2 Buchst. h DSGVO auch dann zulässig sein, wenn es sich bei dem Versicherten um einen eigenen Arbeitnehmer des Medizinischen Dienstes handelt. 2. Ein Arbeitgeber, der als Medizinischer Dienst Gesundheitsdaten eines eigenen Arbeitnehmers verarbeitet, ist weder
den Bestimmungen der Datenschutz-Grundverordnung noch aufgrund nationaler Rechtsvorschriften ausnahmslos verpflichtet zu gewährleisten, dass kein anderer Beschäftigter Zugang zu diesen Daten hat. Die Revision des Klägers gegen das Urteil des Landesarbeitsgerichts Düsseldorf vom 11. März 2020 - 12 Sa 186/19 - wird zurückgewiesen. Der Kläger hat die Kosten der Revision zu tragen. 1 Die Parteien streiten über Ansprüche des Klägers auf materiellen und immateriellen Schadenersatz wegen Verstoßes gegen datenschutzrechtliche Bestimmungen und wegen Verletzung des allgemeinen Persönlichkeitsrechts des Klägers. 2 Die Beklagte - vormals der Medizinische Dienst der Krankenversicherung (MDK) Nordrhein und jetzt der Medizinische Dienst Nordrhein (im Folgenden der Beklagte) - ist eine Körperschaft des öffentlichen Rechts. Er führt im Auftrag der gesetzlichen Krankenkassen gutachtliche Stellungnahmen
dem Recht der sozialen Krankenversicherung durch. Im Jahr 2018 beschäftigte er - verteilt über acht Standorte im Gebiet Nordrhein - mehr als 1.000 Mitarbeiter. 3 Der seit 1991 in einem Arbeitsverhältnis zum Beklagten stehende Kläger war zuletzt als Systemadministrator und Mitarbeiter „Helpdesk“ in der IT-Abteilung des Beklagten tätig. Seit November 2017 war er ununterbrochen arbeitsunfähig krank. Ab Mai 2018 bezog er von seiner gesetzlichen Krankenkasse Krankengeld. 4 Im Jahr 2018 erstellte der Beklagte im Rahmen seiner Aufgaben als MDK mehrere hunderttausend medizinische Gutachten/gutachtliche Stellungnahmen für Träger der Sozialversicherung. Die Datenverarbeitung erfolgte mittels einer spezifischen Software, dem „Informationssystem der Medizinischen Dienste der Krankenversicherung“ (kurz ISmed), zuletzt dem System ISmed
zukommen und bereits den Anschein einer Interessenkollision zu vermeiden. Dem MDK Nordrhein ist es ein besonderes Anliegen, daraus resultierende Bevorzugungen oder Benachteiligungen zu vermeiden und einen besonderen Schutz der Sozialdaten zu gewährleisten. Daher sollen Sozialdaten von Mitarbeitern und ihren Angehörigen am Dienstort des Beschäftigten weder erhoben, noch gespeichert werden. Dies setzt voraus, dass der Beschäftigte entsprechende Konstellationen gegenüber seiner Kranken-/Pflegekasse anzeigt. Der Hinweis an die Kranken-/Pflegekasse erfolgt bei jedem Kontakt, z.B. auch bei Widersprüchen gegen Leistungsentscheidungen, da der Fall im MDK bereits
der Gutachtenerstellung abgeschlossen wurde und in diesem Fall sonst ohne erneuten Hinweis keine Kennzeichnung als Spezialfall erfolgt. … 3. Begriffserläuterungen 3.1 Sozialdaten der Beschäftigten und ihrer Angehörigen … Sozialdaten der Beschäftigten bzw. ihrer Angehörigen fallen an, wenn der MDK Nordrhein seitens der zuständigen Kranken- oder Pflegekasse beauftragt wird, die sozialmedizinischen Voraussetzungen für Leistungen
dem SGB für einen MDK-Beschäftigten bzw. seinen Angehörigen zu begutachten. Sie dürfen nicht mit ‚Mitarbeiterdaten‘ verwechselt werden, die im Rahmen eines Arbeits-/Dienstverhältnisses entstehen oder verarbeitet werden. 3.2 Zugriffsberechtigte Zugriffsberechtigte im Sinne der Dienstanweisung sind Mitarbeiter, die aufgrund ihrer arbeitsvertraglichen Tätigkeit von den Sozialdaten der Beschäftigten und ihrer Angehörigen Kenntnis erhalten bzw. denen die Möglichkeit des Zugriffs auf diese Daten eingeräumt wurde (zuständige Gutachter und Assistenzmitarbeiter). Die Namen der zuständigen Mitarbeiter sind im beigefügten ‚Zugriffskonzept‘ hinterlegt.
Maßgabe der beigefügten ‚Kurzinfo Spezialfall‘. Das Setzen des Merkmals ‚Spezialfall‘ übernimmt einen bereits angelegten Fall mit den zugehörigen Unterlagen in die Organisationseinheit ‚Spezialfall‘. Der Fall ist für die übrigen Mitarbeiter nicht mehr sichtbar. Die auftraggebende Krankenkasse erhält eine Abgabenachricht. … 5.2 SFB/Aktenlage
Abschluss des Begutachtungsauftrages im Rahmen des SGB V (Krankenversicherung) den Auftrag mit der gutachterlichen Stellungnahme einschließlich der beim MDK Nordrhein verbleibenden elektronischen medizinischen Unterlagen abschließen und im elektronischen Archiv hinterlegen. … 5.5 Begutachtungsaufträge mit einer körperlichen Untersuchung bei Beschäftigten/Angehörigen des MDK Nordrhein Im Falle eines Begutachtungsauftrages im Rahmen des SGB V oder SGB XI, der bei einem Beschäftigten/Angehörigen eines Beschäftigten eine körperliche Untersuchung beinhalten würde, erfolgt die Begutachtung durch den Sozialmedizinischen Dienst der Knappschaft. a) lSmed 3 Falls der Gutachter bei einem Spezialfall feststellt, dass eine körperliche Untersuchung unumgänglich ist, werden die Unterlagen den Assistenzkräften der Organisationseinheit ‚Spezialfall‘ zur weiteren Veranlassung übergeben: Der Gutachter schließt den Fall ab mit dem Schlüssel: ‚90 Zur Begutachtung empfohlen‘ (vgl. ‚Schulungsunterlage Spezialfall‘) Der Abschluss erfolgt als Produktart ‚SFB ohne Stellungnahme‘. Der Arzt und die Assistenzkraft der Organisationseinheit ‚Spezialfall‘ übergeben den Auftrag an den Leitenden Arzt der Knappschaft, der diejenige Dienststelle der Knappschaft mit der Untersuchung beauftragt, der dem Wohnort des zu Begutachtenden am nächsten gelegen ist und veranlasst
folgend auch die Rücksendung des Gutachtens. Die elektronische Archivierung erfolgt durch die Assistenzkräfte der Organisationseinheit ‚Spezialfall‘, die das Gutachten zum Auftrag
scannen. Die tatsächliche Erstellung des Gutachtens durch die Bundesknappschaft ist von der Organisationseinheit ‚Spezialfall‘ zu überwachen. …“ 7 Insgesamt erhielten im Rahmen der
der DA gebildeten Organisationseinheit „Spezialfall“ 36 Mitarbeiterinnen und Mitarbeiter des Beklagten technisch Zugriff auf den sog. geschützten Bereich. Es handelte sich dabei um ärztliche Mitarbeiter, Assistenzkräfte und Mitarbeiter der IT-Abteilung. Die Zugriffsberechtigung für die Bearbeitung der Spezialfälle war aufgeteilt in den „Teilbereich Ambulante Versorgung“ mit den Beratungs- und Begutachtungszentren (BBZ) A und B, denen jeweils Ärzte und Assistenzkräfte zugeordnet waren, den „Teilbereich Stationäre Versorgung“ mit den BBZ A und B, denen jeweils Ärzte, Kodierfachkräfte und Assistenzkräfte zugeordnet waren, den „Teilbereich MFB Behandlungsfehler“ mit dem BBZ C und den „Teilbereich IT Abteilung“, der in A angesiedelt war und dem im Jahr 2018 neun Personen, darunter der Kläger, zugeordnet waren. Sämtliche Mitarbeiter des sog. geschützten Bereichs waren auf das Sozialgeheimnis iSv. § 35 SGB I verpflichtet und wurden auf die strafrechtlichen und arbeitsrechtlichen Rechtsfolgen einer Verletzung hingewiesen. In regelmäßigen Schulungen wurden sie im Hinblick auf die Bedeutung des § 35 SGB I und die Einhaltung des Sozialdatenschutzes unterwiesen. 8 Die Speicherung der unter Einsatz von ISmed 3 verarbeiteten Daten erfolgte im Rechenzentrum eines in M ansässigen Providers. Auftragsdaten mit den Stammdaten der Versicherten und die Begutachtungsdaten wurden getrennt voneinander - in zwei Datenbanken - gespeichert. Eine Zusammenführung war nur über einen in der Oracle Verschlüsselungsbibliothek hinterlegten Schlüssel und auch nur im Fall eines hergestellten Aufgabenbezugs durch einen zugriffsberechtigten Nutzer möglich. Die Zugriffsberechtigung wurde vom System technisch geprüft. Jedenfalls den der Organisationseinheit „Spezialfall“ angehörenden Mitarbeitern der IT-Abteilung war - unter Nutzung der vorhandenen Verschlüsselungstechnologie - auch
der Archivierung technisch ein Zugriff auf Gutachten möglich, die eigene Mitarbeiter des Beklagten oder deren Angehörige betrafen. 9 Im Juni 2018 beauftragte die gesetzliche Krankenkasse, bei der der Kläger versichert war, den Beklagten mit einer gutachtlichen Stellungnahme zur Beseitigung von Zweifeln an der Arbeitsunfähigkeit des Klägers. Der Auftrag ging auf dem Postweg - ohne dass ein Umschlag „Spezialfall“ Verwendung fand - im BBZ B ein und wurde dort unmittelbar händisch dem sog. geschützten Bereich zugeordnet. Eine im BBZ B tätige Ärztin, die der Organisationseinheit „Spezialfall“ angehörte, erstellte am 22. Juni 2018 ein - anschließend elektronisch im „geschützten Bereich“ gespeichertes - Gutachten, das ua. die Diagnose einer psychischen Erkrankung des Klägers auswies und als Ergebnis den Befund: „aus medizinischer Sicht auf Zeit AU“ enthielt. Vor der Anfertigung des Gutachtens holte die Ärztin beim behandelnden Arzt des Klägers telefonisch Auskünfte über den Gesundheitszustand des Klägers ein.
dem der Kläger durch seinen Arzt über das Gespräch unterrichtet worden war, nahm er am 1. August 2018 telefonisch Kontakt zu einer Kollegin aus der IT-Abteilung auf, die auf seine Bitten im digitalen Archiv
dem Gutachten recherchierte, hiervon mit ihrem Mobiltelefon Fotos machte und anschließend die Fotos dem Kläger über einen Messenger-Dienst übermittelte. 10
erfolgloser außergerichtlicher Geltendmachung einer Entschädigung iHv. 20.000,00 Euro hat der Kläger mit seiner Klage seinen Leistungsanspruch auf immateriellen Schadenersatz weiterverfolgt und daneben - zweitinstanzlich - im Wege der Zahlungs- und Feststellungsklage materiellen Schadenersatz, jeweils gestützt auf Art. 82 Abs. 1 DSGVO und aus § 823 Abs. 1 BGB iVm. Art. 2 Abs. 1, Art. 1 Abs. 1 GG, begehrt. 11 Im Verlauf des Rechtsstreits kündigte der Beklagte das Arbeitsverhältnis mit dem Kläger fristlos und hilfsweise fristgerecht. Dagegen erhob der Kläger in einem gesonderten Verfahren Kündigungsschutzklage. Zudem hörte der Beklagte den Personalrat zu einer beabsichtigten fristlosen, hilfsweise ordentlichen Kündigung des Arbeitsverhältnisses mit der Kollegin des Klägers an. 12 Der Kläger hat die Auffassung vertreten, der Beklagte habe mit der Verarbeitung seiner Gesundheitsdaten im Zusammenhang mit der Erstellung des Gutachtens vom 22. Juni 2018 in mehrfacher Hinsicht gegen datenschutzrechtliche Bestimmungen verstoßen. Dem Beklagten sei es schon im Grundsatz nicht erlaubt, Gesundheitsdaten eigener Mitarbeiter zum Zweck der Erstellung eines von der Krankenkasse beauftragten medizinischen Gutachtens zu verarbeiten. Im Fall der Betroffenheit eigener Beschäftigter müsse die Begutachtung - selbst wenn kein Erfordernis einer körperlichen Untersuchung bestehe - stets durch einen anderen Medizinischen Dienst erfolgen. Zumindest habe für den Beklagten die Verpflichtung bestanden sicherzustellen, dass kein Kollege Kenntnis von ihn - den Kläger - betreffenden Gesundheitsdaten erlange und/oder Zugriff nehmen könne. Abgesehen davon sei es der konkret mit der Begutachtung befassten Ärztin, mit der er „immer mal wieder zu tun gehabt habe“, nicht erlaubt gewesen, bei seinem behandelnden Arzt telefonisch Auskünfte über seine Arbeitsunfähigkeit einzuholen. Schließlich seien auch die Maßnahmen zum Schutz seiner Gesundheitsdaten rund um die Bearbeitung des Auftrags der Krankenkasse und insbesondere die Archivierung des Gutachtens unzureichend gewesen. Es hätten ausreichende Schutzvorkehrungen und Kontrollen gefehlt, die wirksam einen unbefugten Zugriff auf Gesundheitsdaten, die eigene Mitarbeiter des Beklagten betreffen, verhindert hätten. 13 Durch die darin liegenden Verstöße gegen die Datenschutz-Grundverordnung, in denen zugleich eine schwerwiegende Verletzung seines allgemeinen Persönlichkeitsrechts liege, habe er einen immateriellen Schaden erlitten, der vom Beklagten auszugleichen sei. Die erfolgte tatsächliche Kenntnisnahme von seinen Gesundheitsdaten durch Mitarbeiter des Beklagten, die seine Kollegen seien, und die Möglichkeit der Einsichtnahme in seine Daten -
deren Speicherung im „geschützten Bereich“ jedenfalls noch durch Mitarbeiter der IT-Abteilung - hätten bei ihm die Befürchtung eines Austauschs im Kollegenkreis über seinen Gesundheitszustand „hinter seinem Rücken“ und damit verbunden die Sorge vor einer Bloßstellung ausgelöst. Zudem habe er befürchten müssen, dass Personalverantwortliche und Vorgesetzte zumindest „hinter vorgehaltener Hand“ Kenntnis von den Ursachen seiner Erkrankung erlangten. Weiterhin habe der Beklagte versucht, ihn und seine Kollegin mit den erklärten bzw. in Aussicht genommenen Kündigungen „mundtot“ zu machen; die Absicht einer Kündigung des Arbeitsverhältnisses seiner Kollegin habe bei ihm Gewissensbisse ausgelöst. Der Anspruch auf materiellen Schadenersatz bzw. entsprechende Feststellung resultiere aus einem Erwerbsschaden, der ihm infolge des zwischen der Gutachterin des Beklagten und seinem behandelnden Arzt unrechtmäßig geführten Telefonats entstanden sei. Die Kenntniserlangung von dem Telefonat habe dazu geführt, dass er - entgegen einer vorherigen Erwartung seines Arztes - nicht ab Dezember 2018 wieder voll arbeitsfähig, sondern weiterhin arbeitsunfähig erkrankt gewesen sei. 14 Der Kläger hat zuletzt beantragt, 1. den Beklagten zu verurteilen, an ihn eine angemessene Entschädigung
billigem Ermessen, mindestens jedoch 20.000,00 Euro zu zahlen;
dem für das arbeitsgerichtliche Urteilsverfahren geltenden zweigliedrigen Streitgegenstandsbegriff durch den gestellten Antrag (Klageantrag) und den ihm zugrunde liegenden Lebenssachverhalt (Klagegrund). Der Streitgegenstand erfasst alle Tatsachen, die bei einer natürlichen, vom Standpunkt der Parteien ausgehenden, den Sachverhalt seinem Wesen
erfassenden Betrachtungsweise zu dem zur Entscheidung gestellten Tatsachenkomplex gehören, den der Kläger zur Stützung seines Rechtsschutzbegehrens dem Gericht unterbreitet hat (vgl. BAG 13. Dezember 2023 - 5 AZR 259/22 - Rn. 22 mwN). 23 bb) Der Kläger sieht die Verarbeitung seiner Gesundheitsdaten durch den Beklagten vornehmlich deshalb als unzulässig an, weil dieser sein Arbeitgeber ist und weil bei der Verarbeitung ua. Kollegen, die - wie er - dem „geschützten Bereich“ angehörten, Zugriff auf seine besonders sensiblen Daten hatten. Darüber hinaus wendet er sich gegen die Art und Weise der Datenerhebung durch die ärztliche Gutachterin, die
seiner Auffassung jedenfalls nicht ohne seine Einwilligung telefonisch Auskünfte bei seinem behandelnden Arzt habe einholen dürfen. Ausdrücklich nicht als „haftungsbegründenden“ Datenschutzverstoß will der Kläger zwar den von seiner Kollegin am 1. August 2018 vorgenommenen Zugriff auf das im Archiv gespeicherte Gutachten anführen, wie er im letzten Termin der mündlichen Verhandlung vor dem Landesarbeitsgericht klargestellt hat. Er will diesen Zugriff aber ersichtlich als Beleg für unzureichende Schutzmaßnahmen des Beklagten bei der Speicherung seiner Gesundheitsdaten verstanden wissen, auf die er sein Entschädigungsverlangen ebenfalls stützt. 24 cc) Danach ist zwar nicht zu übersehen, dass dem Anspruch auf Geldentschädigung vermeintliche Datenschutzverstöße bei unterschiedlichen Verarbeitungsschritten-/tätigkeiten zugrunde liegen. Im Mittelpunkt des Begehrens stehen aber jeweils die Offenlegung und/oder Kenntnisnahme(möglichkeit) von Gesundheitsdaten des Klägers gegenüber bzw. durch eigene Beschäftigte des Beklagten, insbesondere solche Mitarbeiter, die seine „Kollegen“ sind, und der Umgang mit den Daten im Rahmen der von der gesetzlichen Krankenkasse beauftragten medizinischen Stellungnahme. Zudem handelt es sich bei den beanstandeten Verarbeitungstätigkeiten um eine Vorgangsreihe, dh. eine Aneinanderreihung von Verarbeitungsvorgängen (wie etwa das aufeinanderfolgende Erheben, Erfassen, Verwenden und Speichern) im Zusammenhang mit personenbezogenen Daten, die
2 DSGVO ihrerseits eine Verarbeitung im Sinne der Datenschutz-Grundverordnung darstellt und die bei natürlicher Betrachtung einen einheitlichen Lebenssachverhalt und damit einen einheitlichen Klagegrund im prozessualen Sinne bildet. Der maßgebliche einheitliche Streitgegenstand ist damit durch sämtliche Datenschutzverstöße gekennzeichnet, die
dem Vorbringen des Klägers im Zusammenhang mit der Erstellung des Gutachtens über seine Arbeitsunfähigkeit stehen und die in den Zeitraum beginnend mit dem Auftrag der Krankenkasse vom
2 ZPO ab (zur Zulässigkeit eines unbezifferten Leistungsantrags in einem solchen Fall vgl.: BAG 22. April 2004 - 8 AZR 620/02 - zu II 2 der Gründe; BGH 21. Januar 2021 - I ZR 207/19 - Rn. 78 mwN). Der Kläger hat überdies ausreichend Tatsachen benannt, die das Gericht für die Schätzung heranziehen soll (zu diesem Erfordernis vgl. BAG 15. Februar 2005 - 9 AZR 635/03 - zu A der Gründe mwN, BAGE 113, 361), nämlich ua. die Unsicherheit über eine mögliche Bekanntheit seiner Gesundheitsdaten im Kollegenkreis, die daraus resultierende Belastung des beruflichen „Miteinanders“ bis hin zur Befürchtung eines Austauschs über seinen Gesundheitszustand „hinter seinem Rücken“ und die damit verbundene Sorge vor einer „Bloßstellung“. 26 2. Der Antrag hat in der Sache keinen Erfolg. Die Voraussetzungen der in Betracht kommenden Anspruchsgrundlagen sind nicht erfüllt. 27
2 DSGVO ab dem
dem 6. Juni 2018 und damit im Geltungszeitraum der Datenschutz-Grundverordnung statt. 31
F des Art. 19 des Gesetzes zur Änderung des Bundesversorgungsgesetzes und anderer Vorschriften vom
2 Satz 2 SGB I finden für die Verarbeitungen von Sozialdaten im Rahmen von nicht in den Anwendungsbereich der Datenschutz-Grundverordnung fallenden Tätigkeiten die Datenschutz-Grundverordnung und dieses Gesetz entsprechende Anwendung, soweit nicht in diesem oder einem anderen Gesetz Abweichendes geregelt ist. Diese konstitutiv wirkende Regelung stellt für die Verarbeitung von Sozialdaten ein datenschutzrechtliches Vollregime unabhängig von der Reichweite der Datenschutz-Grundverordnung sicher (vgl. BT-Drs. 18/12611 S. 97; BSG 18. Dezember 2018 - B 1 KR 31/17 R - Rn. 14, BSGE 127, 181; Bieresborn NZS 2017, 887, 891). 33 Die Erstellung einer gutachtlichen Stellungnahme über das Vorliegen einer Arbeitsunfähigkeit des Klägers durch den Beklagten betrifft Sozialdaten iSv. § 35 Abs. 1 SGB I. Dies sind personenbezogene Daten iSv. Art. 4 Nr. 1 DSGVO, die von einer in § 35 SGB I genannten Stelle im Hinblick auf ihre Aufgaben
diesem Gesetzbuch verarbeitet werden (§ 67 Abs. 2 Satz 1 SGB X idF des Art. 24 Nr. 2 BVGÄndG). Zu den in § 35 Abs. 1 SGB I genannten Stellen gehören
1 Satz 4 SGB I auch die Arbeitsgemeinschaften der Leistungsträger. Dazu zählte die
F des Art. 1 GRG) in jedem (Bundes-)Land von den Krankenkassen getragene Arbeitsgemeinschaft „Medizinischer Dienst der Krankenversicherung“. Soweit der Beklagte nunmehr als Medizinischer Dienst fortbesteht, gilt
F des Art. 1 Nr. 24 MDK-Reformgesetz) in seinem Geschäftsbereich § 35 SGB I „entsprechend“. 34 (b)
den übrigen Regelungen ist der sachliche und persönliche Anwendungsbereich der DSGVO eröffnet. Der Beklagte hat, wie bereits im Beschluss des Senats vom
der Rechtsprechung des Gerichtshofs der Europäischen Union (im Folgenden Gerichtshof) hängt dieser Anspruch von drei Voraussetzungen ab. Es muss ein Verstoß gegen die Datenschutz-Grundverordnung, ein materieller oder immaterieller Schaden sowie ein Kausalzusammenhang zwischen dem Verstoß und dem Schaden vorliegen, und diese drei Voraussetzungen müssen kumulativ erfüllt sein (vgl. EuGH
weisen muss (vgl. EuGH
Vm. Art. 9 Abs. 3 DSGVO ergebenden Rechtmäßigkeitsvoraussetzungen. Die Verarbeitung genügte auch den allgemeinen, sich aus Art. 6 Abs. 1 DSGVO ergebenden Rechtmäßigkeitsanforderungen. Der Beklagte hat schließlich ausreichende Vorkehrungen zum Datenschutz getroffen. Insbesondere genügen die vom Beklagten insoweit getroffenen Maßnahmen den in Art. 5 Abs. 1 Buchst. a DSGVO genannten und in Art. 32 Abs. 1 Buchst. a und b DSGVO konkretisierten Grundsätzen der Integrität und der Vertraulichkeit. 38 (a) Die Datenverarbeitung ist entgegen der Auffassung des Klägers nicht deshalb unrechtmäßig, weil es dem Beklagten angesichts seiner gleichzeitigen Stellung als Arbeitgeber und als Medizinischer Dienst
39 (aa)
1 DSGVO ist die Verarbeitung besonderer Kategorien personenbezogener Daten wie ua. Gesundheitsdaten zwar untersagt. Dieses Verbot gilt
2 Buchst. h DSGVO aber nicht in Fällen, in denen die Verarbeitung für die Beurteilung der Arbeitsfähigkeit eines Beschäftigten auf der Grundlage des Rechts eines Mitgliedstaats und vorbehaltlich der in Art. 9 Abs. 3 DSGVO genannten Bedingungen und Garantien erforderlich ist. 40 (bb) Der Beklagte kann sich auf die Ausnahmeregelung des Art. 9 Abs. 2 Buchst. h DSGVO berufen, obwohl er im Zeitpunkt der Verarbeitung der Gesundheitsdaten Arbeitgeber des Klägers war.
der Rechtsprechung des Gerichtshofs (EuGH
Ausgestaltung des jeweiligen Gesundheitssystems ggf. nicht in allen Mitgliedstaaten erfüllt werden kann (vgl. EuGH
1 Satz 1 Nr. 3 Buchst. b SGB V sind die Krankenkassen in den gesetzlich bestimmten Fällen oder wenn es
Art, Schwere, Dauer oder Häufigkeit der Erkrankung oder
dem Krankheitsverlauf erforderlich ist, verpflichtet, bei Arbeitsunfähigkeit zur Beseitigung von Zweifeln an der Arbeitsunfähigkeit eine gutachtliche Stellungnahme des Medizinischen Dienstes der Krankenversicherung (Medizinischer Dienst) (jetzt - unter Streichung der Worte „der Krankenversicherung (Medizinischer Dienst)“ durch Art. 1 Nr. 21 des MDK-Reformgesetzes - nur noch „Medizinischer Dienst“; im Folgenden einheitlich: § 275 Abs. 1 Satz 1 Nr. 3 Buchst. b SGB V) einzuholen. Um eine solche Stellungnahme, die unerlässlich mit der Verarbeitung von Gesundheitsdaten einhergeht, hat die gesetzliche Krankenkasse des Klägers den Beklagten am 6. Juni 2018 gebeten. 45 (bbbb)
F des Art. 1 Nr. 16g des Gesetzes zur Stärkung der Heil- und Hilfsmittelversorgung vom 4. April 2017, Heil- und Hilfsmittelversorgungsgesetz - HHVG, BGBl. I S. 778) darf der Medizinische Dienst Sozialdaten erheben und speichern sowie einem anderen Medizinischen Dienst übermitteln, soweit dies für die Prüfungen, Beratungen und gutachtlichen Stellungnahmen
Der im deutschen Recht in § 67 Abs. 2 SGB X definierte Begriff der Sozialdaten schließt Gesundheitsdaten iSv. Art. 4 Nr. 15 DSGVO ein (vgl. BeckOK SozR/Westphal Stand 1. Juni 2024 SGB X § 67 Rn. 6; Wiesner/Wapler/Walther 6. Aufl. SGB X § 67 Rn. 3). 46 (cccc) Soweit
2 Buchst. h DSGVO, wie Erwägungsgrund 53 Satz 1 klarstellt, die Verarbeitung zudem „im Interesse einzelner natürlicher Personen und der Gesellschaft insgesamt“, insbesondere im Zusammenhang mit der Verwaltung der Dienste und Systeme des Gesundheits- und Sozialbereichs erforderlich sein muss (vgl. EuGH
dieser Bestimmung darf eine Verarbeitung von Gesundheitsdaten eines Arbeitnehmers zur Prüfung seiner Arbeitsfähigkeit nur dann erfolgen, wenn diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal
dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt, oder wenn die Verarbeitung durch eine andere Person erfolgt, die ebenfalls
dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliegt. 49 (bbbb) Diesen Anforderungen wurde die Verarbeitung der Gesundheitsdaten des Klägers gerecht. Die beim Beklagten mit der Erstellung einer medizinischen Stellungnahme befassten Ärzte unterliegen, auch soweit sie beim Beklagten unmittelbar angestellt sind,
GB und § 9 der Berufsordnung für die nordrheinischen Ärztinnen und Ärzte vom
GB strafbewehrten Geheimhaltungspflicht. 50 (cccc) Weitergehende Anforderungen stellt Art. 9 Abs. 3 DSGVO nicht. Insbesondere ergibt sich hieraus keine Verpflichtung des Beklagten zu gewährleisten, dass kein Kollege eines von einer Begutachtung betroffenen Beschäftigten Zugang zu dessen Gesundheitsdaten hat. Auch diese Bestimmung kann, wie der Gerichtshof auf das Vorabentscheidungsersuchen des Senats erkannt hat, nicht um ungeschriebene Tatbestandsmerkmale ergänzt werden, da der Unionsgesetzgeber mit ihr die spezifischen Schutzmaßnahmen, die er für Verarbeitungen iSv. Art. 9 Abs. 2 Buchst. h DSGVO den Verantwortlichen auferlegen wollte, definiert hat, und weil die Auslegung dieser Bestimmung nicht von Erwägungen bestimmt werden darf, die aus dem Gesundheitssystem eines einzigen Mitgliedstaats hergeleitet werden oder die sich aus Besonderheiten einer bestimmten Fallkonstellation ergeben (vgl. EuGH 21. Dezember 2023 - C-667/21 - [Krankenversicherung Nordrhein] Rn. 62 f., 70). 51 (ddd) Zwar sind die Mitgliedstaaten
4 DSGVO befugt, zusätzliche Bedingungen, einschließlich Beschränkungen, einzuführen oder aufrechtzuerhalten, soweit die Verarbeitung von Gesundheitsdaten betroffen ist. Dies umfasst die Befugnis der Mitgliedstaaten, den Verantwortlichen in den Fällen des Art. 9 Abs. 2 Buchst. h DSGVO zu verpflichten, Kollegen der betroffenen Person vom Zugang zu Daten über ihren Gesundheitszustand auszuschließen (EuGH
1 Satz 1 Nr. 3 Buchst. b SGB V abstrakt-generell eine Beschränkung dahin gehend auferlegt, dass überhaupt kein anderer Mitarbeiter, der mit dem Betroffenen - und sei es nur gelegentlich - als „Kollege“ zusammenarbeitet, Zugriff auf dessen Gesundheitsdaten haben darf, liegt nicht vor. Eine derartige Vorgabe ist weder § 276 Abs. 2 SGB V (idF des Art. 1 Nr. 16g HHVG), der die Verarbeitung von Sozialdaten ua. in den Fällen des § 275 SGB V regelt, noch den für die Verarbeitung von Sozialdaten allgemein geltenden Bestimmungen im Zweiten Kapitel des SGB X (§§ 67 bis 85a) zu entnehmen. 53 Gegen die Annahme einer solchen Beschränkung spricht im Übrigen die Regelung in § 35 Abs. 1 Satz 3 SGB I (jetzt iVm. § 276 Abs. 2 Satz 5 SGB V), wonach Personen, die Personalentscheidungen treffen oder daran mitwirken, Sozialdaten der Beschäftigten weder zugänglich sein dürfen noch an diesen Personenkreis von Zugriffsberechtigten weitergegeben werden dürfen. Die Vorschrift ist erkennbar von der Vorstellung geleitet, dass es bei Leistungsträgern wie etwa den gesetzlichen Krankenkassen oder einem Medizinischen Dienst zu Situationen kommen kann, in denen Sozialdaten eines eigenen Arbeitnehmers verarbeitet werden. 54 (bbbb) Eine - zumindest teilweise - Beschränkung der Verarbeitungsbefugnisse des Beklagten folgt auch nicht aus den im Streitzeitraum geltenden Regelungen über die Beauftragung von Gutachtern.
F des Art. 1 GRG; jetzt § 278 Abs. 2 Satz 1 SGB V idF des Art. 1 Nr. 25 MDK-Reformgesetz) werden die Fachaufgaben des Medizinischen Dienstes - dh. die Aufgaben
Wagner in Krauskopf Soziale Krankenversicherung, Pflegeversicherung Stand Juni 2018 § 279 SGB V Rn. 16) - von Ärzten und Angehörigen anderer Heilberufe wahrgenommen. Zwar hatte der Medizinische Dienst
der bis zum
der Begründung des Regierungsentwurfs zum Gesundheits-Reformgesetz (vgl. BT-Drs. 11/2237 S. 233; insoweit zu § 287 Abs. 5 der Entwurfsfassung) im Zusammenhang mit dem auf übernommene Beamte und Beamtenanwärter der Landesversicherungsanstalten begrenzten Recht des Medizinischen Dienstes, Beamte zu beschäftigen, und sollte vor dem Hintergrund zur Verfügung stehender begrenzter Begutachtungs-/Beratungskapazitäten eine möglichst qualifizierte Durchführung der Aufgaben
SGB V gewährleisten.
der Begründung des Gesetzentwurfs zum MDK-Reformgesetz (BR-Drs. 359/19 S. 76) wurde die Regelung zur vorrangigen Beauftragung von Gutachtern aus dem SGB V gestrichen, da Art und Umfang der neben dem Einsatz eigener Beschäftigter zur Erledigung von Auftragsspitzen oder zur Bearbeitung seltener und spezieller Gutachtensaufträge möglichen Beauftragung externer Gutachter „künftig durch eine Richtlinie … gemäß § 283 Absatz 2 Satz 1 Nummer 5“, dh. eine Richtlinie des Medizinischen Dienstes Bund, „ausgestaltet wird“. Dies zeigt, dass die vormalige Regelung in § 279 Abs. 5 Halbs. 2 SGB V vornehmlich Zwecken der Qualitätssicherung diente und jedenfalls nicht das Ziel verfolgte, Befugnisse des Medizinischen Dienstes bei der Verarbeitung von Gesundheitsdaten einzuschränken. 55 (cccc) Spezifische Beschränkungen der Verarbeitung von Gesundheitsdaten eines eigenen Mitarbeiters ergeben sich für den Medizinischen Dienst schließlich nicht aus der am 15. Mai 2017 vom Spitzenverband Bund der Krankenkassen als Richtlinie erlassenen Begutachtungsanleitung Arbeitsunfähigkeit (BGA-AU 2017) (in der bis zum 31. Dezember 2021 geltenden Fassung vom 15. Mai 2017, vgl. § 411 Abs. 2 Satz 1 SGB V). Es kommt deshalb für die vorliegende Beurteilung nicht darauf an, ob Richtlinien iSv. § 282 Abs. 2 Satz 3 bzw. § 283 Abs. 2 SGB V als Rechtsvorschriften iSv. Art. 9 Abs. 4 DSGVO anzusehen sind (zur Problematik vgl. Gola/Heckmann/Schulz 3. Aufl. DS-GVO Art. 9 Rn. 49). 56 (dddd)
alledem kann der im Schrifttum vereinzelt vertretenen Auffassung (vgl. Halder/Maluszczak jurisPR-ITR 3/2024 Anm. 4 unter C), das deutsche Rechtssystem habe die Aufgaben bzw. Pflichten des Medizinischen Dienstes im Fall der Betroffenheit eigener Mitarbeiter bereits im Grundsatz „anders zugewiesen“, nicht gefolgt werden. Der deutsche Gesetzgeber hat, indem er den Medizinischen Dienst nicht allgemein verpflichtet hat, im Fall der Betroffenheit eigener Arbeitnehmer einen anderen Dienst zu beauftragen, diesem - ersichtlich bewusst und in Kenntnis dessen, dass die Verarbeitung von Daten zur Erstellung einer gutachtlichen Stellungnahme iSd. § 275 Abs. 1 Satz 1 Nr. 3 Buchst. b SGB V regelmäßig Gesundheitsdaten eines Betroffenen umfasst - eine dahin gehende Beschränkung nicht auferlegt. Die Annahme einer datenschutzrechtlichen „Unzuständigkeit“ des konkret beauftragten Dienstes allein unter dem Gesichtspunkt, dass eine medizinische Begutachtung die Arbeitsunfähigkeit eines eigenen Mitarbeiters betrifft, liefe dieser gesetzgeberischen Grundentscheidung zuwider. 57 (b) Eine auf Art. 9 Abs. 2 Buchst. h DSGVO gestützte Verarbeitung von Gesundheitsdaten ist zwar nicht schon dann rechtmäßig, wenn sie den spezifischen Anforderungen, die diese Bestimmung stellt, gerecht wird. Vielmehr muss die auf die vorgenannte Bestimmung gestützte Verarbeitung zugleich ua. den sich aus Art. 6 Abs. 1 DSGVO ergebenden Rechtmäßigkeitsvoraussetzungen genügen (EuGH 21. Dezember 2023 - C-667/21 - [Krankenversicherung Nordrhein] Rn. 78 f.). Diese liegen aber vor. 58 (aa)
1 DSGVO ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen erforderlich ist (Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO). Die Rechtsgrundlage für eine solche Verarbeitung kann sich aus dem Recht der Mitgliedstaaten ergeben (Art. 6 Abs. 3 Satz 1 Buchst. b DSGVO). Dies setzt voraus, dass der Zweck der Verarbeitung in dieser Rechtsgrundlage festgelegt ist (Art. 6 Abs. 3 Satz 2 DSGVO), die rechtlichen Regelungen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen (Art. 6 Abs. 3 Satz 4 DSGVO). 59 (bb) Der Beklagte kam, wie bereits (unter Rn. 44) gezeigt, mit der Erstellung der medizinischen Stellungnahme zur Beseitigung von Zweifeln über die Arbeitsunfähigkeit des Klägers einer ihm
1 Satz 1 Nr. 3 Buchst. b SGB V zugewiesenen Aufgabe
. Fordert die Krankenkasse eine solche Stellungnahme an, ist deren Ausführung für den Medizinischen Dienst verpflichtend und die Verarbeitung erforderlich. 60 (cc) Der deutsche Gesetzgeber hat in § 276 Abs. 2 SGB V eine bereichsspezifische Rechtsgrundlage für die Datenverarbeitung beim Medizinischen Dienst geschaffen.
2 Satz 1 SGB V darf, wie bereits ausgeführt, der Medizinische Dienst Sozialdaten, dh. sowohl personenbezogene Daten iSv. Art. 6 Abs. 1 DSGVO als auch Gesundheitsdaten iSv. Art. 9 Abs. 1 DSGVO, erheben und speichern sowie einem anderen Medizinischen Dienst übermitteln, soweit dies ua. für Stellungnahmen
SGB V erforderlich ist.
Satz 3 der Bestimmung dürfen die rechtmäßig erhobenen und gespeicherten Sozialdaten nur für die in § 275 SGB V genannten Zwecke verarbeitet oder genutzt werden, für andere Zwecke, soweit dies durch Rechtsvorschriften des Sozialgesetzbuchs angeordnet oder erlaubt ist. 61 (aaa) Die Rechtsgrundlage entspricht insoweit den Vorgaben in Art. 6 Abs. 1 Unterabs. 1 Buchst. c iVm. Art. 6 Abs. 3 Satz 1 Buchst. b DSGVO. Sie regelt die Datenverarbeitung beim Medizinischen Dienst im Rahmen seiner Aufgaben (zu diesem Erfordernis vgl. EuGH 30. März 2023 - C-34/21 - [Hauptpersonalrat der Lehrerinnen und Lehrer] Rn. 87 mwN).
Erwägungsgrund 45 verlangt die Datenschutz-Grundverordnung nicht für jede einzelne Verarbeitung ein spezifisches Gesetz. So kann ein Gesetz als Grundlage für mehrere Verarbeitungsvorgänge ausreichend sein, wenn die Verarbeitung - wie hier - aufgrund einer dem Verantwortlichen obliegenden rechtlichen Verpflichtung erfolgt (BAG 9. Mai 2023 - 1 ABR 14/22 - Rn. 66). 62 (bbb) § 276 Abs. 2 Satz 1 und Satz 3 SGB V genügen auch den Anforderungen des Art. 6 Abs. 3 Satz 2 DSGVO. Sie legen ua. mit den gutachtlichen Stellungnahmen
Sv. Art. 6 Abs. 3 Satz 4 DSGVO legitim, wie das Regelbeispiel in Art. 9 Abs. 2 Buchst. h DSGVO „für die Verwaltung von Systemen und Diensten im Gesundheits- und Sozialbereich“ sowie Erwägungsgrund 52 Satz 2 zur DSGVO belegen (vgl. Rn. 46). 63 (ccc) Die
2 Satz 2 und Satz 3 SGB V die Datenverarbeitung legitimierenden Rechtsgrundlagen stehen zudem in einem angemessenen Verhältnis zu dem verfolgten Zweck. 64 (aaaa) Art. 6 Abs. 3 Satz 4 DSGVO trägt dem in Art. 52 Abs. 1 Satz 2 GRC verankerten Verhältnismäßigkeitsprinzip Rechnung (vgl. Paal/Pauly/Frenzel
der in Art. 9 Abs. 2 Buchst. h DSGVO vorgenommenen Abwägung des Unionsgesetzgebers unter den in der Bestimmung genannten Voraussetzungen auch einen solchen, schweren Eingriff zu legitimieren vermag (zur finanziellen Stabilität der gesetzlichen Krankenversicherung als „überragend wichtiges Gemeinschaftsgut“ vgl. auch BVerfG
Wahrung der Integrität und Vertraulichkeit eines Betroffenen durch technische und organisatorische Maßnahmen innerhalb des Dienstes Rechnung getragen wird. Zwar bestünde angesichts der in Deutschland vorhandenen mehreren Medizinischen Dienste die Möglichkeit, die Aufgaben
SGB V für den Fall der Betroffenheit eines eigenen Beschäftigten von vornherein einem anderen Dienst zuzuweisen. Dies brächte aber in der Abwicklung der Leistungen der gesetzlichen Krankenversicherung
teile mit sich, die die Verarbeitung durch einen anderen Dienst nicht als gleichermaßen effektiv und wirtschaftlich erscheinen lassen. Zum einen begünstigt die Zuständigkeit eines Medizinischen Dienstes für sämtliche Begutachtungen, die in seinem Geschäftsbereich anfallen, die - im Interesse der Gesamtheit der Versicherten liegende - einheitliche Anwendung der bei der Begutachtung anzulegenden Maßstäbe, wie sie sich insbesondere aus der BGA-AU 2017 ergeben. Zum anderen zielt die Einrichtung mehrerer Medizinischer Dienste in Deutschland gerade darauf, eine
Möglichkeit arbeits- und wohnortnahe Begutachtung sicherzustellen, da diese dem Fachpersonal einen leichteren Zugang zu den Leistungserbringern, darunter die behandelnden niedergelassenen Ärzte, eröffnet. Sind Leistungserbringer den Gutachtern aufgrund eines regelmäßigen Kontakts bekannt, kann dies das Vertrauen in die Zuverlässigkeit von deren Beurteilungen zur Feststellung der Arbeitsunfähigkeit beeinflussen, was wiederum die Einschätzung eines Gutachters erleichtern kann, ob die medizinische Stellungnahme zur Arbeitsunfähigkeit eines Betroffenen auf der Grundlage vorhandener Befunde erfolgen kann, oder ob ggf. eine zusätzliche ärztliche Untersuchung des Gesundheitszustands veranlasst ist. Dies sichert wiederum nicht nur die Qualität, sondern auch die Wirtschaftlichkeit der Aufgabenerledigung durch die Medizinischen Dienste, die von den Kranken- und Pflegekassen finanziert werden. 70 (ddddd) Diesem Befund stehen die Ausführungen des Gerichtshofs in der Vorabentscheidung zu den in Art. 5 Abs. 1 Buchst. f DSGVO genannten und in Art. 32 Abs. 1 Buchst. a und b DSGVO konkretisierten Grundsätzen der Integrität und Vertraulichkeit nicht entgegen. Zwar hat der Gerichtshof erkannt, aufgrund dieser Grundsätze könne einem Verantwortlichen, der als Medizinischer Dienst Gesundheitsdaten eines Beschäftigten verarbeitet, die Pflicht obliegen sicherzustellen, dass kein Kollege des Betroffenen Zugriff auf diese Daten hat (vgl. EuGH 21. Dezember 2023 - C-667/21 - [Krankenversicherung Nordrhein] Rn. 59 ff.). Diese Vorgaben verlangen aber keine abstrakt-generelle Regelung durch den Gesetzgeber. Sie richten sich an den Verantwortlichen und sind deshalb bei der Beurteilung zu berücksichtigen, ob konkret getroffene Schutzvorkehrungen den sich aus den Grundsätzen der Integrität und Vertraulichkeit ergebenden Pflichten genügen. 71 (
Ärzte zählen, auf Anforderung des Medizinischen Dienstes und soweit diese Anforderung unter Nennung des Begutachtungszwecks erfolgt, verpflichtet, versichertenbezogene Daten unmittelbar an den Medizinischen Dienst zu übermitteln. Dies impliziert die Befugnis der Gutachter eines Medizinischen Dienstes, Daten unmittelbar beim behandelnden Arzt zu erheben. Eine Vorgabe, wonach Datenabfrage und -übermittlung ausschließlich schriftlich erfolgen dürften, ist dem Gesetz für die Fallbearbeitung durch den Medizinischen Dienst nicht zu entnehmen (vgl. Krauskopf/Knittel Stand Februar 2024 SGB V § 276 Rn. 10; Spickhoff/Nebendahl
den Dokumentationen in dem Gutachten vom
gekommen. Der Kläger hat nicht behauptet, dass er über den Inhalt des Telefonats - etwa durch
frage bei seinem behandelnden Arzt - keine näheren Informationen hätte erlangen können. 78 (
Treu und Glauben erfolgende Verarbeitung zu stellen sind. 80 (aa) Maßgeblich sind insoweit die in § 276 Abs. 2 Sätze 6 bis 9 SGB V getroffenen Regelungen. Da es sich um besondere Vorkehrungen zum Datenschutz beim Medizinischen Dienst handelt (vgl. Becker/Kingreen/Seifert 8. Aufl. SGB V § 276 Rn. 12), finden ergänzend die allgemeinen Bestimmungen in § 67a (Erhebung von Sozialdaten) und § 67b SGB X (Speicherung, Veränderung, Nutzung, Übermittlung, Einschränkung der Verarbeitung und Löschung) (jeweils idF des Art. 24 BVGÄndG) Anwendung, wobei diese ausdrücklich auch die Verarbeitung der in Art. 9 Abs. 1 DSGVO genannten Daten, also ua. Gesundheitsdaten erfassen (§ 67a Abs. 1 Satz 2 und § 67b Abs. 1 Satz 2 SGB X). Soweit § 22 Abs. 2 BDSG
1 Satz 3 und § 67b Abs. 1 Satz 4 SGB X „entsprechend“ gilt, gelten die dortigen Vorgaben auch für Verarbeitungen beim Medizinischen Dienst. Im Übrigen gehen allerdings die Datenschutzregelungen des Sozialgesetzbuches den Regelungen des Bundesdatenschutzgesetzes vor (vgl. Sydow/Marsch DS-GVO/BDSG/Kampert 3. Aufl. DS GVO Art. 9 Rn. 75). 81 (aaa)
2 SGB V hat der Medizinische Dienst Sozialdaten zur Identifikation des Versicherten getrennt von den medizinischen Sozialdaten des Versicherten zu speichern (Satz 6). Durch technische und organisatorische Maßnahmen ist sicherzustellen, dass die Sozialdaten nur den Personen zugänglich sind, die sie für ihre Aufgaben benötigen (Satz 7). Der Schlüssel für die Zusammenführung der Daten ist vom Beauftragten für den Datenschutz des Medizinischen Dienstes aufzubewahren und darf anderen Personen nicht zugänglich gemacht werden (Satz 8). Darüber hinaus ist jede Zusammenführung zu protokollieren (Satz 9). 82 (bbb)
F des Art. 1 des Datenschutz-Anpassungs- und -Umsetzungsgesetzes EU vom 30. Juni 2017 - DSAnpUG-EU, BGBl. I S. 2097), sind in den Fällen des Abs. 1, dh. in den Fällen der Verarbeitung besonderer Kategorien personenbezogener Daten wie der hier verarbeiteten Gesundheitsdaten, angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person vorzusehen. Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen gehören dazu die in § 22 Abs. 2 Satz 2 BDSG am Ende katalogartig aufgeführten Maßnahmen. Dazu zählen ua. technisch organisatorische Maßnahmen, um sicherzustellen, dass die Verarbeitung gemäß der Datenschutz-Grundverordnung erfolgt (Nr. 1), Maßnahmen, die gewährleisten, dass
träglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten eingegeben, verändert oder entfernt worden sind (Nr. 2), Sensibilisierung der an Verarbeitungsvorgängen Beteiligten (Nr. 3), Beschränkung des Zugangs zu den personenbezogenen Daten innerhalb der verantwortlichen Stelle und von Auftragsverarbeitern (Nr. 5), Pseudonymisierung personenbezogener Daten (Nr. 6) und Verschlüsselung personenbezogener Daten (Nr. 7). 83 (ccc) § 22 Abs. 2 BDSG benennt die möglichen Maßnahmen nur beispielhaft. Deshalb muss es sich bei den vom Medizinischen Dienst zu treffenden Schutzvorkehrungen nicht um die ausdrücklich benannten Maßnahmen handeln. Soweit der Verantwortliche anderweitige Schutzvorkehrungen trifft, müssen sie aber das Vertraulichkeitsinteresse der Betroffenen strikt achten und bei wertender Betrachtung den in § 22 Abs. 2 BDSG aufgelisteten Kriterien entsprechen (BAG
der Datenschutz-Grundverordnung ohnehin gelten. Insbesondere gehen die in § 22 Abs. 2 Satz 2 BDSG beispielhaft angegebenen Maßnahmen über die allgemeinen, in Art. 5 DSGVO verankerten Grundsätze für die Verarbeitung personenbezogener Daten hinaus (vgl. BAG
weis geführt. 87 (aaa) Das deutsche Recht stellt, soweit es den Verantwortlichen zu angemessenen Schutzvorkehrungen verpflichtet, keine geringeren Anforderungen als das Unionsrecht. Insbesondere gelten für die Maßstäbe, anhand derer sich die Erfüllung der diesbezüglichen Pflichten beurteilt, keine vom Unionsrecht abweichenden Maßstäbe. Bei der Prüfung ist deshalb grundsätzlich von den in der Rechtsprechung des Gerichtshofs zu Art. 5 Abs. 1 DSGVO entwickelten Grundsätzen (dazu EuGH 21. Dezember 2023 - C-667/21 - [Krankenversicherung Nordrhein] Rn. 68; 14. Dezember 2023 - C-340/21 - [Natsionalna agentsia za prihodite] Rn. 41 ff.) auszugehen. 88 (bbb) Die hier einschlägigen nationalen Bestimmungen verlangen - ebenso wie Art. 5 Abs. 1 iVm. Art. 32 Abs. 1 DSGVO - dass der Verantwortliche, je
Sachverhalt, geeignete technische und organisatorische Maßnahmen trifft, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dabei sind unter Berücksichtigung der im nationalen Recht ua. in § 276 Abs. 2 SGB V und § 35 Abs. 1 SGB I zwingend gestellten Anforderungen die in § 67a Abs. 1 und § 67b SGB X iVm. § 22 Abs. 2 BDSG nicht abschließend aufgezählten Kriterien zu berücksichtigen. 89 Auf dieser Grundlage ist die Geeignetheit der technischen und organisatorischen Maßnahmen in zwei Schritten zu beurteilen. Zum einen sind die von der betreffenden Verarbeitung ausgehenden Risiken einer Verletzung des Schutzes personenbezogener Daten und ihre möglichen Folgen für die Rechte und Freiheiten natürlicher Personen zu ermitteln. Diese Beurteilung muss konkret unter Berücksichtigung der Eintrittswahrscheinlichkeit und Schwere der ermittelten Risiken erfolgen. Zum anderen ist zu prüfen, ob die vom Verantwortlichen getroffenen Maßnahmen unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke dieser Verarbeitung diesen Risiken angemessen sind, wobei zu berücksichtigen ist, dass der Verantwortliche bei der Festlegung der Maßnahmen über einen gewissen Entscheidungsspielraum verfügt (vgl. EuGH 14. Dezember 2023 - C-340/21 - [Natsionalna agentsia za prihodite] Rn. 41 ff.). 90 (ccc) Im Rahmen dieser Prüfung ist zunächst festzustellen, dass Beschäftigte des Beklagten, die von einer Stellungnahme wie hier betroffen sind, berechtigterweise erwarten dürfen, dass ihre Gesundheitsdaten gegenüber dem Arbeitgeber und im Kollegenkreis geheim bleiben. Werden solche Daten offengelegt, besteht das Risiko,
teile bei Personalentscheidungen oder eine Stigmatisierung im Kreis der Mitarbeiter zu erfahren. Dieses Risiko wird allerdings durch gesetzliche Regelungen bereits dadurch begrenzt, dass
1 SGB I Personalverantwortliche und an Personalentscheidungen Mitwirkende keinen Zugriff auf solche Daten haben dürfen. Zum anderen wird es durch die in § 276 Abs. 2 Satz 6 bis Satz 9 SGB V enthaltenen Vorgaben begrenzt. Diesen Vorgaben ist der Beklagte mit der erlassenen Dienstanweisung und der mit dem Personalrat getroffenen Dienstvereinbarung
gekommen, wobei die dortigen Weisungen bzw. Regelungen jeweils darauf beruhen, dass die Verarbeitung der Gesundheitsdaten Betroffener beim Beklagten unter Einsatz von ISmed erfolgt.
der Dienstvereinbarung erfolgte der Zugriff auf die Software ISmed 3 durch den Einsatz eines Softzertifikats. Die Zugriffsrechte wurden in ISmed 3 über die Vergabe von Rechten und Rollen festgelegt, die sicherstellten, dass nur solche Mitarbeiter Zugriff auf Sozialdaten eines Betroffenen haben, die
vorab getroffenen Festlegungen intern für die Bearbeitung des Auftrags zuständig sind. Systemisch wurde bei jedem Vorgang vorab die Zugriffsberechtigung technisch geprüft. Für die Erledigung von Aufgaben
1 SGB V, die ua. eigene Beschäftigte des Beklagten betreffen, wurde innerhalb von ISmed 3 eine (virtuelle) Organisationseinheit „Spezialfall“ gebildet, zu der aufgrund technischer Beschränkungen nur die der Einheit zugehörigen - insgesamt 36 der mehr als 1.000 - Mitarbeiter des Beklagten Zugriff hatten. Zudem führte innerhalb dieser Einheit ein entwickeltes Rollenkonzept dazu, dass die betreffenden Gutachtenaufträge nicht durch Mitarbeiter bearbeitet wurden, die mit dem Betroffenen in einer Dienststelle zusammenarbeiten, was ebenfalls technisch abgesichert wurde.
Abschluss des Begutachtungsauftrags wurden der Auftrag sowie die gutachtliche Stellungnahme einschließlich der verbleibenden elektronischen medizinischen Unterlagen im elektronischen Archiv von ISmed 3 hinterlegt. Dort wurden die Auftragsdaten zusammen mit den Stammdaten und getrennt von den Begutachtungsdaten in zwei Datenbanken gespeichert. Eine Zusammenführung war nur noch über einen in einer Oracle Verschlüsselungsbibliothek hinterlegten Schlüssel möglich. Jedenfalls den neun Beschäftigten des Teilbereichs „IT Abteilung“ der Organisationseinheit „Spezialfall“ war
Archivierung technisch der Zugriff auf sämtliche innerhalb dieser Einheit erstellten Gutachten weiterhin möglich. Dass der Beklagte die Vorgaben hinsichtlich des Datenschutzbeauftragten beachtet hat, steht zwischen den Parteien nicht im Streit. Zudem hat der Beklagte sämtliche Mitarbeiter im Rahmen der Dienstanweisung auf das Sozialgeheimnis
91 (ddd) Die Würdigung des Landesarbeitsgerichts, hiervon ausgehend seien die Schutzvorkehrungen des Beklagten für ausreichend zu erachten, ist zutreffend. 92 (aaaa) Die Vorkehrungen waren - jedenfalls unter Beachtung der bestehenden Garantien iSv. Art. 9 Abs. 3 DSGVO, dh. der bestehenden (strafbewehrten) Berufsgeheimnisse und die aus der Verpflichtung des Beklagten auf das Sozialgeheimnis abgeleitete (ebenfalls strafbewehrte) Geheimhaltungspflicht - geeignet, die Möglichkeit einer Verwirklichung der mit der Verarbeitung von Gesundheitsdaten Beschäftigter verbundenen Risiken grundsätzlich auszuschließen. Der Beklagte hat durch organisatorische Regelungen und mit Blick darauf, dass es sich bei der Organisationseinheit „Spezialfall“ um eine rein virtuelle Struktur handelt, sichergestellt, dass die stets notwendigen Verarbeitungen im Zusammenhang mit einer medizinischen Stellungnahme nur von Personen durchgeführt werden, die nicht am gleichen Arbeitsort wie ein betroffener Beschäftigter, sondern an einem anderen, auch räumlich entfernten Standort tätig sind. Von solchen Personen ging kein wesentliches Risiko einer Beeinträchtigung der Integrität des Klägers, insbesondere nicht das Risiko aus, aufgrund einer persönlichen Bekanntheit
teile zu erfahren. Soweit sich ein solches Risiko bei einer körperlichen Untersuchung eher hätte verwirklichen können, ist der Beklagte dem durch die Weisung begegnet, medizinische Stellungnahmen, die eine solche Begutachtung erfordern, der Knappschaft zu übertragen. Zwar ist dem Kläger zuzugeben, dass all diese Maßnahmen die Möglichkeit der Kenntniserlangung durch einen unmittelbaren Kollegen der IT-Abteilung im Rahmen seiner beruflichen Aufgaben nicht vollständig ausgeschlossen haben. Insoweit ist aber zu bedenken, dass IT-Mitarbeiter zwar technisch Zugriff auf Gutachten haben, ihre Aufgaben es aber
dem unwidersprochenen Vorbringen des Beklagten typischerweise nicht mit sich bringen, den Inhalt von Gutachten zur Kenntnis zu nehmen. Tun sie es dennoch, geschieht dies unbefugt und kann erhebliche arbeitsrechtliche Konsequenzen
sich ziehen. 93 (bbbb) Der Umstand, dass es - zumal auf seine eigene Veranlassung und unter Verstoß gegen die Dienstanweisung des Beklagten - im Fall des Klägers zu einem Zugriff auf das archivierte Gutachten durch eine unmittelbare Kollegin des Klägers gekommen ist, reicht für die Annahme unzureichender Schutzvorkehrungen nicht aus. Insoweit ist nämlich zu berücksichtigen, dass der Unionsgesetzgeber, wie durch den Erwägungsgrund 83 der Datenschutz-Grundverordnung bestätigt, im Rahmen geforderter Maßnahmen das Ziel verfolgt, die Risiken einer Verletzung des Schutzes personenbezogener Daten „einzudämmen“, ohne zu behaupten, dass sie beseitigt werden könnten (vgl. EuGH 14. Dezember 2023 - C-340/21 - [Natsionalna agentsia za prihodite] Rn. 38 f.). Diese Absicht des Unionsgesetzgebers ist gleichermaßen relevant, soweit es um die Frage geht, ob der Beklagte seinen im nationalen Recht verankerten Pflichten zur Wahrung der Grundsätze der Integrität und Vertraulichkeit
gekommen ist. 94 Diese Frage ist unter Berücksichtigung aller Umstände des vorliegenden Falls zu bejahen. Der Beklagte hat grundsätzlich für den normalen Verwaltungsablauf geeignete Schutzvorkehrungen getroffen. Zwar muss ein Verantwortlicher immer von einem gewissen Risiko ausgehen, dass Mitarbeiter Anweisungen oder sonstige allgemeine Vorgaben nicht beachten. Der Entscheidungsspielraum des Beklagten, dem Risiko mit den getroffenen Maßnahmen zu begegnen, wäre aber allenfalls überschritten, wenn unbefugte Zugriffe häufiger aufgetreten wären. So liegt es
den - wiederum unbestrittenen - Darlegungen des Beklagten hier aber nicht. Jedenfalls unter dieser Prämisse war es insbesondere nicht geboten, für medizinische Stellungnahmen, die eigene Beschäftigte betreffen, ausnahmslos einen anderen Dienst einzuschalten, etwa wie bei einer gebotenen körperlichen Untersuchung die Knappschaft. Dabei kann auch nicht unberücksichtigt bleiben, dass ein solcher, regelhafter Prozess, schon wegen eines zusätzlich erforderlichen Datenaustauschs, wiederum eigene Risiken mit sich brächte. Zum anderen änderte eine solche regelhafte „externe“ Beauftragung nichts an dem Umstand, dass der Beklagte im Verhältnis zur beauftragenden Krankenkasse zur Erstellung einer gutachtlichen Stellungnahme verpflichtet ist. Auch unter der Prämisse einer vollständigen „externen“ Vergabe der gutachtlichen Stellungnahme bliebe es dabei, dass das Ergebnis dieser Begutachtung durch den Beklagten zur Übermittlung an die beauftragende Krankenkasse weiterverarbeitet und zu diesem Zweck eine Speicherung in dem vorgehaltenen System ISmed 3 als erforderlich angesehen werden müsste. Schließlich kommt hinzu, dass die Einschaltung eines anderen Dienstes, wie bereits im Rahmen der oben angestellten Verhältnismäßigkeitsprüfung erörtert (vgl. Rn. 63 ff.), nicht gleichsam effektiv und wirtschaftlich wäre. 95
alledem ein Verstoß gegen die Datenschutz-Grundverordnung nicht zu erkennen ist, kann offenbleiben, ob das Vorbringen des Klägers zu den weiteren Voraussetzungen eines Anspruchs auf Schadenersatz
1 DSGVO schlüssig ist, insbesondere ob
den Anforderungen dieser Bestimmung ein Schaden hinreichend dargetan ist. 96 c) Die Voraussetzungen eines Schadenersatzanspruchs aufgrund anderer in Betracht kommender Anspruchsgrundlagen liegen ebenfalls nicht vor. Insbesondere rechtfertigt sich der mit dem Hauptantrag zu 1. verfolgte Anspruch auf immateriellen Schadenersatz nicht aus § 823 Abs. 1 BGB iVm. Art. 2 Abs. 1, Art. 1 Abs. 1 GG. Ist - wie hier - eine Datenverarbeitung
den Regelungen der Datenschutz-Grundverordnung und den nationalen Vorgaben zulässig, ist das Recht des von der Datenverarbeitung betroffenen Arbeitnehmers auf informationelle Selbstbestimmung gewahrt (vgl. BAG 9. April 2019 - 1 ABR 51/17 - Rn. 51 mwN, BAGE 166, 269). 97 II. Die Klage hat auch im Übrigen keinen Erfolg. Die Hauptanträge zu 2. und 4., mit denen der Kläger Ansprüche auf materiellen Schadenersatz verfolgt bzw. dahin gehende Feststellung begehrt, sind unbegründet. Der Hilfsfeststellungsantrag zu 3. ist dem Senat nicht zur Entscheidung angefallen. 98 1. Der Hauptantrag zu 2. ist als bezifferter Leistungsantrag ohne Weiteres zulässig. Der Antrag zu 4. begegnet zwar hinsichtlich eines bestehenden Feststellungsinteresses Zulässigkeitsbedenken. Er ist aber jedenfalls unbegründet. 99
seinem Sinn ist der Antrag auf die Feststellung einer Verpflichtung des Beklagten gerichtet, dem Kläger den Erwerbsschaden zu ersetzen, der ihm in der Zeit seit dem
folgenden Zeitraum beziehen soll. 103 In dieser Auslegung wird der Antrag den Anforderungen des § 253 Abs. 2 Nr. 2 ZPO gerecht. 104
der Klagebegründung nur für den Fall der Unzulässigkeit des Antrags zu 2. gestellt. Diese innerprozessuale Bedingung ist nicht eingetreten. 109 III. Die Kostenentscheidung folgt aus § 97 Abs. 1 ZPO. Spinner Krumbiegel Berger Langner Lange http://www.rechtsprechung-im-internet.de/jportal/?quelle=jlink&docid=jb-KARE600069132&psml=bsjrsprod.psml&max=true Deutschland deutsch BMJV public
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.