Datenschutz und die elektronische Arbeitsunfähigkeitsbescheinigung: Neue Herausforderungen

Zuletzt aktualisiert am 27. Juli 2023

Die Einführung der elektronischen Arbeitsunfähigkeitsbescheinigung (eAU) ist eine bedeutende Veränderung im Bereich des Datenschutzes im Arbeitsumfeld. Bereits am 18. September 2019 beschloss der Bundestag im Bürokratieentlastungsgesetz III die Einführung der eAU, ursprünglich geplant für den 01. Januar 2022. Mit einigen Verzögerungen ist die Pilotphase dann am 31. Dezember 2022 abgeschlossen und zum 01. Januar 2023 ist der Live-Betrieb gestartet.

Durch die neue eAU ergeben sich allerdings nicht nur Änderungen für Krankenkassen und medizinische Praxen – auch für Organisationen ergibt sich ein Handlungsbedarf. Mit der neuen Regelung müssen Organisationen nun ihre Prozesse und Verarbeitungstätigkeiten anpassen, um den Datenschutz auch in diesem Bereich zu gewährleisten.

Doch was genau ändert sich durch die eAU? Und welche Änderungen müssen Organisationen vornehmen? 

Der Prozess der elektronischen Arbeitsunfähigkeitsbescheinigung besteht aus drei Schritten:

Die Ärztin/der Arzt meldet die Arbeitsunfähigkeitsdaten an die Krankenkasse. Dabei sind die übermittelten Daten auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt. Die Übermittlung erfolgt elektronisch.

Die Arbeitnehmenden informieren die Arbeitgebenden über die festgestellte Dauer der Arbeitsunfähigkeit. Das Einreichen einer Bescheinigung entfällt mit der neuen Regelung.

Die Arbeitgebenden rufen die Daten über die Schnittstellen der Entgeltabrechnungssoftware oder über das Portal sv.net der Krankenkassen ab. Die abgerufenen Informationen beinhalten die Namen der Beschäftigten, Beginn und Ende der Arbeitsunfähigkeit, das Datum der medizinischen Feststellung, die Kennzeichnung als Erst- oder Folgemeldung sowie Angaben zu Arbeitsunfällen oder sonstigen Unfällen.

Für privat versicherte Beschäftigte und Minijobs in Privathaushalten gilt die eAU nicht. Auch Arbeitsunfähigkeitsbescheinigungen durch Ärzt:innen, die nicht an der vertragsärztlichen Versorgung teilnehmen, sind von der eAU ausgenommen.

Bei der Verarbeitung der eAU-Daten ist es wichtig, die Datenschutzgrundsätze und insbesondere die Datenminimierung zu beachten. Mit der Einführung der eAU müssen Organisationen ihre Datenschutzprozesse überprüfen und anpassen, um die Sicherheit der personenbezogenen Daten zu gewährleisten. Die hier aufgeführten Schritte sind dabei insbesondere zu beachten:

Auch bei der eAU gilt der Grundsatz der Vertraulichkeit. Daher gilt es zu überprüfen, wer die Daten über die AU benötigt, an welcher Stelle die Daten ankommen, wer für die Verteilung der Daten verantwortlich ist, wie die eAU-Daten weiterverarbeitet werden, welche Sicherheitsmaßnahmen für den Schutz der Daten existieren, wo die Daten archiviert werden und wann sie wieder gelöscht werden müssen. Diese Prozesse müssen durchdacht und im Anschluss entsprechend im Verzeichnis von Verarbeitungstätigkeiten dokumentiert werden

Organisationen müssen sicherstellen, dass die technischen Strukturen für den Abruf der eAU-Daten den Anforderungen gemäß Artikel 32 der Datenschutz-Grundverordnung (DSGVO) entsprechen und ein angemessenes Schutzniveau gewährleisten.

Die Verarbeitung von Arbeitsunfähigkeitszeiten von Beschäftigten kann für verschiedene Zwecke genutzt werden, sei es zur Entgeltfortzahlung oder für andere gesetzliche Vorgaben. Organisationen sollten daher diese Zwecke klar definieren und die Verarbeitungstätigkeiten im Verzeichnis von Verarbeitungstätigkeiten entsprechend dokumentieren. Dies gewährleistet eine transparente und rechtskonforme Datenverarbeitung im Einklang mit den Datenschutzanforderungen

Organisationen müssen geeignete technische und organisatorische Maßnahmen ergreifen, um den Schutz der eAU-Daten vor unbefugtem Zugriff und Missbrauch zu gewährleisten. Hierzu gehört auch die sorgfältige Auswahl der Technologie und die Nutzung verschlüsselter Übertragungswege, um die Integrität und Vertraulichkeit der Daten zu gewährleisten. Dabei sollten mögliche Sicherheitsrisiken und potenzielle Schwachstellen identifiziert und proaktiv behandelt werden, um Datenschutzverletzungen zu vermeiden. Organisationen sollten darüber hinaus darauf achten, dass die Aufbewahrung der eAU-Daten gemäß den gesetzlichen Vorgaben erfolgt und eine Löschung nach Ablauf der vorgegebenen Speicherfrist ordnungsgemäß durchgeführt wird.

Für gesetzlich versicherte Beschäftigte entfällt die Pflicht, Krankmeldungen vorzulegen. Allerdings erhalten Beschäftigte weiterhin eine Papierbescheinigung als gesetzlich vorgesehenes Beweismittel. Diese Papierbescheinigung soll so lange beibehalten werden, bis ein geeignetes elektronisches Mittel mit gleichem Beweiswert zur Verfügung steht.