Dienstanweisung die Sicherheitsanforderungen gem. Art. 9 Abs. 3 DSGVO erfüllten.
Quellen:
BAG: Urteil vom 20.06.2024 - 8 AZR 253/20 –
Vorinstanz LAG Düsseldorf 11.03.2020 – 12 Sa 186/19 –
Vorentscheid EuGH 21.12.2023 C-667/21 Krankenversicherung Nordrhein
Anmerkung: Rechtsanwalt Frank Heinemann, Fachanwalt für Arbeitsrecht