2 Fragen zu Vorsorgekartei

Ja, ein Arbeitgeber kann das Führen der Vorsorgekartei grundsätzlich auf einen Mitarbeiter außerhalb der Personalabteilung übertragen. Es gibt keine gesetzliche Vorschrift, die vorschreibt, dass ausschließlich die Personalabteilung für die Führung der Vorsorgekartei zuständig ist. Entscheidend ist, dass die gesetzlichen Anforderungen, insbesondere aus dem Arbeitsschutzgesetz und der Datenschutz-Grundverordnung (DSGVO), eingehalten werden. Wichtig ist dabei: - **Vertraulichkeit und Datenschutz:** Die mit der Führung der Vorsorgekartei betraute Person muss zur Verschwiegenheit verpflichtet werden und die Daten müssen vor unbefugtem Zugriff geschützt sein. - **Zugriffsrechte:** Nur berechtigte Personen dürfen Zugriff auf die Vorsorgekartei haben. - **Sachkenntnis:** Die Person sollte über ausreichende Kenntnisse verfügen, um die Kartei ordnungsgemäß zu führen. Der Arbeitgeber bleibt jedoch weiterhin für die ordnungsgemäße Führung und den Schutz der Daten verantwortlich, auch wenn die Aufgabe delegiert wird. Weitere Informationen findest du z.B. beim [Bundesministerium für Arbeit und Soziales](https://www.bmas.de/DE/Arbeit/Arbeitsschutz/arbeitsmedizinische-vorsorge.html).

Die Übertragung des Führens der Vorsorgekartei (z. B. nach § 3 Abs. 3 ArbMedVV) auf die Fachkraft für Arbeitssicherheit (Sifa) einer anderen Konzerngesellschaft ist datenschutzrechtlich nur unter bestimmten Voraussetzungen zulässig. Maßgeblich sind hier insbesondere die Vorgaben der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG). **Wesentliche datenschutzrechtliche Voraussetzungen:** 1. **Rechtsgrundlage für die Datenverarbeitung:** Die Verarbeitung personenbezogener Daten (insbesondere Gesundheitsdaten) ist nur zulässig, wenn eine Rechtsgrundlage besteht. Für Gesundheitsdaten ist Art. 9 Abs. 2 DSGVO maßgeblich, insbesondere lit. h) (Verarbeitung für Zwecke der Arbeitsmedizin, der Beurteilung der Arbeitsfähigkeit des Beschäftigten usw.). 2. **Vertrag zur Auftragsverarbeitung oder gemeinsame Verantwortlichkeit:** Wird die Sifa einer anderen Konzerngesellschaft tätig, handelt es sich in der Regel um eine Auftragsverarbeitung nach Art. 28 DSGVO. Es muss ein entsprechender Vertrag zur Auftragsverarbeitung zwischen den Gesellschaften geschlossen werden. Alternativ kann – je nach Ausgestaltung – auch eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vorliegen, die eine Vereinbarung über die jeweiligen Verantwortlichkeiten erfordert. 3. **Wahrung des Berufsgeheimnisses und Vertraulichkeit:** Die Sifa muss zur Vertraulichkeit verpflichtet sein. Gesundheitsdaten sind besonders schützenswert, daher ist sicherzustellen, dass nur befugte Personen Zugriff auf die Vorsorgekartei haben. 4. **Zweckbindung und Datenminimierung:** Die Daten dürfen nur für den vorgesehenen Zweck (arbeitsmedizinische Vorsorge) verarbeitet werden. Es dürfen nur die dafür erforderlichen Daten übermittelt und verarbeitet werden. 5. **Informationspflichten gegenüber den Beschäftigten:** Die betroffenen Beschäftigten müssen nach Art. 13 DSGVO über die Übertragung und die damit verbundene Datenverarbeitung informiert werden. 6. **Technische und organisatorische Maßnahmen:** Es müssen angemessene technische und organisatorische Maßnahmen zum Schutz der Daten getroffen werden (Art. 32 DSGVO). 7. **Keine Übermittlung in Drittstaaten:** Die Übertragung darf nur innerhalb des Europäischen Wirtschaftsraums (EWR) erfolgen, sofern kein angemessenes Datenschutzniveau in einem Drittstaat nachgewiesen ist. **Fazit:** Die Übertragung ist zulässig, wenn eine geeignete Rechtsgrundlage besteht, die datenschutzrechtlichen Pflichten (insbesondere Auftragsverarbeitung oder gemeinsame Verantwortlichkeit, Vertraulichkeit, Informationspflichten und Schutzmaßnahmen) eingehalten werden und die Verarbeitung auf das notwendige Maß beschränkt bleibt. Weitere Informationen: - [Datenschutz-Grundverordnung (DSGVO)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679) - [Bundesdatenschutzgesetz (BDSG)](https://www.gesetze-im-internet.de/bdsg_2018/) Hinweis: Im Einzelfall sollte eine datenschutzrechtliche Prüfung durch den Datenschutzbeauftragten des Unternehmens erfolgen.