Inhalt und Gegenstand der Entscheidung
I. Der Kläger, ein privater Krankenversicherungsverein auf Gegenseitigkeit, bietet im Rahmen seines Gesundheitsmanagements bestimmte Programme an (etwa Coaching-Angebote bei Diabetes, Asthma oder Rückenleiden). Zur Ermittlung potenzieller Teilnehmer analysiert er die zur Leistungsabrechnung eingereichten Rechnungen unter anderem hinsichtlich der darin enthaltenen Diagnosen. Versicherte, die für ein konkretes Gesundheitsprogramm in Betracht kommen, erhalten eine Einladung zur Teilnahme. Für die Datenanalyse holt der Kläger bei Neukunden sowie bei Vertragsänderungen von Bestandskunden eine datenschutzrechtliche Einwilligung ein. Bei allen übrigen Versicherten wird die Datenanalyse ohne Einwilligung durchgeführt. Im Februar 2022 verwarnte der beklagte Landesdatenschutzbeauftragte Rheinland-Pfalz den Kläger. Dieser habe mit der ohne vorherige Einwilligung der Betroffenen vorgenommenen Auswertung der Rechnungen gegen Bestimmungen der DSGVO verstoßen. Zudem wies der Beklagte den Kläger unter Fristsetzung an, entsprechende Datenverarbeitungen nur auf der Grundlage einer wirksamen Einwilligung durchzuführen. Auf die Klage hob das VG den Bescheid auf. Das OVG wies die Berufung des Beklagten zurück. Die streitgegenständliche Verarbeitung von Gesundheitsdaten sei nach der DSGVO gerechtfertigt. Sie erfülle die Vorgaben für eine zweckändernde Datenverarbeitung und sei für Zwecke der Gesundheitsvorsorge erforderlich. Die von der DSGVO geforderte Rechtsgrundlage des nationalen Rechts sei gegeben. Die Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen gehe zugunsten des Klägers aus.
II. Auf die Revision des Beklagten hat das BVerwG die Urteile der Vorinstanzen geändert und die Klage abgewiesen. Anders als das OVG hat es den angefochtenen Bescheid für materiell rechtmäßig gehalten.
1. Zunächst musste das BVerwG den Gegenstand der datenschutzrechtlichen Anordnung des Beklagten abgrenzen. Denn die Revision hatte geltend gemacht, der Kläger vermittle in seinem „Gesundheitsmanagement“ unter Nutzung sensibler Daten auch kommerzielle Angebote wie z.B. Rabattcodes für Brillen, Sonnenbrillen, Hörgeräte, Augenlaserkorrekturen oder ähnliche Produkte ohne Präventionsbezug. Das BVerwG stellt klar, dass der angefochtene Bescheid nur solche Datenverarbeitungen betrifft, die dazu dienen, potenzielle Teilnehmer für die vom Kläger angebotenen Vorsorge- und Präventivprogramme zu ermitteln.
2. Hieran anschließend bestätigt das BVerwG in einem ersten Schritt die Rechtsauffassung des OVG, dass die vom Kläger praktizierte Datenanalyse nicht gegen das Verbot der Verarbeitung von Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO verstoße.
a) In die Verarbeitung der Daten für den in Rede stehenden Zweck hätten zwar nicht alle betroffenen Personen gemäß Art. 9 Abs. 2 Buchst. a DSGVO ausdrücklich eingewilligt. Es lägen jedoch die Voraussetzungen des Ausnahmetatbestands des Art. 9 Abs. 2 Buchst. h DSGVO vor. Die Datenverarbeitung diene Zwecken der Gesundheitsvorsorge im Sinne dieser Vorschrift. Der Begriff der Gesundheitsvorsorge umfasse im Ausgangspunkt die Gesamtheit der Maßnahmen, mit denen eine Krankheit nach Möglichkeit vermieden werden solle. Er sei nicht auf den engen Bereich des Arzt-Patienten-Verhältnisses beschränkt. Dies folge aus der Normsystematik sowie aus Art. 35 GRC, der das Recht auf Zugang zur Gesundheitsvorsorge neben dem Recht auf ärztliche Versorgung nenne. Die vom EuGH geforderte enge Auslegung wirke sich erst beim Tatbestandsmerkmal der Erforderlichkeit aus. Je weiter sich die konkreten Maßnahmen der Gesundheitsvorsorge, auf die sich die Datenverarbeitung beziehe, von dem Kernbereich der medizinischen Versorgung und dem Arzt-Patienten-Verhältnis entfernten, desto strengere Maßstäbe seien im Rahmen der Prüfung der Erforderlichkeit der Verarbeitung anzulegen. Jedenfalls umfasst seien von einer privaten Krankenversicherung angebotene Vorsorge- und Präventivprogramme wie etwa Coaching-Angebote bei Diabetes, Asthma oder Rückenleiden. Auf Art. 9 Abs. 2 Buchst. h DSGVO könnten sich auch private Krankenversicherer berufen, und zwar auch dann, wenn gesundheitsbezogenen Leistungen nicht selbst erbracht, sondern, wie hier, nur vermittelt würden.
b) Die Verarbeitung der Gesundheitsdaten durch den Kläger erachtet das BVerwG für die Zwecke der Gesundheitsvorsorge i.S.d. Art. 9 Abs. 2 Buchst. h DSGVO auch als erforderlich. Der anzulegende Maßstab sei in Anknüpfung an die Rechtsprechung des EuGH zu dem in Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO geregelten Erlaubnistatbestand der Wahrung berechtigter Interessen zu bestimmen. Zusätzlich müssten mit Blick auf Satz 1 des Erwägungsgrundes 53 zumindest auch die Interessen einzelner, insbesondere der betroffenen Personen bzw. der Gesellschaft insgesamt gefördert werden. Dagegen setze Art. 9 Abs. 2 Buchst. h DSGVO keine Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen voraus. Dies folgert das BVerwG vor allem aus dem systematischen Zusammenhang mit Art. 6 DSGVO. Es verweist auf die Rechtsprechung des EuGH, nach der eine auf Art. 9 Abs. 2 Buchst. h DSGVO gestützte Verarbeitung von Gesundheitsdaten nur dann rechtmäßig sei, wenn sie nicht nur die sich aus dieser Bestimmung ergebenden Anforderungen einhalte, sondern auch mindestens eine der in Art. 6 Abs. 1 DSGVO genannten Rechtmäßigkeitsvoraussetzungen erfülle. Werde die Verarbeitung besonders sensibler Daten i.S.d. Art. 9 Abs. 1 DSGVO auf den in Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO geregelten Erlaubnistatbestand der Wahrung berechtigter Interessen gestützt, ergebe sich das Abwägungserfordernis unmittelbar aus jener Norm. Bei anderen in Art. 6 Abs. 1 DSGVO genannten Erlaubnistatbeständen komme eine Abwägung entweder – wie in den Fällen des Art. 6 Abs. 1 Unterabs. 1 Buchst. b und d DSGVO – von vornherein nicht in Betracht oder sei – wie etwa bei Art. 6 Abs. 1 Unterabs. 1 Buchst. c und e DSGVO – abstrakt von dem zuständigen Normgeber vorzunehmen. Die Annahme eines sich bei der Verarbeitung sensibler Gesundheitsdaten generell bereits aus Art. 9 Abs. 2 Buchst. h DSGVO ergebenden Abwägungserfordernisses würde das differenzierte Regelungskonzept des Unionsgesetzgebers unterlaufen.
c) Im Rahmen der Subsumtion geht das BVerwG zunächst auf die Möglichkeit der Einholung einer Einwilligung als weniger eingriffsintensives Mittel ein. Es verweist darauf, dass der Einwilligung kein genereller Vorrang gegenüber den anderen in Art. 6 Abs. 1 DSGVO genannten Erlaubnistatbeständen zukomme. Unabhängig davon könnten ohne die Einholung der Einwilligung auch solchen Versicherten individuelle Angebote unterbreitet werden, die die erbetene Einwilligung möglicherweise nur aus Passivität nicht erteilten. Dass der Kläger bei Neukunden sowie bei Vertragsänderungen von Bestandskunden seit 2017 eine Einwilligung einholt, sieht das BVerwG nicht als Beleg, dass der Zweck der Gesundheitsvorsorge hierdurch ebenso wirksam erreicht werden könne. Vielmehr sei dies mit den Schwierigkeiten der datenschutzrechtlichen Beurteilung sowie den Belangen der Rechtssicherheit und Praktikabilität zu erklären. Das BVerwG bejaht auch die Vereinbarkeit mit dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 Buchst. c DSGVO). Die den Rechnungen entnommenen Diagnosedaten seien für den Zweck der Unterbreitung individuell zugeschnittener Vorsorgeprogramme erheblich und angemessen. Das für den Zweck notwendige Maß würde die Verarbeitung nur dann überschreiten, wenn sie Daten von Versicherten umfassen würde, die der Verarbeitung zu dem fraglichen Zweck widersprochen hätten und bei denen daher feststehe, dass der Zweck nicht erreicht werden könne. Dies sei nach den Feststellungen im Berufungsurteil nicht der Fall. Weiter bestätigt das BVerwG die Annahme der Vorinstanz, dass die streitgegenständliche Datenverarbeitung auch im Interesse der Versicherten und der Gesellschaft insgesamt erfolge. Führe eine verbesserte Gesundheitsvorsorge zur Reduzierung des Gesamtvolumens der vom Kläger vertragsgemäß zu erstattenden Behandlungskosten, werde sich dies regelmäßig auch auf die Kalkulation der zukünftigen Beiträge im Sinne einer Reduzierung der Belastung einer Vielzahl von Versicherten auswirken.
d) In § 22 Abs. 1 Nr. 1 Buchst. b BDSG sieht das BVerwG die nach Art. 9 Abs. 2 Buchst. h DSGVO erforderliche Rechtsgrundlage im nationalen Recht. Die Regelung verletze nicht das unionsrechtliche Normwiederholungsverbot. Denn sie erschöpfe sich nicht in einer bloßen Wiederholung des Wortlauts des Art. 9 Abs. 2 Buchst. h und Abs. 3 DSGVO. Zudem diene sie der besseren Erkennbarkeit für den Rechtsanwender und der Sicherstellung eines kohärenten Rechtsrahmens, so dass mit Blick auf den Erwägungsgrund 8 der DSGVO eine teilweise Aufnahme in das nationale Recht zulässig sei. Unerheblich sei, dass es sich bei § 22 Abs. 1 Nr. 1 Buchst. b BDSG nicht, wie vom OVG angenommen, um eine „Brückennorm“ i.S.d. Rechtsprechung des BVerwG handle. Ein Verstoß gegen eine sich aus der DSGVO vermeintlich ergebende Konkretisierungsverpflichtung liege nicht vor. Art. 9 Abs. 2 Buchst. h DSGVO verlange vom nationalen Gesetzgeber im Wesentlichen nur die Entscheidung, ob die in der Vorschrift angelegte Verarbeitungsbefugnis „aktiviert“ werde. Ferner sei § 22 Abs. 1 Nr. 1 Buchst. b BDSG auch mit den rechtsstaatlichen und (unions-)grundrechtlichen Bestimmtheitsanforderungen vereinbar.
e) Schließlich stellt das BVerwG klar, dass die mit der Verarbeitung befassten Mitarbeiter des Klägers einer den Anforderungen des Art. 9 Abs. 3 DSGVO sowie des § 22 Abs. 1 Nr. 1 Buchst. b BDSG genügenden Geheimhaltungspflicht unterliegen. Diese ergebe sich aus § 203 Abs. 1 Nr. 7 StGB. Mit Blick auf den umfassenden Schutzzweck dieser Strafnorm bedürfe es nicht zusätzlich noch einer spezifisch berufsrechtlich geregelten Geheimhaltungspflicht.
3. Anders als die Vorinstanz gelangt das BVerwG jedoch zu dem Ergebnis, dass die Verarbeitung nicht nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO zur Wahrung der berechtigten Interessen des Klägers zulässig ist. Hinsichtlich der Anwendbarkeit dieser Norm verweist das BVerwG auf die Rechtsprechung des EuGH, nach der eine auf Art. 9 Abs. 2 Buchst. h DSGVO gestützte Verarbeitung von Gesundheitsdaten nur dann rechtmäßig ist, wenn sie nicht nur die sich aus dieser Bestimmung ergebenden Anforderungen einhält, sondern auch mindestens eine der in Art. 6 Abs. 1 DSGVO genannten Rechtmäßigkeitsvoraussetzungen erfüllt. Nach der hier nur in Betracht kommenden Bestimmung des Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO muss die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich sein, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Von den drei kumulativen Voraussetzungen dieser Bestimmung erachtet das BVerwG zwei hier als nicht erfüllt.
a) Zum einen verneint das BVerwG schon die Voraussetzung der Wahrnehmung eines „berechtigten Interesses“. Zwar bestehe an der Legitimität des Angebots der Vorsorgeprogramme auch ohne eine gesetzliche oder vertragliche Regelung kein Zweifel. Ob diese Programme dem Leitbild des Versicherungsvertragsgesetzes entsprächen, sei entgegen der Annahme des OVG ohne Bedeutung. Der Kläger sei jedoch seiner in Art. 13 Abs. 1 Buchst. d DSGVO geregelten Verpflichtung nicht nachgekommen, den betroffenen Personen, bei denen die personenbezogenen Daten erhoben werden, die verfolgten berechtigten Interessen mitzuteilen. Verstoße der Verantwortliche gegen seine Informationspflicht aus Art. 13 Abs. 1 Buchst. d DSGVO, fehle es nach der Rechtsprechung des EuGH auch an der in Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO geregelten Voraussetzung der Wahrnehmung eines „berechtigten Interesses“. Der nach den tatrichterlichen Feststellungen vom Kläger ab 2018 mit den Leistungsmitteilungen versandte Flyer habe nur Versicherte erreichen können, die Rechnungen eingereicht und deshalb Leistungsmitteilungen erhalten hätten. Unabhängig davon hätten die Versicherten anhand der allgemein gehaltenen Informationen nicht absehen können, für welches Angebot von konkreten Leistungen ihre Daten verwendet würden.
b) Zum anderen gelangt das BVerwG bei der nach der Rechtsprechung des EuGH zu Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO gebotenen Abwägung der einander gegenüberstehenden Interessen unter Würdigung aller relevanten Umstände zu dem von der Vorinstanz abweichenden Ergebnis, dass die Interessen der Versicherten das berechtigte Interesse des Klägers überwiegen.
Das BVerwG stellt hierbei maßgeblich darauf ab, dass die Verarbeitung besonders sensible Gesundheitsdaten betrifft, die in den Anwendungsbereich des grundsätzlichen Verarbeitungsverbots nach Art. 9 Abs. 1 DSGVO fallen. Diese Regelung habe den Zweck, einen erhöhten Schutz vor Datenverarbeitungen zu gewährleisten, die aufgrund der besonderen Sensibilität der Daten einen besonders schweren Eingriff in die durch die Art. 7 und 8 GRC verbürgten Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten darstellen könnten. Jenseits der in Art. 9 Abs. 2 Buchst. h und Abs. 3 DSGVO geregelten Voraussetzungen für Ausnahmen von dem Verbot des Art. 9 Abs. 1 DSGVO müsse sich dieses höhere Schutzniveau sensibler Gesundheitsdaten auch bei der Gewichtung der Belange im Rahmen der nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO vorzunehmenden Abwägung niederschlagen. Dies diene der Vermeidung von Schutzlücken, die sich aus dem weiten, über den Kernbereich der medizinischen Versorgung und das Arzt-Patienten-Verhältnis hinausreichenden Verständnis des in Art. 9 Abs. 2 Buchst. h DSGVO genannten Begriffs der Gesundheitsvorsorge ergeben könnten.
Zwar weist das BVerwG auf die hohe Bedeutung hin, die das Ziel der Gesundheitsvorsorge und die angestrebte, auch im Interesse der Versicherten liegende Reduzierung von Behandlungskosten hätten. Die vom OVG genannten Regelungen zur nationalen Präventionsstrategie (§ 20d SGB V) und nationalen Präventionskonferenz (§ 20e SGB V) sähen unter bestimmten Voraussetzungen auch eine Einbindung privater Krankenversicherungsunternehmen vor. Zu berücksichtigen sei ferner, dass die Datenverarbeitung jenseits des Eingriffs in die durch die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten (Art. 7 und 8 GRC) ausgehend von den Feststellungen des OVG nicht zu weiteren erheblichen Nachteilen für die betroffenen Versicherten führten. Insbesondere sei danach keine „Stigmatisierung“ bei Nichtannahme eines Angebots für ein Vorsorgeprogramm zu befürchten, und die Betroffenen könnten jedenfalls für die Zukunft der Verarbeitung widersprechen. Zudem bleibe die Intensität des Grundrechtseingriffs dadurch begrenzt, dass der Kläger die durch die Analyse der Rechnungen generierten Daten ausschließlich selbst verarbeite und nicht an Dritte übermittle.
Die genannten Belange überwiegen für das BVerwG jedoch im Ergebnis nicht den in Art. 9 DSGVO verankerten erhöhten Schutz sensibler Gesundheitsdaten. Neben der Verstärkung des Gewichts des Eingriffs durch die große „Streubreite“ der Datenverarbeitung misst das BVerwG vor allem dem Umstand Bedeutung zu, dass die Vorsorgeprogramme des Klägers nicht dem Kernbereich der medizinischen Versorgung bzw. dem Arzt-Patienten-Verhältnis zuzuordnen seien und der Kläger die gesundheitsbezogenen Leistungen nicht selbst erbringe, sondern nur vermittle. Deshalb müssten die betroffenen Versicherten vernünftigerweise nicht mit der ohne Einwilligung zu diesem Zweck durchgeführten Verarbeitung der sensiblen Gesundheitsdaten rechnen, die der Kläger den zur vertragsgemäßen Erstattung eingereichten Rechnungen entnehme.
4. In der Ermessensausübung des Beklagten sieht das BVerwG keinen Grund zur Beanstandung. Da ein sog. intendiertes Ermessen bestehe, habe der Bescheid keine Ermessenserwägungen enthalten müssen. Das Berufungsurteil war deshalb auch nicht aus anderen Gründen im Ergebnis richtig (§ 144 Abs. 4 VwGO).
Kontext der Entscheidung
I. Von einer Vorlage an den EuGH im Wege des Vorabentscheidungsverfahrens nach Art. 267 Abs. 3 AEUV hat das BVerwG abgesehen. Zwar gibt es etwa zu dem Begriff der Gesundheitsvorsorge i.S.d. Art. 9 Abs. 2 Buchst. h DSGVO oder zu der Frage, wann die Verarbeitung für Zwecke der Gesundheitsvorsorge nach dieser Bestimmung „erforderlich“ ist, bisher keine Rechtsprechung des EuGH. Dass der Begriff der Gesundheitsvorsorge jedenfalls von einer privaten Krankenversicherung angebotene Vorsorge- und Präventivprogramme wie etwa Coaching-Angebote bei Diabetes, Asthma oder Rückenleiden umfasst und Art. 9 Abs. 2 Buchst. h DSGVO – anders als Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO – keine Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen voraussetzt, hat das BVerwG jedoch jeweils als „acte clair“ angesehen.
II. Weil es schon an dem Vorliegen einer in Art. 6 Abs. 1 DSGVO genannten Rechtmäßigkeitsvoraussetzung fehlte, konnte das BVerwG offenlassen, ob wegen der Zweckänderung auch ein Verstoß gegen den Grundsatz der Zweckbindung (Art. 5 Abs. 1 Buchst. b, 6 Abs. 4 DSGVO) vorliegt. Denn nach der Rechtsprechung des EuGH ist eine auf Art. 9 Abs. 2 Buchst. h DSGVO gestützte Verarbeitung von Gesundheitsdaten nur dann rechtmäßig, wenn sie sowohl die sich aus dieser Bestimmung ergebenden Anforderungen als auch die sich aus den Art. 5 Abs. 1 Buchst. a und 6 Abs. 1 dieser Verordnung ergebenden Pflichten einhält und insbesondere eine der in Art. 6 Abs. 1 DSGVO genannten Rechtmäßigkeitsvoraussetzungen erfüllt (EuGH, Urt. v. 21.12.2023 - C-667/21 Rn. 78 „Medizinischer Dienst der Krankenversicherung Nordrhein“). Art. 5 Abs. 1 Buchst. b DSGVO ist zusammen mit Art. 6 Abs. 1 Buchst. a DSGVO und Art. 6 Abs. 4 DSGVO zu lesen (EuGH, Urt. v. 20.10.2022 - C-77/21 Rn. 34 „Digi“). Erforderlich ist danach, dass das nationale Gericht unter Berücksichtigung der in Art. 6 Abs. 4 DSGVO aufgeführten Kriterien und sämtlicher Umstände, die den vorliegenden Fall kennzeichnen, sowohl die Zwecke der ursprünglichen Erhebung der personenbezogenen Daten als auch der Weiterverarbeitung dieser Daten ermittelt und, falls die Zwecke der Weiterverarbeitung von den Zwecken der ursprünglichen Erhebung abweichen, überprüft, ob die Weiterverarbeitung der Daten mit den Zwecken der ursprünglichen Erhebung vereinbar ist (EuGH, Urt. v. 20.10.2022 - C-77/21 Rn. 38 „Digi“).
III. Zu dem in Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO geregelten Erlaubnistatbestand der Wahrung berechtigter Interessen hat das BVerwG zuletzt eine ebenfalls den Gesundheitsbereich betreffende Entscheidung getroffen. Danach kann sich ein Unternehmen, das in allgemein zugänglichen Verzeichnissen veröffentlichte Telefonnummern von Zahnarztpraxen erhebt und speichert, um unter Nutzung dieser Daten Telefonwerbung zu betreiben, nicht auf den in Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO geregelten Erlaubnistatbestand der Wahrung berechtigter Interessen berufen. Vielmehr bedarf es einer zumindest mutmaßlichen Einwilligung der betroffenen Zahnärzte i.S.d. § 7 Abs. 2 Nr. 1 UWG (BVerwG, Urt. v. 29.01.2025 - 6 C 3/23 Rn. 54 ff. - BVerwGE 184, 315; vgl. hierzu Hahn, jurisPR-BVerwG 15/2025 Anm. 2).
