1. Einleitung
Arbeitnehmerinnen und Arbeitnehmer (im Folgenden: AN) sind gemäß § 5 Abs. 1 Satz 1 Entgeltfortzahlungsgesetz (im Folgenden: EFZG)1 verpflichtet, ihren Arbeitgeberinnen oder Arbeitgebern (im Folgenden: AG) die Arbeitsunfähigkeit und deren voraussichtliche Dauer unverzüglich mitzuteilen. Die AG können Arbeitsunfähigkeitsbescheinigungen von gesetzlich versicherten AN, die nicht nur geringfügig beschäftigt sind und deren Arbeitsunfähigkeit durch Ärztinnen und Ärzte festgestellt wurde, die an der vertragsärztlichen Versorgung teilnehmen, nunmehr in einem elektronischen Meldeverfahren abrufen (sog. elektronische Arbeitsunfähigkeitsbescheinigung – eAU).
Dieser Sachstand skizziert zunächst die damit verbundenen Datenverarbeitungsvorgänge auf Grundlage der aktuellen Rechtslage. Anschließend wird auf die Frage eingegangen, welche datenschutzrechtlichen Maßstäbe für eine eventuelle Neuregelung gelten, die statt des Abrufs der eAU durch die AG vorsähe, dass die eAU unaufgefordert automatisch durch die Krankenkassen an die AG übermittelt wird, sobald die entsprechenden Daten vorliegen.
2. Datenverarbeitung in Bezug auf die eAU nach aktueller Rechtslage
Die o.g. Gruppe der AN ist nicht mehr gesetzlich verpflichtet, ihren AG die AU in Papierform vorzulegen. Sie müssen aber das Bestehen einer Arbeitsunfähigkeit sowie deren voraussichtliche Dauer ärztlich feststellen und sich eine ärztliche Bescheinigung über die Arbeitsunfähigkeit aushändigen lassen (§ 5 Abs. 1a Satz 2, 3 EFZG). Die Ärztinnen und Ärzte sind ihrerseits auch weiterhin verpflichtet, den AN eine ärztliche Bescheinigung auszuhändigen (§ 109 Abs. 1 Satz 5 Sozialgesetzbuch IV – SGB IV)2, übermitteln aber anschließend u.a. die Daten zur Arbeitsunfähigkeit elektronisch an die jeweiligen Krankenkassen (§ 295 Abs. 1 Satz 1 Nr. 1, Satz 10 Sozialgesetzbuch V – SGB V)3. Die Krankenkassen erstellen gemäß § 109 Abs. 1 Satz 1 SGB IV) sodann eine Meldung zum Abruf für die AG – also die eAU – , die insbesondere folgende Daten umfasst: den Namen der oder des Beschäftigten, den Beginn und das Ende der Arbeitsunfähigkeit, das Datum der ärztlichen Feststellung der Arbeitsunfähigkeit, die Kennzeichnung als Erst- oder Folgemeldung und die Angabe, ob Anhaltspunkte dafür vorliegen, dass die Arbeitsunfähigkeit auf einem Arbeitsunfall oder sonstigen Unfall oder auf den Folgen eines Arbeitsunfalls oder sonstigen Unfalls beruht. Haben AN den AG die Arbeitsunfähigkeit mitgeteilt und wurde durch die Krankenkasse eine eAU erstellt, obliegt den AG eine Holschuld zum Abruf der eAU.4 Ein anlassloser pauschaler, regelmäßiger Abruf von eAU bei den Krankenkassen ist hingegen unzulässig.5
Für die Verarbeitung personenbezogener Daten im Rahmen der eAU gelten ferner die Vorgaben der europäischen Datenschutz-Grundverordnung (DS-GVO)6 und des Bundesdatenschutzgesetzes (BDSG)7, welches insbesondere den Datenschutz für Zwecke des Beschäftigungsverhältnisses auf nationaler Ebene konkretisiert (dazu im Einzelnen sogleich).
Die Anwendbarkeit der DS-GVO auf die automatisierte Verarbeitung der in der eAU enthaltenen personenbezogenen Daten ergibt sich aus Art. 2 Abs. 1 DS-GVO. Gesundheitsdaten (Art. 4 Nr. 15 DS-GVO) sind gemäß Art. 9 DS-GVO besonders geschützt. Wenngleich die den AG zum Abruf bereitgestellte eAU keine Einzelheiten zur Art der Erkrankung mehr umfasst, bildet schon allein die Information über die Arbeitsunfähigkeit ein Gesundheitsdatum im Sinne von Art. 4 Nr. 15 und Art. 9 DS-GVO.8 Die Verarbeitung solcher Gesundheitsdaten ist nur in den in Art. 9 Abs. 2 DSGVO geregelten Fällen zulässig. Für die eAU sind namentlich Buchstabe b und h maßgeblich, nach denen die Verarbeitung zulässig ist, wenn
b) die Verarbeitung […] erforderlich [ist], damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist,
oder
h) die Verarbeitung […] für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Absatz 3 genannten Bedingungen und Garantien erforderlich [ist.]
Zudem sind die Vorgaben des Art. 9 Abs. 3 DS-GVO (Verarbeitung durch Fachpersonal) und eventuell auf Basis von Art. 9 Abs. 4 DS-GVO geschaffene weitergehende Vorgaben der Mitgliedstaaten zu beachten.
Der deutsche Gesetzgeber hat mit § 26 Abs. 3 BDSG nach Ansicht des BAG in zulässiger Weise von der Öffnungsklausel in Art. 9 Abs. 2 Buchstabe b DS-GVO Gebrauch gemacht hat.9 Satz 1 des § 26 Abs. 3 BDSG bestimmt, dass die Verarbeitung besonderer Kategorien personenbezogener Daten i.S.d. Art. 9 Abs. 1 DS-GVO für Zwecke des Beschäftigungsverhältnisses zulässig ist, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt. Satz 2 enthält besondere Regelungen für die Einwilligung in die Verarbeitung besonders geschützter Kategorien von Daten. Satz 3 verweist sowohl für die Fälle des Satzes 1 als auch des Satzes 2 auf § 22 Abs. 2 BDSG. Danach sind angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person vorzusehen, die sodann beispielhaft aufgezählt werden.10
§ 26 Abs. 3 i.V.m. § 22 Abs. 2 BDSG ist nach der Rechtsprechung des Bundesarbeitsgerichts (BAG) außerdem in unionsrechtskonformer Auslegung orientiert am Wortlaut von Art. 9 Abs. 2 Buchstabe b DS-GVO so zu verstehen, dass im Rahmen der Prüfung, ob angemessene und spezifische Maßnahmen zugunsten der betroffenen Person getroffen worden sind, nicht nur deren – in § 26 Abs. 3 Satz 3 i.V.m. § 22 Abs. 2 Satz 1 BDSDG ausdrücklich genannte – Interessen, sondern auch deren Grundrechte in den Blick zu nehmen sind.11 Ob bei der Ausgestaltung von Spielräumen des Unionsrechts durch nationale Gesetzgeber die Unionsgrundrechte (EU-Grundrechte-Charta) oder die nationalen Grundrechte des Grundgesetzes (GG)12 Prüfungsmaßstab sind, wird von EuGH und Bundesverfassungsgericht (BVerfG) unterschiedlich beantwortet. Der EuGH hält in erster Linie Unionsgrundrechte für maßgeblich. Daneben komme die Anwendung nationaler Schutzstandards in Betracht, „sofern durch diese Anwendung weder das Schutzniveau der Charta, wie sie vom Gerichtshof ausgelegt wird, noch der Vorrang, die Einheit und die Wirksamkeit des Unionsrechts beeinträchtigt werden“13. Das BVerfG geht hingegen grundsätzlich davon aus, dass die nationalen Grundrechte des GG das Schutzniveau der Unionsgrundrechte „mitgewährleisten“ und prüft bei der Ausfüllung von Umsetzungs- und Gestaltungsspielräumen des Unionsrechts primär die nationalen Grundrechte.14 Das BAG hat konkret zu § 26 Abs. 3 BDSG für den Fall der Datenverarbeitung durch Interessenvertretungen von Beschäftigten ausgeführt:
Durch das Kriterium der Erforderlichkeit der Datenverarbeitung nach § 26 Abs. 3 Satz 1 BDSG ist sichergestellt, dass ein an sich legitimes Ziel nicht zum Anlass genommen wird, überschießend personenbezogene Daten i.S.v. Art. 9 Abs. 1 DS-GVO zu verarbeiten. Bei einer auf Beschäftigtendaten bezogenen datenverarbeitenden Maßnahme des Arbeitgebers bedingt dies entsprechend der Bekundung des Gesetzgebers […] eine Abwägung widerstreitender Grundrechtspositionen im Weg praktischer Konkordanz und eine Verhältnismäßigkeitsprüfung. Diesen Anforderungen ist genügt, wenn die Verarbeitung personenbezogener Daten zur Erfüllung eines sich aus dem Gesetz ergebenden Rechts der Interessenvertretung der Beschäftigten – und damit einer „aus dem Arbeitsrecht“ i.S.v. § 26 Abs. 3 Satz 1 BDSG resultierenden Pflicht des Arbeitgebers – erforderlich ist. Das hat der Gesetzgeber durch den entsprechenden Erlaubnistatbestand in § 26 Abs. 1 Satz 1 BDSG klargestellt […].15
3. Datenschutzrechtliche Maßstäbe für eventuelle Neuregelungen
Sofern eine gesetzliche Regelung geschaffen werden sollte, die anstelle des Abrufs der eAU durch die AG vorsieht, dass die Krankenkassen die eAU unaufgefordert automatisch an die AG übermitteln, wäre eine solche Regelung ebenfalls an den Vorgaben der DS-GVO (insbesondere an Art. 9 Abs. 2 Buchstabe b und h DS-GVO) zu messen.
Die Erforderlichkeit im Sinn von Art. 9 Abs. 2 Buchstabe b und h DS-GVO ist nach herrschender Meinung in der deutschen Rechtswissenschaft eng auszulegen.16 Dabei dürfte zu berücksichtigen sein, dass etwa der mit einer standardmäßigen automatischen Übermittlung der eAU an die AG verbundene Eingriff in die Rechte der Betroffenen ein größeres Gewicht aufweist, als der aktuell vorgesehene nur anlassbezogen gestattete Abruf der eAU durch die AG, der zudem erst nach der Mitteilung der AN über eine bestehende Arbeitsunfähigkeit erfolgt.
Die Anforderungen insbesondere von Art. 9 DS-GVO an die Rechtmäßigkeit der Verarbeitung von besonders geschützten Daten dürfen auch nicht auf Grundlage von Art. 88 DS-GVO durch eine nationale Regelung abgesenkt werden. Art. 88 DS-GVO enthält zwar eine Öffnungsklausel für die Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext, ermöglicht aber nur mitgliedstaatliche Regelungen zur Gewährleistung des Schutzes der Rechte und Freiheiten der betroffenen Personen, nicht aber Absenkungen des Schutzniveaus der DS-GVO.17
Soweit eine eventuelle Neuregelung nicht als eigenständige Ausgestaltung von Art. 9 Abs. 2 Buchstabe b DS-GVO gefasst werden würde, wären auch die Vorgaben von § 26 Abs. 3 BDSG zu beachten, mit der der Gesetzgeber derzeit vom Spielraum in Art. 9 Abs. 2 Buchstabe b DS-GVO Gebrauch macht (siehe S. 5 f.). Danach darf zusätzlich zum Kriterium der Erforderlichkeit „kein Grund zu der Annahme [bestehen], dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt“.18
1 Entgeltfortzahlungsgesetz vom 26.05.1994 (BGBl. I S. 1014, 1065), zuletzt geändert durch Gesetz vom 22.11.2019 (BGBl. I S. 1746).
2 Das Vierte Buch Sozialgesetzbuch – Gemeinsame Vorschriften für die Sozialversicherung – in der Fassung der Bekanntmachung vom 12.11.2009 (BGBl. I S. 3710, 3973; 2011 I S. 363), zuletzt geändert durch Gesetz vom 30.05.2024 (BGBl. 2024 I Nr. 173).
3 Das Fünfte Buch Sozialgesetzbuch – Gesetzliche Krankenversicherung – (Art. 1 des Gesetzes vom 20.12.1988, BGBl. I S. 2477, 2482), zuletzt geändert durch Gesetz vom 30.07.2024 (BGBl. 2024 I Nr. 254).
4 Vgl. etwa Ricken, in: Rolfs/Giesen/Meßling/Udsching, BeckOK EFZG, 72. Ed. Stand: 01.06.2024, § 5 Rn. 31.
5 Vgl. die durch den Spitzenverband Bund der Krankenkassen (GKV Bund) mit Genehmigung durch das Bundesministerium für Arbeit und Soziales im Einvernehmen mit dem Bundesministerium für Gesundheit und dem Bundesministerium für Ernährung und Landwirtschaft beschlossenen Gemeinsamen Grundsätze für die Meldung der Arbeitsunfähigkeitszeiten im Rahmen des Datenaustausches (eAU – § 109 Abs. 1 SGB IV und § 109a Abs. 1 SGB IV; im Folgenden: Gemeinsame Grundsätze eAU), S. 4 Punkt 1.3; vgl. auch Uffmann, Arbeitsunfähigkeit und deren Bescheinigung – ein Rechtsbereich im strukturellen Umbruch, NZA 2024, 217 (224); Janko/Krüger, Fragen und Antworten zur elektronischen Arbeitsunfähigkeitsbescheinigung, NZA 2023, 282.
6 Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. EU L 119 vom 04.05.2016, S. 1 – 88.
7 Bundesdatenschutzgesetz vom 30.06.2017 (BGBl. I S. 2097), zuletzt geändert durch Gesetz vom 06.05.2024 (BGBl. 2024 I Nr. 149).
8 Vgl. statt vieler Albers/Veit, in: Wolff/Brink/v. Ungern-Sternberg, BeckOK DatenschutzR, 48. Ed. Stand: 01.05.2024, DS-GVO Art. 9 Rn. 45 m.w.N.
9 Vgl. BAG, Beschluss vom 09.05.2023 – 1 ABR 14/22, Rn. 49 ff.
10 Eine solche Schutzmaßnahme dürften etwa die Gemeinsamen Grundsätze eAU der GKV Bund (a.a.O. Fn. 3) darstellen.
11 BAG, Beschluss vom 09.05.2023 – 1 ABR 14/22, Rn. 53.
12 Grundgesetz für die Bundesrepublik Deutschland in der im Bundesgesetzblatt Teil III, Gliederungsnummer 100– 1, veröffentlichten bereinigten Fassung, zuletzt geändert durch Gesetz vom 19.12.2022 (BGBl. I S. 2478).
13 EuGH Urt. v. 26.2.2013 – C-617/10 Rn. 29; vgl. auch Albers/Veit, in: Wolff/Brink/v. Ungern-Sternberg, BeckOK DatenschutzR, 48. Ed. Stand: 01.05.2024, DS-GVO Art. 9 Rn. 54 m.w.N.
14 Vgl. BVerfGE 152, 152 (168 Rn. 41 ff., 177 Rn. 60 ff.).
15 BAG, Beschluss vom 09.05.2023 – 1 ABR 14/22, Rn. 61.
16 Vgl. konkret zu Buchstabe b Albers/Veit, in: Wolff/Brink/v. Ungern-Sternberg, BeckOK DatenschutzR, 48. Ed. Stand: 01.05.2024, DS-GVO Art. 9 Rn. 41; vgl. für eine generell restriktive Auslegung aller Tatbestände des Art. 9 Abs. 2 DS-GVO Weichert, in: Kühling/Buchner, DS-GVO, 4. Aufl. 2024, Art. 9 Rn. 46 m.w.N.
17 Vgl. dazu EuGH (Erste Kammer), Urteil vom 30.03.2023 – C-34/21, ECLI:EU:C:2023:270, insb. Rn. 57 ff. eine Regelungen im hessischen Landesrecht betreffend. Das BAG hat in der Folge des Urteils entschieden, dass der zur hessischen Regelung parallele § 26 Abs. 1 Satz 1 BDSG Abs. 1 Satz 1 BDSG die Anforderungen von Art. 88
Abs. 1, 2 DS-GVO nicht erfüllt, vgl. BAG, Beschluss vom 09.05.2023 – 1 ABR 14/22. Die Bestimmung kann laut BAG aber dennoch eine Rechtsgrundlage für Datenverarbeitungen im Sinne von Art. 6 Abs. 3 i.V.m. Abs. 1 UAbs. 1 Buchstabe c DS-GVO darstellen.
18 Vgl. dazu beispielhaft auch LAG Berlin-Brandenburg, Urteil vom 04.06.2020 – 10 Sa 2130/19, NZA-RR 2020, 457 (458 f.).
Wissenschaftliche Dienste
Deutscher Bundestag
