Datenschutz, Schweigepflicht und Mitbestimmung im BGM

Ihr Arbeitgeber erhält von uns keine individuellen Gesundheitsdaten. Nicht Ihr Ergebnis, nicht Ihren Befund, und nicht einmal die Information, ob Sie teilgenommen haben.

Das ist nicht ein Versprechen, sondern eine Folge der Konstruktion. Diese Seite erklärt die Konstruktion, mit Artikel, Absatz und Link, damit Ihre Datenschutzbeauftragte, Ihr Betriebsrat und Ihre Rechtsabteilung sie prüfen können, statt uns glauben zu müssen.

Vier Aussagen, die diese Seite trägt:

1. Gesundheitsdaten sind nach Art. 9 Abs. 1 DSGVO grundsätzlich verboten. Wir beginnen beim Verbot, nicht bei der Einwilligung.
2. Wir stützen die medizinische Verarbeitung nicht auf § 26 BDSG, weil dessen Absatz 1 Satz 1 nach dem Urteil des Europäischen Gerichtshofs vom 30.03.2023 (C-34/21) in der Fachdiskussion als europarechtswidrig gilt. Unsere Architektur hängt nicht davon ab.
3. Selbst bei der gesetzlich angeordneten arbeitsmedizinischen Vorsorge erfährt Ihr Arbeitgeber nur, dass, wann und aus welchem Anlass ein Termin stattgefunden hat. So steht es in § 6 Abs. 3 Nr. 3 ArbMedVV. Bei unserem freiwilligen Screening erfährt er nicht einmal das.
4. Die ärztliche Schweigepflicht ist strafbewehrt, und § 203 Abs. 4 StGB verpflichtet uns, auch unser nicht-ärztliches Personal förmlich zu binden. Diese Verpflichtung ist je Person zu dokumentieren; den Nachweis können Sie vor Projektbeginn verlangen.

Ohne Paragrafen. Die rechtliche Herleitung steht weiter unten.

Was passiert mit meinen Daten?
Ihre Untersuchungsergebnisse gehen an die Ärztin oder den Arzt, der Sie untersucht, und an Sie. Sonst an niemanden. Sie erhalten Ihre Ergebnisse persönlich und besprechen sie ärztlich.

Wer sieht meine Ergebnisse?
Die untersuchende Ärztin oder der untersuchende Arzt, sowie das medizinische Assistenzpersonal, soweit es für die Durchführung erforderlich ist. Alle diese Personen unterliegen der Schweigepflicht, und die Verletzung dieser Pflicht ist in Deutschland eine Straftat.

Sieht mein Arbeitgeber meine Ergebnisse?
Nein. Ihr Arbeitgeber erhält von uns keine Ergebnisse, keine Befunde, keine Risikowerte und keine Namen.

Erfährt mein Arbeitgeber, ob ich teilgenommen habe?
Nein. Die Anmeldung läuft nicht über die Personalabteilung, sondern über uns oder über Ihre Betriebsärztin. Ihr Arbeitgeber erhält nur zusammengefasste Zahlen, zum Beispiel wie viele Termine an einem Standort belegt waren. Es gibt keine Listen von Namen, und es gibt keine Listen von Nichterschienenen.

Was bekommt mein Arbeitgeber dann überhaupt?
Einen zusammengefassten Bericht über die Gruppe, und nur dann, wenn die Gruppe groß genug ist, dass niemand daraus erkennbar wird. Unsere Mindestgruppengröße steht in Abschnitt 13 und ist vertraglich zugesichert.

Was passiert, wenn ich nicht teilnehme?
Nichts. Die Teilnahme ist freiwillig, und Nichtteilnahme wird nirgends erfasst. In der Betriebsvereinbarung wird üblicherweise zusätzlich ein Maßregelungsverbot vereinbart.

Wie widerrufe ich meine Einwilligung?
Mit einer Nachricht an uns, in einem Schritt. Der Widerruf muss so einfach sein wie die Einwilligung, das schreibt die DSGVO vor. Er läuft nicht über Ihre Personalabteilung, und Sie müssen ihn nicht begründen. Ab dem Widerruf verarbeiten wir Ihre Daten nicht mehr weiter; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Wie lange werden meine Daten gespeichert?
RETENTION Für die medizinische Dokumentation gelten ärztliche Aufbewahrungspflichten, die von der Datenminimierung abweichen. Wir erklären diesen Konflikt in Abschnitt 14, statt ihn zu verschweigen.

Was ist, wenn etwas gefunden wird?
Dann bespricht die Ärztin oder der Arzt das mit Ihnen und empfiehlt Ihnen gegebenenfalls eine Abklärung in der Regelversorgung. Ihr Arbeitgeber erfährt davon nichts.

Was Sie erhalten: einen aggregierten Bericht oberhalb einer vereinbarten Mindestgruppengröße, Prozesskennzahlen wie Reichweite und Slot-Auslastung, sowie die Belege, die Sie für Lohnkonto und Kassenförderung brauchen.

Was Sie nie erhalten: individuelle Ergebnisse, Befunde, Diagnosen, Risikowerte, Teilnehmendenlisten, Nichterschienenen-Listen und jede Auswertung, aus der eine einzelne Person rekonstruierbar wäre.

Was Sie nicht verlangen dürfen: individuelle Ergebnisse. Auch nicht mit Einwilligung der oder des Beschäftigten, soweit die Daten unter die ärztliche Schweigepflicht fallen und die Verarbeitung auf Art. 9 Abs. 2 lit. h in Verbindung mit Abs. 3 DSGVO beruht. Wer als Anbieter individuelle Befunde an einen Arbeitgeber meldet, erzeugt Haftung, statt sie zu vermeiden.

Was Ihre eigenen Pflichten sind:

Gut belegt

Fast jede deutsche BGM-Seite beginnt mit "wir holen eine Einwilligung ein". Der richtige Ausgangspunkt ist ein anderer.

Art. 9 Abs. 1 DSGVO, wörtlich:

"Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt."
https://dsgvo-gesetz.de/art-9-dsgvo/

Die Verarbeitung ist verboten, es sei denn, eine Ausnahme in Absatz 2 greift. Die Frage lautet also nicht "haben wir eine Einwilligung", sondern "auf welche Ausnahme stützen wir uns, und warum trägt sie".

4.1 Die vier Ausnahmen, die im BGM relevant sind#

4.2 Warum wir auf lit. h und nicht auf die Einwilligung bauen#

"Gesundheitsdaten sind nach Art. 9 Abs. 1 DSGVO grundsätzlich verboten. Wir stützen die medizinische Verarbeitung nicht auf eine Einwilligung, die im Arbeitsverhältnis notorisch angreifbar ist, sondern auf Art. 9 Abs. 2 lit. h in Verbindung mit Art. 9 Abs. 3 DSGVO: Verarbeitung zum Zweck der Gesundheitsvorsorge durch ärztliches Personal unter Berufsgeheimnis."

Das ist kein juristischer Kunstgriff, sondern die Beschreibung dessen, was tatsächlich geschieht. Eine ärztliche Untersuchung ist Gesundheitsvorsorge, und die Daten liegen bei Personen unter Schweigepflicht.

Die Einwilligung verschwindet damit nicht, aber sie erhält ihre richtige Rolle: Sie legitimiert die Teilnahme und alles, was über die medizinische Kernverarbeitung hinausgeht, und sie sichert die Freiwilligkeit ab. Sie trägt nicht allein die Last der Rechtmäßigkeit.

4.3 Die Konsequenz für die Verantwortlichkeit#

Der Arbeitgeber ist für die medizinischen Daten weder Verantwortlicher noch Auftragsverarbeiter. Die Architektur ist eine Aufspaltung:

Und für die medizinische Ebene gibt es bewusst keinen Auftragsverarbeitungsvertrag mit dem Arbeitgeber. Ein solcher Vertrag würde eine Weisungsbefugnis des Arbeitgebers über medizinische Daten implizieren, und genau die darf es nicht geben. Die begründete Feststellung, dass kein Auftragsverarbeitungsverhältnis besteht, ist die stärkere Position als ein sorgfältig formulierter Vertrag über etwas, das nicht bestehen darf.

UmstrittenDiese Verantwortlichkeitsanalyse ist rechtlich nicht abschließend geklärt. Die Gegenauffassung nimmt eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO für die organisatorische Ebene an. Siehe Abschnitt 18.

Gut belegtfür die Rechtstexte, umstritten für die Reichweite

5.1 Was § 26 Abs. 2 BDSG sagt, und es ist für uns günstiger als oft dargestellt#

§ 26 Abs. 2 BDSG verlangt, dass bei der Beurteilung der Freiwilligkeit einer Einwilligung insbesondere die Abhängigkeit im Beschäftigungsverhältnis und die Umstände der Erteilung berücksichtigt werden. Und dann folgt der Satz, den der Markt selten zitiert: Freiwilligkeit kann insbesondere dann vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und Beschäftigte gleichgelagerte Interessen verfolgen. Die Einwilligung ist in der Regel schriftlich oder elektronisch zu erteilen, und der Arbeitgeber muss über den Zweck und über das Widerrufsrecht aufklären.
https://www.gesetze-im-internet.de/bdsg_2018/__26.html

Eine kostenlose freiwillige Vorsorgeuntersuchung, die die beschäftigte Person sonst privat organisieren müsste, ist nahe am Lehrbuchfall eines "rechtlichen oder wirtschaftlichen Vorteils". Wir sagen das, und wir stellen die Einwilligung dennoch nicht als unproblematisch dar.

5.2 Erwägungsgrund 43, korrekt gelesen#

Erwägungsgrund 43 DSGVO, wörtlich:

"Um sicherzustellen, dass die Einwilligung freiwillig erfolgt ist, sollte diese in besonderen Fällen, wenn zwischen der betroffenen Person und dem Verantwortlichen ein klares Ungleichgewicht besteht, insbesondere wenn es sich bei dem Verantwortlichen um eine Behörde handelt, und es deshalb in Anbetracht aller Umstände in dem speziellen Fall unwahrscheinlich ist, dass die Einwilligung freiwillig gegeben wurde, keine gültige Rechtsgrundlage liefern."
https://dsgvo-gesetz.de/erwaegungsgruende/nr-43/

Eine Genauigkeitswarnung, die wir uns selbst auferlegen: Erwägungsgrund 43 nennt als Beispiel eine Behörde, nicht einen Arbeitgeber. Wer ihn zitiert, als stünde dort "Einwilligung im Arbeitsverhältnis ist unwirksam", überdehnt ihn. Die richtige Kette lautet: Erwägungsgrund 43 (klares Ungleichgewicht) führt zu § 26 Abs. 2 BDSG (Abhängigkeit im Beschäftigungsverhältnis) und von dort zur durchgängigen Haltung der Aufsichtsbehörden, dass eine Einwilligung im Beschäftigungsverhältnis möglich, aber fragil ist.

5.3 Art. 7 DSGVO und eine überprüfbare Zusage#

Art. 7 DSGVO regelt: die Nachweispflicht des Verantwortlichen (Abs. 1); dass das Ersuchen "in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache" und klar von anderen Sachverhalten getrennt erfolgen muss (Abs. 2); dass "die betroffene Person das Recht hat, ihre Einwilligung jederzeit zu widerrufen" und der Widerruf "so einfach wie die Erteilung der Einwilligung" sein muss (Abs. 3); sowie das Kopplungsverbot (Abs. 4).
https://dsgvo-gesetz.de/art-7-dsgvo/

Daraus leiten wir eine konkrete, nachprüfbare Zusage ab: Der Widerruf ist bei uns ein Schritt, über eine auf dem Teilnehmendeninformationsblatt abgedruckte Adresse. Er läuft nicht über ein Formular in der Personalabteilung. Das ist überprüfbar, und deshalb steht es hier.

5.4 Warum wir uns nicht auf § 26 Abs. 1 BDSG stützen#

UmstrittenUrteil gut belegt, Reichweite umstritten

Am 30. März 2023 hat der Europäische Gerichtshof in der Rechtssache C-34/21 entschieden, dass eine nationale Vorschrift, die lediglich die allgemeinen Anforderungen der DSGVO wiederholt, keine "spezifischere Vorschrift" im Sinne des Art. 88 Abs. 1 DSGVO ist und deshalb unangewendet bleiben muss. Die Entscheidung betraf § 23 Abs. 1 Satz 1 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes.

Weil § 26 Abs. 1 Satz 1 BDSG nahezu wortgleich ist, gilt in der deutschen Praxis und bei mehreren Aufsichtsbehörden die überwiegende Auffassung, dass auch § 26 Abs. 1 Satz 1 BDSG nicht als Rechtsgrundlage tragen kann und die Verarbeitung unmittelbar auf Art. 6 und Art. 9 DSGVO zu stützen ist.

Wir sagen dazu zwei Dinge, und beide sind wichtig:

• Das Urteil betraf nicht § 26 BDSG unmittelbar. Die Übertragung ist die herrschende, aber nicht die einhellige Auffassung. Wer das anders darstellt, ist ungenau.
• Genau deshalb hängt unsere Architektur nicht davon ab. Die medizinische Ebene ruht auf Art. 9 Abs. 2 lit. h in Verbindung mit Abs. 3 DSGVO, die organisatorische auf der Betriebsvereinbarung als Kollektivvereinbarung nach Art. 88 Abs. 1 DSGVO. Ob § 26 Abs. 1 BDSG anwendbar bleibt, ändert daran nichts.

Weiterführend: Landesbeauftragter für den Datenschutz Baden-Württemberg, FAQ zu Rechtsgrundlagen bei Beschäftigtendaten (https://www.baden-wuerttemberg.datenschutz.de/faq-rechtsgrundlagen-bei-beschaeftigtendaten/) und Hessischer Beauftragter für Datenschutz und Informationsfreiheit, Handreichung April 2023 (https://datenschutz.hessen.de/sites/datenschutz.hessen.de/files/2023-04/handreichung_beschaeftigtendatenschutz_eugh-urteil.pdf).

5.5 Das Beschäftigtendatengesetz#

Ein Referentenentwurf des Bundesministeriums für Arbeit und Soziales und des Bundesministeriums des Innern vom 8. Oktober 2024 sollte § 26 BDSG durch ein eigenes Gesetz ersetzen. Ein Beschäftigtendatengesetz ist nicht in Kraft. Wir schreiben diese Seite nicht so, als gäbe es eines, und wir stempeln sie mit einem Stand. Dass die Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten in Bewegung ist, ist selbst ein Argument für eine Architektur, die auf Art. 9 Abs. 2 lit. h beruht.

Gut belegtfür den Gesetzestext

§ 22 Abs. 1 Nr. 1 lit. b BDSG erlaubt öffentlichen und nichtöffentlichen Stellen die Verarbeitung besonderer Kategorien, soweit sie erforderlich ist

"zum Zweck der Gesundheitsvorsorge, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- und Sozialbereich"

und die Daten "von ärztlichem Personal oder durch sonstige Personen, die einer entsprechenden Geheimhaltungspflicht unterliegen, oder unter deren Verantwortung" verarbeitet werden.
https://www.gesetze-im-internet.de/bdsg_2018/__22.html

§ 22 Abs. 2 BDSG verlangt "angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person" und listet sie auf. Diese Liste ist faktisch eine veröffentlichte Prüfliste dafür, was unsere technische und organisatorische Dokumentation enthalten muss. Wir bilden sie eins zu eins ab:

Diese Seite ist keine Datenschutzerklärung. Die konkreten Festlegungen für ein Projekt stehen in dessen Datenschutzinformation und Vertragsunterlagen, nicht hier.

Ein Hinweis für die Beschaffung: Der GKV-Leitfaden Prävention setzt für digitale Angebote ein Informationssicherheits-Managementsystem in Anlehnung an ISO 27001 mit vorzulegendem Zertifikat und ISO 27018 für den Cloud-Betrieb als Maßstab. Ihr Konzerneinkauf wird genau danach fragen.

Gut belegt

7.1 Die Strafvorschrift#

§ 203 Abs. 1 StGB stellt die unbefugte Offenbarung eines fremden Geheimnisses unter Strafe, wenn es einem "Arzt, Zahnarzt, Tierarzt, Apotheker oder Angehörigen eines anderen Heilberufs, der für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert", als solchem anvertraut oder sonst bekannt geworden ist. Die Strafe reicht bis zu einem Jahr Freiheitsstrafe oder Geldstrafe, in qualifizierten Fällen (gegen Entgelt, in Bereicherungs- oder Schädigungsabsicht) bis zu zwei Jahren.
https://www.gesetze-im-internet.de/stgb/__203.html

§ 203 Abs. 3 StGB erlaubt die Offenbarung gegenüber "bei ihnen berufsmäßig tätigen Gehilfen" und Personen in Ausbildung, soweit erforderlich.

§ 203 Abs. 4 StGB ist der für einen Anbieter entscheidende Absatz: Er erstreckt die Strafbarkeit auf die mitwirkenden Personen und stellt zusätzlich den Berufsgeheimnisträger unter Strafe, der es unterlässt, dafür Sorge zu tragen, dass diese Personen zur Verschwiegenheit verpflichtet werden.

Was das für uns bedeutet, und es ist überprüfbar: Unsere nicht-ärztlichen Mitarbeitenden sind nach § 203 Abs. 4 StGB förmlich zur Verschwiegenheit verpflichtet, die Verpflichtung ist je Person dokumentiert, und wir legen die Verpflichtungserklärung auf Anfrage vor.

Ein Hinweis zur Genauigkeit: Wir verzichten bewusst auf die in Anbietertexten beliebte Dramatisierung des Strafmaßes. Ein Jahr, in qualifizierten Fällen zwei, ist die deutsche Rechtslage.

7.2 Die Berufsordnung#

§ 9 der Musterberufsordnung für die in Deutschland tätigen Ärztinnen und Ärzte lautet in Absatz 1:

"Ärztinnen und Ärzte haben über das, was ihnen in ihrer Eigenschaft als Ärztin oder Arzt anvertraut oder bekannt geworden ist, auch über den Tod der Patientin oder des Patienten hinaus, zu schweigen. Dazu gehören auch schriftliche Mitteilungen der Patientin oder des Patienten, Aufzeichnungen über Patientinnen und Patienten, Röntgenaufnahmen und sonstige Untersuchungsbefunde."

Absatz 2 erlaubt eine Offenbarung bei Entbindung von der Schweigepflicht oder zum Schutz eines höherrangigen Rechtsguts. Absatz 3 erlaubt den Zugang von Mitarbeitenden und Auszubildenden, verlangt deren Belehrung über die gesetzliche Pflicht und schreibt vor, dass dies schriftlich festgehalten wird.

Eine Genauigkeit, auf die wir Wert legen: Die Musterberufsordnung ist ein Muster. Verbindlich ist die Berufsordnung der zuständigen Landesärztekammer, und diese weichen voneinander ab. Wer "die MBO-Ä" zitiert, als wäre sie Gesetz, ist ungenau.
https://www.bundesaerztekammer.de/themen/recht/berufsrecht

7.3 Und die Unabhängigkeit der betriebsärztlichen Rolle#

§ 8 ASiG stellt fest, dass Betriebsärzte und Fachkräfte für Arbeitssicherheit "bei der Anwendung ihrer Fachkunde weisungsfrei" sind, dass sie wegen der Erfüllung ihrer Aufgaben nicht benachteiligt werden dürfen, dass Betriebsärzte "nur ihrem ärztlichen Gewissen unterworfen" sind und die Regeln der ärztlichen Schweigepflicht zu beachten haben.
https://www.gesetze-im-internet.de/asig/

Diese Weisungsfreiheit ist der Grund, warum ein externer Anbieter die betriebsärztliche Betreuung nicht ersetzen, sondern nur mit ihr zusammenarbeiten kann.

Gut belegt

Dies ist der nützlichste Abschnitt der Seite für einen HR-Käufer, weil das deutsche Recht die Antwort ausdrücklich in einem einzigen Satz gibt.

§ 6 Abs. 3 ArbMedVV verpflichtet die Ärztin oder den Arzt,

"1. das Ergebnis sowie die Befunde der arbeitsmedizinischen Vorsorge schriftlich festzuhalten und den oder die Beschäftigte darüber zu beraten,
2. dem oder der Beschäftigten auf seinen oder ihren Wunsch hin das Ergebnis zur Verfügung zu stellen sowie
3. der oder dem Beschäftigten und dem Arbeitgeber eine Vorsorgebescheinigung darüber auszustellen, dass, wann und aus welchem Anlass ein arbeitsmedizinischer Vorsorgetermin stattgefunden hat; die Vorsorgebescheinigung enthält auch die Angabe, wann eine weitere arbeitsmedizinische Vorsorge aus ärztlicher Sicht angezeigt ist."
https://www.gesetze-im-internet.de/arbmedvv/__6.html

Lesen Sie das genau. Selbst bei der gesetzlich angeordneten, vom Arbeitgeber veranlassten Arbeitsmedizin erfährt der Arbeitgeber nur dass, wann und aus welchem Anlass der Termin stattgefunden hat, sowie wann der nächste ansteht. Kein Ergebnis. Keinen Befund. Kein Eignungsurteil.

Der stärkste Satz dieser Seite:
"Selbst bei der gesetzlich angeordneten arbeitsmedizinischen Vorsorge darf Ihr Arbeitgeber nach § 6 Abs. 3 Nr. 3 ArbMedVV nur erfahren, dass, wann und aus welchem Anlass ein Termin stattgefunden hat, kein Ergebnis und keinen Befund. Bei unserem freiwilligen Screening erfährt er nicht einmal das."

Weitere Vorschriften derselben Verordnung:

• § 6 Abs. 1 Satz 6 ArbMedVV: "Der Arzt oder die Ärztin hat die ärztliche Schweigepflicht zu beachten." Und: Untersuchungen dürfen nicht gegen den Willen der beschäftigten Person durchgeführt werden.
• § 6 Abs. 4 ArbMedVV: Hält die Ärztin die Arbeitsschutzmaßnahmen für unzureichend, teilt sie das dem Arbeitgeber mit und schlägt Maßnahmen vor. Wo ein Tätigkeitswechsel aus Gründen erforderlich ist, die ausschließlich in der Person der beschäftigten Person liegen, bedarf diese Mitteilung an den Arbeitgeber deren Einwilligung.
• § 3 Abs. 3 ArbMedVV: Arbeitsmedizinische Vorsorge soll nicht zusammen mit Untersuchungen durchgeführt werden, die dem Nachweis der gesundheitlichen Eignung dienen, es sei denn, betriebliche Gründe erfordern es; dann muss die Ärztin die unterschiedlichen Zwecke deutlich machen. Operative Folge für uns: Ein freiwilliges Screening wird von jeder Eignungsuntersuchung sichtbar und organisatorisch getrennt gehalten, und möglichst auch von Pflichtvorsorgeterminen. Gleicher Tag, gleicher Raum ist ein Compliance- und ein Vertrauensrisiko.

Die Gegenüberstellung:

Und eine wichtige Klarstellung: Ein freiwilliges kommerzielles Screening ist keine arbeitsmedizinische Vorsorge und darf nie als deren Ersatz dargestellt werden. Es ergänzt sie.

Gut belegt

§ 5 Abs. 1 ArbSchG:

"Der Arbeitgeber hat durch eine Beurteilung der für die Beschäftigten mit ihrer Arbeit verbundenen Gefährdung zu ermitteln, welche Maßnahmen des Arbeitsschutzes erforderlich sind."

§ 5 Abs. 3 Nr. 6 ArbSchG nennt ausdrücklich "psychische Belastungen bei der Arbeit". § 6 ArbSchG verlangt die Dokumentation.
https://www.gesetze-im-internet.de/arbschg/__5.html

Datenschutzrechtlich ist dabei zweierlei zu trennen:

1. Die Gefährdungsbeurteilung beurteilt Arbeitsplätze, nicht Personen. Ihr Gegenstand sind Bedingungen. Sie ist kein Instrument zur Erhebung individueller Gesundheitsdaten und darf nicht zu einem gemacht werden.
2. Befragungsdaten aus einer Gefährdungsbeurteilung psychischer Belastung sind so auszuwerten, dass keine Person und keine sehr kleine Einheit erkennbar wird. Die Mindestgruppengröße nach Abschnitt 13 gilt hier genauso.

Was nicht geht: Ergebnisse eines freiwilligen Screenings als Datenquelle für eine Gefährdungsbeurteilung zu verwenden, ohne dass dies transparent gemacht, in der Betriebsvereinbarung geregelt und von der Mindestgruppengröße gedeckt ist. Sobald Ergebnisse arbeitsplatzbezogen zurückgespielt werden, verändert sich außerdem die mitbestimmungsrechtliche Lage (Abschnitt 11).

Gut belegt

§ 167 Abs. 2 SGB IX verpflichtet den Arbeitgeber, bei einer Arbeitsunfähigkeit von mehr als sechs Wochen innerhalb eines Jahres, ununterbrochen oder wiederholt, die Möglichkeiten zur Überwindung der Arbeitsunfähigkeit zu klären, und zwar "mit Zustimmung und Beteiligung der betroffenen Person", unter Einbeziehung der Interessenvertretung, gegebenenfalls der Schwerbehindertenvertretung, auf Wunsch einer Vertrauensperson eigener Wahl und, soweit erforderlich, des Werks- oder Betriebsarztes, mit vorheriger Aufklärung über die erhobenen Daten und die Ziele des Verfahrens.
https://www.gesetze-im-internet.de/sgb_9_2018/__167.html

Warum das hier steht, obwohl wir kein BEM anbieten:

1. Es ist das eine deutsche Gesundheitsdatenverfahren, das jede HR-Abteilung bereits kennt. Es stellt das mentale Modell her.
2. Es ist der schärfste verfügbare Kontrast. Das BEM wird vom Arbeitgeber ausgelöst, ist namensbezogen, wird im Personalprozess dokumentiert und benötigt zusätzlich zur Zustimmung zum Verfahren eine eigene datenschutzrechtliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Ein freiwilliges Screening ist nichts davon.
3. Die Verwechslung ist ein reales Risiko. Ein Betriebsrat, der ein Screening-Angebot als verdeckten BEM-Ersatz liest, oder ein Arbeitgeber, der BEM-Fälle über einen Gesundheitstag zu steuern versucht, erzeugt ein ernsthaftes rechtliches und ein Vertrauensproblem.
4. Die Sechs-Wochen-Schwelle in § 167 Abs. 2 SGB IX ist dieselbe wie die Entgeltfortzahlungsgrenze in § 3 Abs. 1 EntgFG. Das ist die Brücke zu unserer Seite über den Business Case.

BEM_SCOPE Wir sagen ausdrücklich, ob wir im BEM-Bereich etwas anbieten. Wenn nein, steht das hier als Satz.

Gut belegtfür die Gesetzestexte

Die ausführliche Darstellung mit den praktischen Konsequenzen steht auf unserer Seite Gesundheitsprogramm einführen. Hier die datenschutzrelevante Kurzfassung.

§ 87 Abs. 1 BetrVG beginnt: "Der Betriebsrat hat, soweit eine gesetzliche oder tarifliche Regelung nicht besteht, in folgenden Angelegenheiten mitzubestimmen".

• Nr. 1: "Fragen der Ordnung des Betriebs und des Verhaltens der Arbeitnehmer im Betrieb"
• Nr. 6: "Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen"
• Nr. 7: "Regelungen über die Verhütung von Arbeitsunfällen und Berufskrankheiten sowie über den Gesundheitsschutz im Rahmen der gesetzlichen Vorschriften oder der Unfallverhütungsvorschriften"

https://www.gesetze-im-internet.de/betrvg/__87.html

Der Punkt, der im BGM am häufigsten übersehen wird: Nach ständiger Rechtsprechung des Bundesarbeitsgerichts kommt es bei Nummer 6 nicht auf die Überwachungsabsicht des Arbeitgebers an, sondern darauf, ob die technische Einrichtung objektiv geeignet ist, Verhaltens- oder Leistungsinformationen zu erheben und aufzuzeichnen. Ein Anmeldeportal, das erfasst, wer einen Termin gebucht hat, ist damit mitbestimmungspflichtig, auch wenn die Teilnahme vollständig freiwillig ist und niemand überwachen will.

Und die kontraintuitive Regel: Je schwächer die gesetzliche Vorgabe, desto stärker die Mitbestimmung. §§ 3 und 5 ArbSchG sind ausfüllungsbedürftige Rahmenvorschriften. Wo dem Arbeitgeber ein Gestaltungsspielraum bleibt, bestimmt der Betriebsrat über dessen Ausfüllung mit.

§ 88 Nr. 1 BetrVG sieht ausdrücklich freiwillige Betriebsvereinbarungen über "Maßnahmen zur Verhütung von Arbeitsunfällen und Gesundheitsschädigungen" vor. Diese Betriebsvereinbarung ist zugleich die Kollektivvereinbarung im Sinne von Art. 88 Abs. 1 DSGVO und damit ein tragendes Element der datenschutzrechtlichen Architektur. Beachten Sie dabei § 77 Abs. 6 BetrVG: Nachwirkung tritt kraft Gesetzes nur bei den erzwingbaren Teilen ein; für die freiwilligen Teile ist sie ausdrücklich zu vereinbaren.

§ 80 Abs. 2 BetrVG gibt dem Betriebsrat Informations- und Unterlagenrechte auch dort, wo keine Mitbestimmung besteht. § 80 Abs. 3 Satz 2 BetrVG stellt fest, dass bei künstlicher Intelligenz die Hinzuziehung eines Sachverständigen "insoweit als erforderlich" gilt, auf Kosten des Arbeitgebers.

Im öffentlichen Dienst gelten das Bundespersonalvertretungsgesetz und die sechzehn Landespersonalvertretungsgesetze. § 80 BPersVG (2021) führt Gesundheits- und Eingliederungsmanagement unter den Mitbestimmungstatbeständen. Die Landesgesetze unterscheiden sich; prüfen Sie das für Sie geltende Gesetz.

Wir setzen bewusst keine Aktenzeichen auf diese Seite. Die Doktrin steht hier in klarem Deutsch; die Nachweise liegen in unserem internen Rechtsmemo und werden auf Anfrage übergeben. Ein falsches Aktenzeichen auf einer Seite, deren Wert die Sorgfalt ist, wäre ein Eigentor.

Gut belegtfür die Gesetzestexte

Wir erklären diese Rechtslage, weil sie die Grenze markiert, an der die deutsche Rechtsordnung besonders streng ist. Auf dieser Seite wird kein pharmakogenetisches Angebot beschrieben.

§ 19 GenDG, wörtlich:

"Der Arbeitgeber darf von Beschäftigten weder vor noch nach Begründung des Beschäftigungsverhältnisses
1. die Vornahme genetischer Untersuchungen oder Analysen verlangen oder
2. die Mitteilung von Ergebnissen bereits vorgenommener genetischer Untersuchungen oder Analysen verlangen, solche Ergebnisse entgegennehmen oder verwenden."
https://www.gesetze-im-internet.de/gendg/

Lesen Sie das Verb. Es ist dem Arbeitgeber nicht nur verboten, genetische Ergebnisse zu verlangen. Es ist ihm verboten, sie entgegenzunehmen oder zu verwenden. Eine Einwilligung der beschäftigten Person ändert daran nichts.

• § 20 GenDG verbietet genetische Untersuchungen im Rahmen arbeitsmedizinischer Vorsorgeuntersuchungen, mit einer engen Ausnahme für diagnostische genetische Analysen bezogen auf eine schwerwiegende, am Arbeitsplatz auslösbare Erkrankung. [Der genaue Ausnahmetatbestand und seine Voraussetzungen sind vor jeder öffentlichen Aussage zu verifizieren.]
• § 21 GenDG (Arbeitsrechtliches Benachteiligungsverbot): "Der Arbeitgeber darf Beschäftigte bei einer Vereinbarung oder Maßnahme, insbesondere bei der Begründung des Beschäftigungsverhältnisses, beim beruflichen Aufstieg, bei einer Weisung oder der Beendigung des Beschäftigungsverhältnisses nicht wegen ihrer oder der genetischen Eigenschaften einer genetisch verwandten Person benachteiligen."
• § 22 GenDG erstreckt den Abschnitt auf öffentlich-rechtliche Dienstverhältnisse.

Die Durchsetzungslandschaft, und sie ist kontraintuitiv:

Über den Abschnitt 5 hinaus gilt für jede genetische Untersuchung zu medizinischen Zwecken das allgemeine Regime des GenDG: der Arztvorbehalt (eine diagnostische genetische Untersuchung darf nur durch eine Ärztin oder einen Arzt erfolgen, eine prädiktive nur durch eine Fachärztin oder einen Facharzt für Humangenetik oder eine entsprechend qualifizierte Ärztin oder einen entsprechend qualifizierten Arzt), die Pflicht zur aufklärungsbasierten schriftlichen Einwilligung und die Pflicht zur genetischen Beratung bei prädiktiven Untersuchungen.

UmstrittenJedes Element davon ist im Einzelfall rechtlich zu prüfen, insbesondere gegen §§ 7 bis 11 GenDG.

Was Sie als Arbeitgeber daraus mitnehmen: Wenn Ihnen ein Anbieter genetische oder pharmakogenetische Auswertungen als Bestandteil eines betrieblichen Programms anbietet, prüfen Sie sehr genau, an welcher Stelle Ihr Unternehmen mit den Ergebnissen in Berührung kommen könnte. § 19 GenDG verbietet Ihnen schon das Entgegennehmen.

Gut belegtals negative Feststellung

Das deutsche Recht kennt keine gesetzliche Mindestgruppengröße für aggregierte Gesundheitsberichte. Wir behaupten nichts anderes, und wir empfehlen Ihnen, jedem Anbieter zu misstrauen, der eine gesetzliche Zahl nennt.

Was tatsächlich gilt: Die Pflicht folgt aus Art. 9 DSGVO und aus dem Grundsatz der Datenminimierung als Anonymisierungspflicht. Der operative Test ist das Re-Identifikationsrisiko über kombinierte Merkmale, nicht eine feste Zahl. Eine Auswertung nach Standort, Altersgruppe, Geschlecht und Gesundheitsthema kann eine Person auch bei n = 30 erkennbar machen.

Unsere Zusage:

Wir kennzeichnen das ausdrücklich als vertragliche Zusage, nicht als gesetzliches Minimum. Der Anbieter, der sagt "das Gesetz nennt keine Zahl, also nennen wir eine und binden uns daran", ist überprüfbar. Der Anbieter, der eine gesetzliche Pflicht erfindet, ist es nicht.

Ein Hinweis zu den Gesundheitsberichten der Krankenkassen, weil er häufig verwechselt wird: Auch die Kassen wenden eigene Mindestzahlen an, bevor sie einen betrieblichen Gesundheitsbericht erstellen. Diese Schwellen unterscheiden sich je Kasse, sind überwiegend nicht veröffentlicht und sind Kassenpraxis, kein Gesetz. Und ein Bericht aus den Daten einer einzelnen Kasse ist eine nicht zufällige, berufsstrukturell verzerrte Teilstichprobe Ihrer Belegschaft, niemals "der Krankenstand des Unternehmens".

Jede Zusage in dieser Tabelle folgt aus den vorstehenden Abschnitten. Keine davon beruht auf Vertrauen allein.

14.1 Der Zielkonflikt bei der Löschung, offen erklärt#

Zwei Pflichten ziehen in verschiedene Richtungen. Datenminimierung und Löschpflicht nach Art. 5 Abs. 1 lit. e und Art. 17 DSGVO verlangen, Daten nicht länger aufzubewahren als nötig. Die ärztliche Dokumentationspflicht verlangt das Gegenteil: Behandlungsunterlagen sind über Jahre aufzubewahren.

Wir lösen das nicht dadurch, dass wir eine der beiden Pflichten verschweigen, sondern durch ein abgestuftes Löschkonzept: Die für die Programmdurchführung erhobenen organisatorischen Daten werden nach Abschluss der Maßnahme gelöscht. Die ärztliche Dokumentation unterliegt der ärztlichen Aufbewahrungspflicht und bleibt in der ärztlichen Sphäre, außerhalb jedes Zugriffs des Arbeitgebers. Die konkreten Fristen und ihre Rechtsgrundlage wird vor Projektbeginn vereinbart und in der Datenschutzinformation des Projekts dokumentiert.

Diese Unterlagen sollten Ihrer Datenschutzbeauftragten und Ihrem Betriebsrat vor Projektbeginn vorliegen. Verlangen Sie sie von jedem Anbieter, auch von uns:

1. Datenschutzkonzept mit der Verantwortlichkeitsaufteilung nach Abschnitt 4.3
2. Teilnehmendeninformation nach Art. 13 DSGVO, in einfacher Sprache, mit dem Widerrufsweg
3. Einwilligungserklärung, getrennt von anderen Erklärungen, nach Art. 7 Abs. 2 DSGVO
4. Verpflichtung auf die Verschwiegenheit nach § 203 Abs. 4 StGB, je Person dokumentiert
5. TOM-Dokumentation, strukturiert als Eins-zu-eins-Abbildung der Liste in § 22 Abs. 2 BDSG
6. Löschkonzept, getrennt nach Zwecken
7. Anonymisierter Musterbericht mit der dokumentierten Mindestgruppengröße
8. Verzeichnis von Verarbeitungstätigkeiten für unseren eigenen Verantwortungsbereich
9. Beitrag zu Ihrer Datenschutz-Folgenabschätzung, soweit wir dazu beitragen können

Und die Dokumente, die Sie selbst brauchen: Betriebsvereinbarung, eigenes Verarbeitungsverzeichnis (auch unter 250 Beschäftigten, siehe Abschnitt 3), gegebenenfalls Datenschutz-Folgenabschätzung, Benennung der oder des Datenschutzbeauftragten, eigenes Löschkonzept.

Zwölf Fragen, jede mit ihrer Fundstelle. Die Auswertung läuft in Ihrem Browser, nichts wird übertragen.

"Dieser Check ist eine Orientierungshilfe, keine rechtliche Bewertung Ihres Einzelfalls."

"Das ist DSGVO-konform."
Konformität ist eine Eigenschaft einer konkreten Verarbeitung in einem konkreten Unternehmen, nicht eines Produkts. Wir beschreiben die Architektur und begründen, warum sie trägt. Die Bewertung trifft Ihre Datenschutzbeauftragte, nicht wir.

"Der Betriebsrat muss nicht beteiligt werden, weil die Teilnahme freiwillig ist."
Diese Aussage kursiert im deutschen Markt und ist oft genug falsch, um gefährlich zu sein. Sie ist der häufigste Grund, warum eine deutsche Einführung scheitert.

Wir führen diese Liste öffentlich, weil eine Seite, die Sorgfalt verkauft, ihre eigenen offenen Punkte nennen muss.

1. Die Verantwortlichkeitsaufteilung in Abschnitt 4.3. Ob die untersuchende Ärztin alleinige Verantwortliche für die medizinische Ebene ist und ob deshalb bewusst kein Auftragsverarbeitungsvertrag besteht. Die Gegenauffassung nimmt für die organisatorische Ebene eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO an. Dies ist die zentrale Aussage dieser Seite.
2. Die Reichweite der Übertragung von EuGH C-34/21 auf § 26 Abs. 1 Satz 1 BDSG. Herrschende, aber nicht einhellige Auffassung. Das Urteil betraf § 23 HDSIG.
3. Der Status eines Beschäftigtendatengesetzes zum Zeitpunkt jedes Prüftermins.
4. Die Erforderlichkeit einer Datenschutz-Folgenabschätzung nach der Muss-Liste der jeweils zuständigen Aufsichtsbehörde.
5. Der genaue Ausnahmetatbestand in § 20 GenDG und der vollständige Bußgeldkatalog in § 26 GenDG.
6. Die aktuelle Fassung des § 9 der Musterberufsordnung und die Abweichungen der Landes-Berufsordnungen.
7. Die Löschfristen und ihre Rechtsgrundlage für die ärztliche Dokumentation.
8. Die Mindestgruppengröße als vertragliche Zusage.

Zusätzlich, und ausdrücklich außerhalb dieser Seite: Bevor pharmakogenetische Angebote in Deutschland dargestellt werden, ist eine Prüfung durch eine auf das Gendiagnostikgesetz spezialisierte Kanzlei erforderlich.

Bekommt mein Arbeitgeber wirklich gar nichts?
Er bekommt einen aggregierten Bericht oberhalb der vereinbarten Mindestgruppengröße und Prozesskennzahlen zur Auslastung. Er bekommt keine Namen, keine Ergebnisse und keine Teilnahmeinformation zu einzelnen Personen.

Was, wenn mein Arbeitgeber das trotzdem verlangt?
Wir liefern es nicht. Für die medizinische Ebene beruht die Zulässigkeit der Verarbeitung darauf, dass sie innerhalb der ärztlichen Schweigepflicht bleibt (Art. 9 Abs. 3 DSGVO). Eine Weitergabe würde diese Grundlage zerstören und § 203 StGB berühren.

Und wenn ich als Beschäftigte oder Beschäftigter selbst zustimme?
Ihre Ergebnisse gehören Ihnen, und Sie können sie natürlich selbst weitergeben. Wir geben sie nicht weiter. Der Unterschied ist wichtig: Die Freiwilligkeit einer Zustimmung gegenüber dem eigenen Arbeitgeber ist im Beschäftigungsverhältnis strukturell angreifbar, und wir bauen unsere Architektur deshalb so, dass diese Frage gar nicht erst entsteht.

Warum brauchen Sie überhaupt eine Einwilligung, wenn Sie sich auf Art. 9 Abs. 2 lit. h stützen?
Die Einwilligung legitimiert die Teilnahme und alles, was über die medizinische Kernverarbeitung hinausgeht. Sie trägt aber nicht allein die Rechtmäßigkeit, weil eine Einwilligung im Beschäftigungsverhältnis fragil ist.

Muss der Betriebsrat wirklich beteiligt werden, obwohl alles freiwillig ist?
Ja, in praktisch jeder realen Ausgestaltung. Sobald ein Buchungswerkzeug im Spiel ist, greift § 87 Abs. 1 Nr. 6 BetrVG unabhängig von der Freiwilligkeit.

Ist ein Screening dasselbe wie die arbeitsmedizinische Vorsorge?
Nein, und es ersetzt sie nicht. Die arbeitsmedizinische Vorsorge ist gesetzlich geregelt und wird vom Arbeitgeber auf Basis der Gefährdungsbeurteilung veranlasst. Ein freiwilliges Screening ist ein zusätzliches Angebot. Beides wird sichtbar und organisatorisch getrennt gehalten (§ 3 Abs. 3 ArbMedVV).

Wo liegen die Daten?
Der Speicherort und die eingesetzten Dienstleister wird vor Projektbeginn vereinbart und in der Datenschutzinformation des Projekts dokumentiert. Diese Seite ist keine Datenschutzerklärung und legt dazu nichts fest.

Europäisches Recht

1. Art. 5, 6, 7, 9, 13, 17, 26, 28, 30, 32, 35, 37, 88 DSGVO: https://dsgvo-gesetz.de/
2. Erwägungsgrund 43 DSGVO: https://dsgvo-gesetz.de/erwaegungsgruende/nr-43/
3. Europäischer Gerichtshof, Urteil vom 30.03.2023, C-34/21 (Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium)

Deutsches Recht

4. § 22 BDSG (besondere Kategorien, Maßnahmenliste in Abs. 2): https://www.gesetze-im-internet.de/bdsg_2018/__22.html
5. § 26 BDSG (Beschäftigtendatenverarbeitung, Einwilligung, Kollektivvereinbarung): https://www.gesetze-im-internet.de/bdsg_2018/__26.html
6. § 38 BDSG (Datenschutzbeauftragte nichtöffentlicher Stellen): https://www.gesetze-im-internet.de/bdsg_2018/__38.html
7. § 203 StGB (Verletzung von Privatgeheimnissen, insbesondere Abs. 3 und Abs. 4): https://www.gesetze-im-internet.de/stgb/__203.html
8. § 3 und § 6 ArbMedVV: https://www.gesetze-im-internet.de/arbmedvv/__3.html · https://www.gesetze-im-internet.de/arbmedvv/__6.html
9. § 5 und § 6 ArbSchG: https://www.gesetze-im-internet.de/arbschg/__5.html · https://www.gesetze-im-internet.de/arbschg/__6.html
10. § 87, § 77 Abs. 6, § 80, § 88 Nr. 1 BetrVG: https://www.gesetze-im-internet.de/betrvg/__87.html · https://www.gesetze-im-internet.de/betrvg/
11. § 167 Abs. 2 SGB IX (BEM): https://www.gesetze-im-internet.de/sgb_9_2018/__167.html
12. § 19, § 20, § 21, § 22, § 25, § 26 GenDG: https://www.gesetze-im-internet.de/gendg/
13. § 8 ASiG (Weisungsfreiheit und Schweigepflicht): https://www.gesetze-im-internet.de/asig/
14. § 612a BGB (Maßregelungsverbot): https://www.gesetze-im-internet.de/bgb/__612a.html
15. § 3 Abs. 1 EntgFG (Sechs-Wochen-Grenze, als Bezug zu § 167 Abs. 2 SGB IX): https://www.gesetze-im-internet.de/entgfg/__3.html
16. § 9 der Musterberufsordnung für die in Deutschland tätigen Ärztinnen und Ärzte. Verbindlich ist die Berufsordnung der zuständigen Landesärztekammer: https://www.bundesaerztekammer.de/themen/recht/berufsrecht

Aufsichtsbehörden

17. Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg, FAQ Rechtsgrundlagen bei Beschäftigtendaten: https://www.baden-wuerttemberg.datenschutz.de/faq-rechtsgrundlagen-bei-beschaeftigtendaten/
18. Hessischer Beauftragter für Datenschutz und Informationsfreiheit, Handreichung zum EuGH-Urteil, April 2023: https://datenschutz.hessen.de/sites/datenschutz.hessen.de/files/2023-04/handreichung_beschaeftigtendatenschutz_eugh-urteil.pdf

Fachliteratur und Praxis

19. Kiesche, E.: Betriebliches Gesundheitsmanagement. Betriebs- und Dienstvereinbarungen. Analyse und Handlungsempfehlungen, Hans-Böckler-Stiftung und Bund-Verlag, Frankfurt am Main 2013, ISBN 978-3-7663-6274-2. 125 ausgewertete Vereinbarungen; die Analyse liegt vor der DSGVO
20. GKV-Spitzenverband: Leitfaden Prävention, Fassung vom 17.12.2025, insbesondere zu den Anforderungen an digitale Angebote: https://www.gkv-spitzenverband.de/media/dokumente/krankenversicherung_1/praevention__selbsthilfe__beratung/praevention/praevention_leitfaden/20251218_Leitfaden_Pravention_2025_barrierefrei.pdf

Diese Seite ist eine Erläuterung der Rechtslage, keine Rechtsberatung. Sie ersetzt keine Prüfung Ihres Einzelfalls durch Ihre Datenschutzbeauftragte, Ihre Rechtsabteilung oder eine Rechtsanwältin. Verbindlich sind die Gesetzestexte, an die wir hier durchgängig verlinken, sowie die Auslegung durch die zuständige Aufsichtsbehörde und die Gerichte.

Stand: September 2026. Nächste Überprüfung: März 2027, sowie unverzüglich bei einer Änderung des § 26 BDSG oder beim Inkrafttreten eines Beschäftigtendatengesetzes.