EuGH-Vorlage: Darf der MDK gesundheitliche Daten zur Arbeitsfähigkeit der eigenen Mitarbeiter verarbeiten?
BAG v. 26.8.2021 - 8 AZR 253/20 (A)
Der Sachverhalt:
Der Kläger ist seit 1991 beim beklagten Medizinischen Dienst einer Krankenkasse (MDK) als Systemadministrator und Mitarbeiter Help-desk in der IT-Abteilung beschäftigt. Der Beklagte erstellt in seiner Eigenschaft als MDK für die gesetzlichen Krankenkassen gutachtliche Stellungnahmen zur Beseitigung von Zweifeln an der Arbeitsunfähigkeit von Versicherten auch in den Fällen, in denen seine eigenen Beschäftigten betroffen sind (sog. Spezialfälle).
Der Kläger war seit Ende November 2017 ununterbrochen arbeitsunfähig erkrankt. Seit Mai 2018 bezog er Krankengeld von seiner Krankenkasse. Im Juni 2018 beauftragte die Krankenkasse des Klägers den beklagten MDK auf der Grundlage von § 275 Abs. 1 Satz 1 Nr. 3 Buchstabe b SGB V, zur Beseitigung von Zweifeln an der Arbeitsunfähigkeit des Klägers eine gutachtliche Stellungnahme zu erstellen. Ein Sachbearbeiter des Beklagten ordnete den Auftrag der "Organisationseinheit Spezialfall" zu. Eine beim Beklagten angestellte Ärztin, die der "Organisationseinheit Spezialfall" angehörte, erstellte daraufhin ein Gutachten. Dieses enthielt u.a. die Angabe "Schwere depressive Episode ohne psychotische Symptome".
Der Kläger erfuhr durch seinen behandelnden Arzt von dem Gutachten. Im August 2018 rief er eine Kollegin der IT-Abteilung an und fragte sie, ob ein Gutachten über ihn gespeichert sei. Nach einer Recherche im Archiv bejahte die Kollegin diese Frage. Auf Bitte des Klägers fotografierte die Kollegin das Gutachten und sandte die Aufnahmen an den Kläger.
Der Kläger forderte von dem Beklagten die Zahlung einer Entschädigung i.H.v. 20.000 €. Sowohl das Arbeitsgericht als auch das LAG wiesen die Klage ab. Auf die Revision des Klägers hat das BAG das Verfahren ausgesetzt und dem EuGH u.a. die Frage zur Vorabentscheidung vorgelegt, ob es mit der DSGVO vereinbar ist, wenn der Beklagte gesundheitliche Daten zur Arbeitsfähigkeit der eigenen Mitarbeiter verarbeitet.
Die Gründe:
Nach Auffassung des Senats kann sich der Beklagte - in seiner Eigenschaft als Arbeitgeber des Klägers - nicht auf den Ausnahmetatbestand des Art. 9 Abs. 2 Buchstabe b DSGVO berufen. Nach dieser Bestimmung muss die Verarbeitung erforderlich sein, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht -der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist. Im vorliegenden Fall war die Verarbeitung der Gesundheitsdaten des Klägers, die im Zusammenhang mit der Erstellung der gutachtlichen Stellungnahme zur Beseitigung von Zweifeln an der Arbeitsunfähigkeit des Klägers anfielen, für den Beklagten in seiner Eigenschaft als Arbeitgeber nicht erforderlich, um seine oben genannten Rechte ausüben und seinen diesbezüglichen Pflichten nachkommen zu können.
Der Beklagte muss als Arbeitgeber lediglich wissen, dass der Kläger arbeitsunfähig ist und wie lange die Krankheit voraussichtlich noch andauern wird. Entgegen der Ansicht des LAG kann er sich nicht auf den Ausnahmetatbestand nach Art. 9 Abs. 2 Buchstabe h DSGVO berufen, da ansonsten wegen der Doppelfunktion des MDK eine viel weitere Datenverarbeitung erlaubt wäre als bei anderen Arbeitgebern.
Der EuGH wird insofern um Vorabentscheidung über die Fragen ersucht:
1. Ist Art. 9 Abs. 2 Buchstabe h DSGVO dahin auszulegen, dass es einem Medizinischen Dienst einer Krankenkasse untersagt ist, Gesundheitsdaten seines Arbeitnehmers, die Voraussetzung für die Beurteilung der Arbeitsfähigkeit dieses Arbeitnehmers sind, zu verarbeiten?
2. Für den Fall, dass der Gerichtshof die Frage zu 1. verneinen sollte mit der Folge, dass nach Art. 9 Abs. 2 Buchstabe h DSGVO eine Ausnahme von dem in Art. 9 Abs. 1 DSGVO bestimmten Verbot der Verarbeitung von Gesundheitsdaten in Betracht käme: Sind in einem Fall wie hier über die in Art. 9 Abs. 3 DSGVO bestimmten Maßgaben hinaus weitere, gegebenenfalls welche Datenschutzvorgaben zu beachten?
3. Für den Fall, dass der Gerichtshof die Frage zu 1. verneinen sollte mit der Folge, dass nach Art. 9 Abs. 2 Buchstabe h DSGVO eine Ausnahme von dem in Art. 9 Abs. 1 DSGVO bestimmten Verbot der Verarbeitung von Gesundheitsdaten in Betracht käme: Hängt in einem Fall wie hier die Zulässigkeit bzw. Rechtmäßigkeit der Verarbeitung von Gesundheitsdaten zudem davon ab, dass mindestens eine der in Art. 6 Abs. 1 DSGVO genannten Voraussetzungen erfüllt ist?
4. Hat Art. 82 Abs. 1 DSGVO spezial- bzw. generalpräventiven Charakter und muss dies bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens auf der Grundlage von Art. 82 Abs. 1 DSGVO zulasten des Verantwortlichen bzw. Auftragsverarbeiters berücksichtigt werden?
5. Kommt es bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens auf der Grundlage von Art. 82 Abs. 1 DSGVO auf den Grad des Verschuldens des Verantwortlichen bzw. Auftragsverarbeiters an? Insbesondere, darf ein nicht vorliegendes oder geringes Verschulden auf Seiten des Verantwortlichen bzw. Auftragsverarbeiters zu dessen Gunsten berücksichtigt werden?
BAG online
Der Kläger ist seit 1991 beim beklagten Medizinischen Dienst einer Krankenkasse (MDK) als Systemadministrator und Mitarbeiter Help-desk in der IT-Abteilung beschäftigt. Der Beklagte erstellt in seiner Eigenschaft als MDK für die gesetzlichen Krankenkassen gutachtliche Stellungnahmen zur Beseitigung von Zweifeln an der Arbeitsunfähigkeit von Versicherten auch in den Fällen, in denen seine eigenen Beschäftigten betroffen sind (sog. Spezialfälle).
Der Kläger war seit Ende November 2017 ununterbrochen arbeitsunfähig erkrankt. Seit Mai 2018 bezog er Krankengeld von seiner Krankenkasse. Im Juni 2018 beauftragte die Krankenkasse des Klägers den beklagten MDK auf der Grundlage von § 275 Abs. 1 Satz 1 Nr. 3 Buchstabe b SGB V, zur Beseitigung von Zweifeln an der Arbeitsunfähigkeit des Klägers eine gutachtliche Stellungnahme zu erstellen. Ein Sachbearbeiter des Beklagten ordnete den Auftrag der "Organisationseinheit Spezialfall" zu. Eine beim Beklagten angestellte Ärztin, die der "Organisationseinheit Spezialfall" angehörte, erstellte daraufhin ein Gutachten. Dieses enthielt u.a. die Angabe "Schwere depressive Episode ohne psychotische Symptome".
Der Kläger erfuhr durch seinen behandelnden Arzt von dem Gutachten. Im August 2018 rief er eine Kollegin der IT-Abteilung an und fragte sie, ob ein Gutachten über ihn gespeichert sei. Nach einer Recherche im Archiv bejahte die Kollegin diese Frage. Auf Bitte des Klägers fotografierte die Kollegin das Gutachten und sandte die Aufnahmen an den Kläger.
Der Kläger forderte von dem Beklagten die Zahlung einer Entschädigung i.H.v. 20.000 €. Sowohl das Arbeitsgericht als auch das LAG wiesen die Klage ab. Auf die Revision des Klägers hat das BAG das Verfahren ausgesetzt und dem EuGH u.a. die Frage zur Vorabentscheidung vorgelegt, ob es mit der DSGVO vereinbar ist, wenn der Beklagte gesundheitliche Daten zur Arbeitsfähigkeit der eigenen Mitarbeiter verarbeitet.
Die Gründe:
Nach Auffassung des Senats kann sich der Beklagte - in seiner Eigenschaft als Arbeitgeber des Klägers - nicht auf den Ausnahmetatbestand des Art. 9 Abs. 2 Buchstabe b DSGVO berufen. Nach dieser Bestimmung muss die Verarbeitung erforderlich sein, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht -der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist. Im vorliegenden Fall war die Verarbeitung der Gesundheitsdaten des Klägers, die im Zusammenhang mit der Erstellung der gutachtlichen Stellungnahme zur Beseitigung von Zweifeln an der Arbeitsunfähigkeit des Klägers anfielen, für den Beklagten in seiner Eigenschaft als Arbeitgeber nicht erforderlich, um seine oben genannten Rechte ausüben und seinen diesbezüglichen Pflichten nachkommen zu können.
Der Beklagte muss als Arbeitgeber lediglich wissen, dass der Kläger arbeitsunfähig ist und wie lange die Krankheit voraussichtlich noch andauern wird. Entgegen der Ansicht des LAG kann er sich nicht auf den Ausnahmetatbestand nach Art. 9 Abs. 2 Buchstabe h DSGVO berufen, da ansonsten wegen der Doppelfunktion des MDK eine viel weitere Datenverarbeitung erlaubt wäre als bei anderen Arbeitgebern.
Der EuGH wird insofern um Vorabentscheidung über die Fragen ersucht:
1. Ist Art. 9 Abs. 2 Buchstabe h DSGVO dahin auszulegen, dass es einem Medizinischen Dienst einer Krankenkasse untersagt ist, Gesundheitsdaten seines Arbeitnehmers, die Voraussetzung für die Beurteilung der Arbeitsfähigkeit dieses Arbeitnehmers sind, zu verarbeiten?
2. Für den Fall, dass der Gerichtshof die Frage zu 1. verneinen sollte mit der Folge, dass nach Art. 9 Abs. 2 Buchstabe h DSGVO eine Ausnahme von dem in Art. 9 Abs. 1 DSGVO bestimmten Verbot der Verarbeitung von Gesundheitsdaten in Betracht käme: Sind in einem Fall wie hier über die in Art. 9 Abs. 3 DSGVO bestimmten Maßgaben hinaus weitere, gegebenenfalls welche Datenschutzvorgaben zu beachten?
3. Für den Fall, dass der Gerichtshof die Frage zu 1. verneinen sollte mit der Folge, dass nach Art. 9 Abs. 2 Buchstabe h DSGVO eine Ausnahme von dem in Art. 9 Abs. 1 DSGVO bestimmten Verbot der Verarbeitung von Gesundheitsdaten in Betracht käme: Hängt in einem Fall wie hier die Zulässigkeit bzw. Rechtmäßigkeit der Verarbeitung von Gesundheitsdaten zudem davon ab, dass mindestens eine der in Art. 6 Abs. 1 DSGVO genannten Voraussetzungen erfüllt ist?
4. Hat Art. 82 Abs. 1 DSGVO spezial- bzw. generalpräventiven Charakter und muss dies bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens auf der Grundlage von Art. 82 Abs. 1 DSGVO zulasten des Verantwortlichen bzw. Auftragsverarbeiters berücksichtigt werden?
5. Kommt es bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens auf der Grundlage von Art. 82 Abs. 1 DSGVO auf den Grad des Verschuldens des Verantwortlichen bzw. Auftragsverarbeiters an? Insbesondere, darf ein nicht vorliegendes oder geringes Verschulden auf Seiten des Verantwortlichen bzw. Auftragsverarbeiters zu dessen Gunsten berücksichtigt werden?