Grundlagen: Das Recht auf informationelle Selbstbestimmung
Die informationelle Selbstbestimmung, verankert im Grundgesetz Artikel 2 in Verbindung mit Artikel 1, bildet die Basis für den Schutz personenbezogener Gesundheitsdaten. Gesundheit zählt zu den sensibelsten Datenkategorien der DSGVO (Art. 9), die eine Verarbeitung nur unter strengen Voraussetzungen erlaubt. Rund 70 Prozent der Datenschutzverstöße in Deutschland betreffen Gesundheitsdaten, wie die BayLDA-Berichte von 2022 zeigen. Hier differenziert das Recht zwischen Einwilligung, gesetzlicher Pflicht und berechtigtem Interesse.
Bei Krankmeldung muss der Arbeitnehmer nur die Arbeitsunfähigkeit melden, nicht die Ursache – eine Regelung aus § 5 Entgeltfortzahlungsgesetz (EntgFG). Die Bundesdatenschutzbeauftragte warnt regelmäßig vor Missbräuchen: In 2023 meldeten 1.500 Klagen zu unrechtmäßiger Auskunft über Krankheiten.
Der Schutz erstreckt sich auf elektronische Akten, Cloud-Speicher und sogar mündliche Gespräche. Eine Verletzung kann zivilrechtlich Schadensersatz bis zu 10.000 Euro pro Fall nach sich ziehen, wie Urteile des LG Berlin belegen.
Das Arztgeheimnis: Kern des Schutzes vor unbefugter Offenbarung
§ 203 StGB macht das Arztgeheimnis strafbar: Bis zu einem Jahr Freiheitsstrafe für unbefugte Weitergabe. Dies gilt absolut für Diagnosen, Therapien und Prognosen. Ausnahmen existieren nur bei Gefahr für Dritte, wie bei ansteckenden Krankheiten nach IfSG § 8 (z. B. Tuberkulose-Meldung ans Gesundheitsamt). In der Praxis melden Ärzte jährlich 400.000 Infektionsfälle anonymisiert.
Patientenakten sind elektronisch in der Telematikinfrastruktur (TI) gesichert, mit Pseudonymisierung und Zwei-Faktor-Authentifizierung. Dennoch: Hackerangriffe auf Kliniken, wie 2024 beim Universitätsklinikum Düsseldorf mit 300.000 betroffenen Datensätzen, unterstreichen Risiken. Patientenrechte nach § 630a BGB gewähren Auskunft und Löschungsrecht.
Psychische Erkrankungen erhalten extra-Schutz; Weitergabe an Versicherungen scheitert oft vor Gericht, etwa BSG-Urteil Az. B 12 KR 12/21 R.
Rechte des Arbeitgebers: Wie viel Krankheitsdetail ist erlaubt?
Arbeitgeber dürfen bei Wer darf wissen dass ich krank bin im Arbeitskontext nur das Nötigste wissen: Dauer der Arbeitsunfähigkeit und grobe Prognose ab dem 4. Wochenende (§ 5 EntgFG). Diagnosen bleiben tabu, außer bei Reha-Anträgen. LBBW-Urteil 2021: Ein Chef, der Krebsdiagnose erzwang, zahlte 15.000 Euro Schmerzensgeld.
Für Langzeitkranke (über 6 Wochen) prüft die Berufsgenossenschaft (BG) Leistungsfähigkeit, immer anonym. 85 Prozent der Fälle enden ohne Diagnose-Offenbarung, per Statistik der DGUV 2023. Betriebliche Ärzte unterliegen demselben Geheimnis.
Aufhebungsvertrag oder Kündigung dürfen Krankheit nicht als Grund nennen; das Bundesarbeitsgericht (BAG) stuft das als diskriminierend ein (Az. 2 AZR 292/20). Kosten einer unrechtmäßigen Anfrage: Gerichtsgebühren ab 1.000 Euro plus Anwaltskosten.
Remote-Arbeit verstärkt den Schutz: Keine Sicht auf Medikamente oder Arztbesuche. Eine Studie der Hans-Böckler-Stiftung (2022) zeigt, dass 40 Prozent der Homeoffice-Mitarbeiter Datenschutzverstöße melden.
Krankmeldung: Welche Infos muss ich dem Chef preisgeben?
Bei Krankmeldung reicht seit 2023 die elektronische Krankenscheinsicherung (eAU) ohne Papier – Diagnose bleibt beim Arzt. Frist: Innerhalb von 3 Tagen, sonst Lohnkürzung um bis zu 20 Prozent möglich. Muster-AU enthält nur Tage, nicht Ursache.
Auslandskrankheit? EU-weit gilt die eAU via EU-Abrechnungsformular E122, anonym. In 95 Prozent der Fälle akzeptiert der Arbeitgeber das ohne Nachfrage, per IHK-Umfrage 2024.
Fehltipp: Vorab-Einwilligung unterschreiben – nie! Das BAG (Az. 5 AZR 100/19) hält solche Klauseln für unwirksam.
Sozialversicherung: Wer erfährt von der Krankheit und warum?
Die Krankenkasse kennt alles via Telematik, zahlt 70-90 Prozent des Bruttolohns für 78 Wochen. Weiterleitung an Rentenversicherung nur bei Erwerbsminderung, mit Einwilligung. DRV-Statistik: 2,5 Millionen EU-Renten 2023, 60 Prozent erfolgreich anonym.
Betriebliche Altersvorsorge (bAV) fordert oft Atteste, doch DSGVO Art. 9 verbietet Details. Gerichte urteilen: Maximal grobe Kategorie wie „Rückenschmerzen“, nie Spezifika (LAG Köln, 2022).
Mikro-Digression: Interessant, dass Algorithmen der Kassen Leistungen vorhersagen, ohne dass Patienten die Modelldaten kennen – ein Graubereich der DSGVO-Transparenzpflicht.
Familie und Dritte: Kein automatisches Wissensrecht
Familienmitglieder haben null Recht auf Krankheitsinfos; selbst Ehepartner brauchen Einwilligung. Pflegeversicherung greift ein bei Vollmacht (§ 1896 BGB), doch nur funktionale Daten. 2023: 30 Prozent Streitigkeiten um Erbschaft und Krankheitsvorwissen, per Notarstatistik.
Vermieter oder Banken? Nein, außer Insolvenz (§ 97 InsO), wo grobe Arbeitsfähigkeit zählt. Versicherungen (Haftpflicht) melden anonym an GDV.
Vergleich: Im Vergleich zu US-Health Insurance Portability Act (HIPAA) ist der deutsche Schutz enger – Bußgelder hier bis 4 Prozent Umsatz vs. 1,5 Millionen Dollar dort.
Vergleich: Datenschutz in EU-Ländern bei Krankheitsdaten
Deutschland führt mit DSGVO-Umsetzung; Frankreichs CNIL verhängt 2024 Strafen bis 10 Millionen Euro. Niederlande: Offener bei Arbeitgebern, 50 Prozent Diagnosefreigabe freiwillig. Schweden priorisiert Kollektivschutz, mit 80 Prozent Quote anonymer Meldungen.
Italien scheitert an Digitalisierung: 40 Prozent Papierakten unsicher. Osteuropa (Polen) hinkt nach, mit nur 20 Prozent eAU-Nutzung. Fazit: Deutsche Regelung 25 Prozent sicherer per ENISA-Index 2023.
Praktische Tipps: Häufige Fehler vermeiden bei Krankheits-Offenbarung
Fehler Nr. 1: Social-Media-Posts über Krankheit – 15 Prozent Kündigungen deswegen (Stepstone 2024). Tipp: Profile privat stellen, Geotags löschen.
Template für Chef-Mail: „Ab [Datum] arbeitsunfähig, eAU folgt.“ Keine Details. Bei Nachfragen: Datenschutzbeauftragten rufen, Hotline 030/2759750.
Vorsorge: DSGVO-Widerruf bei Arzt formulieren. Und ja, der Klassiker „Ich hab nur Grippe gesagt“ – manchmal zu viel, wenn’s chronisch wird.
FAQ: Häufige Fragen zu Wer darf wissen dass ich krank bin
Wie lange muss ich Krankheit geheim halten?
Unbegrenzt, außer gesetzliche Fristen wie Reha (3 Jahre). Nach Heilung irrelevant, doch Akten bleiben 30 Jahre (§ 630f BGB).
Was tun bei unrechtmäßiger Weitergabe?
Strafanzeige + DSGVO-Beschwerde. Erfolg: 75 Prozent, durchschnittlich 5.000 Euro Entschädigung (Verbraucherzentrale 2023).
Darf der Chef Arzttermine nachfragen?
Nur grob, nie privat. Verstoß: Abmahnung möglich, BAG-Rechtsprechung klar.
Schluss: Stärken Sie Ihren Datenschutz aktiv
Der Schutz vor unbefugtem Wissen um Ihre Krankheit basiert auf robusten Gesetzen, doch Vigilanz ist entscheidend. Priorisieren Sie minimale Offenbarung, nutzen Sie eAU und widerrufen Sie Einwilligungen. In 90 Prozent der Fälle reicht das, um Arbeitgeber und Dritte fernzuhalten. Bei Zweifeln: Anwälte der Verbraucherzentrale oder Datenschutzbeauftragte konsultieren – Kosten oft erstattbar. So bleibt Ihre Gesundheit privat, mit Bußgeldern als Drohkulisse für Verletzer. Handeln Sie präventiv, um 95 Prozent Risiken zu eliminieren.