Private Krankenversicherungsunternehmen sind ohne Einwilligung der betroffenen Versicherten nicht befugt, die von diesen zum Zweck der Erstattung eingereichten Rechnungen hinsichtlich der darin enthaltenen Diagnosen zu analysieren, um potentielle Teilnehmer an Vorsorgeprogrammen zu ermitteln. Dies hat das Bundesverwaltungsgericht in Leipzig heute entschieden.

Der Kläger, ein privater Krankenversicherungsverein auf Gegenseitigkeit, bietet im Rahmen seines Gesundheitsmanagements bestimmte Programme an (etwa Coaching-Angebote bei Diabetes, Asthma oder Rückenleiden). Zur Ermittlung potentieller Teilnehmer analysiert er die zur Leistungsabrechnung eingereichten Rechnungen u. a. hinsichtlich der darin enthaltenen Diagnosen. Versicherte, die für ein konkretes Gesundheitsprogramm in Betracht kommen, erhalten eine Einladung zur Teilnahme. Für die Datenanalyse holt der Kläger bei Neukunden sowie bei Vertragsänderungen von Bestandskunden eine datenschutzrechtliche Einwilligung ein. Bei allen übrigen Versicherten wird die Datenanalyse ohne Einwilligung durchgeführt.

Im Februar 2022 verwarnte der beklagte Landesdatenschutzbeauftragte Rheinland-Pfalz den Kläger. Dieser habe mit der ohne vorherige Einwilligung der Betroffenen vorgenommenen Auswertung der Rechnungen gegen Bestimmungen der Datenschutz-Grundverordnung (DSGVO) verstoßen. Zudem wies der Beklagte den Kläger unter Fristsetzung an, entsprechende Datenverarbeitungen nur auf der Grundlage einer wirksamen Einwilligung durchzuführen.

Auf die Klage hob das Verwaltungsgericht Mainz den Bescheid auf. Das Oberverwaltungsgericht Koblenz wies die Berufung des Beklagten zurück. Die streitgegenständliche Verarbeitung von Gesundheitsdaten sei nach der DSGVO gerechtfertigt. Sie erfülle die Vorgaben für eine zweckändernde Datenverarbeitung und sei für Zwecke der Gesundheitsvorsorge erforderlich. Die von der DSGVO geforderte Rechtsgrundlage des nationalen Rechts sei gegeben. Die Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen gehe zu Gunsten des Klägers aus.

Auf die Revision des Beklagten hat das Bundesverwaltungsgericht die Urteile der Vorinstanzen geändert und die Klage abgewiesen. Die vom Kläger praktizierte Datenanalyse verstößt zwar nicht gegen das Verbot der Verarbeitung von Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO. Denn es liegen die Voraussetzungen des Ausnahmetatbestands des Art. 9 Abs.2 Buchst. h DSGVO vor. Die streitige Datenverarbeitung des Klägers dient Zwecken der Gesundheitsvorsorge im Sinne dieser Vorschrift. Dem stehen weder die Verfolgung weiterer Zwecke wie der Kosteneffizienz noch der Umstand entgegen, dass der Kläger die gesundheitsbezogenen Leistungen nicht selbst erbringt, sondern diese nur vermittelt. Ferner ist in Gestalt des § 22 Abs. 1 Nr. 1 Buchst. b BDSG die nach Art. 9 Abs. 2 Buchst. h DSGVO erforderliche Rechtsgrundlage im nationalen Recht vorhanden. Zudem unterliegen die mit der Verarbeitung befassten Mitarbeiter des Klägers einer den Anforderungen des Art. 9 Abs. 3 DSGVO sowie des § 22 Abs. 1 Nr. 1 Buchst. b BDSG genügenden Geheimhaltungspflicht.

Die Verarbeitung ist jedoch nicht nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO zur Wahrung der berechtigten Interessen des Klägers zulässig. Denn die Abwägung der einander gegenüberstehenden Interessen unter Würdigung aller relevanten Umstände ergibt, dass die Interessen der Versicherten das berechtigte Interesse des Klägers überwiegen. Zwar haben das Ziel der Gesundheitsvorsorge und die angestrebte, auch im Interesse der Versicherten liegende Reduzierung von Behandlungskosten eine hohe Bedeutung. Ausschlaggebend sind jedoch der in Art. 9 DSGVO verankerte erhöhte Schutz sensibler Gesundheitsdaten und der Umstand, dass die Vorsorgeprogramme des Klägers nicht dem medizinischen Kernbereich zuzuordnen sind. Zudem fällt die große Streubreite der beanstandeten Datenverarbeitung ins Gewicht. Darüber hinaus hat der Kläger die von ihm verfolgten Interessen den betroffenen Versicherten entgegen Art. 13 Abs. 1 Buchst. d DSGVO nicht hinreichend deutlich mitgeteilt.

Hiernach konnte das Bundesverwaltungsgericht offenlassen, ob die Weiterverarbeitung der vom Kläger ausschließlich zum Zweck der Kostenerstattung erhobenen Daten den Grundsatz der Zweckbindung verletzt (Art. 5 Abs. 1 Buchst. b, Art. 6 Abs. 4 DSGVO). Der angefochtene Bescheid leidet im Übrigen auch nicht an Ermessensfehlern.