Source: https://blog.machtfit.de/blog/2016/07/22/was-sie-bei-der-implementierung-eines-bgm-beim-thema-datenschutz-beachten-muessen/
Timestamp: 2019-07-22 05:39:26+00:00

Document:
Datenschutz im Betrieblichen Gesundheitsmanagement – keine unlösbare Aufgabe für Personalverantwortliche
Datenschutz ist heutzutage wichtiger denn je. Die Hauptaufgabe des Datenschutzes im Gesundheitswesen liegt darin, die äußerst sensiblen Gesundheitsdaten des Patienten zu schützen und somit zu verhindern, dass diese Daten nicht unzulässig oder zum Nachteil des Patienten verarbeitet werden. Dieser Artikel behandelt alle Aspekte der Nutzung und Bearbeitung von Mitarbeiterdaten im betrieblichen Gesundheitsmanagement. Sie erfahren:
Welche Rolle Betriebsrat und Betriebsarzt bei Gesundheitsdaten der Mitarbeiter haben
Was ein gutes BGM-System unter datenschutzrechtlichen Aspekten erfüllen muss
Was die Pflichten einer Personalabteilung gegenüber Mitarbeitern sind und wie Daten zu behandeln sind
Welche Daten Sie sammeln dürfen
Wie die Digitalisierung auch in Unternehmen den Umgang mit Gesundheitsdaten verändert
Nach dem Bundesdatenschutzgesetz § 3 Abs. 9 (BDSG) werden Gesundheitsdaten als besondere Art personenbezogener Daten bezeichnet. Diese sensiblen Informationen über den Gesundheitszustand von Patienten unterliegen nicht nur der ärztlichen Schweigepflicht, sondern es sind auch spezielle datenschutzrechtliche Anforderungen bei der Verarbeitung der Daten geregelt.
Grundsätzlich ist die Datenerhebung, Verarbeitung und Nutzung personenbezogener Daten soweit zulässig, soweit das BDSG oder eine andere Rechtsvorschrift dies erlaubt oder anordnet bzw. der Betroffene eingewilligt hat. Nur die im Gesetz genannten Stellen der Gesundheitsversorgung dürfen Daten erheben oder verarbeiten. Eine Datenerhebung darf außerdem nur für medizinische Zwecke erfolgen, wie für die Gesundheitsvorsorge, die medizinische Diagnostik, die Behandlung oder für die Verwaltung von Gesundheitsdiensten. Die Erhebung und Nutzung von Gesundheitsdaten muss durch Ärzte oder Personen, die einer Geheimhaltungspflicht unterliegen erfolgen.
Neben dem unmittelbaren medizinischen Bereich, wie die Arztpraxis, darf der Umgang mit Patientendaten auch im administrativen Bereich der medizinischen Versorgung und in Apotheken geschehen.
Gesundheitsdaten können demnach zwar erhoben werden, ihre Verarbeitung im medizinischen Bereich wird jedoch durch das Gesetz streng geregelt.
Und wie sieht es im Unternehmen aus – welche gesetzlichen Regelungen greifen hier und welche Informationen erhält der Arbeitgeber?
Das BDSG gilt sowohl für Behörden, als auch für Unternehmer. Die Gesundheitsdaten von Beschäftigen zählen daher auch im Unternehmen zu den besonderen Arten personenbezogener Daten. Die Erhebung von personenbezogenen Gesundheitsdaten im Unternehmen ist wie oben bereits beschrieben nur zulässig, wenn sie zum Zweck der Gesundheitsvorsorge, der medizinischen Diagnostik, die Behandlung oder für die Verwaltung von Gesundheitsdiensten erforderlich ist und die Verarbeitung dieser Daten durch ärztliches Personal oder durch sonstige Personen erfolgt, die einer entsprechenden Geheimhaltungspflicht unterliegen (§ 28 Abs. 7 BDSG), z. B. der Betriebsarzt. Nach dem Arbeitsschutzgesetz (ArbSchG) ist jedoch gleichzeitig auch die Fürsorgepflicht des Arbeitgebers zu berücksichtigen. Demnach darf Arbeit keine Gesundheitsgefährdung für den Arbeitnehmer darstellen. Um dies zu gewähren, müssen Daten erhoben werden, damit die Arbeitsbedingungen angepasst werden können. Nur so kann ein Arbeitgeber gemäß § 3 ArbSchG dafür sorgen, dass keine Einflüsse durch den Arbeitsplatz und die berufliche Tätigkeit, die Sicherheit und Gesundheit der Beschäftigten beeinträchtigen.
Für die Datenerhebung können im betrieblichen Gesundheitsmanagement oder um allgemein gesundheitsbezogene Informationen über das Unternehmen zu erfassen, folgende Angaben ermittelt werden:
Beurteilung der Arbeitsbedingungen (§5 ArbSchG)
Gesamtergebnis der arbeitsmedizinischen Vorsorgeuntersuchung
Fitness Tracker (Wearables) durchdringen den Markt. Die damit gesammelten Daten sind ausschließlich für den Privatbereich der Mitarbeiter vorgesehen.
Bei der Erfassung, Verarbeitung und Speicherung der Angaben im Rahmen eines BGM haben Unternehmen die datenschutzrechtlichen Bestimmungen zu beachten.
Hier entsteht häufig das Spannungsfeld zwischen Arbeitgeber und Arbeitnehmer, der nicht alle sensiblen Krankheitsdaten an seinen Arbeitgeber weitergeben möchte.
Ein direktes Hinterfragen von Beschwerden und Erkrankungen ist durch den Arbeitgeber aus datenschutzrechtlicher Sicht nicht erlaubt. Nach einer krankheitsbedingten Arbeitsunfähigkeit kann der Vorgesetzte in einem (Kranken-) Rückkehrgespräch jedoch unter Einverständniserklärung des Mitarbeiters die Ursachen und Gründe für die Erkrankung ermitteln.
In anderen Fällen ist es lediglich dem Betriebsarzt gestattet, die jeweiligen Krankheitsgründe zu erfragen (§ 28 Abs. 7 BDSG).
Fitness Tracker (Wearables) durchdringen den Markt. Die gesammelten Daten sind ausschließlich für den Privatbereich der Mitarbeiter vorgesehen.
Zu beachten ist dies insbesondere dann, wenn über den oben genannten Umfang hinaus Daten erfasst werden. In der jüngeren Vergangenheit rücken hier sogenannte Fitness Apps und Fitness Tracker verstärkt in den Vordergrund. Während die Nutzung dieser Lösungen im privaten Bereich durch den einzelnen Mitarbeiter selbst verantwortet werden kann, ist ein Zugriff auf die gesammelten Daten durch Arbeitgeber nicht gerechtfertigt. Ausnahmen können im Einzelfall der Zugriff durch medizinisches Personal (Betriebsarzt) sein. Das Thema Datenschutz beim Wearables wird in jüngster Zeit stärker untersucht und hinterfragt und insbesondere wenn per Fitness Tracker generierte Daten außerhalb der EU gespeichert werden, ist dies kritisch. Mehr zu diesem Thema erfahren Sie in diesem Artikel der WirtschaftsWoche.
Ein Kernthema: Datenlokalität
Neue Technologien durchdringen immer stärker Unternehmen. Dabei rücken cloudbasierte Lösungen verstärkt in den Vordergrund, da sie einige Vorteile im Betrieb bieten können. Unternehmen sind hier grundsätzlich angehalten, verantwortungsvoll mit den Daten ihrer Mitarbeiter umzugehen. Das BDSG liefert hierfür einen geeigneten Rahmen, wird jedoch von internationalen Anbietern nicht in der erforderlichen Form unterstützt. BGM-Lösungen sollten daher immer ausschließlich in Deutschland betriebene Server nutzen. Unternehmen sind aufgefordert, sich durch entsprechende ADV-Verträge abzusichern. Es gibt mittlerweile hinreichend viele inländische Cloudanbieter, die den Anforderungen des BDSG genügen, internationale Anbieter wie Amazon oder Google tun sich hier deutlich schwerer. Sie sollten sich hier also die Frage stellen: Wo liegen die Server unserer Dienstleister und damit einhergehend wo werden die Daten unserer Mitarbeiter gelagert?
Aus datenschutzrechtlicher Sicht ist der Betriebsarzt ein Teil des Unternehmens. Er nutzt Gesundheitsdaten von Mitarbeitern, übermittelt diese jedoch nicht weiter bzw. hat der Betriebsarzt gegenüber dem Unternehmen seine ärztliche Schweigepflicht zu beachten, wenn er sich nicht gemäß § 203 StGB strafbar machen möchte.
Eine Weitergabe von Gesundheitsdaten an den Arbeitgeber durch den Betriebsarzt bedarf der Einwilligung des Arbeitnehmers, jedoch darf der Betriebsarzt dem Arbeitgeber mitteilen, ob ein Arbeitnehmer für eine bestimmte Arbeitsaufgabe geeignet, beschränkt geeignet oder nicht geeignet ist. Über die Art der Erkrankung dürfen beispielsweise keine Informationen weitergegeben werden.
Die Übermittlung hat sich also allein auf das Ergebnis der medizinischen Untersuchung zu beschränken. Die Gesundheitsdaten müssen außerdem als Gesundheitsakte bei dem Betriebsarzt aufbewahrt werden (nicht in der Personalakte).
Für ein erfolgreiches betriebliches Eingliederungsmanagement (BEM) werden zweifelslos wichtige Gesundheitsdaten des Mitarbeiters erhoben. Jeder Arbeitgeber ist zu einem BEM verpflichtet, wenn Beschäftigte länger als sechs Wochen innerhalb eines Jahres „ununterbrochen oder wiederholt arbeitsunfähig“ sind. Die Teilnahme an einem BEM ist freiwillig.
Damit geklärt werden kann, ob die bestehende Arbeitsunfähigkeit mit vorherrschenden Arbeitsbedingungen zusammenhängt, eine erneute Arbeitsunfähigkeit vorgebeugt werden kann oder gesundheitliche Wiedereingliederungsmaßnahmen angeboten werden können, sind die Ursachen und Gründe für die Arbeitsunfähigkeit oftmals wichtige und notwendige Hinweise, um Maßnahmen im Rahmen des BEM erfolgreich durchführen zu können.
Daher ist es auch Aufgabe des Betriebsarztes, unter Beachtung der Schweigepflicht, die notwendigen Erkenntnisse und Informationen für eine erfolgreiche Eingliederung weiterzugeben.
BDSG gilt auch für den Betriebsrat – Was darf der Betriebsrat wissen?
Der Betriebsrat spielt eine wichtige Rolle, wenn es um den betrieblichen Gesundheitsschutz geht.
Bei „Regelungen über die Verhütung von Arbeitsunfällen und Berufskrankheiten sowie über den Gesundheitsschutz im Rahmen der gesetzlichen Vorschriften oder der Unfallverhütungsvorschriften“ hat der Betriebsrat Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 7 BetrVG).
Da das BDSG ein Arbeitnehmerschutzgesetz ist, ist es Aufgabe des Betriebsrats das Gesetz zu überwachen und seine Einhaltung zu kontrollieren (§ 80 Abs. 1 Nr. 1 BetrVG).
Für die Durchführung seiner Überwachungsaufgabe hat der Betriebsrat daher einen Anspruch auf Herausgabe und Übermittlung der Gesundheitsdaten (gem. § 80 Abs. 1 Nr. 1, Abs. 2 S.2 BetrVG, § 84 Abs. 2 S. 7 SGB IX).
Fraglich ist, ob dieser Anspruch gegen datenschutzrechtliche Vorschriften verstößt? Insbesondere wenn man die sensiblen Gesundheitsdaten aus dem BEM betrachtet. In der Regel muss der Beteiligte für die Weitergabe seiner Daten eine Einwilligung erteilen.
Nach aktueller Rechtsprechung ist die Verarbeitung sensitiver personenbezogener Daten jedoch auch ohne Einwilligung denkbar, wenn diese zur Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche notwendig ist (§ 28 Abs. 6 Nr. 3 BDSG). Dies wurde in einem Beschluss des Bundesarbeitsgerichts (BAG) klargestellt. In dem Fall ging es um eine „Betriebsvereinbarung über die Durchführung des betrieblichen Eingliederungsmanagements nach § 84 Abs. 2 SGB IX“. Der Betriebsrat fordert den Arbeitgeber auf, personenbezogene Mitarbeiterdaten herauszugeben, damit dieser seine Überwachungsaufgabe vollständig erfüllen kann.
Als Arbeitnehmer frag man sich an dieser Stelle,warum die Datenweitergabe notwendig ist? Und evtl. auch, welcher Nachteil bestünde, wenn nicht am BEM teilgenommen wird?
Der Arbeitgeber hat die Aufgabe, den Arbeitnehmer ausführlich über den Ablauf, Zweck und Inhalt des BEM zu informieren. Dieser Prozess muss vom Betriebsrat überwacht werden damit eine ordnungsgemäße Belehrung garantiert werden kann. Laut Betriebsrat muss für eine umfassende Überwachung personenbezogene Mitarbeiterdaten an diesen weitergegeben werden, da eine anonymisierte Unterrichtung für eine effektive Aufgabenwahrnehmung nicht ausreicht.
Die Überwachungsrechte des Betriebsrates werden durch diesen Beschluss nachträglich gestärkt.
Zu beachten ist weiterhin, dass ausschließlich der Name und die Fehlzeit des Arbeitnehmers an den Betriebsrat ohne Einwilligung weitergeleitet werden dürfen. Weitere Daten zur Krankheitsursache, Verlauf sowie geplante Maßnahmen dürfen nach wie vor nur mit Einwilligung des Betroffenen verarbeitet werden.
Der Betriebsrat unterliegt gem. § 99 Abs. S. 3 BetrVG ebenfalls einer Verschwiegenheitspflicht die bei einem Verstoß strafrechtliche Konsequenzen nach sich zieht.
Und wie sieht es bei den Datenschutzbeauftragten im Unternehmen aus? Bei der Verarbeitung von personenbezogenen Daten haben diese keine Befugnisse. Sie sind keine neutrale Position zwischen Arbeitgeber und Betriebsrat, sondern sind der Seite des Arbeitgebers zuzuordnen. Sie nehmen lediglich eine beratende Funktion gegenüber dem Betriebsrat ein. Hierdurch wird verhindert, dass der Arbeitgeber Einsicht in Betriebsdaten hat und somit die Unabhängigkeit der Arbeitnehmervertretung sichergestellt wird.
Betriebsräte können also im Zuge ihrer Aufgabe, Einsicht in personenbezogene Daten haben. Ausnahmen bestehen jedoch wenn eine Schwangerschaft vorliegt oder „die Absichten des Betriebsrates zu pauschal sind“. Insbesondere die datenschutzrechtlichen Vorgaben zur Aufbewahrung, Sicherung und Löschung der personenbezogenen Daten muss der Betriebsrat gleichermaßen einhalten.
Fazit: Was bedeutet dies bei der Implementierung oder Überprüfung eines Betrieblichen Gesundheitsmanagements?
Bei der Auswahl eines BGMs sollten Verantwortliche die Anbieter kritisch hinterfragen. Wo liegen unsere Mitarbeiterdaten und wie werden diese behandelt? Hier sollten Sie keine Kompromisse machen, Daten sollten auf deutschen Servern liegen – ohne Ausnahme. Wie geht der Dienstleister mit den Daten der Mitarbeiter um? Welche Daten sind überhaupt einsehbar? Zu guter Letzt: Verträge sollten in deutscher Sprache verfasst werden. Sind alle Punkte erfüllt, steht einer erfolgreichen Implementierung oder Weiterführung ihrer BGM-Lösung nichts im Weg. Lediglich die Mitarbeiterzufriedenheit mit der Lösung sollte dann noch im Mittelpunkt stehen.
Datenschutz bei machtfit
Der machtfit GmbH liegt Datenschutz am Herzen und behandelt Kundendaten nach den Vorschriften des Bundesdatenschutzes:
Unsere Unternehmenskunden- und deren Mitarbeiterdaten werden ausschließlich in zertifizierten deutschen Rechenzentren gelagert
Die Kundenmitarbeiter erhalten maximalen Schutz ihrer Daten durch die konsequente Anwendung des deutschen Datenschutzrechtes
alle entsprechenden Regelungen und Verträge sind in deutscher Sprache und im deutschen Rechtsraum uneingeschränkt gültig
machtfit sammelt zu keinem Zeitpunkt persönliche Gesundheitsdaten
Kunden wie die Deutsche Bahn, die Sparda Bank, N24, ADAC und die AOK vertrauen auf machtfit für ein modernes betriebliches Gesundheitsmanagement, dass alle Mitarbeiter erreicht. Unsere Referenzen finden Sie unter www.machtfit.de/referenzen/

References: § 3
 § 3
 § 203
 § 80
 § 84
 § 84
 § 99