Private Krankenversicherer dürfen Daten aus eingereichten Rechnungen nicht nutzen, um mögliche Kandidaten für Vorsorgeprogramme zu ermitteln. Das entschied das Bundesverwaltungsgericht in Leipzig und gab damit dem Landesdatenschutzbeauftragten Rheinland-Pfalz, Dieter Kugelmann, Recht (Aktenzeichen: 6 C 7.24).
Den Streit gab es zwischen Kugelmann und der Debeka. Der Krankenversicherer bietet bestimmte Gesundheitsprogramme an. Zum Beispiel Hilfe bei Diabetes, Asthma oder Rückenschmerz. Um mögliche Teilnehmer dafür zu finden, nutzte er die eingereichten Rechnungen der Kunden und die darin erwähnten Diagnosen. Anschließend schrieb er diese Kunden an und lud sie zu den Programmen ein. Von Neukunden und bei Vertragsänderungen ließ er sich diese Vorgehensweise datenschutztechnisch genehmigen. Bei allen anderen fehlte diese Erlaubnis.
Damit habe die Debeka aber gegen die Datenschutz-Grundverordnung (DSGVO) verstoßen, meinte Kugelmann. Deshalb verwarnte er sie im Februar 2022. Dagegen klagte wiederum die Debeka, und der Streit begann.
Er führte mit einigem Hin und Her über das Verwaltungsgericht Mainz (1 K 127/22) und das Oberverwaltungsgericht Koblenz (10 A 10294/23) bis zum Bundesverwaltungsgericht.
Und das entschied: Zwar verstößt die Datenanalyse nicht gegen das Verbot nach Artikel 9 Absatz 1 DSGVO, Gesundheitsdaten zu verarbeiten. Denn nach Artikel 9 Absatz 2 Buchstabe h DSGVO ist alles in Ordnung. Dieser Teil der DSGVO erlaubt es, unter anderem für „Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin“ solche Daten zu verarbeiten. Und das ist ja hier der Fall.
Nicht erlaubt ist sie hingegen nach Artikel 6 Absatz 1 Unterabsatz 1 Buchstabe f DSGVO. Darin ist von berechtigten Interessen des Verantwortlichen oder eines Dritten die Rede. Und die müsse man mit Interessen oder Grundrechten und Grundfreiheiten der betroffenen Personen abwägen.
Das tat das Bundesverwaltungsgericht und meinte: Die Interessen der Versicherten überwiegen die berechtigten Interessen der Debeka. Es sei zwar wichtig, für die Gesundheit vorzusorgen und Behandlungskosten zu senken. Allerdings wiege es schwerer, dass sensible Gesundheitsdaten verstärkt zu schützen sind und dass die Vorsorgeprogramme der Debeka nicht zum medizinischen Kernbereich gehören.
Datenschutzmann Kugelmann zeigt sich erwartungsgemäß mit dem Urteil zufrieden. „Patienten müssen sich hierbei darauf verlassen können, dass diese [die Daten] nicht ohne ihre Einwilligung zu anderen Zwecken verarbeitet werden, dass sie hinreichend informiert und keine darüber hinausgehenden Zwecke verfolgt werden“, sagt er und fügt hinzu: „Das Bundesverwaltungsgericht hat die Selbstbestimmungsrechte von Versicherten gestärkt und die Praxis meiner Behörde bestätigt. Für den Schutz der Gesundheitsdaten von Versicherten ist dies ein sehr gutes Signal.“
So gar nicht begeistert zeigt man sich hingegen bei der Debeka. Auf Anfrage teilt sie mit: „Wir nehmen das Urteil des Bundesverwaltungsgerichts zur Kenntnis und respektieren die Entscheidung selbstverständlich. Gleichwohl sind wir von dem Ergebnis enttäuscht, denn unser Ziel war und ist es, unseren Versicherten Vorteile zu bieten.“ Freilich sei Datenschutz wichtig und richtig. Er dürfe aber nicht dazu führen, dass Hilfsangebote daran scheitern.
Der Versicherer mag auch die Argumente des Gerichts nicht wirklich teilen, denn er schreibt weiter: „Zwar hat das Gericht laut Pressemeldung ausdrücklich anerkannt, dass auch eine private Krankenversicherung Vorsorgeangebote unterbreiten darf. Es hat daneben aber ein Bild von „einander gegenüberstehenden Interessen“ entwickelt und im Ergebnis entschieden, solche Angebote seien zum überwiegenden Nachteil der Versicherten. Diese Abwägung teilen wir nicht.“
Nun will die Debeka das Urteil auswerten, sobald es vorliegt (noch ist es nicht da). Und dann will sie entscheiden, wie sie ihren Versicherten Angebote künftig unterbreitet.
