Abschluss betrieblicher Krankenversicherungen durch den Arbeitgeber

Frage: Wir wollen alle Mitarbeiter unseres Unternehmens im Rahmen einer betrieblichen Krankenversicherung absichern. Zu diesem Zweck müsste unsere Personalabteilung die personenbezogenen Daten unserer Mitarbeiter (Name, Vorname, Geburtsdatum, Privatanschrift) an das Versicherungsunternehmen übermitteln. Dieses Verfahren erklären wir in einer entsprechenden Betriebsvereinbarung. Die Anmeldung erledigt dann jeder einzelne Mitarbeiter auf privater Ebene.

Wäre es rechtlich zulässig, wenn wir als Arbeitgeber dem Versicherungsunternehmen die personenbezogenen Daten unserer Arbeitnehmer zur Durchführung des Versicherungsverhältnisses übermitteln?

Antwort: Personenbezogene Daten von Beschäftigten dürfen verarbeitet und genutzt werden, soweit die Verarbeitung und Nutzung für die Durchführung des Beschäftigungsverhältnisses erforderlich ist.

Dabei ist der Grundsatz der Datenminimierung des Art. 5 Abs. 1 lit. c DSGVO zu beachten, d. h., die Verarbeitung und Nutzung und damit auch Übermittlungen müssen sich auf das für die Durchführung des Beschäftigungsverhältnisses Notwendige beschränken.

Hier sollen wohl die Adressdaten an die Krankenversicherung übermittelt werden, um der Krankenversicherung die Möglichkeit zu geben, sich den Beschäftigten als Versicherung anzubieten bzw. den Beschäftigten die Versicherung bei dieser Krankenversicherung zu ermöglichen.

Dieses Vorhaben ist für die Durchführung des Beschäftigungsverhältnisses nicht erforderlich und die Datenübermittlung ist deshalb auch nicht zulässig. Die Krankenversicherung würde auf diesem Weg auch die Daten über alle Beschäftigten erhalten, die sich nicht bei dieser Krankenversicherung versichern wollen, und das ist unzulässig. Dieses unzulässige Verfahren lässt sich auch nicht mit einer Betriebsvereinbarung legalisieren.

Betriebsvereinbarungen dienen in erster Linie dazu, im Rahmen des grundsätzlich zulässigen die näheren Umstände der Verarbeitung zu regeln. Dabei sind die Auflagen des Art. 88 Abs. 2 DSGVO zur Wahrung der Interessen und Grundrechte der Beschäftigten zwingend zu beachten, und das ist durchaus anspruchsvoll. Keineswegs kann mit einer Betriebsvereinbarung neben den Grundsätzen und Vorschriften der DSGVO und des BDSG eine zusätzliche Rechtsgrundlage für eine an sich nicht erforderliche Verarbeitung von Personaldaten geschaffen werden. So kann z. B. mit einer Betriebsvereinbarung nicht bestimmt werden, dass Daten über Beschäftigte, die bei dieser Krankenversicherung überhaupt nicht versichert sein wollen, an diese Versicherung übermittelt werden. Dies ist z. B. auch bei einer Betriebskrankenkasse nicht anders, denn auch die Betriebskrankasse gehen Beschäftigte, die nicht bei ihr versichert sind, nichts an.

Im vorliegenden Fall ist die Übermittlung personenbezogener Daten der Mitarbeiter zumindest nicht belastbar begründet, weil der Zweck ja auch ohne Übermittlung erreicht werden kann.

Möglich wäre nämlich, den Beschäftigten innerbetrieblich nach dem Lettershop-Prinzip eine Information über die Möglichkeit der Versicherung bei diesem Krankenversicherungsunternehmen zukommen zu lassen. Die Beschäftigten können sich dann nach ihrer freien Entscheidung auf privatem Weg mit der Versicherung in Verbindung setzen.

Bei diesem Artikel handelt es sich um einen Beitrag aus der Rubrik „Fragen und Antworten zum Datenschutz“. In dieser stellt unsere Fachredaktion regelmäßig neue Fragen zum Thema Datenschutz und Datensicherheit zusammen.