Private Krankenversicherer dürfen die von Versicherten zur Kostenerstattung eingereichten Rechnungen nicht ohne deren Zustimmung nach enthaltenen Diagnosen auswerten. Das hat das Bundesverwaltungsgericht (BVerwG) in Leipzig entschieden und damit ein Grundsatzurteil zum Umgang mit sensiblen Gesundheitsdaten gefällt (Az.: BVerwG 6 C 7.24).

Anzeige

Im Mittelpunkt des Verfahrens stand die Praxis der Debeka, eingereichte Rechnungen systematisch auszuwerten, um Versicherte gezielt für bestimmte Gesundheitsprogramme anzusprechen. Der Versicherer aus Koblenz bietet im Rahmen seines Gesundheitsmanagements Programme etwa für Menschen mit Diabetes, Asthma oder Rückenproblemen an. Um mögliche Teilnehmer zu identifizieren, wurden die zur Leistungsabrechnung eingereichten Rechnungen insbesondere im Hinblick auf enthaltene Diagnosen analysiert. Versicherte, die nach dieser Auswertung als geeignet erschienen, erhielten anschließend eine Einladung zur Teilnahme an entsprechenden Programmen.

Nach Angaben des Unternehmens wurde bei Neukunden sowie bei Vertragsänderungen eine datenschutzrechtliche Einwilligung für diese Datenanalyse eingeholt. Bei vielen Bestandskunden erfolgte die Auswertung jedoch ohne eine solche Zustimmung. Bereits im Februar 2022 hatte der Landesdatenschutzbeauftragte Rheinland-Pfalz den Versicherer wegen dieser Praxis verwarnt. Nach Auffassung der Behörde verstieß die Analyse der Rechnungen ohne Einwilligung gegen die Vorgaben der Datenschutz-Grundverordnung (DSGVO).

Der Versicherer wurde angewiesen, entsprechende Datenverarbeitungen künftig nur auf Grundlage einer wirksamen Einwilligung der Versicherten vorzunehmen. Der Versicherer klagte daraufhin dagegen und bekam zunächst Recht. Sowohl das Verwaltungsgericht Mainz als auch das Oberverwaltungsgericht Koblenz hielten die Datenverarbeitung für zulässig.

Das Bundesverwaltungsgericht änderte jedoch die Urteile der Vorinstanzen und wies die Klage ab. Nach Auffassung des Gerichts verstößt die Auswertung zwar nicht grundsätzlich gegen das Verbot der Verarbeitung von Gesundheitsdaten nach Art. 9 DSGVO. Die Verarbeitung könne grundsätzlich dem Zweck der Gesundheitsvorsorge dienen. Unzulässig sei sie jedoch trotzdem, weil sie nicht auf berechtigte Interessen des Versicherers gestützt werden kann. Bei der erforderlichen Interessenabwägung überwiegen die Rechte der Versicherten.

Das Gericht verwies insbesondere auf den besonders hohen Schutz sensibler Gesundheitsdaten. Außerdem gehörten die angebotenen Vorsorgeprogramme nicht zum medizinischen Kernbereich. Hinzu komme, dass die Datenauswertung eine große Zahl von Versicherten betreffe und die Betroffenen nicht ausreichend über die Interessen des Versicherers informiert worden seien.