Autor: Marc Günther

Wir wünschen allen Kunden, Partnern, Freunden und Lesern unserer Beiträge ein frohes Osterfest!

Wieder ein Beispiel für eine Anforderungen, die ausschließlich auf den Wünschen und Vorstellungen des Auditors basiert. Nein, eine Organisation muss keine Kommunikationsmatrix vorhalten.

Was sagt die Norm? Unter Kapitel 7.4 gibt die Norm lediglich an, dass die relevante interne und externe Kommunikation BESTIMMT werden muss. Von Dokumentation ist nichts zu lesen und schon gar nicht von Kommunikationsmatrix. Wie Sie also die Anforderung in der Praxis umsetzen, bleibt allein Ihnen überlassen. In einem modernen QMS wird man die Kommunikationswege, -inhalte und -partner eher über eine Prozessbeschreibung festlegen als eine komplexe Kommunikationsmatrix zu entwickeln.

Gesundheitsdaten erfordern besonderen Schutz und fallen unter die besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO. Der Arbeitgeber verwendet die Daten aus den eAU-Bescheinigungen zur Abführung von Sozialabgaben, für die Lohnabrechnung und möglicherweise für die berufliche Eingliederung.

Arbeitgeber dürfen nicht pauschal eAU-Daten für Ihre Beschäftigten regel- oder turnusmäßig abrufen. Vielmehr muss für jeden Beschäftigten einzeln eine Erst- oder Folgebescheinigungen angefordert werden. Der interne Prozess muss daher umgestellt werden. In diesem Zuge sollte auch die grundsätzliche Verarbeitung der Daten inkl. Archivierung und Löschfristen geprüft werden, um auf der sicheren Seite zu sein. Ggf. sind die Informationspflichten gegenüber Beschäftigten anzupassen und das neue Verfahren muss in das Verzeichnis von Verarbeitungstätigkeiten aufgenommen werden.