eAU und Datenschutz : Orientierungshilfe der LfD Niedersachsen
Arbeitnehmer sind grundsätzlich ab dem vierten Tag ihrer Arbeitsunfähigkeit verpflichtet, dem Arbeitgeber eine Arbeitsunfähigkeitsbescheinigung vorzulegen (§ 5 EZFG). Der Arbeitgeber darf sogar am ersten Tag ein Attest fordern.
Gesetzlich krankenversicherte Arbeitnehmer informieren ihren Arbeitgeber daher unverzüglich über ihre Arbeitsunfähigkeit und suchen – sofern erforderlich – einen Arzt auf.
Ab dem 1. Januar 2023 ist der Abruf von AU-Daten bei den Krankenkassen für Arbeitgeber verpflichtend. Arbeitnehmer müssen ihrem Arbeitgeber von da an auch keine AU-Bescheinigung mehr vorlegen. Der Arbeitnehmer hat weiterhin die Pflicht, dem Arbeitgeber seine Arbeitsunfähigkeit zu melden und diese ärztlich feststellen zu lassen.
Ein regelmäßiger oder pauschaler Abruf von eAU-Daten durch Arbeitgeber ist nicht zulässig. Die AU-Bescheinigungen (Erst- und Folgebescheinigungen) können nur individuell für den jeweiligen Arbeitnehmer angefordert werden. Die Bundesvereinigung der Deutschen Arbeitgeberverbände hat dazu eine FAQ-Seite online gestellt, die auch auf datenschutzrechtliche Aspekte eingeht.
Kurz vor dem Start des neuen Verfahrens hat auch die Landesbeauftragte für den Datenschutz Niedersachsen ein Papier mit wichtigen Hinweisen zu den datenschutzrechtlichen Anforderungen des neuen Verfahrens veröffentlicht. Die Hinweise sollen sowohl dem Verantwortlichen im Sinne von Artikel 4 Nummer 7 DS-GVO als auch den Betroffenen im Sinne von Artikel 4 Nummer 1 DS-GVO einen Überblick verschaffen, welche datenschutzrechtlichen Vorgaben von den Verfahrensbeteiligten zu beachten sind.
Die LfD weist bzgl. der Umsetzung des Verfahrens insbesondere darauf hin, dass die am Verfahren der Prüfung der Arbeitsunfähigkeit und der Festsetzung der Entgeltfortzahlung beteiligten Stellen stets Artikel 5 Absatz 1 Buchstabe c DS-GVO (Grundsatz der „Datenminimierung“) sowie Artikel 5 Absatz 1 Buchstabe e DS-GVO (Grundsatz der „Speicherbegrenzung“) zu beachten haben.
Daneben solle bei der Einführung der digitalen Personalakte darauf geachtet werden, dass sich der Verantwortliche – ausgerichtet an dem Schutzbedarf der zu verarbeitenden personenbezogenen Daten – mit den bei der Verarbeitung bestehenden Gefahren und Risiken auseinanderzusetzen zu habe (siehe hierzu insbesondere Artikel 24 Absatz 1, Artikel 25 Absatz 1 und Artikel 32 Absatz 1 DS-GVO).
Der Verantwortliche habe geeignete technische und organisatorische Sicherungsmaßnahmen zu ergreifen, um ein der jeweiligen Verarbeitungstätigkeit angemessenes Schutzniveau umzusetzen. Als Beispiel wird genannt: Bei Datenübertragungen in Zusammenhang mit dem Abrufverfahren „eAU“ sind geeignete Schutzmaßnahmen zu treffen, hierzu zählen zum Beispiel Verschlüsselungen der besonderen Kategorien der personenbezogenen Daten im Sinne von Artikel 9 Absatz 1 DS-GVO.
In diesem Kontext kann den Verantwortlichen auch die FAQ der LfD Niedersachsen zum Thema “DS-GVO im Gesundheitsbereich Version 2.0” empfohlen werden.
(Foto: mpix-foto – stock.adobe.com)
Das könnte Sie auch interessieren
-
Folge 38: EuGH erleichtert Massenklagen – Die Voraussetzungen des immateriellen Schadensersatzes nach Art. 82 DS-GVO
Verfahren wegen des Ersatzes immaterieller Schäden nach Art. 82 DSGVO werden ständig mehr. Typische Anlässe sind Datenpannen, sonstige Datenschutzverstöße durch Unternehmen wie eine Werbemail ohne Einwilligung oder ein nicht rechtzeitig erfüllter Auskunftsanspruch. Deutsche Gerichte legen Art. 82 DSGVO bislang unterschiedlich weit und uneinheitlich aus. Der EuGH hat sich am 4. Mai 2023 in der Rs.
Mehr erfahren -
IT-Grundschutz in der Microsoft-Cloud
Microsoft hat in Zusammenarbeit mit der HiSolutions AG drei kostenlose IT-Grundschutz-Handbücher entwickelt, die auf der aktuellen Edition des IT-Grundschutz-Kompendiums des Bundesamts für Sicherheit in der Informationstechnik (BSI) basieren. Die Handbücher sollen Microsoft-Kunden helfen, die Nutzung von Cloud-Diensten wie Microsoft Azure, Microsoft 365 oder Dynamics 365 unter Berücksichtigung des IT-Grundschutzes sicher und erfolgreich zu gestalten. Dabei
Mehr erfahren -
EuGH urteilt zum Begriff “Recht auf Kopie”
Einige von der Datenschutzwelt mit Spannung erwartete Urteile des Europäischen Gerichtshofes wurden am 04. Mai 2023 veröffentlicht. 2. Urteil des Gerichtshofs in der Rechtssache C-487/21 | Österreichische Datenschutzbehörde und CRIF Der Hintergrund des zweiten mit Spannung erwartete Urteils des EuGH war ein Vorabentscheidungsersuchen nach Art. 267 AEUV, welches vom Bundesverwaltungsgericht (Österreich) eingereicht wurde. Das Bundesverwaltungsgericht in
Mehr erfahren
