Krank ist krank – Diagnose gehört nicht in den WhatsApp-Chat

Wer sich beim Arbeitgeber krankmeldet, muss grundsätzlich nicht erklären, woran er erkrankt ist. Der Arbeitgeber muss wissen, dass ein Beschäftigter arbeitsunfähig ist – nicht aber zwingend warum.

Umso problematischer wird es, wenn konkrete Diagnosen, Laborwerte und Informationen über eine medizinische Behandlung plötzlich in einem WhatsApp-Chat unter Kolleginnen und Kollegen auftauchen. Mit einem solchen Fall hatte sich das Arbeitsgericht (ArbG) Siegburg zu beschäftigen. Es sprach einem Arbeitnehmer 1.000 Euro immateriellen Schadensersatz wegen der unzulässigen Weitergabe seiner Gesundheitsdaten zu.

Das Arbeitsgericht diskutierte aber noch einen weiteren Aspekt. Dabei ging es um die Frage, ob die Kollegin, die die Diagnosen weitergab, selbst Verantwortliche im Sinne der DSGVO sein kann.

Betriebsblindheit im Krankenhaus 

Der Kläger und die Beklagte waren als Ärzte in einem Krankenhaus beschäftigt. In einer WhatsApp-Gruppe tauschten sich insgesamt neun Ärztinnen und Ärzte aus. Dabei ging es sowohl um private Angelegenheiten als auch um dienstliche Themen wie Krankmeldungen, Vertretungen oder Urlaubsfragen. Der Kläger meldete sich eines Tages arbeitsunfähig. Die beklagte Stationsärztin verfügte anschließend über Informationen zu seiner Behandlung, zu Laborwerten und zu konkreten Diagnosen. Diese Informationen stellte sie in die gemeinsame WhatsApp-Gruppe ein. Es blieb allerdings nicht bei einer sachlichen Information über die Erkrankung. Aus den Äußerungen ergab sich zugleich, dass die Beklagte, die für den Kollegen einspringen und den Dienst übernehmen musste, Zweifel an dessen Arbeitsunfähigkeit hatte und diese gegenüber den anderen Gruppenmitgliedern entsprechend kommentierte.

Der Kläger war darüber ein wenig ungehalten und verlangte daraufhin vor dem Arbeitsgericht Unterlassung sowie immateriellen Schadensersatz nach Art. 82 DSGVO.

Das ArbG Siegburg gab ihm Recht und sprach ihm mit Urteil vom 22. Mai 2026 (Az.: 1 Ca 1741/25) einen Schadensersatz in Höhe von 1.000 Euro zu.

Gesundheitsdaten sind sensibel, auch unter Medizinern

Dass konkrete Diagnosen und Laborwerte nicht mit normalen personenbezogenen Daten gleichgesetzt werden können, dürfte wenig überraschen und die Sensibilität auch im Krankenhaus hinlänglich bekannt sein. Die DSGVO behandelt diese Informationen auch folgerichtig als besondere Kategorie personenbezogener Daten, die einem hohen Schutzbedarf unterliegen. Diese dürfen nur in den engen Grenzen von Art. 9 Abs. 2 DSGVO ohne vorherige Einwilligung verarbeitet werden. So dürfen sie im Rahmen einer medizinischen Behandlung verarbeitet werden.

Das bedeutet aber nicht, dass alle Ärzte eines Krankenhauses auf sämtliche Gesundheitsdaten anderer Beschäftigter zugreifen oder diese weitergeben dürfen. Es kommt darauf an, warum die Daten verarbeitet werden und ob die jeweilige Person für diesen Zweck überhaupt Kenntnis von den Daten benötigt.

Das Arbeitsgericht sah für die Weitergabe der Diagnosen in dem WhatsApp-Chat keine Rechtsgrundlage. So lag keine Einwilligung des Klägers vor. Der Umstand, dass einzelne Kolleginnen oder Kollegen möglicherweise bereits von seiner Erkrankung wussten, änderte daran nichts.

Wer gegenüber einzelnen Personen freiwillig über seine Erkrankung spricht, willigt damit nicht automatisch darin ein, dass Laborwerte oder konkrete Diagnosen anschließend gegenüber einem größeren Kollegenkreis verbreitet werden, so das Gericht.

Krankmeldung bedeutet nicht Diagnosemitteilung

Der Fall verdeutlicht, wie streng die Erforderlichkeit der Datenverarbeitung gerade im Bereich sensibler Daten genommen werden muss. Der Arbeitgeber benötigt bei einer Krankmeldung grundsätzlich die Information, dass die beschäftigte Person arbeitsunfähig ist und ggf., wie lange die Arbeitsunfähigkeit voraussichtlich dauert. Die konkrete Diagnose ist für die Organisation der Vertretung aber nicht erforderlich. Für die Stationsplanung hätte es also genügt zu wissen, dass der Kläger seinen Dienst nicht antreten kann. Ob die Ursache hierfür eine Infektion, ein orthopädisches Problem oder eine andere Erkrankung war, musste der Kollegenkreis nicht wissen. Zwar gibt es bei Infektionskrankheiten bestimmte Meldepflichten an die Behörden, aber auch Informationen über betroffene Personen darf nur dem Personenkreis bekannt sein, der mit der Umsetzung der Meldepflicht befasst ist. 

Aus Sicht des Datenschutzes greift hier der Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO: Es dürfen nur diejenigen Daten verarbeitet werden, die für den jeweiligen Zweck tatsächlich erforderlich sind.

Ein privater WhatsApp-Chat ist nicht automatisch privat

Weiter ging das Arbeitsgericht auf die Frage ein, ob die DSGVO überhaupt auf den WhatsApp-Chat Anwendung findet. Die Beklagte argumentierte, dass es sich im Wesentlichen um eine private Gruppe gehandelt habe. Nach ihrem Vortrag seien rund 70 Prozent der Kommunikation privater Natur gewesen. Die DSGVO kennt tatsächlich eine Ausnahme für ausschließlich persönliche oder familiäre Tätigkeiten. Wer bspw. im Familienchat ein Urlaubsfoto versendet, muss dafür kein Verzeichnis von Verarbeitungstätigkeiten führen. Diese sog. Haushaltsausnahme in Art. 1 Abs. 2 DSGVO half der Beklagten hier jedoch nicht.

Die Gruppe wurde jedenfalls teilweise für dienstliche Kommunikation genutzt. Krankmeldungen, Urlaubsfragen oder Vertretungsregelungen hatten eindeutig einen beruflichen Bezug. Auch die streitgegenständliche Nachricht stand unmittelbar im Zusammenhang mit dem Beschäftigungsverhältnis. Die bloße Tatsache, dass die Gruppe daneben auch für private Kommunikation genutzt wurde, machte die Verarbeitung der Gesundheitsdaten deshalb nicht zu einer rein persönlichen Tätigkeit, stellte das Gericht fest.

Dies hat Konsequenzen für die vielen WhatsApp-Chatgruppen, die es unter Kollegen gibt und sich häufig in einer Art Grauzone bewegen; vom Arbeitgeber nicht aktiv ins Leben gerufen, aber durchaus geduldet und mitgenutzt. Dieser Chat wird nicht deshalb zum datenschutzfreien Raum, wenn neben dienstlichen Themen auch Urlaubsfotos und Geburtstagsgrüße ausgetauscht werden. Erst kürzlich musste das Bundesarbeitsgericht (BAG) entscheiden, wie privat ein Chat unter Kollegen sein kann.

Wann Beschäftigte selbst Verantwortliche werden

Das Gericht befasste sich weiter mit der Frage, wer Verantwortlicher im Sinne der DSGVO ist. Normalerweise ist nicht die einzelne beschäftigte Person Verantwortlicher nach der DSGVO, wie der Bundesgerichtshof (BGH) im Grundsatz entschieden hat. Wenn Beschäftigte im Rahmen ihrer arbeitsvertraglichen Aufgaben personenbezogene Daten verarbeiten, erfolgt dies grundsätzlich unter der Verantwortung des Arbeitgebers. Die Mitarbeiterin in der Personalabteilung, die auf Personaldaten zugreift, wird dadurch nicht selbst zur Verantwortlichen. Gleiches gilt für einen Arzt, der im Rahmen einer Behandlung auf Patientendaten zugreift.

Anders kann es aussehen, wenn Beschäftigte die betrieblichen Zwecke verlassen und personenbezogene Daten für eigene Zwecke verarbeiten. Genau davon ging das ArbG Siegburg hier aus. Die Weitergabe der Gesundheitsinformationen habe nicht der Erfüllung dienstlicher Aufgaben gedient. Die Beklagte habe vielmehr einen eigenen Zweck verfolgt. Die Informationen seien genutzt worden, um die Arbeitsunfähigkeit des Klägers gegenüber Kolleginnen und Kollegen infrage zu stellen und ihn im Kollegenkreis bloßzustellen.

Damit bewegte sich die Verarbeitung nach Auffassung des Gerichts außerhalb des betrieblichen Verantwortungsbereichs. Die Beklagte konnte deshalb für diese konkrete Datenverarbeitung selbst Verantwortliche nach Art. 4 Nr. 7 DSGVO sein und dieser Umstand bzw. dieses Verhalten wird als Mitarbeiterexzess bezeichnet (wir berichteten hier und hier). Wer personenbezogene Daten, auf die er aufgrund seiner beruflichen Tätigkeit zugreifen kann, für private oder sonstige eigene Zwecke verwendet, kann sich nicht zwingend hinter seinem Arbeitgeber verstecken. Neben arbeitsrechtlichen Konsequenzen kann damit auch eine persönliche datenschutzrechtliche Haftung entstehen.

1.000 Euro wegen Kontrollverlust

Das ArbG Siegburg sprach dem Kläger nach Art. 82 DSGVO einen immateriellen Schadensersatz von 1.000 Euro zu. Die nationale Rechtsprechung zieht dazu die Rechtsprechung des Europäischen Gerichtshofs (EuGH) heran. 

Dabei gilt mittlerweile aufgrund der Rechtsprechung des EuGH, dass nicht jeder DSGVO-Verstoß automatisch zu einem Schadensersatzanspruch führt. Es müssen ein Verstoß gegen die DSGVO, ein Schaden und ein Zusammenhang zwischen beiden vorliegen. Eine bestimmte Erheblichkeitsschwelle muss der Schaden allerdings nicht überschreiten. Auch der Verlust der Kontrolle über personenbezogene Daten kann bereits einen immateriellen Schaden darstellen.

Das Arbeitsgericht argumentierte, dass die Gesundheitsinformationen einem begrenzten Personenkreis im Zusammenhang mit der medizinischen Versorgung bekannt geworden waren. Durch die Nachricht erhielten nun weitere Personen Kenntnis von konkreten Diagnosen und Befunden, obwohl sie hierzu nicht berechtigt waren. Der Kläger hatte damit die Kontrolle darüber verloren, wer von seinen Gesundheitsdaten Kenntnis erhielt. Hinzu kam nach Auffassung des Gerichts die Art und Weise der Kommunikation. Es ging nicht lediglich um eine versehentliche Mitteilung. Die Gesundheitsinformationen wurden mit Äußerungen verbunden, die geeignet waren, den Kläger im Kollegenkreis herabzusetzen.

Bei der Höhe des Schadensersatzes berücksichtigte das Gericht allerdings auch, dass der Empfängerkreis überschaubar blieb und bspw. keine vollständigen Krankenakten oder medizinischen Dokumente verbreitet wurden. Unter Berücksichtigung dieser Umstände hielt das Gericht 1.000 Euro für angemessen.

Genugtuung, keine Bestrafung

Hinzuweisen ist, dass das Schmerzensgeld keine Geldbuße ist. Es soll einen Schaden ausgleichen und ist streng zivilrechtlich zu sehen. Es geht also nicht darum, den Verantwortlichen möglichst empfindlich zu bestrafen oder andere Personen von ähnlichen Datenschutzverstößen abzuschrecken.

Das Gericht orientierte sich insoweit an der Rechtsprechung des EuGH, wonach der Schadensersatz eine Ausgleichsfunktion besitzt (wir berichteten). Das bedeutet allerdings nicht, dass vorsätzliche oder besonders herabwürdigende Verarbeitungen bedeutungslos wären. Sie können Einfluss darauf haben, welche tatsächlichen Auswirkungen die Datenverarbeitung auf die betroffene Person hatte. Diese Herabwürdigung sah das Arbeitsgericht hier als gegeben an. 

Die Quelle des Anstoßes

Der Sachverhalt wirft noch eine weitere datenschutzrechtliche Frage auf, die nicht Gegenstand der Entscheidung war. Die Stationsärztin musste die Informationen über Diagnosen und Laborwerte zunächst erhalten haben. Laut dem Urteil sollen ihr entsprechende Informationen aus dem Behandlungsbereich mitgeteilt worden sein. Damit stellt sich bereits eine Stufe vorher die Frage, ob diese Weitergabe innerhalb des Krankenhauses zulässig war. Dass zwei Personen im selben Krankenhaus arbeiten oder beide Ärzte sind, bedeutet nicht, dass Gesundheitsdaten frei zwischen ihnen ausgetauscht werden dürfen. Auch zwischen Ärzten gilt die Schweigepflicht nach § 203 StGB, wenn sie nicht gemeinsam an denselben Patienten arbeiten. Nur ausnahmsweise, etwa bei Konsilen, ist dies zulässig. Wer nicht an der Behandlung beteiligt ist und die Informationen auch nicht für eine andere zulässige Aufgabe benötigt, sollte daher keinen Zugriff auf entsprechende Gesundheitsdaten haben.

Dies betrifft nicht nur die Rechtsgrundlage nach Art. 9 DSGVO, sondern auch die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Gerade Krankenhäuser sollten deshalb über klare Rollen- und Berechtigungskonzepte verfügen und nachvollziehen können, wer wann auf welche Patientendaten zugegriffen hat. Im Prozess wurde außerdem vorgetragen, dass einzelne Kolleginnen oder Kollegen möglicherweise bereits deshalb Kenntnis von Gesundheitsinformationen gehabt hätten, weil sie auf das interne Krankenhaus-System zugegriffen hatten. Auch das war nicht Gegenstand der Entscheidung des Gerichts. Aus datenschutzrechtlicher Sicht wäre ein solcher Sachverhalt jedoch mindestens ebenso problematisch. Wer aus Neugierde nachschaut, weshalb eine Kollegin oder ein Kollege im Krankenhaus behandelt wird, verarbeitet personenbezogene Daten ohne dienstliche Erforderlichkeit.

Für den Verantwortlichen stellen sich dann u. a. Fragen nach dem Berechtigungskonzept, der Protokollierung solcher Zugriffe und der regelmäßigen Kontrolle der Zugriffsrechte.

Je nach Sachverhalt kann ein unberechtigter Zugriff zudem eine Verletzung des Schutzes personenbezogener Daten darstellen, was eine klassische Datenpanne nach Art. 33 DSGVO darstellen kann und meldepflichtig wäre. Ein Versäumnis wiederum kann Bußgelder durch die Aufsichtsbehörde nach sich ziehen.

Fazit

Die Entscheidung betrifft einen besonders sensiblen Sachverhalt im Krankenhaus. Die Grundsätze lassen sich aber auch auf andere Beschäftigungsverhältnisse übertragen. 

So gehören Gesundheitsdaten nicht in halb private, halb dienstliche Chats (auch nicht bei Taxiunternehmen, wie wir hier berichteten). Hier sollte es einen klaren Prozess geben, bei der allenfalls die Personalabteilung beteiligt ist. Erst recht bedarf es nicht der Diagnose. Aus gutem Grund lässt sich aus einer AU-Bescheinigung keine Diagnose zur Krankheit ablesen. Solche Informationen könnten allenfalls im BEM-Verfahren oder im Rahmen von Meldepflichten gemäß dem Infektionsschutzgesetz relevant sein. Diese Verfahren sind aber streng geregelt.

Die Graubereichchats sind ebenfalls kein datenschutzfreier Raum. Was hier passiert, hat datenschutzrechtliche Relevanz, die auch arbeitsrechtliche Konsequenzen haben kann. Zuletzt kann auch jede Person in solch einem Chat durch eigenmächtige Nutzung personenbezogener Daten Verantwortliche nach der DSGVO werden und persönlich haften.