Datenschutz beim Betriebsarzt: Was darf der Betriebsarzt dem Arbeitgeber mitteilen?
- Betriebsärzte unterliegen der Schweigepflicht gemäß § 8 Abs. 1 Satz 3 ASiG – Verstöße sind nach § 203 StGB strafbar.
- Gesundheitsdaten fallen unter Art. 9 DSGVO – ihre Verarbeitung ist grundsätzlich verboten und nur mit Erlaubnistatbestand zulässig.
- Arbeitgeber erhalten vom Betriebsarzt nur die Vorsorgebescheinigung oder Eignungsaussage – Diagnosen und Befunde nur mit Einwilligung der Beschäftigten.
- Externe Betriebsärzte sind keine Auftragsverarbeiter nach Art. 28 DSGVO, aber betriebsärztliche Prozesse müssen im VVT dokumentiert werden.
- Der Impfstatus ist besonders geschützt und darf nur in gesetzlich geregelten Ausnahmefällen abgefragt werden.
Datenschutz-Compliance beim Betriebsarzt: Warum das Thema für Unternehmen relevant ist
Gesundheitsdaten gehören zu den sensibelsten personenbezogenen Daten überhaupt – und der Betriebsarzt verarbeitet sie täglich. Für Unternehmen stellt sich damit eine klare Compliance-Frage: Welche datenschutzrechtlichen Pflichten entstehen, wenn ein Betriebsarzt beauftragt wird? Was darf der Arbeitgeber erfahren – und was nicht? Und wie müssen Prozesse rund um Vorsorgeuntersuchungen, Impfstatus-Abfragen und die neue elektronische Patientenakte (ePA) datenschutzkonform gestaltet werden?
Dieser Beitrag gibt Unternehmen und Datenschutzverantwortlichen einen strukturierten Überblick über Rechtsgrundlagen, Compliance-Pflichten und typische Fallstricke.
Welche Daten verarbeitet der Betriebsarzt – und was bedeutet das für die DSGVO-Compliance?
Sobald ein Betriebsarzt beauftragt wird, berührt das unmittelbar den Datenschutz im Beschäftigungsverhältnis. Die DSGVO definiert Gesundheitsdaten in Art. 4 Nr. 15 DSGVO als personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer Person beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen.
Als besondere Kategorie personenbezogener Daten ist ihre Verarbeitung nach Art. 9 Abs. 1 DSGVO grundsätzlich verboten – es gilt das Prinzip des Verbots mit Erlaubnisvorbehalt. Welcher Erlaubnistatbestand greift, hängt davon ab, wer die Daten verarbeitet:
- Art. 9 Abs. 2 lit. a DSGVO i.V.m. § 26 Abs. 2, Abs. 3 Satz 2 BDSG: Ausdrückliche Einwilligung der betroffenen Person - im Beschäftigungsverhältnis grundsätzlich schriftlich oder elektronisch
- Betriebsarzt – Art. 9 Abs. 2 lit. h DSGVO i.V.m. § 22 Abs. 1 Nr. 1 lit. b BDSG: Verarbeitung zum Zweck der Gesundheitsvorsorge oder der Beurteilung der Arbeitsfähigkeit durch ärztliches Personal, das der Schweigepflicht unterliegt
- Arbeitgeber – Art. 9 Abs. 2 lit. b DSGVO i.V.m. § 26 Abs. 3 BDSG: Verarbeitung, soweit sie zur Erfüllung arbeitsrechtlicher Pflichten erforderlich ist und keine überwiegenden Interessen der Beschäftigten entgegenstehen
Für Unternehmen bedeutet das: Jede Verarbeitung von Gesundheitsdaten im Zusammenhang mit dem Betriebsarzt muss auf einer klaren Rechtsgrundlage basieren – und diese muss dokumentiert sein.
Was regelt die ArbMedVV – und was darf der Arbeitgeber erfahren?
Die Arbeitsmedizinische Vorsorgeverordnung (ArbMedVV) legt fest, welche Vorsorgeuntersuchungen für welche Tätigkeiten verpflichtend sind, welche angeboten werden müssen und welche auf Wunsch des Beschäftigten stattfinden. Sie definiert damit auch, was der Arbeitgeber im Ergebnis erfahren darf – und was nicht.
Die drei Vorsorgetypen und ihre Compliance-Relevanz
Wichtig: Diagnosen, Befunde oder Krankheitsbilder darf der Betriebsarzt dem Arbeitgeber ohne Einwilligung der betroffenen Personmitteilen – unabhängig vom Vorsorgetyp. Ergeben sich Anhaltspunkte dafür, dass die Maßnahmen des Arbeitsschutzes nicht ausreichen, teilt der Betriebsarzt dies dem Arbeitgeber mit und schlägt Schutzmaßnahmen vor (§ 6 Abs. 4 Satz 2 ArbMedVV) – ohne Befunde zu nennen. Hält er aus Gründen, die ausschließlich in der Person des Beschäftigten liegen, einen Tätigkeitswechsel für erforderlich, darf er dies dem Arbeitgeber nur mit Einwilligung des Beschäftigten mitteilen (§ 6 Abs. 4 Satz 3 ArbMedVV).
Eignungsuntersuchungen: Was Arbeitgeber wissen dürfen
Bei Eignungsuntersuchungen – die z. T. gesetzlich vorgeschrieben oder durch die Fürsorgepflicht des Arbeitgebers begründet sind – ist das Ergebnis auf eine einzige Aussage beschränkt:
- ✅ Geeignet
- ⚠️ Eingeschränkt geeignet (ggf. mit Auflagen)
- ❌ Nicht geeignet
Weitere Informationen darf der Arbeitgeber nur erhalten, wenn der Beschäftigte dem ausdrücklich zugestimmt hat. Eine pauschale Schweigepflichtentbindung im Arbeitsvertrag ist rechtlich nicht zulässig – nur eine auf den Einzelfall bezogene Entbindung durch den Arbeitnehmer ist wirksam.
Ausnahmen von der Schweigepflicht: Wann darf der Betriebsarzt Informationen weitergeben?
Für den Betriebsarzt gelten grundsätzlich dieselben Ausnahmen von der Schweigepflicht wie für jeden Arzt; hinzu kommen Besonderheiten aus seiner arbeitsmedizinischen Funktion. Eine Offenbarung ist insbesondere zulässig oder geboten, wenn:… er den begründeten Verdacht auf eine Berufskrankheit hat. In diesem Fall muss er es dem Unfallversicherungsträger mitteilen – nicht dem Arbeitgeber:
- … er den begründeten Verdacht auf eine Berufskrankheit hat. In diesem Fall muss er es dem Unfallversicherungsträger mitteilen – nicht dem Arbeitgeber.
- … der Arbeitnehmer unter einer meldepflichtigen Krankheit leidet. Dann darf und muss er diese Information wie jeder Arzt an das Gesundheitsamt weiterleiten.
- … eine Gefahr für Leib und Leben Dritter am Arbeitsplatz die Geheimhaltungsinteressen des Arbeitnehmers überwiegt.
- … er von einer geplanten Straftat erfährt, welche die Gesundheit oder das Leben Dritter gefährdet.
Darf der Arbeitgeber den Impfstatus abfragen?
Der Impfstatus gilt als Gesundheitsdatum und ist damit nach Art. 9 Abs. 1 DSGVO besonders geschützt. Eine Abfrage durch den Arbeitgeber ist nur unter engen Voraussetzungen zulässig:
- Im Beschäftigungsverhältnis erlaubt § 26 Abs. 3 BDSG i.V.m. Art. 9 Abs. 2 lit. b DSGVO die Verarbeitung von Gesundheitsdaten durch den Arbeitgeber nur, soweit dies zur Erfüllung arbeitsrechtlicher Pflichten erforderlich ist und keine überwiegenden Interessen der Beschäftigten entgegenstehen. Ein allgemeines Interesse an Gesundheitsschutz oder Betriebsfrieden genügt dafür nicht; eine darüber hinausgehende Abfrage des Impfstatus bedarf einer gesonderten gesetzlichen Grundlage.
- Nur in bestimmten Einrichtungen ist die Abfrage zulässig, wenn dies gesetzlich vorgesehen ist: In Einrichtungen nach § 23 Abs. 3 IfSG (z. B. Krankenhäuser, Arzt- und Zahnarztpraxen, Rettungsdienste) dürfen Arbeitgeber den Impf- und Serostatus nach § 23a IfSG verarbeiten, um über die Begründung eines Beschäftigungsverhältnisses oder die Art und Weise der Beschäftigung zu entscheiden. Eine entsprechende Befugnis besteht für Einrichtungen und Unternehmen der Pflege und Eingliederungshilfe (§ 35 Abs. 2 IfSG). Zudem müssen nach 1970 geborene Beschäftigte in Gemeinschaftseinrichtungen wie Kitas und Schulen sowie in Einrichtungen nach § 23 Abs. 3 Satz 1 IfSG ihren Masernschutz nachweisen (§ 20 Abs. 8 ff. IfSG, eingeführt durch das Masernschutzgesetz).
- In allen anderen Branchen ist eine pauschale Abfrage des Impfstatus regelmäßig unzulässig.
Proliance Compliance-Hinweis für Unternehmen: Wer den Impfstatus ohne Rechtsgrundlage erhebt oder speichert, riskiert Bußgelder nach Art. 83 DSGVO. Die Rechtsgrundlage muss vor der Abfrage geprüft und dokumentiert sein.
Was müssen Unternehmen datenschutzrechtlich beim Betriebsarzt beachten?
Externer Betriebsarzt: Kein Auftragsverarbeiter – aber trotzdem Compliance-relevant
Ein häufiger Irrtum: Die Beauftragung eines externen Betriebsarztes stellt keine Auftragsverarbeitung nach Art. 28 DSGVO dar. Der externe Betriebsarzt ist ein eigenständiger Verantwortlicher, da er fachlich weisungsfrei handelt Ein AV-Vertrag ist daher nicht erforderlich und wäre eine unzutreffende Rolleneinordnung.
Compliance-Konsequenzen:
- Die Akten des Betriebsarztes sind keine Unterlagen des Arbeitgebers und gehören nicht zur Personalakte.
- Bei einem Arztwechsel müssen die Unterlagen sicher übergeben werden – ohne Einsichtsmöglichkeit des Arbeitgebers.
- Auch der neue Betriebsarzt darf Akten des Vorgängers nur mit Einwilligung des Betroffenen einsehen.
Verarbeitungsverzeichnis und TOMs: Was Unternehmen dokumentieren müssen
Auch wenn der Betriebsarzt eigenständiger Verantwortlicher ist, entstehen auf Unternehmensseite eigene Verarbeitungstätigkeiten – etwa die Übermittlung von Beschäftigtendaten zur Terminorganisation oder die Entgegennahme von Vorsorgebescheinigungen. Diese müssen im Verzeichnis der Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO dokumentiert werden. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten greift dabei nicht, da Gesundheitsdaten verarbeitet werden.
Zudem sind angemessene technische und organisatorische Maßnahmen (TOMs) sicherzustellen – insbesondere beim Umgang mit Vorsorgebescheinigungen, da bereits der Vorsorgeanlass Rückschlüsse auf den Gesundheitszustand zulassen kann.
Datenschutzbeauftragten und ggf. DSFA einbeziehen
Bei der Einführung oder Umgestaltung betriebsärztlicher Prozesse sollte der Datenschutzbeauftragte frühzeitig eingebunden werden. Er berät das Unternehmen bei der Prüfung, ob eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich ist – etwa wenn Gesundheitsdaten in größerem Umfang verarbeitet werden – und welche Rechtsgrundlagen greifen.
Wenn der Betriebsarzt nicht Ihre einzige Datenschutzherausforderung ist und Zeit und Ressourcen knapp sind, nimmt ein externer Datenschutzprofi Ihnen Arbeit ab.
Betriebsarzt und die elektronische Patientenakte (ePA): geltende Rechtslage und geplante Änderungen
Hinweis zum Rechtsstand: Die nachfolgenden Informationen entsprechen dem Stand Oktober 2026. Das Bundeskabinett hat den Entwurf eines Gesetzes für Daten und digitale Innovation im Gesundheitswesen (GeDIG) am 15. Juli 2026 beschlossen; das parlamentarische Verfahren ist noch nicht abgeschlossen. Compliance-Verantwortliche sollten die weitere Entwicklung aktiv beobachten.
Geltende Rechtslage: Betriebsärzte gehören zu den Zugriffsberechtigten der elektronischen Patientenakte (ePA). Der Zugriff setzt derzeit die Einwilligung der Beschäftigten voraus (Opt-in-Regelung, § 339 Abs. 1a SGB V) und ist zeitlich eng befristet. Eigene Einträge waren bislang auf die Dokumentation von Impfungen beschränkt.
Geplante Änderungen (GeDIG): Der von der Bundesregierung beschlossene Gesetzentwurf soll die Dokumentationsbefugnisse der Betriebsärzte in der ePA auf Erkenntnisse aus der arbeitsmedizinischen Vorsorge erweitern. Ob das Einwilligungserfordernisdurch ein Widerspruchsmodell (Opt-out) ersetzt wird, ist Gegenstand der politischen Diskussion: Die Begründung des Referentenentwurfs kündigte eine Streichung an, der Gesetzestext selbst hält nach Auswertung der Fachgesellschaften jedoch am Einwilligungsvorbehalt für Betriebsärzte fest. Die arbeitsmedizinischen Fachgesellschaften fordern eine Umstellung auf Opt-out, Datenschützer und Psychotherapeutenverbände lehnen sie ab. Ob und in welcher Form diese Neuregelung in Kraft tritt, ist zum Zeitpunkt der Veröffentlichung dieses Beitrags noch offen.
Unabhängig vom Zugriffsmodell gelten folgende datenschutzrechtliche Grundsätze unverändert (Quelle: vertinex.de):
- Schweigepflicht bleibt unverändert: Erkenntnisse aus der ePA dürfen nicht an den Arbeitgeber weitergegeben werden.
- Zweckbindung: ePA-Daten dürfen ausschließlich für die arbeitsmedizinische Vorsorge genutzt werden – nicht für Eignungsbeurteilungen, die keine Vorsorge sind.
- Datensparsamkeit: Nur die für die konkrete Vorsorge relevanten Daten dürfen abgerufen werden.
- Dokumentationspflichten bleiben bestehen: Die ePA ersetzt weder die Vorsorgebescheinigung noch die Vorsorgekartei.
Sie sine Betriebsarzt und suchen noch eine Möglichkeit, Datenschutz endlich einfach zu erledigen? Proliance unterstützt Sie bei Ihren Compliance-Aufgaben.
Fazit: Datenschutz-Compliance beim Betriebsarzt – die Checkliste für Unternehmen
Datenschutz-Compliance beim Betriebsarzt ist kein Selbstläufer – aber mit den richtigen Prozessen und einer klaren Dokumentation gut handhabbar. Wenn Sie sicherstellen möchten, dass Ihre betriebsärztlichen Abläufe DSGVO-konform gestaltet sind, unterstützen unsere über 50 zertifizierten Compliance-Expert:innen Sie gerne – pragmatisch und ohne unnötigen Aufwand.
Sie haben noch Fragen? Wir haben die Antworten
Nein. Ein externer Betriebsarzt gilt datenschutzrechtlich als eigenständiger Verantwortlicher – nicht als Auftragsverarbeiter nach Art. 28 DSGVO. Ein AV-Vertrag ist nicht erforderlich. Dennoch müssen Unternehmen eigene Verarbeitungstätigkeiten im Zusammenhang mit dem Betriebsarzt im Verarbeitungsverzeichnis (VVT) dokumentieren.
Unternehmen müssen eigene Verarbeitungstätigkeiten im VVT nach Art. 30 DSGVO erfassen, angemessene TOMs sicherstellen und den Datenschutzbeauftragten einbinden. Bei umfangreicher Verarbeitung von Gesundheitsdaten kann zudem eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich sein.
Als eigenständiger Verantwortlicher nach DSGVO muss der Betriebsarzt ein eigenes Verarbeitungsverzeichnis (VVT) führen, angemessene TOMs sicherstellen und die Schweigepflicht nach § 203 StGB einhalten. Für Arztpraxen und medizinische Einrichtungen bietet Proliance spezialisierte Datenschutz-Beratung und -Software.
Nur in gesetzlich geregelten Ausnahmefällen – etwa in Gesundheitseinrichtungen nach § 23 Abs. 3 IfSG auf Grundlage von § 23a IfSG oder in Gemeinschaftseinrichtungen (Kitas, Schulen) sowie bestimmten Gesundheits- und Pflegeeinrichtungen nach § 20 Abs. 8 ff. IfSG (Masernschutzgesetz). Der Impfstatus gilt als Gesundheitsdatum nach Art. 9 DSGVO und ist besonders geschützt. Eine pauschale Abfrage ohne Rechtsgrundlage ist datenschutzwidrig und kann Bußgelder nach Art. 83 DSGVO nach sich ziehen. Die Rechtsgrundlage muss vorab geprüft und dokumentiert sein.
Sie haben noch Fragen? Lassen Sie sich jetzt kostenlos von unseren Compliance Expert:innen beraten.
Zu unseren mehr als 3.000 Kunden zählen Start-ups, mittlere Unternehmen und Unternehmensgruppen aus nahezu allen Branchen.
