Datenschutzrecht: Voraussetzungen für die Rechtmäßigkeit der Verarbeitung – Art 9 Abs 1 bis 3 – Verarbeitung besonderer Kategorien personenbezogener Daten – Gesundheitsdaten – Beurteilung der Arbeitsfähigkeit eines Angestellten

1. Art 9 Abs 2 lit h der VO (EU) 2016/679 ist dahin auszulegen, dass die in dieser Bestimmung vorgesehene Ausnahme unter dem Vorbehalt, dass die betreffende Datenverarbeitung die in lit h und in Art 9 Abs 3 ausdrücklich vorgeschriebenen Voraussetzungen und Garantien erfüllt, auf Situationen anwendbar ist, in denen eine Stelle für medizinische Begutachtung Gesundheitsdaten eines ihrer Arbeitnehmer nicht als Arbeitgeber, sondern als Medizinischer Dienst verarbeitet, um die Arbeitsfähigkeit dieses Arbeitnehmers zu beurteilen.

2. Art 9 Abs 3 der VO 2016/679 ist dahin auszulegen, dass der für eine auf Art 9 Abs 2 lit h dieser VO gestützte Verarbeitung von Gesundheitsdaten Verantwortliche gemäß diesen Bestimmungen nicht verpflichtet ist, zu gewährleisten, dass kein Kollege der betroffenen Person Zugang zu den Daten über ihren Gesundheitszustand hat. Eine solche Pflicht kann dem für eine solche Verarbeitung Verantwortlichen jedoch gemäß einer von einem MS auf der Grundlage von Art 9 Abs 4 dieser VO erlassenen Regelung oder aufgrund der in Art 5 Abs 1 lit f dieser VO genannten und in ihrem Art 32 Abs 1 lit a und b konkretisierten Grundsätze der Integrität und der Vertraulichkeit obliegen.

3. Art 9 Abs 2 lit h und Art 6 Abs 1 der VO 2016/679 sind dahin auszulegen, dass eine auf die erstgenannte Bestimmung gestützte Verarbeitung von Gesundheitsdaten nur dann rechtmäßig ist, wenn sie nicht nur die sich aus dieser Bestimmung ergebenden Anforderungen einhält, sondern auch mindestens eine der in Art 6 Abs 1 genannten Rechtmäßigkeitsvoraussetzungen erfüllt.

4. Art 82 Abs 1 der VO 2016/679 ist dahin auszulegen, dass der in dieser Bestimmung vorgesehene Schadenersatzanspruch eine Ausgleichsfunktion hat, da eine auf diese Bestimmung gestützte Entschädigung in Geld ermöglichen soll, den konkret aufgrund des Verstoßes gegen diese VO erlittenen Schaden vollständig zu ersetzen, und keine abschreckende oder Straffunktion erfüllt.

5. Art 82 der VO 2016/679 ist dahin auszulegen, dass zum einen die Haftung des Verantwortlichen vom Vorliegen eines ihm anzulastenden Verschuldens abhängt, das vermutet wird, wenn er nicht nachweist, dass die Handlung, die den Schaden verursacht hat, ihm nicht zurechenbar ist, und dass Art 82 zum anderen nicht verlangt, dass der Grad dieses Verschuldens bei der Bemessung der Höhe des als Entschädigung für einen immateriellen Schaden auf der Grundlage dieser Bestimmung gewährten Schadenersatzes berücksichtigt wird.