Das BAG hat mit Vorlagebeschluss (EuGH) vom 26.8.2021 – 8 AZR 253/20 (A) – wie folgt entschieden:
1. Soweit ein Medizinischer Dienst einer Krankenkasse (MDK) nach § 275 SGB V eine gutachtliche Stellungnahme zur Beseitigung von Zweifeln an der Arbeitsunfähigkeit von Versicherten erstellt, werden personenbezogene Daten iSv. Art. 4 Nr. 1 und Nr. 2 DSGVO und dabei konkret Gesundheitsdaten iSv. Art. 4 Nr. 15 DSGVO verarbeitet. Der MDK ist dabei als „Verantwortlicher“ iSv. Art. 4 Nr. 7 DSGVO anzusehen (Rn. 15 f.).
2. Eine solche Verarbeitung personenbezogener Daten bedarf einer Ermächtigung nach der DSGVO. Die Frage, ob eine Ermächtigung nach der DSGVO gegeben sein kann, wenn ein MDK eine gutachtliche Stellungnahme iSv. § 275 SGB V zur Beseitigung von Zweifeln an der Arbeitsunfähigkeit der eigenen Beschäftigten erstellt, kann der Senat nicht ohne Vorabentscheidungsersuchen nach Art. 267 AEUV beantworten (Rn. 19 ff.).
3. Wenn – wie hier – Gesundheitsdaten iSv. Art. 4 Nr. 15 und Art. 9 Abs. 1 DSGVO betroffen sind, könnte die mit der Gutachtenerstellung und -speicherung vorgenommene Datenverarbeitung bereits nach Art. 9 Abs. 1 DSGVO untersagt sein, weil keine der in Art. 9 Abs. 2 DSGVO aufgeführten Ausnahmen von dem grundsätzlichen Verarbeitungsverbot in Art. 9 Abs. 1 DSGVO eingreift. Vorliegend kommen nach den Umständen des Ausgangsfalls allein Art. 9 Abs. 2 Buchstabe b und Buchstabe h DSGVO als Ausnahmen in Betracht. Mit dem Vorabentscheidungsersuchen ist zu klären, ob die Annahme des Senats zutrifft, dass sich der beklagte MDK auf keine dieser Ausnahmen berufen kann. Dabei geht der Senat davon aus, dass – in einem Fall wie hier – die Verarbeitung nicht iSv. Art. 9 Abs. 2 Buchstabe b DSGVO erforderlich ist, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist. Zu klären ist mit dem Vorabentscheidungsersuchen, ob sich ein Arbeitgeber in einem Fall wie hier für die Verarbeitung der Gesundheitsdaten seines Beschäftigten im Zusammenhang mit der Erstellung einer gutachtlichen Stellungnahme zur Beseitigung von Zweifeln an der Arbeitsunfähigkeit auf den Ausnahmetatbestand des Art. 9 Abs. 2 Buchstabe h DSGVO berufen kann, wonach die Verarbeitung ua. für die Beurteilung der Arbeitsfähigkeit des Beschäftigten auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats und vorbehaltlich der in Absatz 3 genannten Bedingungen erforderlich sein muss (Rn. 19 ff.).
4. Für den Fall, dass nach Art. 9 Abs. 2 Buchstabe h DSGVO eine Ausnahme von dem Verbot der Verarbeitung von Gesundheitsdaten des Art. 9 Abs. 1 DSGVO in Betracht kommt, stellt sich einerseits die Frage, welche Datenschutzvorgaben zu beachten sind. Andererseits ist zu klären, ob und ggf. welchen Einfluss die in Art. 6 Abs. 1 DSGVO aufgeführten Voraussetzungen für eine rechtmäßige Verarbeitung von Daten neben Art. 9 DSGVO haben. Dabei steht fest, dass der Kläger als betroffene Person keine Einwilligung zu der Verarbeitung seiner Gesundheitsdaten nach Art. 6 Abs. 1 Buchstabe a DSGVO erteilt hat. Zudem ist die Verarbeitung der betroffenen Gesundheitsdaten des Klägers aus Sicht des Senats nicht nach Art. 6 Abs. 1 Buchstabe b DSGVO für die Erfüllung des Arbeitsvertrags der Parteien erforderlich. Klärungsbedürftig ist allerdings, ob die Datenverarbeitung in einem Fall wie hier erforderlich sein kann iSv. Art. 6 Abs. 1 Buchstabe c oder Buchstabe e DSGVO. Nach ersterer Bestimmung müsste die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich sein, der der Verantwortliche unterliegt; nach der zweiten Bestimmung müsste die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt und die dem Verantwortlichen übertragen worden ist (Rn. 24 ff., 28 ff.).
5. Soweit die vorliegend erfolgte Datenverarbeitung nicht mit der DSGVO vereinbar wäre, stellen sich im Hinblick auf den vom Kläger geltend gemachten Schaden(s)ersatzanspruch Fragen nach der Auslegung von Art. 82 Abs. 1 DSGVO. Nach dieser Bestimmung hat jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter (Rn. 32 ff., 35 ff., 38 ff.).
(Orientierungssätze)