Diagnosen aus Arztrechnungen: Versicherer braucht Einwilligung

Diagnosen als Einladungsliste

Wer privat krankenversichert ist, reicht seine Arztrechnungen beim Versicherer ein und bekommt die Kosten erstattet. Auf diesen Rechnungen stehen Diagnosen. Ein privater Krankenversicherer nutzte sie für einen zweiten Zweck: Er wertete die eingereichten Rechnungen nach Diagnosen aus, um Teilnehmer für seine Vorsorgeprogramme zu finden, etwa ein Coaching bei Diabetes, Asthma oder Rückenleiden. Wer nach seinen Diagnosen in ein Programm passte, bekam eine Einladung.

Eine Einwilligung, also die freiwillige und ausdrückliche Zustimmung der Versicherten, holte der Versicherer nur bei Neukunden und bei Vertragsänderungen von Bestandskunden ein. Bei allen übrigen Versicherten lief die Auswertung ohne Zustimmung. Das Bundesverwaltungsgericht hat diese Praxis mit Urteil vom 6. März 2026 (Aktenzeichen 6 C 7.24) für unzulässig erklärt.

Aufsicht und Gerichte uneins

Der Landesdatenschutzbeauftragte Rheinland-Pfalz verwarnte den Versicherer im Februar 2022. Zugleich wies er ihn unter Fristsetzung an, solche Auswertungen nur noch auf Grundlage einer wirksamen Einwilligung durchzuführen. Der Versicherer klagte und gewann zunächst zweimal: Das Verwaltungsgericht Mainz hob den Bescheid auf, das Oberverwaltungsgericht Koblenz wies die Berufung der Aufsicht zurück.

Das Bundesverwaltungsgericht änderte beide Urteile und wies die Klage ab. Die Verwarnung und die Anweisung bleiben damit bestehen, und die Kosten aller drei Instanzen trägt der Versicherer.

Gesundheitsdaten: zwei Hürden

Diagnosen sind Gesundheitsdaten, also Angaben zur körperlichen oder geistigen Gesundheit eines Menschen, und die DSGVO schützt sie besonders streng. Wer sie verarbeiten will, muss zwei Hürden nehmen. Erstens muss eine der Ausnahmen greifen, die das Gesetz eigens für Gesundheitsdaten vorsieht. Eine davon gilt für Zwecke der Gesundheitsvorsorge. Zweitens braucht er wie bei jeder Datenverarbeitung eine allgemeine Rechtsgrundlage, etwa eine Einwilligung oder ein berechtigtes Interesse.

Die erste Hürde nahm der Versicherer. Das Gericht stellte fest: Vorsorgeprogramme eines privaten Krankenversicherers dienen der Gesundheitsvorsorge. Dass der Versicherer nebenbei auf Kosteneffizienz achtet und die Programme nicht selbst durchführt, sondern nur vermittelt, ändert daran nichts. Auch die Verschwiegenheitspflicht der Mitarbeiter reichte dem Gericht aus, und bis hierhin lief es gut für den Versicherer.

Kein berechtigtes Interesse

An der zweiten Hürde scheiterte er. Für die Versicherten ohne Einwilligung blieb nur das berechtigte Interesse. Damit ist die Möglichkeit gemeint, Daten ohne Zustimmung zu nutzen, wenn die eigenen Interessen die der Betroffenen überwiegen. Das Gericht sah dabei zwei Probleme. Zum einen hatte der Versicherer seinen Kunden nicht deutlich genug mitgeteilt, welche Interessen er mit der Auswertung verfolgt. Wer sich auf ein berechtigtes Interesse beruft, muss es den Betroffenen auch nennen.

Zum anderen fiel die Abwägung gegen den Versicherer aus. Gesundheitsdaten genießen ein erhöhtes Schutzniveau, und die Auswertung traf eine große Zahl von Versicherten. Vor allem aber gehören die Vorsorgeprogramme eines Versicherers nicht zum Kernbereich der medizinischen Versorgung und nicht zum Verhältnis zwischen Arzt und Patient. Wer eine Rechnung zur Erstattung einreicht, muss deshalb vernünftigerweise nicht damit rechnen, dass der Versicherer daraus ohne Zustimmung eine Einladung zum Rückencoaching ableitet.

Ob der Versicherer zusätzlich gegen die Zweckbindung verstoßen hat, ließ das Gericht offen. Zweckbindung heißt, dass Daten nur für den Zweck genutzt werden, für den sie erhoben wurden. Darauf kam es nach dem Ergebnis der Abwägung nicht mehr an.

Was das für Versicherte heißt

Für Privatversicherte hat das Urteil eine einfache Folge. Der Versicherer darf die Diagnosen aus eingereichten Rechnungen für die Abrechnung nutzen. Will er sie darüber hinaus auswerten, um Vorsorgeprogramme anzubieten, braucht er eine Einwilligung. Die Programme selbst hat das Gericht nicht beanstandet, es hat ihnen sogar bescheinigt, der Gesundheitsvorsorge zu dienen. Gute Absichten ersetzen aber keine Zustimmung, und bei Gesundheitsdaten gilt das erst recht.

Wer eine solche Einladung bekommen hat, ohne jemals eingewilligt zu haben, kann beim Versicherer nachfragen, auf welcher Grundlage die Auswertung lief. Jeder Betroffene hat das Recht auf Auskunft darüber, welche Daten der Versicherer zu welchem Zweck verarbeitet. Bleibt die Antwort unbefriedigend, ist eine Beschwerde bei der Datenschutzaufsicht möglich.

Wer als Neukunde oder bei einer Vertragsänderung eingewilligt hat, sollte wissen, was diese Unterschrift bedeutet: Der Versicherer darf dann die Diagnosen auswerten und Einladungen verschicken. Eine Einwilligung ist freiwillig und lässt sich jederzeit für die Zukunft widerrufen. Ein Blick in die Datenschutzhinweise des Versicherers lohnt sich ebenfalls. Dort muss stehen, wofür Gesundheitsdaten genutzt werden und auf welche Interessen sich der Versicherer beruft.