Versicherer in NRW tauschen illegal Gesundheitsdaten aus

DÜSSELDORF / MÜNCHEN (IT BOLTWISE) – In Nordrhein-Westfalen stehen mehrere Versicherungsunternehmen im Verdacht, illegal Gesundheitsdaten ihrer Kunden ausgetauscht zu haben. Die Landesdatenschutzbeauftragte Bettina Gayk hat Untersuchungen eingeleitet, um die Vorfälle aufzuklären.

In Nordrhein-Westfalen sind zehn Versicherungsunternehmen in den Fokus der Landesdatenschutzbeauftragten geraten. Der Vorwurf: Sie sollen personenbezogene Gesundheitsdaten ihrer Kunden unrechtmäßig per E-Mail ausgetauscht haben. Ziel dieses Austauschs war es, Betrugsfälle aufzudecken, insbesondere im Bereich der Auslandsreisekrankenversicherungen. Bettina Gayk, die Landesbeauftragte für Datenschutz und Informationsfreiheit, spricht von einem “Datenkartell” und hat umfassende Untersuchungen eingeleitet.

Der Austausch der Daten erfolgte über einen geschlossenen E-Mail-Verteiler, der mehrere Mitarbeiter der beteiligten Unternehmen adressierte. Besonders brisant ist, dass auch Daten von Minderjährigen und sensible Gesundheitsinformationen, wie medizinische Diagnosen, betroffen sind. Diese Praxis verstößt gegen geltende Datenschutzrichtlinien und wirft Fragen zur Sicherheit und zum Schutz der Versichertendaten auf.

Besonders problematisch ist, dass die Daten teilweise auch an Versicherungen übermittelt wurden, die keinen direkten Kontakt zu den betroffenen Personen hatten. Zudem war der Austausch nicht auf die zehn Versicherer aus NRW beschränkt. Insgesamt sollen 30 weitere Unternehmen aus anderen Bundesländern und dem europäischen Ausland beteiligt gewesen sein, was das Ausmaß des Skandals noch vergrößert.

Die Landesdatenschutzbeauftragte kritisiert, dass beim E-Mail-Austausch keinerlei Vorkehrungen zum Schutz der Informationen getroffen wurden. Dabei existiert im Versicherungssektor seit Jahren das Hinweis- und Informationssystem (HIS), das einen datenschutzkonformen Austausch ermöglicht. Dieses System kennt klare Kriterien für Abfragen und Einträge, sichert Betroffenenrechte und sieht Löschfristen vor. Besonders sensible Gesundheitsdaten dürfen dabei nicht verarbeitet werden.

Das Ziel, Versicherungsbetrug aufzudecken, ist zwar legitim, doch rechtfertigt es nicht den Verstoß gegen Datenschutzrichtlinien. Die Privatsphäre der Versicherten muss gewahrt bleiben, insbesondere wenn es sich um unbescholtene Versicherungsnehmer handelt. Die Untersuchungen der Landesdatenschutzbeauftragten dauern an, und auch die übrigen beteiligten Unternehmen außerhalb von NRW müssen mit Konsequenzen rechnen.

Bei den zehn Unternehmen aus NRW konnte der rechtswidrige Datenaustausch bereits gestoppt werden. Dennoch bleibt die Frage, wie es zu einem solch massiven Verstoß kommen konnte und welche Maßnahmen künftig getroffen werden müssen, um die Daten der Versicherten besser zu schützen. Eine gemeinsam koordinierte Prüfung der Vorfälle wurde eingeleitet, um die Verantwortlichen zur Rechenschaft zu ziehen und ähnliche Vorfälle in Zukunft zu verhindern.