Die sächsischen Datenschutzbeauftragte Dr. Juliane Hundert hat sich in ihrem aktuelle Tätigkeitsbericht zum Datenschutz für das Jahr 2025 mit der Verarbeitung von Gesundheitsdaten durch Arbeitgeber beschäftigt.
Aus dem Tätigkeitsbericht Datenschutz 2025 der Sächsischen Datenschutz- und Transparenzbeauftragten (Seite 108, Abschnitt 2.2.19 „Offenbarung von ärztlichen Diagnosen bei Fortsetzungserkrankungen“) ergibt sich Folgendes:
Kernaussagen des sächsischen Datenschutzbeauftragten zu Krankmeldungen und Fortsetzungserkrankung
Weitere Schlussfolgerungen:
Rolle der BAG-Entscheidung vom 18. Januar 2023 (Az. 5 AZR 93/22)
Die sächsische Datenschutzbeauftragte bezieht sich ausdrücklich auf diese BAG-Entscheidung, da sie die rechtliche Grundlage für die oben genannten Ausführungen bildet:
Zusammenfassung
Die sächsische Datenschutzbeauftragte stellt klar: Arbeitnehmer dürfen sich nicht unberechtigt hinter dem Datenschutz „verstecken“, wenn es um die Frage einer Fortsetzungserkrankung geht. Die BAG-Entscheidung ist die maßgebliche Rechtsgrundlage, die die Offenlegungspflicht von Gesundheitsdaten auch datenschutzrechtlich rechtfertigt – trotz der besonderen Schutzbedürftigkeit von Gesundheitsdaten nach Art. 9 DSGVO.
Der Arbeitgeber darf zwar keine Diagnose direkt einfordern, aber der Arbeitnehmer muss im Streitfall konkrete Angaben zu gesundheitlichen Beeinträchtigungen machen und Ärzte von der Schweigepflicht entbinden, damit geprüft werden kann, ob eine Fortsetzungserkrankung vorliegt und damit die Entgeltfortzahlungspflicht entfällt.
Es bleibt für Unternehmen aber die Verpflichtung das Verfahren so zu gestalten, dass die wesentlichen Datenschutz Grundsätze für die Verarbeitung personenbezogene Daten (Art. 5 DSGVO) und hinsichtlich der Rechtmäßigkeit der Verarbeitung (Art. 6 und Art. 9 DSGVO) eingehalten werden. Dies betrifft insbesondere die Frage der Zweckbestimmung und die Frage der Erforderlichkeit für den konkreten Verarbeitungszweck.
Datenschutzkonzepte sollte die folgenden Bestandteile berücksichtigen:
- klare Prozesse zur Verarbeitung der Krankheitsdaten,
- strikte Zugriffsbeschränkungen,
- getrennte Vertrauensstellen,
- Lösch- und Aufbewahrungskonzepte,
- sowie belastbare technische und organisatorische Maßnahmen ggf. zusammen mit einer DSFA.
