Das BVerwG hat am Freitag entschieden, dass private Krankenversicherungen die mit den Erstattungsanträgen eingereichten ärztlichen Diagnosen ihrer Versicherten nicht dazu nutzen dürfen, um diesen für sie passende Vorsorgeprogramme vorzuschlagen (Urteil vom 06.03.2026 – 6 C 7.24).
Die klagende Krankenversicherung wollte im Rahmen ihres Gesundheitsmanagements bestimmte Programme, wie etwa Coaching-Angebote bei Diabetes, Asthma oder Rückenleiden, anbieten. Zur Ermittlung potenzieller Teilnehmerinnen und Teilnehmer analysierte sie die von ihren Versicherten zur Leistungsabrechnung eingereichten Rechnungen unter anderem hinsichtlich der darin enthaltenen Diagnosen. Versicherte, die für ein konkretes Gesundheitsprogramm in Betracht kamen, erhielten eine Einladung zur Teilnahme. Für die Datenanalyse holte die Versicherung bei Neukundinnen und -kunden sowie bei Vertragsänderungen von Bestandskundinnen und -kunden eine datenschutzrechtliche Einwilligung ein. Bei allen übrigen Versicherten führte sie die Datenanalyse allerdings ohne Einwilligung durch. Das wurde vom Landesdatenschutzbeauftragten Rheinland-Pfalz beanstandet. Er verwarnte die Versicherung und wies sie an, die entsprechende Datenverarbeitungen nur auf der Grundlage einer wirksamen Einwilligung durchzuführen.
Vorinstanzen gaben Versicherung Recht
Der europäische Gesetzgeber untersagt in Art. 9 Abs. 1 DS-GVO die Verarbeitung von Gesundheitsdaten. Allerdings gilt Art. 9 Abs. 1 DS-GVO nach Art. 9 Abs. 2 DS-GVO nicht, wenn die Verarbeitung für Zwecke der Gesundheitsvorsorge auf der Grundlage des Rechts eines Mitgliedstaats und vorbehaltlich der in Art. 9 Abs. 3 DS-GVO genannten Bedingungen und Garantien erforderlich ist.
Darf vor diesem Hintergrund eine private Krankenversicherung ohne Zustimmung von Versicherten deren Abrechnungsdaten analysieren, um ihnen Gesundheitsprogramme anzubieten?
Das OVG Koblenz (Az. OVG 10 A 10294/23) als Vorinstanz wie schon zuvor das VG Mainz hatten diese Frage bejaht: Die in diesem Verfahren streitgegenständliche Verarbeitung von Gesundheitsdaten sei nach der DS-GVO gerechtfertigt. Sie erfülle die Vorgaben für eine zweckändernde Datenverarbeitung und sei für Zwecke der Gesundheitsvorsorge erforderlich. Die von der DS-GVO geforderte Rechtsgrundlage des nationalen Rechts sei gegeben. Die Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen gehe zu Gunsten der klagenden privaten Krankenversicherung aus.
BVerwG hebt hohen Schutz der Gesundheitsdaten hervor
Das BVerwG hat nunmehr entschieden, dass private Krankenversicherungsunternehmen ohne Einwilligung der betroffenen Versicherten nicht befugt sind, deren in eingereichten Rechnungen enthaltene Diagnosen zu analysieren, um potentielle Teilnehmerinnen und Teilnehmer an Vorsorgeprogrammen zu ermitteln.
Der Senat bestätigt dabei noch, dass die von der Versicherung praktizierte Datenanalyse nicht gegen das Verbot der Verarbeitung von Gesundheitsdaten nach Art. 9 Abs. 1 DS-GVO verstoße, und zudem, dass die Datenverarbeitung der Versicherung Zwecken der Gesundheitsvorsorge im Sinne dieser Vorschrift diene. Auch stünden weder die Verfolgung weiterer Zwecke wie der Kosteneffizienz noch der Umstand entgegen, dass die Versicherung die gesundheitsbezogenen Leistungen nicht selbst erbringe, sondern diese nur vermittele. Ferner bestätigte das BVerwG ausweislich der bisher allein vorliegenden Pressemitteilung, dass in Gestalt des § 22 Abs. 1 Nr. 1 Buchst. b BDSG die nach Art. 9 Abs. 2 Buchst. h DS-GVO erforderliche Rechtsgrundlage im nationalen Recht vorhanden sei und zudem die mit der Verarbeitung befassten Mitarbeiterinnen und Mitarbeiter der Versicherung einer hinreichenden Geheimhaltungspflicht unterlägen.
Scheitern lässt das BVerwG die Klage der privaten Krankenversicherung aber an Art. 6 Abs. 1 Unterabs. 1 Buchst. f DS-GVO. Das Gericht führt dazu aus, dass die Verarbeitung nicht zulässig sei, denn die Abwägung der einander gegenüberstehenden Interessen ergebe, dass die Interessen der Versicherten das berechtigte Interesse der Versicherung hier überwögen. Zwar hätten das Ziel der Gesundheitsvorsorge und die angestrebte, auch im Interesse der Versicherten liegende Reduzierung von Behandlungskosten eine hohe Bedeutung. Ausschlaggebend seien jedoch der in Art. 9 DS-GVO verankerte erhöhte Schutz sensibler Gesundheitsdaten und der Umstand, dass die Vorsorgeprogramme der Versicherung nicht dem medizinischen Kernbereich zuzuordnen seien. Zudem falle die große Streubreite der Datenverarbeitung ins Gewicht. Darüber hinaus habe die Versicherung die von ihr verfolgten Interessen den betroffenen Versicherten entgegen Art. 13 Abs. 1 Buchst. d DS-GVO nicht hinreichend deutlich mitgeteilt.
Krankenversicherungen sollen sich nicht nur um Behandlungskosten kümmern
Das Urteil des BVerwG erscheint vorbehaltlich weitergehender Argumentationen in der zu erwartenden Urteilsbegründung in seinen Wertungen nicht als zwingend und insbesondere für die aktuelle Entwicklung hin zur Aufwertung der Gesundheitsvorsorge und der Prävention in der gesundheitsrechtlichen Werteordnung nicht als hilfreich.
Zwar ist für die privaten Krankenversicherungen nach § 192 Abs. 1 VVG gesetzlicher Kernbereich der Krankheitskostenversicherung die medizinisch notwendige Heilbehandlung wegen Krankheit oder Unfallfolgen. Es können aber über den Kernbereich hinaus weitere Leistungen als Gegenstand des Versicherungsschutzes vereinbart werden, wozu nach § 192 VVG sonstige Leistungen einschließlich Schwangerschaft und Entbindung, ambulante Vorsorgeuntersuchungen zur Krankheitsfrüherkennung und zusätzliche Dienstleistungen gehören. Warum muss aber die Begrifflichkeit des "Kernbereichs" als datenschutzrechtliche Hürde qualifiziert und als untertatbestandliches Entscheidungskriterium in die Vorgaben der DS-GVO eingebacht werden, wenn eine private Krankenversicherung im Zuge ihrer Unternehmerfreiheit (Art. 12, 14 GG; Art. 16 GRCh) Gesundheitsvorsorge und Prävention aufwerten und Gesundheitsmanagement in Form von Coaching-Angeboten einer insoweit vulnerablen Personengruppe anbieten will?
Bei Gesundheitsvorsorge und Prävention geht es - wie der Gesetzgeber für den Bereich der gesetzlichen Krankenversicherung klargestellt hat - um die Verbesserung der Lebensqualität und die Senkung von Krankheits- und Krankheitsfolgekosten (BT-Drs. 15/4833 S. 24) sowie die Aktivierung der gesundheitlichen Eigenkompetenz und Eigenverantwortung bei allen Versicherten (BT-Drs. 18/4282 S. 33). Dem Gewicht dieser objektiven Charakteristiken von Gesundheitsvorsorge und Prävention sollte man auch in den datenschutzrechtlichen Interessenabwägungen Geltung verschaffen.
Darüber hinaus führt auch der vom BVerwG zutreffend angeführte erhöhte Schutz der Gesundheitsdaten durch Art. 9 DS-GVO nicht zwingend dazu, dass Versicherungen ihre Kundinnen und Kunden um eine vorherige Einwilligung bitten müssten. Denn in der gesundheitsrechtlichen Werteordnung lässt sich dem eigentumsähnlichen Recht an Gesundheitsdaten aufgrund seiner Sozialpflichtigkeit auch eine soziale und über den einzelnen Versicherten hinausgehende Dimension beimessen.
Dr. Thomas Ritter ist Fachanwalt für Medizinrecht, sowie Arbeitsrecht und Partner bei CBH Rechtsanwälte in Berlin.
