So unter anderem das Gericht in seinem Urteil vom 20. Juni 2024 (Az.: 8 AZR 253/20). Zuvor hatte der EuGH im Rahmen eines Vorabentscheidungsersuchens grundlegend entschieden.
Hier sieht das Gericht die ausreichende Rechtsgrundlage in § 276 II SGB V und führt unter anderem in den Entscheidungsgründen aus:
„…Der deutsche Gesetzgeber hat in § 276 Abs. 2 SGB V eine bereichsspezifische Rechtsgrundlage für die Datenverarbeitung beim Medizinischen Dienst geschaffen. Nach § 276 Abs. 2 Satz 1 SGB V darf, wie bereits ausgeführt, der Medizinische Dienst Sozialdaten, dh. sowohl personenbezogene Daten iSv. Art. 6 Abs. 1 DSGVO als auch Gesundheitsdaten iSv. Art. 9 Abs. 1 DSGVO, erheben und speichern sowie einem anderen Medizinischen Dienst übermitteln, soweit dies ua. für Stellungnahmen nach § 275 SGB V erforderlich ist. Nach Satz 3 der Bestimmung dürfen die rechtmäßig erhobenen und gespeicherten Sozialdaten nur für die in § 275 SGB V genannten Zwecke verarbeitet oder genutzt werden, für andere Zwecke, soweit dies durch Rechtsvorschriften des Sozialgesetzbuchs angeordnet oder erlaubt ist.
(aaa) Die Rechtsgrundlage entspricht insoweit den Vorgaben in Art. 6 Abs. 1 Unterabs. 1 Buchst. c iVm. Art. 6 Abs. 3 Satz 1 Buchst. b DSGVO. Sie regelt die Datenverarbeitung beim Medizinischen Dienst im Rahmen seiner Aufgaben (zu diesem Erfordernis vgl. EuGH 30. März 2023 – C-34/21 – [Hauptpersonalrat der Lehrerinnen und Lehrer] Rn. 87 mwN). Nach Erwägungsgrund 45 verlangt die Datenschutz-Grundverordnung nicht für jede einzelne Verarbeitung ein spezifisches Gesetz. So kann ein Gesetz als Grundlage für mehrere Verarbeitungsvorgänge ausreichend sein, wenn die Verarbeitung – wie hier – aufgrund einer dem Verantwortlichen obliegenden rechtlichen Verpflichtung erfolgt (BAG 9. Mai 2023 – 1 ABR 14/22 – Rn. 66).
(bbb) § 276 Abs. 2 Satz 1 und Satz 3 SGB V genügen auch den Anforderungen des Art. 6 Abs. 3 Satz 2 DSGVO. Sie legen ua. mit den gutachtlichen Stellungnahmen nach § 275 SGB V den Zweck der Verarbeitung fest. Der angeführte Zweck ist iSv. Art. 6 Abs. 3 Satz 4 DSGVO legitim, wie das Regelbeispiel in Art. 9 Abs. 2 Buchst. h DSGVO „für die Verwaltung von Systemen und Diensten im Gesundheits- und Sozialbereich“ sowie Erwägungsgrund 52 Satz 2 zur DSGVO belegen (vgl. Rn. 46)…“