EuGH: Urteil zu Gesundheitsdatenschutz

Kurz vor Weihnachten hat der Europäische Gerichtshof (EuGH) in einem Urteil Stellung zum Gesundheitsdatenschutz bezogen. Zuvor hatte er bereits wegweisende Entscheidungen zum Schufa-Scoring und den Verschuldensanforderungen bei der Bußgelderteilung erlassen. Mit Urteil vom 21.12.2023 (C-667/21) hat der EuGH sich nun mit dem Gesundheitsdatenschutz im Arbeitsverhältnis auseinandergesetzt.

Ausgangsverfahren

Das Bundesarbeitsgericht (BAG) hatte dem EuGH am 26.08.2021 (8 AZR 253/20 (A)) Fragen über die Verarbeitung von Gesundheitsdaten im Arbeitsverhältnis im Rahmen des Vorabentscheidungsverfahrens vorgelegt.

Der Fall betraf einen Mitarbeiter der IT-Abteilung des Medizinischen Dienstes der Krankenversicherung Nordrhein (MDK Nordrhein). Dieser ist längere Zeit arbeitsunfähig gewesen. Deshalb beauftragte die Krankenversicherung des Arbeitnehmers die Anfertigung eines Gutachtens zur Prüfung der Arbeitsunfähigkeit.

Die Erstellung solcher Gutachten ist Aufgabe des MDK Nordrhein selbst, weshalb dieser auch im vorliegenden Fall herangezogen wurde. Allerdings müssen verschärfte Vertraulichkeitsregeln beachtet werden, wenn es sich um einen Mitarbeiter des MDK selbst handelt.

Im Rahmen der Gutachtenerstellung wurden Auskünfte des behandelnden Arztes eingeholt. Der Mitarbeiter erhob daraufhin Klage und argumentierte, dass die Verarbeitung seiner Daten einen immateriellen Schaden gemäß Art. 82 Abs. 1 Datenschutzgrundverordnung (DSGVO) verursacht habe. Ein anderer MDK hätte das Gutachten erstellen müssen und die Vertraulichkeitsmaßnahmen seien ungenügend gewesen.

Art. 9 Abs. 2 DSGVO ist keine alleinstehende Rechtsgrundlage

Zunächst sollte der EuGH im Vorabentscheidungsverfahren klären, ob zur Verarbeitung von Gesundheitsdaten nach Art. 9 Abs. 2 lit. h DSGVO auch die Voraussetzungen gemäß Art. 6 Abs. 1 DSGVO erfüllt sein müssen. Dies bejahte der EuGH. Nach seiner Ausführung handelt es sich bei Art. 9 Abs. 2 lit. h DSGVO nicht um eine alleinstehende Rechtsgrundlage. Eine Rechtsgrundlage entsteht erst in Verbindung mit Art. 6 Abs. 1 DSGVO. Das heißt, dass auch dessen Voraussetzungen erfüllt sein müssen. Hier kommt Art. 6 Abs. 1 lit. a bis f DSGVO in Verbindung mit § 275 SGB V in Frage.

Art. 82 DSGVO hat nur Ausgleichsfunktion

Weiterhin wollte das BAG wissen, ob Art. 82 DSGVO neben einer Ausgleichsfunktion auch eine Straffunktion zukommt. Dies ist entscheidend für die Bemessung der Höhe des Schadensersatzes. In diesem Rahmen wies der EuGH darauf hin, dass sich eine abschreckende Funktion größten Teils auf Art. 83 und Art. 84 DSGVO beschränke. Hingegen solle Art. 82 DSGVO lediglich für einen fairen Ausgleich in Form von Schadensersatz sorgen.

Beweislast und Auswirkungen von Verschulden

Zuletzt wollte das BAG geklärt wissen, wer für das Verschulden die Beweislast trägt und ob sich der Verschuldensgrad auf die Höhe des Schadensersatzes auswirkt. Mit Verweis auf Art. 82 Abs. 2 DSGVO präzisiert der EuGH, dass in Folge einer Beweislastumkehr der Verantwortliche für die Darlegung seiner Schuldlosigkeit zuständig ist. Außerdem habe der Grad des Verschuldens auf die Bemessung der Anspruchshöhe keinerlei Auswirkungen.

Fazit

Das Urteil des EuGHs stellt einiges im Gesundheitsdatenschutz im Arbeitsverhältnis und auch im Datenschutzrecht allgemein klar. Zunächst handelt es sich bei Art. 9 Abs. 2 DSGVO nicht um eine alleinstehende Rechtsgrundlage. Weiterhin hat der datenschutzrechtliche Schadensersatzanspruch nach Art. 82 DSGVO keine Ausgleichsfunktion. Diese Aussage wird diejenigen, freuen, die schon lange eine Missbrauchsgefahr mit diesem Anspruch verknüpfen. Diese Linien geht einher mit der Entscheidung des LAG, dass man auch für den immateriellen Schaden im Datenschutzrecht wenigstens einen konkreten Schaden braucht. Zuletzt wird verdeutlicht, dass auch schon kleinstes Verschulden einen Schadensersatzanspruch in voller Höhe auslösen kann. Deswegen ist Unternehmen dringend zu raten, ihre Datenschutzkonformität regelmäßig zu überprüfen, um möglichen Schadensersatzansprüchen vorzubeugen. Nun bleibt abzuwarten, wie das BAG unter Anwendung dieser vorgaben den Fall entscheiden wird.