Rechtsfrage

Besondere Kategorien personenbezogener Daten

Art. 9 Abs. 1 DSGVO verbietet die Verarbeitung. Eine Erlaubnis nach Absatz 2 tritt neben die Rechtsgrundlage des Art. 6 DSGVO und ersetzt sie nicht. Wer sich auf eine Erlaubnis des § 22 Abs. 1 BDSG stützt, schuldet zusätzlich die angemessenen und spezifischen Maßnahmen des Absatzes 2.

Gesundheitsdaten, verstreut über die Ablagen

In der Personalakte liegt eine Bescheinigung über eine Wiedereingliederung, in der Poststelle ein Umschlag vom Betriebsarzt, im Ticketsystem eine Meldung über einen ergonomischen Stuhl. Im Verzeichnis der Verarbeitungstätigkeiten steht bei keiner der drei Tätigkeiten ein Hinweis auf besondere Kategorien.

Gesundheitsdaten fallen an, ohne dass jemand sie erhebt

Wo im Beschäftigungsverhältnis Gesundheitsdaten anfallen, wird meist mit dem Betriebsarzt beantwortet. Der Begriff des Art. 4 Nr. 15 DSGVO reicht weiter. Er erfasst jede Information über den körperlichen oder geistigen Gesundheitszustand, aus der sich Informationen über diesen Zustand ergeben.

Fünf Stellen, an denen sie regelmäßig entstehen

Arbeitsunfähigkeit und ihre Dauer

Die Angabe der Arbeitsunfähigkeit betrifft den Gesundheitszustand, auch ohne Diagnose. Die Dauer und die Häufigkeit sagen zusätzlich etwas aus. Eine Auswertung nach Fehlzeiten verarbeitet damit besondere Kategorien.

Betriebliches Eingliederungsmanagement

§ 167 Abs. 2 SGB IX verpflichtet den Arbeitgeber ab sechs Wochen Arbeitsunfähigkeit im Jahr zur Klärung mit der Interessenvertretung und mit Zustimmung der betroffenen Person. Was dabei entsteht, ist besonders schutzbedürftig und gehört nicht in die allgemeine Personalakte.

Betriebsärztliche Untersuchungen

Befunde unterliegen der Schweigepflicht nach § 203 StGB und verbleiben beim ärztlichen Personal. Dem Arbeitgeber wird das Ergebnis mitgeteilt, also die Eignung, nicht aber der Weg dorthin.

Schwerbehinderung und Gleichstellung

Die Eigenschaft als schwerbehinderter Mensch ist ein Gesundheitsdatum. Sie ist für die Ausgleichsabgabe und für die Beteiligung der Schwerbehindertenvertretung erforderlich und darf deshalb verarbeitet werden, aber nicht überall.

Beiläufige Angaben in Freitextfeldern

Der Befund, den kein Verzeichnis kennt. Ein Vermerk im Ticketsystem über einen ergonomischen Stuhl, eine Notiz zur Elternzeit wegen Erkrankung eines Kindes, eine Bemerkung in einem Gesprächsprotokoll.

Die Erlaubnis tritt neben die Rechtsgrundlage und ersetzt sie nicht

Auf welche Erlaubnis sich die Verarbeitung stützt, ist eine Frage mit zwei Antworten zugleich. Art. 9 Abs. 1 DSGVO stellt ein eigenständiges Verbot auf. Es wird durch eine Ausnahme des Absatzes 2 aufgehoben. Daneben bleibt die Rechtmäßigkeit nach Art. 6 Abs. 1 DSGVO zu prüfen.

Zwei Prüfungen, nacheinander

Erste Stufe, das Verbot
Greift eine Ausnahme des Art. 9 Abs. 2 DSGVO oder eine nationale Vorschrift auf ihrer Grundlage? Für das Beschäftigungsverhältnis ist das § 26 Abs. 3 BDSG, gestützt auf Art. 9 Abs. 2 Buchst. b DSGVO.
Zweite Stufe, die Rechtsgrundlage
Welche Bedingung des Art. 6 Abs. 1 DSGVO ist erfüllt? Im Beschäftigungsverhältnis regelmäßig § 26 Abs. 1 BDSG, also die Erforderlichkeit für das Beschäftigungsverhältnis.
Dritte Stufe, die Maßnahmen
Beide genannten Vorschriften stehen unter der Bedingung des § 22 Abs. 2 BDSG. Ohne die dort verlangten Maßnahmen ist die Erlaubnis nicht vollständig in Anspruch genommen.

3 von 3

Die Einwilligung ist auch hier die schwächste Möglichkeit. Art. 9 Abs. 2 Buchst. a DSGVO verlangt eine ausdrückliche Einwilligung. § 26 Abs. 2 BDSG stellt für Beschäftigte zusätzliche Anforderungen an die Freiwilligkeit.

Angemessene und spezifische Maßnahmen sind der zweite Teil der Erlaubnis

Welche zusätzlichen Maßnahmen zu treffen sind, steht in § 22 Abs. 2 BDSG. Diese Vorschrift ist der am häufigsten übersehene Teil des Regelwerks. Satz 1 verlangt sie, Satz 2 nennt zehn Beispiele.

Allgemeine Sicherheit und spezifische Maßnahme

Art. 32 DSGVO	Merkmal	§ 22 Abs. 2 BDSG
Jede VerarbeitungAngemessenes Schutzniveau nach dem Risiko.	Anlass	Nur besondere KategorienBedingung der Erlaubnis und nicht nur Sicherheitspflicht.
Dem Risiko angemessenStand der Technik, Kosten, Art und Zweck.	Maßstab	Angemessen und spezifischSpezifisch heißt auf diese Datenkategorie zugeschnitten.
RollenkonzeptZugriff nach Aufgabe.	Beispiel Zugang	Engere BeschränkungNr. 5 nennt die Beschränkung des Zugangs eigens, also über das Rollenkonzept hinaus.
Nach BedarfSoweit für die Sicherheit erforderlich.	Beispiel Protokoll	Ausdrücklich genanntNr. 2 verlangt die nachträgliche Feststellbarkeit von Eingabe, Änderung und Entfernung.

Die Maßnahmen des § 22 Abs. 2 BDSG sind keine Verschärfung des Art. 32 DSGVO, sondern eine Bedingung der Erlaubnis. Fehlen sie, fehlt der Erlaubnis ein Tatbestandsmerkmal.

Vier Maßnahmen, die sich fast immer umsetzen lassen

Ein eigener Bereich für Gesundheitsdaten im Personalsystem, getrennt von der allgemeinen Akte
Ein Zugriffskreis, der namentlich benannt und nicht nach Abteilung bestimmt ist
Protokollierung von Eingabe, Änderung und Entfernung, mit einer Auswertung, die jemand liest
Eine Unterweisung des Zugriffskreises, die den Unterschied zu gewöhnlichen Personaldaten benennt

So unterstützen wir Sie beim Umgang mit besonderen Kategorien

Der Einstieg ist das Verzeichnis der Verarbeitungstätigkeiten. Art. 30 Abs. 1 Buchst. c DSGVO verlangt die Kategorien personenbezogener Daten. Dort ist auszuweisen, wo besondere Kategorien anfallen. Aus dieser Liste ergibt sich, welche Erlaubnis geprüft und welche Maßnahmen getroffen werden müssen. Bei umfangreicher Verarbeitung tritt die Folgenabschätzung nach Art. 35 Abs. 3 Buchst. b DSGVO hinzu.

Häufige Fragen

Sind Krankmeldungen Gesundheitsdaten?

Die Angabe, dass jemand arbeitsunfähig ist, betrifft den Gesundheitszustand und fällt damit unter Art. 9 Abs. 1 DSGVO. Die Diagnose steht dem Arbeitgeber nicht zu. Seit der elektronischen Arbeitsunfähigkeitsbescheinigung erhält er sie regelmäßig auch nicht mehr.

Brauche ich neben Art. 9 DSGVO noch eine Rechtsgrundlage?

Ja. Art. 9 Abs. 1 DSGVO stellt ein eigenständiges Verbot auf, das eine Ausnahme des Absatzes 2 aufhebt. Die Rechtmäßigkeit nach Art. 6 Abs. 1 DSGVO ist davon unberührt und zusätzlich zu prüfen.

Was verlangt § 22 Abs. 2 BDSG konkret?

Angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person. Satz 2 nennt zehn Beispiele, darunter die Beschränkung des Zugangs, die Protokollierung von Eingabe und Änderung, die Sensibilisierung der Beteiligten sowie Pseudonymisierung und Verschlüsselung.

Wer darf die Daten im Unternehmen sehen?

So wenige wie möglich. § 22 Abs. 2 Satz 2 Nr. 5 BDSG nennt die Beschränkung des Zugangs innerhalb der verantwortlichen Stelle ausdrücklich als Maßnahme. Beim Betriebsarzt kommt die Schweigepflicht nach § 203 StGB hinzu, sodass Befunde dort verbleiben und nur das Ergebnis mitgeteilt wird.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.