Gut gemeint, aber tückisch: So schnell kann betriebliches Gesundheitsmanagement zur Datenschutzfalle werden

Das betriebliche Gesundheitsmanagement beginnt mit der Förderung der sportlichen Tätigkeit, beispielsweise durch das Bereitstellen von Räumen, Plätzen oder Geräten, bis hin zur Gründung von Betriebssportvereinen bzw. -gruppen zum Austragen von Wettkämpfen und der gemeinsamen Teilnahme an Turnieren. Ziel dabei ist die Förderung der Gesundheit, des Betriebsklimas und der Leistungsfähigkeit. Ob Dart, Tennis oder Fußball, den Sportarten selbst sind dabei keine Grenzen gesetzt und jede Art ist möglich. In größeren Unternehmen werden die Aktivitäten häufig von einem Gesundheitsmanager organisiert.

Die sehr weite Definition von Digital Health umfasst sämtliche Aspekte der Gesundheit unter Verwendung digitaler Technologien, also dem Einsatz von Hard- und Software. Konkret bedeutet das die Behandlung, Förderung und Vorsorge der Gesundheit mithilfe von Apps, Wearables oder Gesundheitsportalen. Den Mitarbeitern wird es so ermöglicht, ortsungebunden jederzeit an Angeboten des Arbeitgebers wie etwa Online-Fitnesskursen teilzunehmen und etwas für die Gesundheit zu tun. Vor allem für Unternehmen mit Arbeitsplätzen auf der ganzen Welt sind diese Sportangebote eine gute Möglichkeit, um für den Bewegungsausgleich ihrer Belegschaft und Prävention für klassische Berufskrankheiten zu sorgen.

Eine ganze Menge sogar. Überall fallen personenbezogene Daten an. Bei sportlichen Aktivitäten in Unternehmen werden Ansprechpartner und Teilnehmer genannt, Turnierlisten beim Wettbewerbssport erstellt und deren Ergebnisse über das schwarze Brett oder im Internet veröffentlicht, teilweise sogar mit Bildern.

Auch sind die Teilnehmer unter gewissen Voraussetzungen bei Unfällen über die gesetzliche Unfallversicherung mitversichert. Sollte es zu einem Unfall kommen, werden auch hier personenbezogene Daten an eine dritte Partei übermittelt.

Da es sich hierbei um die Verarbeitung von personenbezogenen Daten handelt, die nicht zur Erfüllung des Arbeitsvertrags notwendig sind, kommt hier regelmäßig als einzige Rechtsgrundlage die Einwilligung der jeweiligen Mitarbeiter in Betracht. Hierbei muss der Beschäftigte entsprechend vorher ausführlich über die Verarbeitung aufgeklärt werden.

Eine Aufklärung über die Verarbeitung ist insbesondere bei Angeboten im Bereich Digital Health als aktueller Trend aus dem betrieblichen Gesundheitsmanagement wichtig. Hier gibt es etwa Gesundheitsportale und E-Learning-Systeme, welche die Mitarbeiter selbständig nutzen können, um sich Wissenswertes anzueignen, an Kursen, Veranstaltungen und Workshops teilzunehmen oder günstige Angebote vor Ort wahrzunehmen. Dahinter steht in der Regel ein Dienstleister, sodass hier bereits bei der Auswahl des Dienstleisters dieser datenschutzrechtlich bewertet werden sollte. Das heißt, wo sitzt der Dienstleister, welche personenbezogenen Daten werden verarbeitet, welche Schutzmaßnahmen wurden ergriffen und ob der Abschluss eines AVVs (Auftragsverarbeitungsvertrags) notwendig ist.

Weiterhin kann der Einsatz von Wearables und Apps dazu dienen, die Mitarbeiter zu motivieren. Insbesondere Wearables erfreuen sich großer Beliebtheit. Doch gerade Smartwatch, Fitness-Tracker und Co. sammeln besondere personenbezogene Daten wie Herzschlag, Körpertemperatur, Schrittzahl, Schlafrhythmus oder GPS-Daten. Ein AVV ist hier nur notwendig, sofern die Nutzung der Gadgets an Gesundheitsportale und eLearning Systeme geknüpft ist. Falls die Geräte zur freien Verfügung gestellt werden, entfällt der AVV.

All diese Daten dürfen laut DSGVO (Datenschutz-Grundverordnung) nur mit Einwilligung der Betroffenen verarbeitet werden. Es muss bekannt sein, welche Daten wann zu welchem Zweck erhoben werden und an wen sie ggf. weitergegeben werden. Die betroffene Person muss darüber ausführlich aufgeklärt werden, bevor sie ihre Einwilligung abgeben kann. Eine andere Rechtsgrundlage wie etwa Vertragserfüllung aus dem Arbeitsvertrag des Arbeitnehmers kommt grundsätzlich nicht in Betracht.

Weiterhin muss vorab eine Datenschutzfolgenabschätzung durchgeführt werden, da besondere personenbezogene Daten verarbeitet werden. Eine solche Vorabprüfung ist in diesem Fall zwingend vorzunehmen. Ist ein Betriebsrat vorhanden, muss dieser ebenfalls beteiligt werden.