Datenweitergabe an neuen Arbeitgeber
Weitergabe von Informationen über Erkrankungen eines Beschäftigten an den neuen Arbeitgeber
Im Frühjahr 2020 ging bei der Datenschutzaufsicht eine Beschwerde ein, in der ein Beschäftigter beklagte, sein zukünftiger neuer Arbeitgeber sei von seinem bisherigen Arbeitgeber über eine dort abgegebene Arbeitsunfähigkeitsbescheinigung verbunden mit dem Kommentar informiert worden, dass er ein Krankmacher sei.
Nach § 26 Abs. 1 BDSG dürfen personenbezogene Daten von Beschäftigten nur für den Zweck des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung für dessen Durchführung oder Beendigung erforderlich ist. Die Verpflichtung zur Vorlage einer Arbeitsunfähigkeitsbescheinigung ergibt sich aus § 5 Entgeltfortzahlungsgesetz, dient dem Nachweis der Arbeitsunfähigkeit und zum Zweck der Prüfung der Entgeltfortzahlung.
Die auf einer Arbeitsunfähigkeitsbescheinigung enthaltenen Daten sind im Sinne des Artikels 9 DSGVO besonders sensibel, da aus diesen u. a. auch erkennbar ist, welche Ärztin oder welcher Arzt die oder den Beschäftigten behandelt und über welche Qualifikation diese Ärztin bzw. dieser Arzt verfügt, sodass der Arbeitgeber anhand dieser Informationen mögliche Krankheitsbilder grob eingrenzen kann.
BAG-Urteil vom 12.09.2006 – 9 AZR 271/06 – Soweit Gesundheitsdaten in die Personalakte aufgenommen werden dürfen, ist der Arbeitgeber verpflichtet, die Daten in besonderer Weise aufzubewahren. Die zur Personalakte genommenen Gesundheitsdaten sind vor unbefugter zufälliger Kenntnisnahme durch Einschränkung des Kreises der Informationsberechtigten zu schützen. Jeder Mitarbeiter darf nur auf solche Daten zugreifen können, die er zur Erfüllung seiner Aufgaben tatsächlich benötigt.
Der verantwortliche Arbeitgeber hat bei der Verarbeitung von Personal- und Gesundheitsdaten seiner Beschäftigten sicherzustellen, dass die Sicherheit der Verarbeitung und die Vertraulichkeit der Informationen gewährleistet sind. Hierzu zählt u. a. ein entsprechendes Berechtigungskonzept, das den Zugriff auf vertrauliche Personal- und Gesundheitsdaten einschränkt. Des Weiteren sind Maßnahmen zu treffen, die einen unbefugten Zugriff oder eine Offenlegung von personenbezogenen Daten der Mitarbeiter gegenüber Unberechtigten verhindern.
Die vorgenommene Übermittlung von Informationen über eine Arbeitsunfähigkeitsbescheinigung an den neuen Arbeitgeber war weder für die Durchführung noch für die Beendigung des Beschäftigtenverhältnisses erforderlich, beinhaltete eine unzulässige Zweckänderung und war somit datenschutzrechtlich unzulässig.
Da der Betroffene auf Nachfrage allerdings mitteilte, dass er von seinem neuen Arbeitgeber über den Sachverhalt nur mündlich informiert worden sei und dieser ihm auch auf Nachfrage keine Belege hierfür zur Verfügung stelle, wurde dem bisherigen Arbeitgeber gegenüber lediglich ein Hinweis auf einen vermeintlichen Verstoß erteilt.
Quelle: ULD
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking- Blickschutz hilft.
- Denkanstoß – Daten(schutz)risiko USB-Stick, es passiert immer wieder
- Aktenvernichter für den Arbeitsplatz – Gegen Datenpannen auf Papier
- Tipp: Textpassagen mit einem Camoflage-Rollstempel unkenntlich machen
- Aufsichtsbehörde empfiehlt Buch: DSGVO /ePrivacy auf Websites umsetzen
- Recht im Online-Marketing: So schützen Sie sich vor Fallstricken zur DSGVO
Dieser Absatz enthält Affiliatelinks/Werbelinks