Gesundheitsdaten im betrieblichen Präventionsprogramm: Teilnahme und Zugriffsgrenzen

Ein freiwilliges betriebliches Präventionsprogramm kann Beschäftigte bei Bewegung, Ernährung oder Stressbewältigung unterstützen. Sobald dabei Angaben zu Beschwerden, Diagnosen, Messwerten, körperlicher Belastbarkeit oder individuellen Gesundheitszielen erhoben werden, steht die Verarbeitung von Gesundheitsdaten im Mittelpunkt. Auch Teilnahme- und Ergebnisdaten können Rückschlüsse auf die Person zulassen.

Dieser Beitrag zeigt, wie Unternehmen den Umfang der Verarbeitung begrenzen, die Teilnahme freiwillig gestalten und Zugriffe sauber trennen. Im Zentrum stehen die Einordnung nach Art. 4 Z 15 und Art. 9 DSGVO, die doppelte Prüfung von Rechtsgrundlagen, der Umgang mit medizinischem Fachpersonal und die Löschung. Krankenstandsverwaltung, Impfpflichten und eine allgemeine Datenschutzinformation verfolgen andere Zwecke.

Art. 4 Z 15 DSGVO erfasst personenbezogene Daten, die sich auf die körperliche oder psychische Gesundheit beziehen und Informationen über den Gesundheitszustand offenbaren. Dazu können Angaben über Krankheiten, Beschwerden, Behandlungen, physiologische Werte oder die ermittelte Belastbarkeit gehören. Entscheidend ist der Informationsgehalt der konkreten Angabe.

Die Anmeldung zu einem Rückenkurs enthält für sich genommen meist organisatorische Informationen. Ein Fragebogen zu Schmerzen, Beweglichkeit oder Vorerkrankungen hat eine andere Qualität. Auch ein Ergebnis wie „hohes Stressrisiko“ kann den Gesundheitszustand einer Person offenbaren, selbst wenn keine Diagnose genannt wird. Art. 9 Abs. 1 DSGVO ordnet Gesundheitsdaten als besondere Kategorie personenbezogener Daten ein.

Unternehmen sollten deshalb jede Eingabe und jedes Ergebnis einzeln bewerten. Eine Teilnahmebestätigung, ein individueller Trainingsplan und eine medizinische Beratungsnotiz dürfen nicht in einer gemeinsamen Standardrolle landen. Die Schwerpunktseite zum Beschäftigtendatenschutz ordnet solche Verarbeitungen im Arbeitsverhältnis ein.

Ein als freiwillig bezeichnetes Angebot braucht eine echte Wahl. Beschäftigte müssen verstehen, welche Angaben erhoben werden, wofür sie gebraucht werden und welche Stellen sie erhalten. Die Entscheidung für oder gegen die Teilnahme sollte unabhängig von Beurteilung, Einsatzplanung, Beförderung und sonstigen Arbeitsbedingungen bleiben.

Stützt sich die Verarbeitung auf eine Einwilligung, sind Art. 7 DSGVO und die Anforderungen an Information, Nachweis und Widerruf zu beachten. Der Widerruf muss so einfach möglich sein wie die Erteilung. Für den weiteren Umgang mit bereits erhobenen Daten braucht es eine eigene Prüfung von Zweck, Rechtsgrundlage und Löschung.

Im Beschäftigungskontext ist die Freiwilligkeit besonders sorgfältig zu prüfen. Eine Unterschrift beweist allein noch keine freie Entscheidung, wenn Vorgesetzte zur Teilnahme auffordern oder eine Ablehnung im Betrieb sichtbar wird. Gestalten Sie Anmeldung und Absage so, dass daraus keine individuellen Nachteile oder sozialen Drucksituationen entstehen.

Die Verarbeitung braucht eine klare Zweckbeschreibung. Die Organisation eines Termins, eine individuelle Beratung durch medizinisches Fachpersonal, eine anonymisierte Gesundheitsförderungsstatistik und eine Kontaktaufnahme nach dem Programm sind verschiedene Zwecke. Art. 5 Abs. 1 lit. b DSGVO verlangt Zweckbindung, Art. 5 Abs. 1 lit. c DSGVO Datenminimierung.

Für Gesundheitsdaten reicht eine Rechtsgrundlage nach Art. 6 DSGVO allein nicht aus. Zusätzlich muss eine Ausnahme nach Art. 9 Abs. 2 DSGVO greifen. Je nach Ausgestaltung können etwa eine ausdrückliche Einwilligung oder die Voraussetzungen für Gesundheitsvorsorge und Arbeitsmedizin relevant sein. Die Ausnahme darf nicht pauschal aus dem Etikett „Prävention“ abgeleitet werden.

Die Dokumentation sollte deshalb für jede Datenart zeigen, welcher Zweck verfolgt wird, welche Angaben erforderlich sind und welche Art-6- und Art-9-Prüfung die Verarbeitung trägt. Die Seite zu Datenschutz-Governance und Compliance unterstützt die Zuordnung von Verantwortlichkeiten und Nachweisen.

Der Arbeitgeber braucht für die Organisation eines freiwilligen Programms häufig weniger Informationen als das medizinische Fachpersonal. Für die Terminplanung kann die Teilnahme oder die gebuchte Einheit genügen. Eine Diagnose, ein Messwert oder eine persönliche Beratungsnotiz ist damit nicht automatisch für die Personalabteilung oder eine Führungskraft erforderlich.

Welche Angaben weitergegeben werden dürfen, hängt vom konkreten Zweck, der Rechtsgrundlage und der Information der betroffenen Person ab. In vielen Konstellationen ist eine Auswertung in zusammengefasster oder ausreichend anonymisierter Form für die betriebliche Planung geeigneter als eine Liste mit Einzelwerten. Eine Anonymisierung muss die Person mit vertretbarem Aufwand tatsächlich aus dem Ergebnis lösen.

Art. 25 und Art. 32 DSGVO verlangen Datenschutz durch Gestaltung und ein angemessenes Sicherheitsniveau. Richten Sie getrennte Rollen für Anmeldung, medizinische Betreuung, Arbeitgeberauswertung, Anbieter-Support und Administration ein. Das Beispiel zu Zugriffsrechten auf Beschäftigtendaten zeigt, wie Rollen, Protokolle und Ausnahmen dokumentiert werden können.

Ein externes Studio, eine Gesundheitsplattform oder ein medizinischer Dienstleister kann unterschiedliche Rollen einnehmen. Ob eine Auftragsverarbeitung nach Art. 28 DSGVO vorliegt, richtet sich nach den tatsächlichen Entscheidungen über Zwecke und Mittel. Ein Vertrag mit der Überschrift „Datenschutz“ beantwortet diese Rollenfrage nicht automatisch.

Erfassen Sie, welche Systeme Daten entgegennehmen, wo Fragebögen und Ergebnisse gespeichert werden, welche Unterauftragnehmer beteiligt sind und ob Supportpersonal zugreift. Prüfen Sie auch Exporte, Schnittstellen und die Möglichkeit, dass der Anbieter Daten für eigene Produktentwicklung oder Werbung verwendet. Jede solche Nutzung braucht eine eigene Zweck- und Rechtsgrundlagenprüfung.

Art. 24 und Art. 30 DSGVO verlangen nachvollziehbare Verantwortlichkeit und Aufzeichnungen über Verarbeitungstätigkeiten. Bei voraussichtlich hohem Risiko ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO zu prüfen. Neue Messgeräte, eine zentrale Gesundheitsplattform oder eine Ausweitung der Auswertung können eine erneute Bewertung auslösen.

Art. 5 Abs. 1 lit. e DSGVO verlangt eine Speicherbegrenzung. Die Frist für eine Teilnahme- oder Terminliste muss daher nicht der Frist für einen individuellen Gesundheitsbericht entsprechen. Legen Sie für Anmeldung, Fragebogen, Messwert, Beratungsergebnis, Abrechnung und Sicherheitsprotokoll jeweils Zweck, Zugriff und Löschereignis fest.

Endet die Betreuung oder widerruft eine Person ihre Einwilligung, muss das Unternehmen die Folgen für jede Datenart prüfen. Art. 17 DSGVO kann einen Anspruch auf Löschung begründen, soweit keine vorrangige Pflicht oder ein anderer tragfähiger Grund für die weitere Speicherung besteht. Löschprozesse müssen auch Exporte, Testumgebungen, Backups und Anbieterabläufe erfassen.

Beschäftigte brauchen verständliche Informationen und einen erreichbaren Weg für ihre Rechte nach Art. 12 bis 15 DSGVO. Die Organisation sollte klären, wer Auskunftsbegehren bearbeitet, wie Identität und Umfang geprüft werden und welche Angaben aus dem Präventionsprogramm tatsächlich herausgegeben werden. Ein Auskunftsprozess darf den geschützten Zugriff auf andere Beschäftigtendaten nicht unnötig erweitern.

Die Teilnahme wird mit dem Ergebnis vermischt: Eine Anwesenheitsliste enthält plötzlich Fragebogenantworten oder individuelle Messwerte.

Art. 6 wird allein geprüft: Die zusätzliche Voraussetzung für Gesundheitsdaten nach Art. 9 DSGVO bleibt unbegründet.

Freiwilligkeit steht nur im Einladungstext: Vorgesetzte sehen, wer ablehnt, oder Beschäftigte befürchten Nachteile bei der Arbeit.

Der Arbeitgeber erhält Rohdaten: Für eine betriebliche Planung werden Einzelwerte übermittelt, obwohl eine zusammengefasste Auswertung ausreichen könnte.

Der Anbieter bleibt unklar: Speicherorte, Unterauftragnehmer, eigene Nutzungen und Löschabläufe sind nicht dokumentiert.

Beginnen Sie mit einer vollständigen Prozesskarte. Erfassen Sie Anmeldung, Information, Einwilligung, Termin, Fragebogen, Messung, Beratung, Ergebnis, Arbeitgeberauswertung, Support und Löschung. Kennzeichnen Sie pro Schritt die Datenart und unterscheiden Sie Gesundheitsdaten von reinen Organisationsangaben.

Prüfen Sie anschließend die Empfänger. Für jede Rolle sollte feststehen, welche Information sie sieht, aus welchem Zweck sie handelt und wie Zugriffe kontrolliert werden. Testen Sie außerdem die Ablehnung und den Widerruf mit einem realistischen Beispiel. Der Ablauf muss auch dann funktionieren, wenn eine beschäftigte Person keine Gesundheitsangaben machen möchte.

Zum Abschluss gehören Verzeichnis, Anbieterunterlagen, Datenschutzinformation, Einwilligungstext, Rollenmatrix, Löschplan, Sicherheitskonzept und die Entscheidung über eine DSFA zusammen. Für die erste Prüfung helfen eine Prozessbeschreibung und die konkreten Formulare. So lässt sich beurteilen, ob das Angebot mit begrenztem Zugriff und klarer Verantwortung betrieben werden kann.

Wir prüfen Datenarten, Zwecke, Einwilligung, Empfänger, Anbieterrollen, Zugriffsschutz, Speicherfristen und die Entscheidung über eine Datenschutz-Folgenabschätzung. Für die erste Einschätzung helfen die Programmbeschreibung, Formulare, Anbieterunterlagen, Rollenmatrix und der geplante Informationstext. So können Teilnahme und Prävention organisiert werden, während individuelle Gesundheitsangaben geschützt bleiben.