Gesundheitsdaten und DSGVO im Kollegen-Chat: Wenn die Diagnose zur „Info für alle“ wird

An einem Klinikum existierte die WhatsApp-Gruppe „Ärzte-AC“ mit neun Mitgliedern aus der Abteilung Allgemeinchirurgie. Neben privaten Themen wurden dort vor allem Urlaubsplanung, Krankmeldungen und Dienstübernahmen organisiert. Die Gruppe war damit Teil der betrieblichen Kommunikation.

Als sich ein Arzt in Weiterbildung nach einer internistischen Untersuchung in der Notaufnahme für seinen Wochenenddienst krankmeldete, musste die zuständige Stationsärztin kurzfristig einspringen. Verärgert über den geplatzten Wochenendausflug postete sie zwei Tage später eine ausführliche Nachricht in der Gruppe. Sie schilderte nicht nur ihren Ärger, sondern teilte auch die Laborwerte und Diagnosen ihres Kollegen mit, unter anderem eine Fettleber bei Adipositas, und mutmaßte süffisant, ob überhaupt eine echte Erkrankung vorliege.

Der betroffene Kollege verlangte Unterlassung weiterer Datenweitergaben sowie Schadensersatz. Im Herbst 2025 kündigte er sein Arbeitsverhältnis. Der Vorfall sei mitursächlich gewesen.

Auch die Frage der datenschutzrechtlichen Verantwortlichkeit hat das Gericht sauber herausgearbeitet. Im Beschäftigtendatenschutz gilt der Grundsatz, dass Mitarbeitende, die im Rahmen ihrer Tätigkeit Daten verarbeiten, nicht selbst Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO sind. Das ist regelmäßig die Arbeitgeberin.

Wer aber die dienstliche Organisation nur zum Anlass nimmt, um sensible Gesundheitsdaten aus Neugier oder zur Bloßstellung eines Kollegen weiterzugeben, verfolgt eigene Zwecke und handelt außerhalb des zugewiesenen Aufgabenbereichs. In diesem sogenannten Exzess wird die handelnde Person selbst Verantwortliche und haftet persönlich. Das Gericht stellte fest, dass die Weitergabe der medizinischen Details weder erforderlich noch sinnvoll war. Die Formulierung „nur zu jedermanns Info“ belege den eigenen Zweck.

Für Mitarbeitende bedeutet das eine klare Konsequenz. Wer dienstliche Kanäle nutzt, um persönliche Informationen über Kolleginnen und Kollegen zu verbreiten, haftet dafür im Zweifel selbst, unabhängig davon, ob die Arbeitgeberin davon weiß oder es gebilligt hat.

Für den DSGVO-Schadensersatz nach Art. 82 DSGVO ließ das Gericht den Verlust der Kontrolle über die eigenen Gesundheitsdaten genügen. Die Weitergabe an sieben nicht berechtigte Dritte reichte aus, ein zusätzlicher Nachweis spürbarer negativer Folgen war nicht erforderlich. Hinzu kam die Herabsetzung im Kollegenkreis durch die Unterstellung, der Kläger sei nicht wirklich arbeitsunfähig.

Immaterieller Schadensersatz, DSGVO und Bemessung: Bei der Festsetzung der 1.000 Euro wirkten sich zwei Gesichtspunkte gegenläufig aus.

• Erhöhend die besondere Sensibilität von Diagnosen und Laborwerten sowie die glaubhaft geschilderte Belastung, die zur Kündigung beitrug.
• Mildernd der überschaubare Empfängerkreis von sieben Personen und der Umstand, dass keine vollständigen Krankenunterlagen, sondern einzelne Informationen weitergegeben wurden.

Die Entscheidung liegt damit auf der Linie der jüngeren Rechtsprechung. Nicht jeder Verstoß führt automatisch zu Schadensersatz, aber der Kontrollverlust über besonders sensible Daten kann für sich genommen einen ersatzfähigen Schaden darstellen.

Bemerkenswert ist die Begründung zum Unterlassungsanspruch. Obwohl der Kläger die Klinik und die Chatgruppe verlassen hatte, bejahte das Gericht die erforderliche Wiederholungsgefahr, unter anderem weil die Beklagte weiterhin als Ärztin in dem Krankenhaus tätig ist und den Kläger dort erneut behandeln könnte. Ausschlaggebend war zudem, dass sie im Prozess uneinsichtig blieb und ihr Verhalten weiterhin für rechtmäßig hielt.

Für die Praxis ist das ein deutliches Signal. Fehlende Einsicht nach einem Datenschutzvorfall verschlechtert die eigene Position erheblich, und ein Unterlassungsanspruch kann auch dann bestehen, wenn die konkrete Konstellation gar nicht mehr existiert.

Der Fall lenkt den Blick auf eine Frage, die im Arbeitsalltag ständig auftaucht. Welche Gesundheitsdaten darf der Arbeitgeber überhaupt kennen? Der Grundsatz ist klar. Für die Krankmeldung genügt die Information über die Arbeitsunfähigkeit und deren voraussichtliche Dauer. Diagnosen, Befunde und Laborwerte gehören nicht dazu. Bei Krankmeldung, Datenschutz und Dienstplanung gilt deshalb, dass die Aussage „nicht verfügbar“ ausreicht und der medizinische Grund nichts zur Sache tut.

Wo Gesundheitsdaten und Arbeitgeber unvermeidlich zusammenkommen, etwa im betrieblichen Eingliederungsmanagement, bei arbeitsmedizinischen Untersuchungen oder im betrieblichen Gesundheitsmanagement, braucht es klar getrennte Zuständigkeiten, eine Rechtsgrundlage und einen engen Empfängerkreis. Ein offener Gruppenchat erfüllt keine dieser Anforderungen.

Datenschutz, Krankenhaus und Mitarbeiter sind eine besonders sensible Kombination. Im Klinikalltag stoßen Beschäftigte täglich auf Gesundheitsdaten, und gerade dort ist die informelle Kommunikation per Messenger weit verbreitet, weil sie schnell und praktisch ist. Sechs Punkte lohnen den Blick.

• Verbindlich regeln, über welche Kanäle dienstliche Informationen ausgetauscht werden dürfen und welche Inhalte dort nichts zu suchen haben.
• Abwesenheiten und Vertretungen über ein System oder eine zuständige Stelle organisieren, nicht über offene Gruppen.
• Keine Diagnosen in Verteilern. Klarstellen, dass Diagnosen, Laborwerte und Behandlungsinformationen ausschließlich zwischen den fachlich zuständigen Personen ausgetauscht werden.
• Schulung und Sensibilisierung. Den Fall als Schulungsbeispiel nutzen, denn er ist anschaulich und macht die persönliche Haftung greifbar.
• Definieren, wie ein Vorfall intern gemeldet wird und wer die Bewertung nach Art. 33 und 34 DSGVO vornimmt.
• Richtlinien, Schulungsnachweise und die Reaktion auf Vorfälle dokumentieren, denn im Streitfall ist das der Nachweis organisatorischer Sorgfalt.

Wer erfährt, dass eigene Gesundheitsdaten unbefugt weitergegeben wurden, kann Unterlassung verlangen und bei entsprechender Beeinträchtigung immateriellen Schadensersatz nach der DSGVO fordern. Sinnvoll ist, den Vorfall zu dokumentieren, etwa durch Screenshots mit Zeitstempel und Angabe des Empfängerkreises, und das Thema gegenüber der Arbeitgeberin oder dem Datenschutzbeauftragten anzusprechen. Zusätzlich besteht die Möglichkeit einer Beschwerde bei der zuständigen Aufsichtsbehörde nach Art. 77 DSGVO.

Das Urteil ist noch nicht rechtskräftig. Ob die Beklagte Berufung beim Landesarbeitsgericht Köln einlegt, bleibt abzuwarten. Die Botschaft für die Praxis ist davon unabhängig. Gesundheitsdaten gehören nicht in Kollegenchats. Für Organisationen im Gesundheitswesen lohnt es sich, informelle Kommunikationswege nicht dem Zufall zu überlassen, sondern klar zu regeln, zu schulen und zu dokumentieren.