Ja, aber nur in engen Grenzen. Arbeitgeber dürfen verarbeiten, dass und wie lange Beschäftigte arbeitsunfähig sind, soweit sie das für Entgeltfortzahlung und Personalplanung brauchen (§ 26 Abs. 3 BDSG, Art. 9 Abs. 2 lit. b DSGVO). Die Diagnose dürfen sie grundsätzlich nicht verlangen. Krankheitsdaten sind Gesundheitsdaten im Sinne des Art. 9 Abs. 1 DSGVO und brauchen deshalb besondere Schutzmaßnahmen.
Was der Arbeitgeber verarbeiten darf
- Arbeitsunfähigkeitsbescheinigung (AU): Der Arbeitgeber darf die AU entgegennehmen und die Tatsache der Arbeitsunfähigkeit sowie deren Dauer verarbeiten. Die Diagnose steht auf der AU nicht (diese geht nur an die Krankenkasse). Die Rechtsgrundlage ist § 26 Abs. 3 BDSG i. V. m. Art. 9 Abs. 2 lit. b DSGVO (Arbeits- und Sozialrecht).
- Krankenquote und Fehlzeiten: Die aggregierte Erfassung von Fehltagen für die Personalplanung ist zulässig (§ 26 Abs. 1 BDSG).
- BEM-Daten: Im Rahmen des Betrieblichen Eingliederungsmanagements (§ 167 Abs. 2 SGB IX) dürfen Gesundheitsdaten verarbeitet werden, allerdings nur mit Einwilligung des Beschäftigten und unter strikter Zweckbindung.
Was der Arbeitgeber nicht darf
- Diagnosen oder Krankheitsbilder erfragen (Ausnahme: wenn für die Gefährdungsbeurteilung am Arbeitsplatz zwingend erforderlich)
- Gesundheitsdaten für andere Zwecke verwenden als die Durchführung des Arbeitsverhältnisses
- Gesundheitsdaten an Dritte weitergeben (Ausnahme: gesetzliche Pflichten, z. B. Unfallmeldung)
Schutzmaßnahmen: Bei der Verarbeitung von Gesundheitsdaten müssen angemessene und spezifische Schutzmaßnahmen nach § 22 Abs. 2 BDSG getroffen werden: Zugangsbeschränkungen, Pseudonymisierung, Sensibilisierung der Beteiligten, technisch-organisatorische Maßnahmen.
Eine Datenschutzschulung für die Personalabteilung sorgt dafür, dass Krankheitsdaten vertraulich bleiben.