Kurze Einordnung
Eine Entscheidung des Bundesverwaltungsgerichts aus März 2026 hat die Aufmerksamkeit auf eine zentrale Frage gelenkt: Wann dürfen Gesundheitsdaten für zusätzliche Zwecke ausgewertet werden, wenn die betroffene Person nicht ausdrücklich eingewilligt hat? Der Fall betraf eine private Krankenversicherung und die Nutzung von Diagnosedaten aus Erstattungsrechnungen für Gesundheits- und Vorsorgeangebote. Die Kernaussage ist auch für Einrichtungen im Gesundheits- und Sozialwesen wichtig: Gesundheitsdaten bleiben besonders geschützt, auch wenn sie bereits rechtmäßig vorliegen.
Praxisrisiken/Fälle
Viele Einrichtungen möchten vorhandene Daten nutzen, um gute Angebote zu machen. Beispiele sind Erinnerungen an Vorsorge, Hinweise auf Sturzrisiken, Unterstützungsangebote bei chronischen Erkrankungen, Auswertungen von Pflegeverläufen, Einladungen zu Gruppenangeboten oder interne Risikoanalysen. Das klingt zunächst nach einem positiven Zweck. Datenschutzrechtlich reicht ein guter Zweck allein aber nicht aus.
Ein Risiko entsteht, wenn Daten, die für Behandlung, Pflege, Betreuung, Teilhabeplanung oder Abrechnung erhoben wurden, plötzlich für Ansprache, Selektion oder Profilbildung genutzt werden. Profilbildung bedeutet, dass aus Daten Merkmale oder Wahrscheinlichkeiten über eine Person abgeleitet werden. In Einrichtungen kann das z. B. passieren, wenn aus Diagnosen, Hilfebedarfen oder Medikamentenlisten automatisch Zielgruppen für Beratungsangebote gebildet werden.
Besonders kritisch ist die Mischung aus sensiblen Daten und unklarer Information. Betroffene müssen nachvollziehen können, was mit ihren Daten geschieht. Wenn Patient:innen, Bewohner:innen, Klient:innen oder gesetzliche Vertretungen nur über die Primärdokumentation informiert wurden, ist eine spätere Nutzung für andere Zwecke nicht automatisch umfasst. Auch ein berechtigtes Interesse greift bei Gesundheitsdaten nicht. Zusätzlich ist zu prüfen, ob eine besondere Erlaubnis für Gesundheitsdaten vorliegt.
Für kirchliche, freigemeinnützige und kommunale Träger ist die Entscheidung zudem ein Anlass, interne Projektideen genauer zu prüfen. Gerade Präventions- und Versorgungsprogramme wirken häufig unkritisch, weil sie helfen sollen. Die Datenschutzfrage lautet aber nicht nur: „Ist das nützlich?“, sondern auch: „Durfte diese Einrichtung diese konkreten Daten für diesen konkreten Zweck nutzen?“
Praktischer Hinweis/Checkliste
Neue Präventions-, Beratungs- oder Analyseprojekte nicht allein als „Service“ einordnen, sondern als eigene Datenverarbeitung prüfen.
Keine sensiblen Zielgruppenlisten aus Diagnosen, Pflegeberichten oder Hilfeplänen erstellen, ohne Rechtsgrundlage und Information zu prüfen.
Einwilligungen nur nutzen, wenn sie freiwillig, verständlich, nachweisbar und widerrufbar gestaltet werden können.
Bei automatisierten Auswertungen klären, ob zusätzliche Risiken für Betroffene entstehen, z. B. Stigmatisierung oder Fehlzuordnung.
Ergebnisse von Analysen nur den Personen zugänglich machen, die sie für ihre Aufgabe benötigen.
Nächste Schritte
Einrichtungen sollten laufende Projekte mit Gesundheits-, Pflege- oder Teilhabedaten daraufhin prüfen, ob der Zweck noch dem ursprünglichen Erhebungszweck entspricht. Wo Daten für zusätzliche Angebote, Selektionen oder Auswertungen genutzt werden, sollten Informationspflichten, Rechtsgrundlage und Widerspruchs- bzw. Widerrufsprozesse überprüft werden. Empfehlenswert ist eine kurze Entscheidungsvorlage je Projekt: Zweck, Datenarten, betroffene Personengruppen, Empfänger, Speicherdauer, Rechtsgrundlage und Schutzmaßnahmen.
So bleibt nachvollziehbar, warum ein Projekt datenschutzrechtlich vertretbar ist – oder warum es angepasst werden muss. Gerne unterstützen wir Sie dabei. Jetzt Kontakt aufnehmen!