Der spanische Oberste Gerichtshof hat sich kürzlich mit einer umstrittenen Frage dazu befasst, welche Informationen, bzw. genauer gesagt: welche konkreten personenbezogenen Daten, ein Unternehmen von Beschäftigten im Zusammenhang mit einer krankheitsbedingten Abwesenheit verlangen darf. Die Frage ist von erheblicher praktischer Bedeutung, denn ein zu weitgehendes Auskunftsverlangen des Arbeitgebers kann zu einem Bußgeld der spanischen Datenschutzbehörde führen.

• Was ist geschehen?

Ein Arbeitgeber verlangte von einem Beschäftigten, der gerade nach einer krankheitsbedingten Abwesenheit an seinen Arbeitsplatz zurückgekehrt war, die Vorlage der ärztlichen Diagnose und Angaben zu seiner Behandlung. Der Arbeitgeber war der Auffassung, dass die vorgelegten ärztlichen Bescheinigungen die Abwesenheit vom Arbeitsplatz nicht hinreichend rechtfertigten. Der Beschäftigte verweigerte jedoch die Herausgabe dieser Angaben mit der Begründung, dass sie seiner Privatsphäre zuzuordnen seien, und stellte sie dem Arbeitgeber zu keinem Zeitpunkt zur Verfügung.

Die spanische Datenschutzbehörde stufte die Anforderung dieser sensiblen und besonders geschützten Unterlagen als missbräuchlich ein. Nach ihrer Auffassung verstieß das Unternehmen damit gegen den in Art. 5 Abs. 1 Buchst. c der Verordnung (EU) 2016/679 verankerten Grundsatz der Datenminimierung.
In der Folge wurde gegen das Unternehmen eine Sanktion verhängt. Die Behörde ging davon aus, dass bereits die bloße Aufforderung zur Vorlage personenbezogener Unterlagen als Verarbeitung personenbezogener Daten im Sinne von Art. 4 der Datenschutz-Grundverordnung anzusehen ist.

• Was hat der Oberste Gerichtshof entschieden?

Der Oberste Gerichtshof hat hierzu eine grundlegende Auslegung vorgegeben. Danach ist der Begriff der Verarbeitung personenbezogener Daten in Art. 4 Abs. 2 der Datenschutz-Grundverordnung weit und nicht restriktiv auszulegen.

Diese Entscheidung beruht auf dem Ziel, die Grundrechte auf Schutz personenbezogener Daten und auf Achtung der Privatsphäre, die jeder Person zustehen, wirksam zu gewährleisten.

Nach Auffassung des Obersten Gerichtshofs ist es für das Vorliegen eines Verstoßes unerheblich, ob die sensiblen Daten dem Verantwortlichen tatsächlich übermittelt und von ihm verarbeitet werden. Der eigentliche Zweck der Regelung besteht darin, bereits die Entstehung erheblicher Risiken für die Grundrechte der betroffenen Personen zu verhindern.

• Praktische Auswirkungen für Unternehmen.

Nach dieser Rechtsprechung muss bereits die bloße Anforderung personenbezogener Daten – auch wenn die Daten anschließend nicht übermittelt werden –, sofern sie auf deren Erfassung, Einsichtnahme oder Nutzung gerichtet ist, die Grundsätze und Anforderungen der Datenschutz-Grundverordnung erfüllen. Die von Beschäftigten verlangten Daten müssen daher für die jeweiligen Verarbeitungszwecke angemessen und erheblich sowie auf das notwendige Maß beschränkt sein.

Zur Wahrung der Rechtssicherheit empfehlen wir Unternehmen daher, den Grundsatz der Datenminimierung zu beachten und nach angemessener rechtlicher Beratung im Zusammenhang mit der vorübergehenden Arbeitsunfähigkeit ihrer Beschäftigten sorgfältig zu prüfen, ob die Anforderung sensibler, mit der krankheitsbedingten Abwesenheit zusammenhängender Daten tatsächlich erforderlich und zulässig ist.