Datenauswertung in der privaten Krankenversicherung: Rechtsrahmen für Präventionsangebote.
Digitale Auswertungen von Gesundheitsdaten eröffnen privaten Krankenversicherungen neue Möglichkeiten, Versicherte gezielt mit Präventions- und Vorsorgeangeboten anzusprechen. Gleichzeitig bewegen sich solche Modelle in einem besonders sensiblen datenschutzrechtlichen Umfeld. Ein aktuelles Urteil des Bundesverwaltungsgerichts zeigt das besondere Verhältnis zwischen Art. 9 und Art. 6 DSGVO und wie wichtig die Einhaltung der Transparenzanforderungen bei der Verarbeitung personenbezogener Daten aufgrund berechtigten Interesses ist.
Thorsten Walter berät Unternehmen zu den rechtlichen und organisatorischen Anforderungen einer datengetriebenen und digitalisierten Wirtschaft. Sein Fokus liegt auf Datenschutz, digitaler Compliance sowie der Ausgestaltung nachhaltiger Governance-Strukturen zur Steuerung regulatorischer Risiken.
Dr. Tilmann Dittrich ist Teil der Praxisgruppe Data, Digital & Governance. Seine Beratungsschwerpunkte liegen insbesondere an der Schnittstelle von Datenrecht, Cybersecurity, NIS-2-Compliance sowie im Healthcare- und Life-Sciences-Bereich.
Das Urteil: Prävention möglich, aber nicht grenzenlos.
Im Ausgangsfall wertete eine private Krankenversicherung Diagnosedaten aus eingereichten Rechnungen aus, um Versicherten passende Gesundheitsprogramme anzubieten, etwa Coaching bei bestimmten Erkrankungen.
Das Bundesverwaltungsgericht stellt dabei klar, dass solche Datenverarbeitungen grundsätzlich zulässig sein können. Insbesondere kann die Nutzung von Gesundheitsdaten nach Art. 9 DSGVO zu Zwecken der Gesundheitsvorsorge gerechtfertigt sein, selbst wenn der Versicherer entsprechende Leistungen nicht selbst erbringt, sondern lediglich vermittelt.
Gleichzeitig betont das Gericht jedoch, dass diese erste Hürde allein nicht genügt. Auch wenn die strengen Voraussetzungen für die Verarbeitung von Gesundheitsdaten erfüllt sind, bedarf es zusätzlich einer tragfähigen allgemeinen Rechtsgrundlage nach Art. 6 DSGVO. Fehlt es daran, bleibt die Verarbeitung unzulässig.
Der „klassische“ Weg: Einwilligung mit belastbarer Informationsgrundlage.
In der Praxis bietet die Einwilligung häufig den rechtssichersten Ansatz für entsprechende Datenanalysen.
Entscheidend ist dabei jedoch, dass die Einwilligung auf einer ausreichenden Informationsgrundlage beruht. Versicherte müssen nachvollziehen können,
welche Daten verarbeitet werden,
zu welchen konkreten Zwecken die Auswertung erfolgt und
welche Folgen sich daraus ergeben können.
Pauschale Hinweise genügen insoweit nicht. Je stärker die Datenverarbeitung individualisierte Angebote oder Profilbildungen ermöglicht, desto klarer und verständlicher müssen die Informationen ausgestaltet sein.
Setzen Versicherer also auf die Einwilligung, folgt hieraus nicht, dass es sich um einen bloßen „Formbaustein“, sondern Teil eines konsistenten und transparenten Datenkonzepts handelt.
Alternative: Berechtigtes Interesse – mit erhöhten Anforderungen.
Neben der Einwilligung kommt grundsätzlich auch eine Datenverarbeitung auf Grundlage eines berechtigten Interesses in Betracht. Hier setzt das Urteil jedoch klare Akzente.
Zum einen sind die Transparenzanforderungen besonders hoch. Versicherte müssen konkret erkennen können, wie und aufgrund welchen berechtigten Interesses ihre Daten genutzt werden. Allgemeine Formulierungen reichen nicht aus, um eine tragfähige Rechtsgrundlage zu begründen.
Zum anderen unterliegt die Verarbeitung einer Interessenabwägung, bei der Gesundheitsdaten aufgrund ihrer Sensibilität ein besonders hohes Gewicht haben. Faktoren wie der Umfang der Datenverarbeitung, die Zahl der betroffenen Personen und die Erwartungshaltung der Versicherten spielen hierbei eine zentrale Rolle.
Besonders praxisrelevant ist die Erkenntnis des Gerichts:
Auch wenn die spezifischen Anforderungen für Gesundheitsdaten erfüllt sind, kann die Verarbeitung dennoch an der allgemeinen Interessenabwägung scheitern. Die beiden Prüfungsebenen greifen ineinander – sind aber unabhängig voneinander zu erfüllen.
Dokumentation und Abwägung als Schlüssel zur Rechtssicherheit.
Das Urteil verdeutlicht, dass erfolgreiche Datenstrategien nicht nur technisch, sondern vor allem rechtlich sorgfältig ausgestaltet sein müssen.
Unternehmen sollten insbesondere:
ihre Zwecke klar definieren und transparent kommunizieren,
die Rechtsgrundlage bewusst wählen und dokumentieren,
sowie die zugrunde liegende Interessenabwägung nachvollziehbar verschriftlichen.
Gerade im Bereich sensibler Daten wird die Qualität der Dokumentation zunehmend zum entscheidenden Faktor – sowohl gegenüber Aufsichtsbehörden als auch im Rahmen interner Compliance-Strukturen.
Healthcare Forum Frankfurt 2026.
Wie verändern Datenschutz, Künstliche Intelligenz, Cybersecurity und regulatorische Anforderungen das Gesundheitswesen? Diskutieren Sie mit Expertinnen und Experten aktuelle Entwicklungen, praxisnahe Lösungen und strategische Perspektiven für den Gesundheitssektor.
📅 3. November 2026 | Frankfurt am Main | 150 € netto (inkl. Verpflegung)
Ausblick: KI-Anwendungen und regulatorische Entwicklungen.
Mit der zunehmenden Nutzung datengetriebener Auswertungen – insbesondere unter Einsatz von Künstlicher Intelligenz – gewinnen zusätzliche regulatorische Anforderungen an Bedeutung.
Neben der DSGVO sind künftig verstärkt die Vorgaben der KI-Verordnung zu berücksichtigen, etwa im Hinblick auf verbotene Praktiken und besondere Transparenzpflichten. Zudem kann bei automatisierten Auswertungen schnell der Anwendungsbereich der Regelungen zu automatisierten Entscheidungen und Profiling erreicht sein.
Parallel dazu zeigen aktuelle Entwicklungen im Bereich der gesetzlichen Krankenversicherung, dass die Nutzung von Gesundheitsdaten politisch gewollt ist, aber zugleich eng reguliert bleibt. Der Entwurf eines Gesetzes für Daten und digitale Innovation im Gesundheitswesen (GeDIG) zielt darauf ab, datenbasierte Auswertungen auszuweiten – allerdings innerhalb klar definierter Grenzen.
Für private Krankenversicherer bedeutet das: Die Bedeutung datenbasierter Modelle wird weiter zunehmen. Gleichzeitig steigen die Anforderungen an Transparenz, Governance und rechtliche Absicherung.