Zum Urteil des Bundesverwaltungsgerichts
Der Entscheidung des Bundesverwaltungsgerichts lag eine Auseinandersetzung zwischen einem privaten Krankenversicherer als Kläger und der zuständigen Aufsichtsbehörde für Datenschutz aus Rheinland-Pfalz – dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz – als Beklagten zu Grunde. Gegenstand war das in der Versicherungsbranche übliche Vorgehen, den Versicherten bei entsprechenden Bedarf Vorsorge- und Präventivprogramme anzubieten. Der Kläger hatte die relevanten betroffenen Personen dadurch ermittelt, dass er die auf den eingereichten Rechnungsbelegen ausgewiesenen Diagnosen in einem automatisierten Prozess analysiert hat. Daran hat sich eine Einzelprüfung durch Mitarbeiter der von der Leistungsabteilung getrennten Abteilung Gesundheitsmanagement angeschlossen. Diejenigen Versicherten, die für ein konkretes Gesundheitsprogramm in Betracht kamen, erhielten hierfür eine Einladung und konnten entscheiden, ob sie an diesem teilnehmen wollten oder nicht. Für die Analyse lagen nur bei einem Teil der Kunden datenschutzrechtliche Einwilligungen vor.
Der Beklagte hatte die Klägerin im Februar 2022 verwarnt, da er davon ausging, dass die Klägerin mit der Auswertung der von Versicherten zur Leistungserstattung eingereichten Rechnungen bzw. der darin enthaltenen Gesundheitsdaten zur Ermittlung potentieller Teilnehmer von auf bestimmte Erkrankungen bezogenen Vorsorge- und Präventivprogramme gegen die Vorgaben der DSGVO verstoße, wenn keine Einwilligung hierzu vorläge. Der Beklagte war der Auffassung, dass sich die Klägerin nicht auf Art. 6 Abs. 1, Art. 9 Abs. 2 Buchst. h) DSGVO i. V. m. § 22 Abs. 1 Nr. 1 lit. b) BDSG stützen könne. Insoweit sei die Verarbeitung nicht für Zwecke der Gesundheitsvorsorge erforderlich. Auch überwögen in einer Abwägung nach Art. 6 Abs. 1 lit. f) DSGVO die Interessen der Versicherten, wobei es vorrangig darum ging, dass im Fall einer Nichtteilnahme eine Stigmatisierung bzw. Benachteiligung drohe. Ferner seien auch die Vorgaben für eine zweckändernde Datenverarbeitung nach Art. 6 Abs. 4 DSGVO nicht erfüllt.
Der Kläger wehrte sich hiergegen vor den Verwaltungsgerichten und bekam dort zunächst Recht. Das Verwaltungsgericht hob den Bescheid auf. Auch das Berufungsgericht hat die Berufung des Beklagten hiergegen zurückgewiesen, da der Bescheid materiell rechtswidrig sei. Insoweit sei eine zweckändernde Verarbeitung nach Art. 6 Abs. 4 DSGVO zulässig, wobei allerdings dem Umstand, dass von der Datenverarbeitung Gesundheitsdaten erfasst würden, besondere Bedeutung zukam und die Rechtfertigungslast erhöhe. Gesundheitsprogramme entsprechen dem in § 192 Abs. 3 VVG verankerten Leitbild und entsprächen daher auch den berechtigten Erwartungen der Versicherten. Der Kläger könne sich als privater Krankenversicherer auf Art. 9 Abs. 2 lit. h DSGVO berufen und Zwecke der Gesundheitsvorsorge auch im Zusammenhang mit der Anbahnung das Versicherungsvertragsverhältnis ergänzender Vertragsverhältnisse verfolgen. Die streitgegenständliche Verarbeitung sei darüber hinaus gemäß § 22 Abs. 1 Nr. 1 lit. b) BDSG i. V. m. Art. 9 Abs. 3 DSGVO gerechtfertigt. In Umsetzung der Rechtsprechung des EuGH hat das OVG sodann auch die Anforderungen des Art. 6 Abs. 1 lit. f) DSGVO geprüft und bejaht. Denn der Kläger verfolge mit der Gesundheitsvorsorge ein berechtigtes Interesse und die Datenverarbeitung sei zu diesem Zweck auch erforderlich. Die Abwägung der jeweiligen gegenüberstehenden Rechte und Interessen gehe zu Gunsten des Klägers aus. Zwar sei der Eingriff aufgrund der besonders sensiblen Gesundheitsdaten schwer. Die Verarbeitung erfolge aber auch im Interesse der einzelnen Versicherten und der Versichertengemeinschaft.
Das Bundesverwaltungsgericht sah dies anders und bestätigte im Ergebnis den Bescheid der Aufsichtsbehörde vom Februar 2022.
Zwar stehe der Verarbeitung nicht das Verbot der Verarbeitung von Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO entgegen. Denn auch nach Auffassung des BVerwG lagen die Voraussetzungen von. Art. 9 Abs. 1 lit. h) DSVGO i. V. m. der konkretisierenden nationalen Regelung in § 22 Abs. 1 Nr. 1 lit. b) BDSG vor. Insbesondere handelte es sich auch dann um eine Verarbeitung zu Zwecken der Gesundheitsvorsorge, wenn der Krankenversicherer die gesundheitsbezogenen Leistungen nicht selbst erbringe, sondern nur vermittele. Der Begriff der Gesundheitsvorsorge gehe über den „Kernbereich der medizinischen Versorgung“ hinaus. Jedenfalls die im Streit stehenden Programme – Coaching Angebote bei Diabetes, Asthma oder Rückenleiden – seien daher als Gesundheitsvorsorge erfasst. Auch die Erforderlichkeit bejaht das BVerwG in diesem Zusammenhang und sieht keine Anhaltspunkte, dass hier zu viele Daten erhoben werden. Auch sei ohne Bedeutung, dass die Möglichkeit der Einholung einer Einwilligung bestehe (Rn. 26). Ein genereller Vorrang der Einwilligung gegenüber anderen Erlaubnistatbeständen bestehe nämlich nicht.
Indes gehe die Abwägung der Interessen im Rahmen des nach der EuGH-Rechtsprechung vom 21.12.2023 (Az. C-667/21) ergänzend zu prüfenden Art. 6 Abs. 1 lit. f) DSGVO zu Lasten des Klägers aus. Insoweit müsse für Art. 6 Abs. 1 lit. f) DSGVO zum einen (a)) von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, (b)) die Verarbeitung zur Verwirklichung des berechtigten Interesses erforderlich sein und (c)) die Interessen oder Grundrechte und Grundfreiheiten des Betroffenen dürfen nicht überwiegen. Das BVerwG nimmt an, dass es bereits an einem berechtigten Interesse fehle, da der Kläger nicht über dieses entsprechend Art. 13 Abs. 1 lit. d) DSGVO informiert habe, was nach der Rechtsprechung des EuGH (vgl. Urteil vom 04.10.2024 – C-621/22) dazu führe, dass kein berechtigtes Interesse wahrgenommen werde. Darüber hinaus hält das BVerwG die Verarbeitung zwar zu diesem Zweck für erforderlich. Die im Rahmen von Art. 6 Abs. 1 lit. f) DSGVO vorzunehmende Abwägung falle aber zu Lasten des Klägers aus. Offen gelassen hat das BVerwG hingegen die Frage, ob die Verarbeitung den Grundsatz der Zweckbindung (Art. 5 Abs. 1 lit. b), Art. 6 Abs. 4 DSGVO) verletze. In einem obiter dictum spricht sich das BVerwG aber dafür aus, dass es auch bei Vorliegen der in Art. 6 Abs. 4 DSGVO genannten Kriterien einer weiteren Rechtfertigung für eine zweckändernde Verarbeitung bedarf.
Bewertung
Das Urteil des BVerwG überzeugt im Ergebnis nicht. Zwar ist zu begrüßen, dass das BVerwG den Begriff der Gesundheitsvorsorge in Art. 9 Abs. 2 lit. h) DSGVO weit auslegt und damit nicht auf den eng umgrenzten medizinischen Kernbereich beschränkt. Ebenfalls zuzustimmen ist den Ausführungen des BVerwG soweit es keinen Vorrang der Einwilligung sieht und auch den Umfang der Datenverarbeitung nicht beanstandet.
Zu kritisieren sind aber die Ausführungen zur Prüfung nach Art. 6 Abs. 1 lit. f) DSGVO. Zwar ist es richtig, dass der EuGH Art. 6 Abs. 1 lit. f) DSGVO neben Art. 9 DSGVO prüft und verlangt, dass der Betroffene über die berechtigten Interessen nach Art. 13 DSGVO informiert wird, wenn man sich auf Art. 6 Abs. 1 lit. f) DSGVO beruft. Nicht ausreichend war es dem BVerwG in diesem Zusammenhang aber, dass über die Verarbeitung in einem Flyer informiert wurde, weil diese Information zum einen nur einen Teil der Versicherten erreichte, vor allem aber dieser Flyer zu allgemein gehalten und nicht erkennbar gewesen sei, für welches Angebot von konkreten Leistungen die Daten verwendet werden. Einen anderen Hinweis auf den Beitritt zu dem Code of Conduct ließ das Gericht aus prozessualen Gründen nicht zu. Hier erscheinen die Anforderungen des BVerwG zu streng. Denn auch aus der Rechtsprechung des EuGH ist nicht zu entnehmen, welchen Grad an Detailtiefe diese Information haben muss.
Ebenfalls nicht nachvollziehbar ist die Annahme, dass die Abwägung der einander gegenüberstehenden Interessen gemäß Art. 6 Abs. 1 lit. f) DSGVO zu Lasten des Klägers ausfalle. Hier stützt sich das BVerwG im Wesentlichen auf den Aspekt, dass es um die Verarbeitung besonders sensibler Gesundheitsdaten gehe, die nach Art. 9 DSGVO besonderen Schutz unterliegen. Dieses höhere Schutzniveau müsse sich auch bei der Gewichtung der Belange in Art. 6 Abs. 1 lit. f) DSVGO niederschlagen. Zwar räumt auch das BVerwG ein, dass das Ziel der Gesundheitsvorsorge einen hohen Stellenwert durch den Gesetzgeber erhält. Dies allein reiche indes nicht. Die Pauschalität, mit der das BVerwG das Überwiegen des Schutzes von Gesundheitsdaten annimmt, überrascht. Denn dadurch werden Verarbeitungsvorgänge, die durch Art. 9 DSGVO gestattet sind, über die Abwägung in Art. 6 Abs. 1 lit. f) DSGVO wieder unterlaufen. Anhaltspunkt für dieses Vorgehen liefert der Umstand, dass das BVerwG hier gerade auch die große Streubreite der Datenverarbeitung hervorhebt. Vom Umfang her reduzierte Verarbeitungen könnten daher ggf. gleichwohl zulässig sein. Wenig überzeugend ist es überdies, dass das BVerwG hier wiederum als Argument einbringt, dass es nicht um den Kernbereich der medizinischen Versorgung gehe und die Leistungen durch Dritte erbracht würden und die Betroffenen nicht mit der Verarbeitung rechnen müssten. Würden sie nämlich informiert, wäre die Erwartungshaltung gegeben.
Soweit das BVerwG dann am Rande noch obiter dictum einen langen Meinungsstreit zur Frage der Anwendung von Art. 6 Abs. 4 DSGVO bei Zweckänderungen entscheidet, erschließt sich dieses Vorgehen nicht. Zum einen hatte es der Ausführungen nicht bedurft, zum anderen ist die Begründung des BVerwG sehr knapp ausgefallen und berücksichtigt gerade nicht den Meinungsstreit in der gebotenen Tiefe.
Fazit
Der formal orientierte Auslegungsansatz des BVerwG ist zu kritisieren. Er berücksichtigt nicht ausreichend die Anforderungen an ein modernes und effizientes Gesundheitsmanagement. Bezogen auf die Interessenabwägung besteht weiter der Eindruck, dass sich das BVerwG nicht an den Erwartungen durchschnittlicher Versicherungsnehmer und Versicherter, die weit überwiegend gerne über derartige Vorsorgeprogramme informiert werden und diese in Anspruch nehmen, orientiert hat.
Die erste Analyse des Urteils zeigt aber, dass damit zwar den Rahmen der Verarbeitung von Gesundheitsdaten für Vorsorgeprogramme einschränkt wurde. Das Urteil zeigt jedoch auch, dass es auf die konkreten Details der Ausgestaltung bei dem jeweiligen Versicherer ankommt, was der Praxis Handlungsspielräume eröffnet. Die genannten Kriterien bieten wesentliche Anhaltspunkte für den zulässigen Rahmen, der auch weiterhin eröffnet ist.
