Jeden Datenfluss vor der Freigabe begründen
Für jede Schnittstelle werden Zweck, Rechtsgrundlage, Datenumfang, Empfänger und Schutzmaßnahmen festgelegt. Bei Gesundheitsdaten ist neben der allgemeinen Rechtmäßigkeit ein einschlägiger Erlaubnistatbestand für die besondere Datenkategorie erforderlich. Die organisatorische Nähe zwischen Betriebsarzt, HR und FM schafft keine automatische Zugriffsberechtigung. Auch die Datenschutzfunktion erhält nicht routinemäßig medizinische Akten zur allgemeinen Qualitätskontrolle. Ein sinnvoller Ausgangspunkt ist ein Datenflussregister: Welche Information wird für welche Entscheidung benötigt, welche Stelle darf sie erhalten und wie wird verhindert, dass dabei zusätzliche persönliche Angaben mitübertragen werden?
Gesundheitsdaten an Schnittstellen sicher steuern
Die bestehende Service-Desk-Rolle beibehalten
Die medizinische Administration bearbeitet medizinische Termine; der allgemeine FM-Service-Desk unterstützt Infrastruktur und Orientierung. Diese auf der vorhandenen Fachseite beschriebene Trennung bleibt erhalten. Er erfragt keine Anamnese und bewertet nicht individuell, welche Vorsorge erforderlich ist. Die ärztliche Schweigepflicht schützt medizinische Informationen auch innerhalb des Unternehmens. Im Datenflussmodell werden Rückmeldungen daher auf den tatsächlich notwendigen Inhalt beschränkt. Eine Mitteilung an den Arbeitgeber wird nicht automatisch an sämtliche Führungskräfte, HSE-Mitarbeitenden oder Techniker weitergeleitet. Empfang, Vertretung und Verteilung erhalten ausdrücklich unterschiedliche Berechtigungen.
|
| Arbeitgeber → Betriebsarzt | Tätigkeit, Exposition, Gefährdungsbeurteilung | Beliebige Personalakteninhalte |
| Betriebsarzt → berechtigte Administration | Vorsorgebescheinigung im gesetzlichen Umfang | Diagnosen, Laborwerte oder Eignungsampel |
| Zuständige Stelle → FM | Begründeter funktionaler Maßnahmenauftrag | Arztbrief oder Krankengeschichte |
| FM-Service-Desk → Anfragende | Kontakt- und Infrastrukturinformation | Individuelle medizinische Bewertung |
| Fachverantwortliche → Management | Geeignet verdichtete Prozess- und Maßnahmenstände | Reidentifizierbare Gesundheitsprofile |
Arbeitsplatzanpassung ohne Diagnose im Ticket beauftragen
Eine arbeitsmedizinische Beratung kann zu einem Hinweis auf ungeeignete Arbeitsbedingungen führen. Bei allgemeinen Schutzdefiziten informiert die ärztliche Seite den Arbeitgeber und schlägt Maßnahmen vor; ein ausschließlich personenbezogen medizinisch begründeter Tätigkeitswechsel unterliegt der besonderen Einwilligungsregel. Für FM wird anschließend beispielsweise ein überprüfbarer Auftrag zur Anpassung eines Arbeitsplatzes erstellt. Das Ticket enthält Standort, vereinbarte funktionale Anforderung und Abnahmekriterium, nicht den medizinischen Beratungsverlauf. Auch die funktionale Anforderung kann sensibel sein. Personenbezug, Empfängerkreis und Sichtbarkeit werden deshalb auf das Notwendige begrenzt, statt lediglich die Diagnose durch einen anderslautenden Freitext zu ersetzen.
Zugriff und Kommunikation praktisch absichern
Geeignete Schutzmaßnahmen müssen dem Verarbeitungsrisiko entsprechen. Artikel 32 DSGVO verlangt neben Vertraulichkeit auch Integrität, Verfügbarkeit und die Überprüfung der Wirksamkeit. Für das Praxisdesign kommen getrennte Berechtigungsgruppen, geschützte Übertragungswege, reduzierte Benachrichtigungstexte und kontrollierte Exporte in Betracht. Öffentliche Kalender, ungeschützte Verteiler und Anhänge in allgemeinen Tickets sind ungeeignete Standardwege für medizinische Unterlagen. IT-Administration wird auf notwendige Tätigkeiten begrenzt und nachvollziehbar kontrolliert. Vor Inbetriebnahme werden Testdatensätze verwendet, damit Berechtigungsprüfungen nicht selbst zu einer unnötigen Offenlegung echter Gesundheitsdaten führen. Auch mobile Zugriffe und Vertretungsrechte sind Teil des Tests.
Maßnahmen statt Gesundheitsprofile berichten
Für das Management empfiehlt sich eine Auswertung von Versorgungslücken, Bearbeitungsständen und umgesetzten Schutzmaßnahmen. Personenbezogene Diagnoselisten werden dafür nicht benötigt. Auch zusammengefasste Werte sind vor Veröffentlichung auf Rückschlussmöglichkeiten zu prüfen; eine kleine Gruppe wird nicht allein durch Entfernen der Namen anonym. Praktisch sollten Berichte daher auf geeignete Fallzahlen und Merkmalskombinationen begrenzt werden. Der allgemeine Servicezugang bleibt unter FM Service Desks beschrieben. Der Nutzen besteht in wirksamer Zusammenarbeit ohne Informationsüberschuss: Die richtige Stelle kann handeln, während Beschäftigte nicht durch betriebliche Routinedaten unfreiwillig medizinisch charakterisiert werden.
