EuGH-Urteil zur DSGVO: MDK darf Gesundheitsdaten von Mitarbeitenden verarbeiten

Ein aufsehenerregendes Urteil des Europäischen Gerichtshofs (EuGH) vom 21. Dezember 2023 (Rechtssache C-667/21) stellt klar: Unter bestimmten Bedingungen ist es datenschutzrechtlich zulässig, wenn ein Arbeitgeber – wie der Medizinische Dienst der Krankenversicherung (MDK) – Gesundheitsdaten eigener Mitarbeitender verarbeitet, sofern er gleichzeitig als gesetzlich beauftragter medizinischer Dienst fungiert. Dieser Fall betrifft nicht nur den öffentlichen Dienst, sondern hat Signalwirkung für den Datenschutz im Gesundheitswesen, insbesondere im Kontext der Datenschutz-Grundverordnung (DSGVO), Art. 9 DSGVO sowie dem Schadenersatz nach Art. 82 DSGVO.

Ausgangspunkt des EuGH-Urteils – Gesundheitsdatenverarbeitung durch den MDK als Arbeitgeber

Interne Begutachtung durch den Arbeitgeber (MDK) selbst

Im Zentrum des Falls, der letztlich vor dem EuGH landete, stand ein IT-Mitarbeiter des MDK Nordrhein, der nach längerer krankheitsbedingter Abwesenheit von seiner Krankenkasse zur medizinischen Begutachtung geschickt wurde. Diese Begutachtung wurde allerdings nicht durch eine externe medizinische Stelle durchgeführt, sondern durch eine interne Organisationseinheit des MDK selbst – also durch seinen eigenen Arbeitgeber, der gleichzeitig als medizinischer Dienst tätig ist. Dabei wurde ein medizinisches Gutachten erstellt, in dem sensible Gesundheitsdaten, darunter eine psychiatrische Diagnose, enthalten waren. Dieses wurde im internen System des MDK archiviert.

Datenschutzvorwurf wegen IT-Zugriffs auf medizinisches Gutachten

Besonders brisant beim Fall vor dem EuGH: Ein Kollege aus der IT-Abteilung stellte dem Betroffenen auf dessen Bitte hin ein Foto dieses medizinischen Dokuments zur Verfügung. Der Mitarbeiter sah darin einen schweren Verstoß gegen die DSGVO wegen der Verarbeitung personenbezogener Gesundheitsdaten, konkret gegen Art. 9 DSGVO, der den Umgang mit besonders sensiblen personenbezogenen Daten regelt. Er klagte auf immateriellen Schadenersatz gemäß Art. 82 DSGVO in Höhe von 20.000 Euro.

DSGVO im Fokus – Welche rechtlichen Fragen das EuGH-Urteil beantworten musste

Im Zuge der gerichtlichen Auseinandersetzung reichte das Bundesarbeitsgericht (BAG) dem EuGH mehrere Fragen zur Vorabentscheidung ein. Dabei ging es im Kern um die datenschutzrechtliche Bewertung der Verarbeitung von Gesundheitsdaten durch den Arbeitgeber, der gleichzeitig ein medizinischer Dienst ist. Das Verfahren vor dem EuGH sollte klären, ob eine solche Verarbeitung im Einklang mit der DSGVO steht – und welche Bedingungen dabei gelten müssen.

Besonders relevant war, ob neben der Erlaubnisnorm des Art. 9 Abs. 2 lit. h DSGVO auch eine Rechtfertigung nach Art. 6 DSGVO notwendig ist – also ob die Datenverarbeitung nicht nur im medizinischen Kontext erlaubt ist, sondern auch allgemein rechtmäßig erfolgen muss. Zusätzlich stellte sich vor dem EuGH die Frage, ob strengere technische und organisatorische Maßnahmen nach Art. 32 DSGVO notwendig sind, um den Zugriff durch Kollegen – wie im vorliegenden Fall aus der IT-Abteilung auf die sensiblen Gesundheitsdaten – zu unterbinden.

EuGH-Urteil – Gesundheitsdatenverarbeitung durch den MDK ist zulässig gemäß der DSGVO

Am 21. Dezember 2023 verkündete der EuGH seine Entscheidung: Die Verarbeitung von Gesundheitsdaten durch den MDK ist grundsätzlich mit der DSGVO vereinbar, auch wenn der Betroffene beim MDK selbst angestellt ist. Der EuGH stellte jedoch klar, dass diese Zulässigkeit der Verarbeitung von Gesundheitsdaten strengen Voraussetzungen unterliegt.

Die Richter des EuGHs betonten, dass nicht die Doppelfunktion des MDK als Arbeitgeber und medizinischer Dienst entscheidend ist, sondern allein der Zweck der Verarbeitung der Gesundheitsdaten gemäß der DSGVO. Wenn die Gesundheitsdaten ausschließlich zur medizinischen Begutachtung im Rahmen eines gesetzlichen Auftrags verarbeitet werden – etwa auf Basis des Sozialgesetzbuchs V (SGB V) –, dann greift die Ausnahmevorschrift des Art. 9 Abs. 2 lit. h DSGVO.

Zusätzlich ist erforderlich, dass die Verarbeitung der Gesundheitsdaten durch medizinisches Fachpersonal erfolgt, das einer gesetzlich geregelten Schweigepflicht unterliegt, und dass geeignete technische und organisatorische Maßnahmen vorhanden sind, um die Vertraulichkeit zu wahren – wie in Art. 32 DSGVO gefordert.

Interner Datenzugriff durch Kollegen – Technische Maßnahmen nach Art. 32 DSGVO im Blick

Ein zentraler Streitpunkt im Verfahren vor dem EuGH betraf die Frage, ob Mitarbeitende – insbesondere in der IT-Abteilung – auf sensible Gesundheitsdaten ihrer Kollegen zugreifen dürfen. Der EuGH stellte hierzu fest: Die DSGVO enthält kein absolutes Verbot für solche internen Zugriffe. Stattdessen schreibt Art. 32 DSGVO vor, dass Unternehmen geeignete technische und organisatorische Maßnahmen ergreifen müssen, um die Vertraulichkeit und Integrität personenbezogener Daten zu gewährleisten.

Im konkreten Fall vor dem EuGH bedeutete dies: Der MDK musste nicht zwingend eine vollständige Abschottung zwischen IT-Personal und medizinischen Daten etablieren. Entscheidend war, ob der Zugriff zweckgebunden, dokumentiert und sicherheitskonform organisiert war. Ein Kollege darf also nicht einfach „neugierig“ auf Gesundheitsdaten zugreifen – doch wenn der Zugriff im Rahmen seiner administrativen Aufgaben erfolgt und keine unbefugte Offenbarung geschieht, liegt laut EuGH nicht zwangsläufig ein Verstoß gegen die DSGVO vor.

Praxismaßnahmen für Unternehmen nach dem EuGH-Urteil zur Verarbeitung von Gesundheitsdaten gemäß der DSGVO:

• Rollenkonzepte mit klarer Abgrenzung von Zugriffsrechten
• Zugriffskontrolle über Berechtigungssysteme (z. B. LDAP, RBAC)
• Protokollierung und Auditierung aller Zugriffe
• Regelmäßige Schulungen zum Thema Datenschutz und Schweigepflicht
• Einsatz technischer Lösungen wie Data Loss Prevention (DLP)

EuGH-Urteil: Kein Strafschadensersatz nach Art. 82 DSGVO – Nur Ausgleich für tatsächlichen Schaden

Der betroffene Mitarbeiter des MDK forderte in seiner Klage einen immateriellen Schadenersatz in Höhe von 20.000 Euro auf Grundlage von Art. 82 DSGVO. Seine Argumentation: Der Betrag solle nicht nur einen persönlichen Ausgleich darstellen, sondern auch eine abschreckende Wirkung auf zukünftige Datenschutzverstöße haben. Doch der Europäische Gerichtshof erteilte dieser Auffassung eine deutliche Absage.

Laut dem EuGH-Urteil verfolgt Art. 82 DSGVO keine punitive oder strafrechtliche Funktion. Der Zweck des Schadenersatzes aus Art. 82 DSGVO sei ausschließlich kompensatorisch – also auf den Ausgleich eines nachgewiesenen, individuell erlittenen Schadens gerichtet. Allein die Feststellung eines Datenschutzverstoßes – etwa einer unzulässigen Verarbeitung von Gesundheitsdaten – genügt nicht. Vielmehr muss der Betroffene darlegen, dass ein konkreter Schaden eingetreten ist, der kausal auf die DSGVO-Verletzung zurückzuführen ist.

Darüber hinaus stellte der EuGH klar: Auch wenn es einer Schuld nicht bedarf und eine Haftungsvermutung für Unternehmen besteht, hat der Grad des Verschuldens keinen Einfluss auf die Höhe des Schadenersatzes nach Art. 82 DSGVO. Die DSGVO grenzt sich damit deutlich vom US-amerikanischen Konzept der punitive damages ab.

Fazit zum EuGH-Urteil – DSGVO-konforme Gesundheitsdatenverarbeitung durch Arbeitgeber ist möglich, aber anspruchsvoll

Das EuGH-Urteil bringt Klarheit für eine DSGVO-konforme Compliance im Gesundheitswesen: Ein Arbeitgeber darf Gesundheitsdaten eigener Mitarbeitender verarbeiten, wenn er zugleich als gesetzlich beauftragter medizinischer Dienst tätig ist – vorausgesetzt, alle Bedingungen der DSGVO, insbesondere aus Art. 6, Art. 9 und Art. 32 DSGVO, werden eingehalten.

Für die Praxis bedeutet das EuGH-Urteil zur Verarbeitung von Gesundheitsdaten:

• Die bloße Doppelfunktion eines Unternehmens ist nicht per se ein DSGVO-Verstoß.
• Es kommt maßgeblich auf den konkreten Zweck der Datenverarbeitung, die technische Absicherung und die Dokumentation im Sinne der DSGVO an.
• Schadenersatz nach Art. 82 DSGVO ist nur dann zu zahlen, wenn ein konkreter Schaden mit Kausalität zum Verstoß vorliegt – und nicht zur Abschreckung.

Unsere spezialisierten Rechtsanwälte für IT- und Datenschutzrecht beraten Sie zu allen Fragen rund um die Verarbeitung von Gesundheitsdaten nach der DSGVO, Datenschutz im Gesundheitswesen und technische Maßnahmen nach Art. 32 DSGVO. Hier Beratungstermin vereinbaren! Alternativ können Sie auch an unserem Webinar zum Thema „DSGVO-konformes Handeln – Unmöglichkeit oder Herausforderung?“ teilnehmen