Private Krankenversicherung darf Diagnosen aus Rechnungen nicht ohne Einwilligung analysieren und weiterverarbeiten
6 C 7.24 | Bundesverwaltungsgericht, Urteil vom 06.03.2026
Private Krankenversicherer sind ohne ausdrückliche Einwilligung der Versicherten nicht berechtigt, Diagnosen aus zur Erstattung eingereichten Rechnungen auszuwerten, um potenzielle Teilnehmer für Vorsorgeprogramme zu identifizieren. Eine solche Datenverarbeitung ist zwar grundsätzlich durch den Art. 9 Abs. 2 Buchst. h DSGVO (Zwecke der Gesundheitsvorsorge) gedeckt, kann jedoch nicht über die berechtigten Interessen nach Art. 6 Abs. 1 Buchst. f DSGVO legitimiert werden, wenn die Interessen der Betroffenen überwiegen. Versicherte genießen einen erhöhten Schutz sensibler Gesundheitsdaten; Programme, die nicht zum medizinischen Kernbereich zählen, dürfen daher nicht ohne Einwilligung auf Grundlage von Abrechnungsdaten beworben werden.
Das Bundesverwaltungsgericht (BVerwG) entschied am 6. März 2026 (Az. 6 C 7.24), dass private Krankenversicherungen Diagnosen aus Rechnungen, die von Versicherten zur Kostenerstattung eingereicht werden, nicht ohne deren Einwilligung für die Werbung oder Teilnahmeermittlung an Gesundheitsprogrammen verwenden dürfen. Hintergrund war ein Fall, in dem ein privater Krankenversicherer Rechnungen analysierte, um Versicherte für Coaching- oder Präventionsangebote bei Erkrankungen wie Diabetes oder Asthma zu identifizieren. Bei Neukunden und Vertragsänderungen wurde eine datenschutzrechtliche Einwilligung eingeholt, bei anderen Versicherten jedoch nicht.
Das BVerwG änderte damit die Entscheidungen der Vorinstanzen, die der Verarbeitung grundsätzlich zugestimmt hatten. Zwar erfülle die Datenverarbeitung die Voraussetzungen des Art. 9 Abs. 2 Buchst. h DSGVO für Zwecke der Gesundheitsvorsorge. Allerdings sei die Verarbeitung nicht durch die berechtigten Interessen des Versicherers nach Art. 6 Abs. 1 Buchst. f DSGVO gedeckt, da das überwiegende Interesse der Versicherten am Schutz ihrer sensiblen Gesundheitsdaten überwiege. Besonders relevant sei, dass die Vorsorgeprogramme des Versicherers nicht zum medizinischen Kernbereich zählten und die Versicherten nicht hinreichend über die Datenverarbeitung informiert wurden.
Das Urteil verdeutlicht die strengen Anforderungen an die Nutzung sensibler Gesundheitsdaten durch private Krankenversicherungen und stellt klar, dass für die Auswertung von Diagnosen aus Abrechnungsdaten eine wirksame Einwilligung der Versicherten erforderlich ist. Eine bloße Berufung auf das berechtigte Interesse des Versicherers oder auf den Zweck der Gesundheitsvorsorge reicht nicht aus, wenn die Betroffenenrechte überwiegen.
