Im Hinblick auf das Inkrafttreten der DSGVO und des neuen BDSG ist auf Seiten des Arbeitgebers besondere Sorgfalt in Sachen Datenschutz notwendig – die Akzeptanz und der Erfolg des BEM durch den Arbeitnehmer hängen maßgeblich davon ab. Nur in einer Atmosphäre des Vertrauens und der Sicherheit, dass der Arbeitgeber alles unternimmt, um den Schutz der sensiblen Gesundheitsdaten sicherzustellen, wird sich der Arbeitnehmer öffnen, ggf. selbst Vorschläge unterbreiten und vorgeschlagene Maßnahmen anderer Beteiligter akzeptieren.
So bestimmt Art. 9 Abs. 1 DSGVO u.a., dass die Verarbeitung von Gesundheitsdaten grundsätzlich untersagt ist, es sei denn die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt (Art. 9 Abs. 2a DSGVO) oder die Verarbeitung ist für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten erforderlich (Art. 9 Abs. 2h DSGVO).
Gemäß dem Grundsatz der Datensparsamkeit dürfen im BEM, auch bei einer Einwilligung des Arbeitnehmers, Daten nur erhoben und verwendet werden, soweit dies für die Durchführung des BEM und die Erreichung der Ziele notwendig ist. Aus der engen Zweckbindung folgt auch, dass der Arbeitgeber die im Rahmen des BEM bekannt gewordenen Gesundheitsdaten des Arbeitnehmers nicht zu einer nachfolgenden personenbedingten Kündigung verwenden darf (Beck NZA 2017, 81, 85; Hoffmann-Remy NZA 2016, 270).
Praxishinweis:
Sämtliche Mitglieder des BEM-Teams sind gesondert auf die Einhaltung der Schweigepflicht, der Vertraulichkeit und auf die Einhaltung von DSGVO und BDSG zu verpflichten. Der betroffene Arbeitnehmer ist hiervon in Kenntnis zu setzen. In der Praxis bedeutet dies, dass der Arbeitnehmer nicht nur ausdrücklich dem BEM zustimmen muss, sondern auch eine separate Datenschutzerklärung unterschreiben muss, in der genau enthalten ist, welche Daten erfasst und verwendet werden, u.a. Personal- und Sozialdaten, Fehlzeiten, Gesundheitsdaten, Tätigkeitsdaten und Daten zum Ablauf des BEM (BAG, Urt. v. 20.11.2014 – 2 AZR 755/13, BAGE 150, 117; Beschl. v. 7.2.2012 – 1 ABR 46/10, BAGE 140, 350).
Konsequenz ist weiter, dass eine strikte Trennung von Personalakte und BEM-Akte vorzunehmen ist. In der Personalakte darf lediglich vermerkt werden, dass ein BEM angeboten, angenommen oder abgelehnt wurde und ob es stattgefunden hat bzw. ob es abgebrochen oder beendet wurde.
Regelungsbedürftig im Rahmen des Datenschutzes ist weiter, welche Personen Zugangsrechte zu sensiblen Daten erhalten sollen und wie lange und an welchem Ort die BEM-Akte aufbewahrt werden soll. Eine Möglichkeit wäre hier die Aufbewahrung getrennt vom Firmennetzwerk und vom Netzwerk des Betriebsrats ausschließlich beim Betriebsarzt.
Der Arbeitgeber muss in Zukunft auch damit rechnen, dass der Arbeitnehmer seine Auskunftsrechte nach DSGVO betreffend die gespeicherten Daten geltend macht. Allein schon aus diesem Grund ist eine klare Dokumentation in der von der Personalakte getrennten BEM-Akte notwendig.
Literaturhinweis:
Allgemein zum Beschäftigtendatenschutz nach der Datenschutzgrundverordnung s. Holthausen ZAP, F. 17, S. 1303 ff.