Private Krankenversicherung darf Diagnose-Daten aus eingereichten Rechnungen nicht zum Zweck des Angebots von Vorsorgeprogrammen verarbeiten
BVerwG v. 6.3.2026 - 6 C 7.24
Der Sachverhalt:
Der Kläger, ein privater Krankenversicherungsverein auf Gegenseitigkeit, bietet im Rahmen seines Gesundheitsmanagements bestimmte Programme an (etwa Coaching-Angebote bei Diabetes, Asthma oder Rückenleiden). Zur Ermittlung potentieller Teilnehmer analysiert er die zur Leistungsabrechnung eingereichten Rechnungen u.a. hinsichtlich der darin enthaltenen Diagnosen. Versicherte, die für ein konkretes Gesundheitsprogramm in Betracht kommen, erhalten eine Einladung zur Teilnahme. Für die Datenanalyse holt der Kläger bei Neukunden sowie bei Vertragsänderungen von Bestandskunden eine datenschutzrechtliche Einwilligung ein. Bei allen übrigen Versicherten wird die Datenanalyse ohne Einwilligung durchgeführt.
Im Februar 2022 verwarnte der beklagte Landesdatenschutzbeauftragte Rheinland-Pfalz den Kläger. Dieser habe mit der ohne vorherige Einwilligung der Betroffenen vorgenommenen Auswertung der Rechnungen gegen Bestimmungen der Datenschutz-Grundverordnung (DSGVO) verstoßen. Zudem wies der Beklagte den Kläger unter Fristsetzung an, entsprechende Datenverarbeitungen nur auf der Grundlage einer wirksamen Einwilligung durchzuführen.
Auf die Klage hob das VG den Bescheid auf. Das OVG wies die Berufung des Beklagten zurück. Die streitgegenständliche Verarbeitung von Gesundheitsdaten sei nach der DSGVO gerechtfertigt. Sie erfülle die Vorgaben für eine zweckändernde Datenverarbeitung und sei für Zwecke der Gesundheitsvorsorge erforderlich. Die von der DSGVO geforderte Rechtsgrundlage des nationalen Rechts sei gegeben. Die Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen gehe zu Gunsten des Klägers aus.
Auf die Revision des Beklagten hat das BVerwG die Urteile der Vorinstanzen geändert und die Klage abgewiesen.
Die Gründe:
Die vom Kläger praktizierte Datenanalyse verstößt zwar nicht gegen das Verbot der Verarbeitung von Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO. Denn es liegen die Voraussetzungen des Ausnahmetatbestands des Art. 9 Abs.2 Buchst. h DSGVO vor. Die streitige Datenverarbeitung des Klägers dient Zwecken der Gesundheitsvorsorge im Sinne dieser Vorschrift. Dem stehen weder die Verfolgung weiterer Zwecke wie der Kosteneffizienz noch der Umstand entgegen, dass der Kläger die gesundheitsbezogenen Leistungen nicht selbst erbringt, sondern diese nur vermittelt. Ferner ist in Gestalt des § 22 Abs. 1 Nr. 1 Buchst. b BDSG die nach Art. 9 Abs. 2 Buchst. h DSGVO erforderliche Rechtsgrundlage im nationalen Recht vorhanden. Zudem unterliegen die mit der Verarbeitung befassten Mitarbeiter des Klägers einer den Anforderungen des Art. 9 Abs. 3 DSGVO sowie des § 22 Abs. 1 Nr. 1 Buchst. b BDSG genügenden Geheimhaltungspflicht.
Die Verarbeitung ist jedoch nicht nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO zur Wahrung der berechtigten Interessen des Klägers zulässig. Denn die Abwägung der einander gegenüberstehenden Interessen unter Würdigung aller relevanten Umstände ergibt, dass die Interessen der Versicherten das berechtigte Interesse des Klägers überwiegen. Zwar haben das Ziel der Gesundheitsvorsorge und die angestrebte, auch im Interesse der Versicherten liegende Reduzierung von Behandlungskosten eine hohe Bedeutung. Ausschlaggebend sind jedoch der in Art. 9 DSGVO verankerte erhöhte Schutz sensibler Gesundheitsdaten und der Umstand, dass die Vorsorgeprogramme des Klägers nicht dem medizinischen Kernbereich zuzuordnen sind. Zudem fällt die große Streubreite der beanstandeten Datenverarbeitung ins Gewicht. Darüber hinaus hat der Kläger die von ihm verfolgten Interessen den betroffenen Versicherten entgegen Art. 13 Abs. 1 Buchst. d DSGVO nicht hinreichend deutlich mitgeteilt.
Hiernach konnte offenbleiben, ob die Weiterverarbeitung der vom Kläger ausschließlich zum Zweck der Kostenerstattung erhobenen Daten den Grundsatz der Zweckbindung verletzt (Art. 5 Abs. 1 Buchst. b, Art. 6 Abs. 4 DSGVO). Der angefochtene Bescheid leidet im Übrigen auch nicht an Ermessensfehlern.
Mehr zum Thema:
Beratermodul ITRB - IT-Recht und Datenschutz
Otto Schmidt Answers ist in diesem Modul mit 5 Prompts am Tag enthalten! Nutzen Sie die Inhalte in diesem Modul direkt mit der KI von Otto Schmidt. Start-Abo: 3 Monate nutzen, nur 2 Monate zahlen! Komfortabel, vergünstigt, flexibel.
Versicherungswirtschaft und VersR online
Das Modul Versicherungswirtschaft und -recht bündelt die führenden Fachzeitschriften Versicherungswirtschaft (VW) und Versicherungsrecht (VersR). Start-Abo: 3 Monate nutzen, nur 2 Monate zahlen! Komfortabel, vergünstigt, flexibel.
BVerwG PM Nr. 16 vom 6.3.2026
Der Kläger, ein privater Krankenversicherungsverein auf Gegenseitigkeit, bietet im Rahmen seines Gesundheitsmanagements bestimmte Programme an (etwa Coaching-Angebote bei Diabetes, Asthma oder Rückenleiden). Zur Ermittlung potentieller Teilnehmer analysiert er die zur Leistungsabrechnung eingereichten Rechnungen u.a. hinsichtlich der darin enthaltenen Diagnosen. Versicherte, die für ein konkretes Gesundheitsprogramm in Betracht kommen, erhalten eine Einladung zur Teilnahme. Für die Datenanalyse holt der Kläger bei Neukunden sowie bei Vertragsänderungen von Bestandskunden eine datenschutzrechtliche Einwilligung ein. Bei allen übrigen Versicherten wird die Datenanalyse ohne Einwilligung durchgeführt.
Im Februar 2022 verwarnte der beklagte Landesdatenschutzbeauftragte Rheinland-Pfalz den Kläger. Dieser habe mit der ohne vorherige Einwilligung der Betroffenen vorgenommenen Auswertung der Rechnungen gegen Bestimmungen der Datenschutz-Grundverordnung (DSGVO) verstoßen. Zudem wies der Beklagte den Kläger unter Fristsetzung an, entsprechende Datenverarbeitungen nur auf der Grundlage einer wirksamen Einwilligung durchzuführen.
Auf die Klage hob das VG den Bescheid auf. Das OVG wies die Berufung des Beklagten zurück. Die streitgegenständliche Verarbeitung von Gesundheitsdaten sei nach der DSGVO gerechtfertigt. Sie erfülle die Vorgaben für eine zweckändernde Datenverarbeitung und sei für Zwecke der Gesundheitsvorsorge erforderlich. Die von der DSGVO geforderte Rechtsgrundlage des nationalen Rechts sei gegeben. Die Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen gehe zu Gunsten des Klägers aus.
Auf die Revision des Beklagten hat das BVerwG die Urteile der Vorinstanzen geändert und die Klage abgewiesen.
Die Gründe:
Die vom Kläger praktizierte Datenanalyse verstößt zwar nicht gegen das Verbot der Verarbeitung von Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO. Denn es liegen die Voraussetzungen des Ausnahmetatbestands des Art. 9 Abs.2 Buchst. h DSGVO vor. Die streitige Datenverarbeitung des Klägers dient Zwecken der Gesundheitsvorsorge im Sinne dieser Vorschrift. Dem stehen weder die Verfolgung weiterer Zwecke wie der Kosteneffizienz noch der Umstand entgegen, dass der Kläger die gesundheitsbezogenen Leistungen nicht selbst erbringt, sondern diese nur vermittelt. Ferner ist in Gestalt des § 22 Abs. 1 Nr. 1 Buchst. b BDSG die nach Art. 9 Abs. 2 Buchst. h DSGVO erforderliche Rechtsgrundlage im nationalen Recht vorhanden. Zudem unterliegen die mit der Verarbeitung befassten Mitarbeiter des Klägers einer den Anforderungen des Art. 9 Abs. 3 DSGVO sowie des § 22 Abs. 1 Nr. 1 Buchst. b BDSG genügenden Geheimhaltungspflicht.
Die Verarbeitung ist jedoch nicht nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO zur Wahrung der berechtigten Interessen des Klägers zulässig. Denn die Abwägung der einander gegenüberstehenden Interessen unter Würdigung aller relevanten Umstände ergibt, dass die Interessen der Versicherten das berechtigte Interesse des Klägers überwiegen. Zwar haben das Ziel der Gesundheitsvorsorge und die angestrebte, auch im Interesse der Versicherten liegende Reduzierung von Behandlungskosten eine hohe Bedeutung. Ausschlaggebend sind jedoch der in Art. 9 DSGVO verankerte erhöhte Schutz sensibler Gesundheitsdaten und der Umstand, dass die Vorsorgeprogramme des Klägers nicht dem medizinischen Kernbereich zuzuordnen sind. Zudem fällt die große Streubreite der beanstandeten Datenverarbeitung ins Gewicht. Darüber hinaus hat der Kläger die von ihm verfolgten Interessen den betroffenen Versicherten entgegen Art. 13 Abs. 1 Buchst. d DSGVO nicht hinreichend deutlich mitgeteilt.
Hiernach konnte offenbleiben, ob die Weiterverarbeitung der vom Kläger ausschließlich zum Zweck der Kostenerstattung erhobenen Daten den Grundsatz der Zweckbindung verletzt (Art. 5 Abs. 1 Buchst. b, Art. 6 Abs. 4 DSGVO). Der angefochtene Bescheid leidet im Übrigen auch nicht an Ermessensfehlern.
Beratermodul ITRB - IT-Recht und Datenschutz
Otto Schmidt Answers ist in diesem Modul mit 5 Prompts am Tag enthalten! Nutzen Sie die Inhalte in diesem Modul direkt mit der KI von Otto Schmidt. Start-Abo: 3 Monate nutzen, nur 2 Monate zahlen! Komfortabel, vergünstigt, flexibel.
Versicherungswirtschaft und VersR online
Das Modul Versicherungswirtschaft und -recht bündelt die führenden Fachzeitschriften Versicherungswirtschaft (VW) und Versicherungsrecht (VersR). Start-Abo: 3 Monate nutzen, nur 2 Monate zahlen! Komfortabel, vergünstigt, flexibel.