Datenschutz im betrieblichen Eingliederungsmanagement

Die Gesundheit der Beschäftigten in Unternehmen hat in den letzten Jahren zunehmend an Bedeutung gewonnen. Viele Unternehmen haben erkannt, dass die Herausforderungen der modernen Arbeitswelt im Zusammenspiel mit dem demografischen Wandel zu einer zunehmenden Nachfrage an qualifizierten Fachkräften führen. Diese sind aber nur in einem begrenzten Maß vorhanden.

Vor diesem Hintergrund beschäftigen sich viele Unternehmen umfassend mit den Möglichkeiten eines betrieblichen Gesundheitsmanagements (BGM). Es fasst sowohl die betrieblichen Pflichten als auch die freiwilligen Maßnahmen zusammen (siehe dazu Fackeldey, Datenschutz im betrieblichen Gesundheitsmanagement, Datenschutz PRAXIS 11/2020, S. 7–10).

Die einzelnen Bausteine des betrieblichen Gesundheitsmanagements. Das BEM ist einer dieser Bausteine.

Warum ist das betriebliche Eingliederungsmanagement wichtig?

Ein Eingliederungsmanagement als Baustein im Rahmen des betrieblichen Gesundheitsmanagements bietet den Arbeitgebern die Möglichkeit, sich mit ihren Beschäftigten und deren Erkrankungen auseinanderzusetzen. Da es häufig zu Erkrankungen kommt, die auf das jeweilige Arbeitsverhältnis bzw. die vorhandenen Arbeitsbedingungen zurückzuführen sind, besteht über ein BEM die Möglichkeit, seine Beschäftigten gesund und arbeitsfähig zu halten.

Arbeitsunfälle, Überbelastungen, Stressreaktionen, Konflikte unter Kolleginnen und Kollegen und vieles mehr lassen sich durch ein BEM feststellen und konkret bewerten. Geeignete Maßnahmen wiederum können dabei helfen, die Arbeitsbedingungen für die Beschäftigten zu verbessern und Krankheitszeiten zu reduzieren.

Welche Pflichten haben Unternehmen?

Um die gesellschaftliche Bedeutung des BEM zu betonen, hat der Gesetzgeber mit § 167 Abs. 2 Neuntes Buch Sozialgesetzbuch (SGB IX) eine rechtliche Struktur zum BEM geschaffen und folgende Verpflichtung für Unternehmen festgeschrieben:

„Sind Beschäftigte innerhalb eines Jahres länger als sechs Wochen ununterbrochen oder wiederholt arbeitsunfähig, klärt der Arbeitgeber […] mit Zustimmung und Beteiligung der betroffenen Person die Möglichkeiten, wie die Arbeitsunfähigkeit möglichst überwunden werden und mit welchen Leistungen oder Hilfen erneuter Arbeitsunfähigkeit vorgebeugt und der Arbeitsplatz erhalten werden kann (Betriebliches Eingliederungsmanagement).“

Um diesen gesetzlichen Vorgaben gerecht werden zu können, sind Unternehmen dazu verpflichtet, Überwachungsstrukturen aufzubauen und regelmäßig diesbezügliche Daten zu verarbeiten. Hierbei verarbeiten sie in der Regel neben den konkreten Arbeitsunfähigkeitszeiten zusätzlich den Namen und ggf. weitere Daten mit Personenbezug, z.B. die Personalnummer.

Welche Rechtsgrundlagen lassen sich für die Datenverarbeitung heranziehen?

Erforderlich für Beschäftigungsverhältnis & rechtliche Verpflichtung

Die Verarbeitung dieser Daten ist erforderlich, um die gesetzlich definierte Sechs-Wochen-Frist zu berechnen und dem Auftrag, ein betriebliches Eingliederungsmanagement anzubieten, gerecht werden zu können.

Da sich Krankheiten und wiederholte Arbeitsunfähigkeit nicht auf kalendarische Zeiträume begrenzen lassen, ist der zwölfmonatige Beobachtungszeitraum vom Kalenderjahr, also bezogen auf ein Zeitjahr, zu bestimmen. Zusätzlich haben Beschäftigte die Möglichkeit, ihrerseits ein BEM zu beantragen.

Kommt es dazu, dass der Arbeitgeber einer beschäftigten Person ein BEM anbietet, muss er hierzu weitere personenbezogenen Daten verarbeiten, z.B. die Adressdaten, um ihr die Einladung zu einem Erstgespräch zuzusenden.

Die Rechtmäßigkeit der Verarbeitung dieser Daten durch einen Beauftragten des Arbeitgebers und / oder die Personalabteilung lässt sich in der Regel mit § 26 Abs. 1 Bundesdatenschutzgesetz (BDSG) begründen. Denn es handelt sich grundsätzlich um eine Verarbeitung von personenbezogenen Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses, die für dessen Durchführung erforderlich ist.

In Ergänzung ergibt sich die Rechtmäßigkeit der Verarbeitung aus Art. 6 Abs. 1 Buchst. c Datenschutz-Grundverordnung (DSGVO). Denn die Verarbeitung ist erforderlich, um eine rechtliche Verpflichtung zu erfüllen, der der Verantwortliche unterliegt.

Zusätzlich: Einwilligung

Diese Rechtmäßigkeit für die Verarbeitung der personenbezogenen Daten lässt sich jedoch lediglich für die Erhebung der Krankheitszeiten und die Einladung zum Erstgespräch, die sich daraus ergibt, ableiten. Alle Prozessschritte, die sich an das Einladungsschreiben anschließen (Zusage zum Gespräch, Durchführung des Gesprächs, Entwicklung weiterer Prozessschritte etc.), benötigen eine eigene Rechtsgrundlage.

Hierzu dürfte die Einwilligung der beschäftigten Person die beste Grundlage sein. Sie lässt sich in der Regel durch § 26 Abs. 2 BDSG begründen. Tatsächlich müssen Unternehmen ab diesem Zeitpunkt zwei verschiedene Einwilligungen betrachten und ihren Nutzen abwägen:

• Die „Einwilligung des Beschäftigten zur Teilnahme am BEM“, damit er jederzeit „Herr des Verfahrens“ bleibt und selbst darüber bestimmen kann, welche Maßnahmen das Unternehmen durchführt, wer in den Prozess eingebunden ist und wie die Abläufe gestaltet sind.
• Die „Einwilligung in die Verarbeitung der personenbezogenen Daten“ bzw. der Gesundheitsdaten im Sinne von Art. 9 DSGVO.

Einwilligung zur Teilnahme am BEM

Die „Einwilligung zur Teilnahme am BEM“ ist bei jedem Prozessschritt zu hinterfragen. Denn es können sich im Rahmen des BEM-Verfahrens immer wieder Veränderungen einstellen, z.B. durch neue Ziele oder neue Akteure im Prozess. Um diese Veränderungen zu berücksichtigen, ist es erforderlich, die Einwilligungserklärungen regelmäßig anzupassen bzw. neu zu fassen.

An die „Einwilligung zur Verarbeitung der personenbezogenen Daten“ legt das BDSG in § 26 Abs. 2 Satz 1 und 2 sehr konkrete und besondere Maßstäbe in Bezug auf die Freiwilligkeit an. Das betrifft v.a. die Abhängigkeit der beschäftigten Person im Beschäftigungsverhältnis und die Umstände, unter denen sie die Einwilligung erteilt hat.

Bei der Bewertung der Freiwilligkeit kann es eine Rolle spielen, dass sich aus der erteilten Einwilligung für den Beschäftigten ein rechtlicher oder wirtschaftlicher Vorteil einstellt oder der Arbeitgeber und die beschäftigte Person gleichgelagerte Interessen verfolgen.

Was haben DSB mit dem BEM zu tun?

Informieren

Wie ausgeführt ist es erforderlich, personenbezogene Daten zu verarbeiten, um die gesetzlichen Pflichten aus § 167 Abs. 2 SGB IX zu erfüllen. Vor diesem Hintergrund sollten Datenschutzbeauftragte die betrieblichen Akteure wie das BEM-Team und den Beauftragten des Arbeitgebers umfassend informieren, welche datenschutzrechtlichen Anforderungen sie bei der Verarbeitung der Daten zu beachten haben.

Verzeichnis von Verarbeitungstätigkeiten

Auch empfiehlt es sich, den Prozess des BEM als eigenständige Verarbeitungstätigkeit im Rahmen der Dokumentationen des Verzeichnisses von Verarbeitungstätigkeiten (Art. 30 DSGVO) zu beschreiben. Hierbei sollten Datenschutzbeauftragte den Verantwortlichen unterstützen und beraten.

Beratungsaufgaben bei der Entwicklung und Implementierung eines BEM

Darüber hinaus haben DSB bereits bei der Entwicklung und Implementierung von Prozessen und Abläufen konkrete datenschutzrechtliche Beratungsaufgaben. Betrachtet man die möglichen BEM-Prozesse, verarbeiten Unternehmen personenbezogene Daten besonders im Rahmen der folgenden Eckpfeiler:

• betriebliches Frühwarnsystem aufbauen
• Katalog für Erhebungsinstrumente entwickeln
• Katalog für präventive Maßnahmenentwicklung erstellen
• betriebliche Kommunikation und Öffentlichkeitsarbeit, um alle beschäftigten Personen einzubeziehen
• Präventionsverfahren in die betriebliche Gesundheitspolitik einbinden
• Betriebs- bzw. Dienstvereinbarung entwickeln und abschließen
• Konzept entwickeln zur betriebsnahen Rehabilitation einschließlich Regelungen zur stufenweisen Wiedereingliederung
• Kontakt aufnehmen zu außerbetrieblichen Stellen und Diensten
• Kontakt mit den betroffenen Beschäftigten aufnehmen, sie beraten und unterstützen
• Maßnahmen beantragen
• bei der konkreten Maßnahmenentwicklung beraten und unterstützen, Maßnahmen umsetzen und überprüfen

Aus Sicht des DSB ist es wichtig, darauf zu achten, wie der Arbeitgeber die Prozesse beschreibt und als Leitlinien einführt.

Das BEM-Erstgespräch: Informationspflichten und weitere Prozessschritte

Der Gesetzgeber hat in § 167 Abs. 2 SGB IX eine einseitige Verpflichtung formuliert, die dem Arbeitgeber aufträgt, ein BEM anzubieten. Er stellt es jedoch den Beschäftigten frei, dieses Angebot anzunehmen. Verweigert die zu einen BEM eingeladene beschäftigte Person die Zustimmung, so ist das BEM an diesem Punkt beendet.

Wichtig ist hierbei, dass diese Entscheidung nicht zulasten der beschäftigten Person gewertet werden darf. Dem Arbeitgeber bleibt an dieser Stelle nur die Möglichkeit und die Pflicht, das Angebot zu dokumentieren und die Aufbewahrungsfristen für den Nachweis zu definieren.

Stimmt die beschäftigte Person der Einladung zum Erstgespräch zu, dann ist es geboten, sie im Rahmen des Gesprächs umfassend über die Ziele (Zwecke) und den Ablauf des Verfahrens zu informieren. Wichtig ist hierbei auch, die betroffene Person über die Verwendung ihrer Daten im BEM-Prozess zu informieren (im Sinne von Art. 13 und 14 DSGVO).

Da die Vertraulichkeit des Gesprächs und die Bestätigung der weiteren Verarbeitung der im Gespräch benannten Informationen besonders wichtig sind, sollte das Ergebnisprotokoll schriftlich niederlegen, wer welche Informationen aus dem Gespräch weiterverarbeiten darf und an wen der Arbeitgeber ggf. welche Daten weitergeben darf. Jede Veränderung der Ziele im BEM-Prozess sollte in Ergänzung zum Ergebnisprotokoll vereinbart und schriftlich niedergelegt werden.

In der Regel bestehen die vereinbarten Schritte im BEM-Prozess aus der Zusammenarbeit mit verschiedenen inner- und außerbetrieblichen Akteuren, um die ursprüngliche krankheitsbedingte Gefährdung des Arbeits- und Beschäftigungsverhältnisses zu beseitigen oder zu mindern.

Im Rahmen des Erstgesprächs sollte der Beauftragte des Arbeitgebers die beschäftigte Person über ihre Rechte aufklären (z.B. über die Möglichkeit, die Einwilligung zu widerrufen), über den Verbleib und die Verwendung der erhobenen Daten informieren, auf das Recht hinweisen, in den BEM-Vorgang Einsicht zu nehmen, und auf das Recht, eine Kopie zu erhalten.

Weitergabe von sensiblen Daten an inner- und außerbetriebliche Akteure

Für den BEM-Prozess empfiehlt es sich, sogenannte Dritte unterschiedlicher Fachrichtungen in den Prozess einzubinden, um ein möglichst optimales Ergebnis für die beschäftigte Person bzw. das Unternehmen zu erreichen. Somit kann es sinnvoll sein, folgende betriebliche Akteure in das BEM-System einzubeziehen:

• Interessenvertretung (Betriebsrat / Mitarbeitervertretung / Personalrat)
• Vertrauensperson für schwerbehinderte Menschen (bei Beschäftigten mit einem Grad der Behinderung von 50 % und mehr)
• Vertrauensperson der beschäftigten Person (soweit von ihr gewünscht)
• Werks- oder Betriebsarzt
• gesetzlicher Vertreter
• Fachkraft für Arbeitssicherheit

Darüber hinaus können externe Akteure den Prozess sinnvoll unterstützen, z.B. Rechtsanwälte, Vertreter der Integrationsfachdienste, der Rehabilitationsträger, der Inklusionsämter u.v.m.

Inhalte müssen vertraulich bleiben

Die Inhalte jedes BEM-Gesprächs sind vertraulich zu behandeln. Alle Beteiligten dürfen sie nur für den jeweiligen definierten Zweck nutzen.

Je nachdem, welche Akteure ins BEM eingebunden sind, unterliegen sie bereits aufgrund ihrer beruflichen Stellung einer besonderen Schweigepflicht (z.B. Betriebsarzt), andere sollten hierzu verpflichtet werden. Das ist besonders vor dem Hintergrund wichtig, dass betriebliche Ansprechpartner Kenntnis über Teile der geführten Gespräche erhalten, etwa über Leistungseinschränkungen oder Hilfsmaßnahmen.

Da diese Informationen häufig für die Eingliederung an den alten oder neuen Arbeitsplatz entsprechend den Fähigkeiten der beschäftigten Person wichtig sind, ist ihre Verarbeitung zumeist notwendig. Jedoch muss der Verantwortliche sicherstellen, dass sie nur für diesen konkreten Zweck genutzt werden. Aus diesem Grund sollten die Ergebnisse jedes Gesprächs und die Maßnahmen unter Angabe der jeweiligen Zwecke schriftlich festgehalten werden und ggf. auf einer eigenen, neuen Einwilligung fußen.

Über die Inhalte der Dokumentation stimmt sich der Beauftragte des Arbeitgebers mit der beschäftigten Person ab, d.h. der Arbeitgeber dokumentiert nur Informationen, die die beschäftigte Person gegenüber Dritten preisgeben möchte. Der Umfang reicht von einer Mitteilung über das Erstgespräch bis zu ausführlichen Informationen über die arbeitsrelevanten Folgen der Erkrankung bzw. des Unfalls.

Mögliche BEM-Maßnahmen

In vielen BEM-Fällen ist ein erster Schritt, den Arbeitsplatz der beschäftigten Person zu analysieren und mit ihren Fähigkeiten abzugleichen. Für diesen Vergleich benötigt der Arbeitgeber Informationen – sowohl über die berufliche Tätigkeit als auch über die Leistungsfähigkeit.

Die besondere Herausforderung hierbei ist es, nur die Daten zu verarbeiten, die dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind (Art. 5 Abs. 1 Buchst. c DSGVO). Hilfreiche und erforderliche Daten können sein

• Qualifikationen,
• Stärken sowie
• Ziele und eigene Vorstellungen der beschäftigten Person.

Maßnahmen der betrieblichen Eingliederung sind typischerweise stufenweise Wiedereingliederung, Veränderungen des Arbeitsplatzes, der Arbeitsorganisation, der Arbeitsumgebung oder der Arbeitszeit, Arbeitsversuche und Qualifizierungsmaßnahmen.