/G3 EIDGENÖSSISCHER DATENSCHUTZBEAUFTRAGTER PRÉPOSÉ FÉDÉRAL À LA PROTECTION DES DONNÉES INCARICATO FEDERALE DELLA PROTEZIONE DEI DATI INCUMBENSÀ FEDERAL PER LA PROTECZIUN DA DATAS Bern, den 7. Dezember 2000 EMPFEHLUNG gemäss Art. 29 des Bundesgesetzes über den Datenschutz vom 19. Juni 1992 (DSG) in Sachen Absenz-Management (CD-ROM XYZ) der X I. Der Eidg. Datenschutzbeauftragte stellt fest : 1. Der Eidg. Datenschutzbeauftragte (EDS B) wurde im April 2000 auf die Produktion und Vertrieb einer CD-ROM « Absenzmanager » der Gesundheitsorganisation X informiert. 2. Aus den bestehenden Unterlagen sowie aus dem Briefwechsel zwischen EDSB und X hat sich insb. ergeben, dass die CD-ROM di e systematische Erfassung von Personendaten wie Name, Vorname, Nationalität, Abwesenheitsgrund, Arzttyp, Diagnose, Bemerkungen, usw. durch den Arbeitgeber und die Auswertung nach Kriterien wie Nationalität, Arzt oder Diagnose (siehe dazu z. B. S. 8 Booklett) bz w. nach festgelegten Zielwerten (Zeitbudget für Kr ankheiten) ermöglicht. Ausserd em sieht die CD-ROM die Möglichkeit des Datenaustausches mit anderen Datenbanken vor. Die CD-ROM ist nach Angaben der X als Kontrollinstrument des Arbeitgebers über die Abwesenheiten seiner Angestellten konzipiert und so ll sowohl den Gesundheitsschutz fördern als auch die Abwesenheiten am Arbeitsplatz reduzieren. 3. Für den EDSB ist die CD-ROM als Ges undheitsmassnahme nicht geeignet. Ausserdem stellt die CD-ROM eine unverhältnismässige und unzweckmässige Datenbearbeitung dar, da der Arbeitgeber die systematisch erfa ssten Gesundheitsdaten (Diagnose, behandelnder Arzt) zur Durchführung des Arbeitsvertrages nicht braucht (vgl. Schreiben des EDSB vom 31.08.2000). Im übrigen ist die vorgesehe ne Datenbearbeitung auch deswegen unzulässig, weil die Gesundheitsdaten mit weiteren Personendaten (z. B. die Nationalität) kombiniert und verglichen werden können. Da raus können nach Meinung des EDSB diskriminierende Rückschlüsse gezogen werden. Die syst ematische Erfassung anderer Abwesenheitsgründe durch den Arbeitgeber (z. B. Ferien, Militär, usw.) wird vom EDSB nicht beanstandet. 4. Die X vertritt im Wesentlichen die Auffass ung, dass der Arbeitgeber berechtigt ist, Krankheitsdiagnosen systematisch zu b earbeiten. Gesundheitsda ten seien für den Arbeitgeber auch deswegen wichtig, weil Letzterer über die Weiterbeschäftigung eines /G3/G3 2/G3 kranken Mitarbeiters entscheidet. Ein Datenaustausch mit Datenbanken der X finde in der Praxis nicht statt. Die X behauptet ausserdem, die systematische Erfassung von Gesundheitsdaten sei gege nüber gesundheitlich schwächer en Mitarbeiter nicht diskriminierend, da gerade für solche Angestellten i ndividuelle Kr ankheitsbudgets geschaffen werden. II. Der EDSB zieht in Erwägung: 1. Bei der Datenbeschaffung ist der Arbeitgeber am Verhältnismässigkeits- und Zweckmässigkeitsprinzip gebunden (Art. 328b OR ). Die durch die fragliche CD-ROM erfassten Daten (u. a. Arztdiagnose, Ar zttyp) stellen bes onders schützenswerte Personendaten dar. Nach dem Verhältnismässigkeitsprinzip ist es insb. unzulässig, dass der Arbeitgeber bzw. sein Pe rsonaldienst Arztdiagnosen syst ematisch erfasst. Diese sind weder zur Schaffung von Massnahmen der Gesundheitsprävention noch zur Absenzenbewirtschaftung notwendig. Solche besonders schützenswerte Personendaten dürfen per Definition nur durch Personen bearbeitet werden, di e dem Arztgeheimnis unterstehen. Einzelfallweise, sofern dies zur Abklärung einer speziellen Sachlage erforderlich ist, kann ein Arbeitgeber bzw. die Abteilung Sicherheits- und Gesundheitsprävention des Unternehmens ode r der Unternehmensgruppe Kenntnis über die Ursachen einer Krankheit einer bestimmte n Person erlangen. Ba gatellfälle (z. B. Grippe) werden vom Arbeitnehmer dem Arbe itgeber meistens be kannt gegeben. Die systematische Erfassung dieser Daten en tbehrt jedoch eines Rechtfertigungsgrundes. Ohne ausdrückliche Einwilligung des Patienten darf der Arbeitg eber vom Arzt nur einen Arztbefund bekommen („krank“ oder „geeignet/ungeeignet“ für eine Stelle). Zulässig ist hingegen die Erfassung der Anzahl Absenztage wegen Krankheit (ohne Spezifikationen). 2. Das Festhalten eines jährlichen Budgets an Krankheitsta ge ist ebenso unzulässig, weil dadurch gesundheitlich schwächerer Mensche n, die öfters abwesend sind, diskriminiert werden können. Die Behauptung der X, die fr agliche Datenbearbeit ung sei gegenüber gesundheitlich schwäc heren Angestellten nicht disk riminierend, weil für solche Angestellten individuelle Krankheitsbudgets geschaffen werden können, widerspricht der in der Einführung des Bookletts zur CD-ROM festgehaltenen Zielsetzung der Reduktion der Absenzen. Die vorgesehene Datenbearbe itung ist aber auch deswegen unzulässig, weil Gesundheitsdaten mit weiteren besonders schützensw erten Personendaten wie die Nationalität kombiniert und verglichen werden könne n. Daraus können auch rassendiskriminierende Rückschlüsse gezogen werden. 3. Die CD-ROM ist auch als Massnahme de r Gesundheitsprävention zu beanstanden. Wie wir es bereits in unserer Stellungna hme vom 31. August 2000 festgehalten haben, verpflichtet die Gesundheitsprävention (A rt. 328 OR) den Arbeitgeber, Massnahmen zu treffen, um Gefahren für die Gesundheit de r Arbeitnehmer vorzube ugen. Arbeitsräume, Systeme und Maschinen sind so zu unterhalte n, dass deren Benutzung keine Folgen auf die Gesundheit der Arbeitnehmer haben kön nen. Die Erfassung von Informationen über „Schwachstellen“ im Unternehmen (z. B. Lu ftzug, gefährliche S ubstanzen, Rauchen, schlechte Bildschirme, usw.) erfolgt anonym, aufgrund statistischer Angaben (Verhältnismässigkeitsprinzip, Art. 4 Abs. 2 Datenschutzgesetz, DSG, SR 235.1, vgl. dazu auch die auf dem UVG basierende Richtlinie 6508 zur Sicherheits- und Gesundheitsprävention der Eidg. Koordinationskommission für Arbeitssicherheit). Nur in Ausnahmefällen, sofern es zur Abklärung einer speziellen Sachlage e rforderlich ist, darf der Arbeitgeber bzw. die Abteilung Si cherheits- und Gesundheitsprävention des Unternehmens oder der Unternehmensgruppe mit betroffenen Personen Kontakt aufnehmen. Bei der in Frage stehenden CD-R OM handelt es sich hingegen u. a. um ein Programm zur systematischen, persone nbezogenen Erfassung und Auswertung von Gesundheitsdaten. Die Kenntnis des Bestehens einer personenbezogenen, systematischen Auswertung des Absenzverhaltens könnte dank der bearbeiteten Daten und deren Kombinationen (u. a. Diagnos e, Nationalität) und der dara us resultierenden, möglichen /G3/G3 3/G3 Diskriminierungen, einen psychischen Druck auf die Arbeitn ehmer ausüben, welcher mit dem ursprünglichen Zweck, nä mlich der Gesundheitsprävention, in Widerspruch steht. Gemäss Art. 26 Abs. 2 der Gesundheitsvor sorgeverordnung 3 zum Arbeitsgesetz (SR 822.113) sind aber Überwachungssysteme so zu gestalten, dass die Gesundheit und die Bewegungsfreiheit dadurch nicht beeinträch tigt werden. Gegen das Bestehen einer gesundheitspräventiven Wirkung der CD-R OM sprechen im übrigen auch die Erläuterungen im Booklett, wonach es sich bei der CD-ROM vielmehr um eine reine Absenzenkontrolle handelt. Fehlt bei einer Massnahme der Gesundheitsprävention die gesundheitspräventive Wirkung ode r ist Erstere nicht mit dem übrigen Recht vereinbar, ist von ihrer Anwendung abzusehen (wei l es u. E. nicht Aufgabe einer Gesundheitsorganisation ist, Ab senzkontrollsysteme für Arbeitg eber zu schaffen), oder ist rechtskonform zu gestalten. 4. Für die Datenbearbeitung durch private Pers onen sind Rechtfertigungsgründe nötig (Art. 13 DSG). Weder die Einwilligung der betroffe nen Personen, noch eine gese tzliche Grundlage, noch ein überwiegendes privates oder öffentliches Interesse ist für den Datenaustausch zwischen Absenz-Datenba nk und andere Datenb anken gegeben. Ohne Rechtfertigungsgrund stellt eine solche Datenbekannt gabe im übrigen eine gravierende Verletzung des Berufsgeheimnisses seitens des Arbeitgebers dar. Die Behauptung der X, ein Datenaustausch zwischen ihr und dem Arbeitgeber finde nicht statt, mag zwar in der Tat richtig sein, sie ändert aber an der Tatsache nichts, dass bereits die technische Möglichkeit eines solchen Datenaustausches gesetzeswidrig ist. Aufgrund dieser Erwägungen empfiehlt der Eidg. Datenschutzbeauftragte: 1. Die Produktion und der Vertrieb der fraglic hen CD-ROM ist unverz üglich einzustellen und die bereits verteilten CD-ROM zurü ckzuziehen, oder die Datenkategorien „Diagnose“, „Arzttyp“, „Absenzenbudget“ und „Bemerkungen“ von der CD-ROM zu entfernen sowie die Kategorie “Absenzen wegen Politik oder Vereinsmitgliedschaft“ durch „Absenzen privat“ zu ersetzen. 2. Die X benachrichtigt den Eidg. Datenschut zbeauftragten innerhalb von dreissig Tagen seit Erhalt der Empfehlung, ob Sie die Em pfehlung annimmt oder nicht. Wird die Empfehlung abgelehnt oder stellt der Eidg. Datenschutzbeauftragte nach Ablauf der Frist fest, dass sie nicht eingehalten wird, so ka nn er die Angelegenhe it gemäss Art. 29 DSG der Eidg. Datenschutzkommission zum Entscheid vorlegen. EIDGENÖSSISCHER DATENSCHUTZBEAUFTRAGTER EINSCHREIBEN