Wer darf eine Krankmeldung einsehen?

Wer darf eine Krankmeldung einsehen? Datenschutz-Überblick

Die Regelung, wer darf eine krankmeldung einsehen, berührt den sensiblen Bereich der Gesundheitsdaten am Arbeitsplatz. Unbefugte Blicke in Unterlagen gefährden die Privatsphäre der Beschäftigten und führen schnell zu Verstößen gegen den betrieblichen Datenschutz. Informieren Sie sich über die genauen Zuständigkeiten, um Ihre persönlichen Daten im Krankheitsfall wirksam zu schützen.

Wer darf eine Krankmeldung im Unternehmen wirklich einsehen?

Wer eine Krankmeldung einsehen darf, hängt stark von der jeweiligen Rolle und der betrieblichen Erforderlichkeit im Unternehmen ab. Grundsätzlich dürfen Krankmeldungen nur mit Einwilligung der betroffenen Person kommuniziert werden, während der direkte Zugriff auf die Arbeitsunfähigkeitsbescheinigung (AU) auf befugte Personen in der Personalabteilung und Entgeltabrechnung beschränkt bleibt.

Gesundheitsdaten unterliegen nach der Datenschutz-Grundverordnung (DSGVO) einem besonders strengen Schutz. Dass dieses Thema kein theoretisches Randproblem ist, zeigen die Zahlen: Arbeitnehmer in Deutschland waren im Jahr 2025 durchschnittlich 14,6 Arbeitstage krankgemeldet. Jede einzelne dieser Abwesenheiten löst einen sensiblen Datenprozess aus. Viele Betriebe unterschätzen das. Umso wichtiger ist es, dass Mitarbeiter regelmäßig Datenschutzschulungen durchlaufen, damit vertrauliche Informationen nicht versehentlich über den Flurfunk oder ungeschützte E-Mail-Verteiler im gesamten Team landen.

Zugriffsrechte im Detail: Personalabteilung, Vorgesetzte und Kollegen

Innerhalb eines Betriebs gelten strikte Abstufungen, wer welche Informationen über eine Arbeitsunfähigkeit erhalten darf. Nicht jeder im Management hat automatisch ein Recht auf Einsicht in die tatsächliche Bescheinigung.

Personalabteilung und Lohnbuchhaltung

Mitarbeiter der Personalabteilung sowie der Entgeltabrechnung sind die primären Empfänger der Arbeitsunfähigkeitsbescheinigung. Sie benötigen diese Daten zwingend, um die Lohnfortzahlung im Krankheitsfall korrekt zu berechnen und die Abwesenheitszeiten rechtssicher zu dokumentieren.

Selbst hier gilt aber das Prinzip der Datenminimierung. Auch wenn die elektronische Arbeitsunfähigkeitsbescheinigung (eAU) mittlerweile den papierhaften gelben Schein für gesetzlich Versicherte abgelöst hat, enthält der krankmeldung datenschutz wer darf das sehen Datensatz immer noch sensible Details. Neben dem Beginn und der voraussichtlichen Dauer der Arbeitsunfähigkeit ist dort vermerkt, ob es sich um eine Erst- oder Folgebescheinigung handelt oder ob ein Arbeitsunfall vorliegt. Eine Diagnose erfährt der Arbeitgeber hingegen nie.

Direkte Vorgesetzte und Teamleiter

Hier entsteht in der Praxis oft die größte Unsicherheit. Viele Führungskräfte glauben, sie müssten die Krankmeldung ihrer Teammitglieder persönlich kontrollieren und abzeichnen. Das stimmt so nicht.

Vorgesetzte müssen zwar wissen, dass ein Mitarbeiter ausfällt und wie lange die Abwesenheit voraussichtlich dauert, um den Arbeitsablauf zu organisieren. Die eigentliche Bescheinigung - auf der bei Privatversicherten oft noch der Name und die Fachrichtung des behandelnden Arztes stehen - gehört jedoch nicht auf den Schreibtisch des Teamleiters. Aus dem Fachgebiet eines Arztes ließen sich nämlich leicht Rückschlüsse auf die Art der Erkrankung ziehen. Etwas anderes gilt nur in Kleinstbetrieben ohne eigene Personalabteilung, wo der Geschäftsführer die Personalverwaltung selbst übernimmt.

Kollegen und externe Geschäftspartner

Kollegen haben keinerlei Anspruch darauf, eine Krankmeldung einzusehen oder den genauen Grund für das Fehlen zu erfahren. Wenn ein Teammitglied ausfällt, darf der Arbeitgeber gegenüber dem Team oder Kunden lediglich neutral mitteilen, dass die Person derzeit nicht im Haus oder nicht erreichbar ist. Doch es gibt eine entscheidende Ausnahme im betrieblichen Alltag, die oft übersehen wird - ich erkläre sie gleich im nächsten Abschnitt genauer.

Datenschutz bei Krankheit im Betrieb: Wann darf informiert werden?

Eine Weitergabe von Informationen über den Gesundheitszustand eines Beschäftigten ist nur unter extrem engen rechtlichen Voraussetzungen zulässig. Ohne eine klare Rechtsgrundlage stellt bereits die bloße Erwähnung einer Krankheit gegenüber Dritten einen meldepflichtigen Datenschutzverstoß dar.

Ehrlich gesagt habe ich in meiner Beratungspraxis schon haarsträubende Dinge erlebt. In einem mittelständischen Betrieb hing früher tatsächlich ein offener Schichtplan am schwarzen Brett, auf dem hinter einzelnen Namen in roter Schrift krank vermerkt war. Als ich die Personalleiterin darauf ansprach, war sie völlig verdutzt und meinte, das mache man schon seit zwanzig Jahren so zur besseren Übersicht. Es dauerte eine ganze Weile, bis das Verständnis dafür wuchs, dass selbst das Wort krank ein geschütztes Gesundheitsdatum ist.

Hier liegt auch die Auflösung der vorhin angedeuteten Ausnahme: Eine Kommunikation über die Krankheit gegenüber Kollegen ist nur dann erlaubt, wenn entweder eine ausdrückliche, freiwillige Einwilligung des Betroffenen vorliegt oder eine zwingende arbeitsvertragliche Erforderlichkeit besteht. Letzteres greift etwa dann, wenn ein direkter Stellvertreter dringende Aufgaben übernehmen muss und dafür den voraussichtlichen Rückkehrtermin kennen muss. Selbst in diesem Fall bleibt die eigentliche datenschutz bei krankheit im betrieb unter Verschluss.

Checkliste für HR: Datenschutzkonformer Umgang mit AU-Bescheinigungen

Um rechtliche Risiken zu vermeiden, sollten Personalabteilungen klare Prozesse für den Empfang, die Speicherung und die Löschung von Krankmeldungen etablieren. Eine strukturierte Vorgehensweise schützt sowohl die Privatsphäre der Angestellten als auch das Unternehmen vor empfindlichen Sanktionen.

Viele denken bei Datenschutz sofort an komplexe IT-Systeme, dabei scheitert es oft an den einfachsten organisatorischen Regeln im Büroalltag. Als ich vor einigen Jahren selbst ein kleines Team leitete, schickte mir ein Mitarbeiter seine Krankschreibung per WhatsApp direkt auf mein Diensthandy - gut gemeint, aber datenschutzrechtlich eine Katastrophe. Ich musste die Datei sofort löschen, den Mitarbeiter über den offiziellen Meldeweg aufklären und unseren internen Leitfaden überarbeiten, weil wir diesen Fall schlicht nicht bedacht hatten.

Diese Schritte helfen HR-Verantwortlichen bei der rechtssicheren Umsetzung: Meldewege festlegen: Definieren Sie einen zentralen, zugriffsbeschränkten Kanal (wie ein spezielles HR-Postfach oder ein verschlüsseltes Personalportal) für Krankmeldungen. Messenger-Dienste sind tabu.

Berechtigungskonzept prüfen: Stellen Sie sicher, dass ausschließlich autorisierte Sachbearbeiter der Personalabteilung Leserechte für digitale eAU-Abrufe und papierhafte Atteste besitzen. Sichere Aufbewahrung: Bewahren Sie papierhafte Bescheinigungen (etwa von Privatversicherten) in abschließbaren Schränken getrennt von der allgemeinen Personalakte auf.

Regelmäßige Schulungen: Führen Sie verpflichtende Datenschutzschulungen durch, damit Führungskräfte wissen, wie sie Abwesenheiten neutral kommunizieren. Löschfristen einhalten: Vernichten oder löschen Sie die Bescheinigungen fachgerecht, sobald der Zweck (etwa die Abrechnung der Lohnfortzahlung und der Ablauf steuerlicher Aufbewahrungsfristen) erfüllt ist.

Wer diese Punkte ignoriert, riskiert viel. Verstöße gegen die strengen Vorgaben zur Verarbeitung von Gesundheitsdaten können nach der wer liest die krankmeldung im unternehmen mit Bußgeldern von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden. Auch wenn bei kleineren Versäumnissen im Mittelstand meist deutlich geringere Summen festgesetzt werden, bleibt der Vertrauensverlust innerhalb der Belegschaft oft der größere Schaden.

Wer darf welche Informationen bei einer Krankmeldung sehen?

Personalabteilung / Entgeltabrechnung

Ja, vollständiger Zugriff auf die eAU-Daten oder das Attest zur Lohnabrechnung

Nein, der Arbeitgeber erhält grundsätzlich keine Informationen über die konkrete Erkrankung

Gesetzliche Pflicht zur Entgeltfortzahlung und Personalverwaltung

Ja, inklusive Beginn, voraussichtlichem Ende und Erst-/Folgebescheinigung

Direkte Vorgesetzte

Nein, keine direkte Einsicht in das Dokument (Ausnahme: Kleinstbetriebe ohne HR)

Nein, kein Auskunftsrecht über die Ursache der Arbeitsunfähigkeit

Betriebliche Organisation und Personaleinsatzplanung

Ja, Information über den Ausfall und die voraussichtliche Dauer zur Einsatzplanung

Kollegen und Teammitglieder

Nein, striktes Zugriffsverbot auf jegliche Personal- und Gesundheitsdaten

Nein, es sei denn, der erkrankte Mitarbeiter teilt dies freiwillig selbst mit

Nur bei ausdrücklicher Einwilligung oder zwingender Vertretungsregelung

Nur allgemeine Info zur Abwesenheit (nicht im Haus), sofern keine Einwilligung vorliegt

Neuorganisation der Krankmeldungen in einer Agentur in München

Lukas, Personalleiter in einer 45-köpfigen Marketingagentur in München, bemerkte bei einer internen Prüfung, dass Krankmeldungen per E-Mail an einen allgemeinen Teamverteiler geschickt wurden. Dadurch sahen über 20 Kollegen und alle Teamleiter jedes Mal die eingescannten Atteste inklusive der Arztstempel.

Sein erster Versuch, das Problem durch eine kurze Rundmail mit der Bitte um mehr Diskretion zu lösen, scheiterte komplett. Aus Gewohnheit nutzten die Mitarbeiter weiterhin die alten Verteiler, und einige Teamleiter bestanden darauf, die Bescheinigungen zur Kontrolle selbst zu erhalten.

Lukas erkannte, dass ohne technische Hürden und klare Aufklärung keine Verhaltensänderung eintritt. Er richtete ein geschütztes HR-Ticket-System ein, entzog den Teamleitern die Leserechte für Atteste und organisierte eine 30-minütige Datenschutzschulung für alle Führungskräfte.

Innerhalb von vier Wochen liefen 100 Prozent der Krankmeldungen ausschließlich über den sicheren Kanal. Die Teamleiter erhielten nur noch automatisierte, neutrale Abwesenheitsnotizen für die Projektplanung, und die Agentur vermied ein drohendes Bußgeldverfahren nach einer Beschwerde.