Gesundheitsdaten: die Diagnose gehört nicht in die Akte
Art. 9 Abs. 1 DSGVO sagt zu Gesundheitsdaten: untersagt. § 26 Abs. 3 BDSG ist die Ausnahme davon, zweckgebunden an arbeits- und sozialrechtliche Pflichten. Für die Lohnfortzahlung braucht der Betrieb die Arbeitsunfähigkeit und ihre Dauer — nicht die Krankheit.
Warum das wichtig ist
Die Reihenfolge entscheidet. Diese Daten sind nicht erlaubt mit Einschränkungen, sie sind verboten mit Ausnahmen. Wer so denkt, trifft im Zweifel die richtige Entscheidung.
Und wenn die Diagnose trotzdem bekannt wird, weil jemand sie erzählt? Dann dürfen Sie es wissen. Aber es gehört nicht in die Akte, nicht ins System und nicht an Kollegen weiter. Auf die Frage des Teams lautet die Antwort: Sie ist heute nicht da.
Zwei Trennungen gehören dazu. Was der Betriebsarzt weiß, bleibt beim Betriebsarzt — beim Betrieb landet nur das Ergebnis, also geeignet oder nicht geeignet. Und: Die Religionszugehörigkeit steht in Art. 9, wird im Lohnbüro aber verarbeitet, weil der Kirchensteuerabzug eine rechtliche Pflicht ist. Dieselbe Angabe in einer Teamliste wäre unzulässig.
Was das Gesetz sagt
Art. 9 Abs. 1 DSGVO
„Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt."
§ 26 Abs. 3 S. 1 BDSG
„Abweichend von Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 ist die Verarbeitung besonderer Kategorien personenbezogener Daten … für Zwecke des Beschäftigungsverhältnisses zulässig, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt."
So macht man es richtig
In die Akte gehört die Arbeitsunfähigkeit und ihre Dauer — nicht die Diagnose.
Befunde, Arztbriefe und Entlassungsberichte nicht aufbewahren, auch nicht freiwillig übergebene.
Auf Fragen des Teams nur sagen, dass die Person nicht da ist.
Bei Schwerbehinderung die Tatsache erfassen, nicht die Art der Behinderung.
Was bei Missachtung droht
Verstöße gegen Art. 9 DSGVO fallen nach Art. 83 Abs. 5 lit. a DSGVO in den Rahmen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Art. 9 wird in neun deutschen Verfahren zitiert; das Gesundheitswesen ist mit 29 von 218 Fällen die am häufigsten belangte Branche (CMS GDPR Enforcement Tracker, abgerufen 11.10.2026).
