EuGH: Ausdrückliche Klarstellung zum Verhältnis der Art. 6 und Art. 9 DSGVO zueinander

Der Ausnahmetatbestand des Art. 9 Abs. 2 lit. h iVm Art. 9 Abs. 3 DSGVO kann auch dann herangezogen werden, wenn eine Stelle für medizinische Begutachtung die Gesundheitsdaten eines seiner Arbeitnehmer zum Zwecke der Beurteilung seiner Arbeitsfähigkeit nicht in der Eigenschaft als Arbeitgeber sondern in seiner Funktion als Medizinischer Dienst verarbeitet. Aus dieser Rechtsgrundlage ergibt sich keine Verpflichtung des Verantwortlichen dafür Sorge tragen zu müssen, dass kein Kollege des betroffenen Arbeitnehmers Zugang zu seinen Gesundheitsdaten erhält. Eine derartige Verpflichtung könnte sich allenfalls aus nationalen Normen basierend auf Art. 9 Abs. 4 DSGVO ergeben oder aufgrund der allgemeinen in Art. 5 Abs. 1 lit. f DSGVO genannten und in Art. 32 Abs. 1 lit. a und b konkretisierten Grundsätze der Integrität und Vertraulichkeit geboten sein.

Die rechtmäßige Verarbeitung besonderer Kategorien personenbezogener Daten setzt sowohl die Erfüllung zumindest eines der in Art. 9 Abs. 2 DSGVO normierten Ausnahmetatbestände sowie die Erfüllung zumindest eines der in Art. 6 Abs. 1 DSGVO normierten Rechtmäßigkeitstatbestände voraus.

Dem Schadenersatzanspruch gem. Art. 82 DSGVO wohnt eine Ausgleichs- jedoch keine Straf­funktion inne. Es handelt sich um eine Verschuldenshaftung, wobei dem Verantwortlichen der Beweis der fehlenden Vorwerfbarkeit obliegt. Der Grad des Verschuldens ist bei der Bemessung der Höhe des immateriellen Schadenersatzes nicht zu berücksichtigen, da dies insbesondere auch mit der ausschließlichen Ausgleichsfunktion nicht in Einklang zu bringen wäre.

• Würflingsdobler, Anton