6 C 7.24

Die Revision des Beklagten ist begründet. Das Berufungsurteil verletzt revisibles Recht im Sinne des § 137 Abs. 1 Nr. 1 VwGO und stellt sich auch nicht aus anderen Gründen im Ergebnis als richtig dar (§ 144 Abs. 4 VwGO). Entgegen der Annahme des Oberverwaltungsgerichts ist der angefochtene Bescheid des Beklagten vom 10. Februar 2022 materiell rechtmäßig. Soweit sie Gegenstand der datenschutzrechtlichen Anordnung ist (1.), steht der vom Kläger praktizierten Datenanalyse zwar nicht das Verbot der Verarbeitung von Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO entgegen (2.). Es fehlt jedoch an einem Erlaubnistatbestand im Sinne des Art. 6 Abs. 1 DSGVO (3.). Ob die Datenverarbeitung darüber hinaus den Grundsatz der Zweckbindung verletzt (Art. 5 Abs. 1 Buchst. b, Art. 6 Abs. 4 DSGVO), bedarf keiner Entscheidung (4.). Das Berufungsurteil erweist sich auch nicht mit Blick auf dem aufgehobenen Bescheid anhaftende Ermessensfehler im Ergebnis als richtig (5.).

1. Gegenstand der angefochtenen datenschutzrechtlichen Anordnung des Beklagten vom 10. Februar 2022 und damit auch der auf die Anfechtungsklage ergangenen Entscheidungen der Vorinstanzen ist die Rechtmäßigkeit derjenigen Datenverarbeitungen, die der Kläger vornimmt, um potentielle Teilnehmer für die von ihm angebotenen Vorsorge- und Präventivprogramme zu ermitteln. Dass sich der Bescheid ausschließlich auf diese im Folgenden einheitlich als Vorsorgeprogramme bezeichneten Angebote bezieht, ergibt sich aus dem eindeutigen Wortlaut der Ziffer 1. des Bescheidstenors. Diese inhaltliche Beschränkung wird nicht dadurch in Frage gestellt, dass die gesundheitsbezogenen Angebote des Klägers, denen die vom Beklagten beanstandete Datenverarbeitung dient, in der Begründung des Bescheids zum Teil auch - weniger präzise - als "Versorgungsprogramme" oder "Gesundheitsprogramme" bezeichnet werden. Soweit die Revision umfangreich darlegt, der Kläger vermittele in seinem "Gesundheitsmanagement" unter Nutzung sensibler Daten darüber hinaus kommerzielle Angebote wie z. B. Rabattcodes für Brillen, Sonnenbrillen, Hörgeräte, Augenlaserkorrekturen oder ähnliche Produkte ohne Präventionsbezug, ist dies nicht entscheidungserheblich. Denn dieser Vortrag geht an dem Inhalt des angefochtenen Bescheids, der sich auf die Datenverarbeitung mit dem Ziel des Angebots von Vorsorgeprogrammen beschränkt, vorbei. Unabhängig davon handelt es sich um neuen Tatsachenvortrag, der im Revisionsverfahren nicht berücksichtigt werden kann.

2. Das Oberverwaltungsgericht hat ohne Verstoß gegen revisibles Recht angenommen, dass der in Streit stehenden Datenverwendung nicht das Verbot der Verarbeitung von Gesundheitsdaten einer natürlichen Person nach Art. 9 Abs. 1 DSGVO entgegensteht. Gemäß Art. 9 Abs. 1 DSGVO ist die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person untersagt. Dies gilt nicht in den in Art. 9 Abs. 2 Buchst. a bis j DSGVO im Einzelnen bezeichneten Fällen.

Der Anwendungsbereich des Art. 9 DSGVO ist eröffnet (a)). Zwar haben nicht alle betroffenen Personen gemäß Art. 9 Abs. 2 Buchst. a DSGVO in die Verarbeitung der genannten personenbezogenen Daten für den hier in Rede stehenden Zweck ausdrücklich eingewilligt (b)). Es liegen jedoch die Voraussetzungen des Ausnahmetatbestands des Art. 9 Abs. 2 Buchst. h DSGVO vor. Die streitige Datenverarbeitung des Klägers dient Zwecken der Gesundheitsvorsorge im Sinne dieser Vorschrift (c)) und ist hierfür erforderlich (d)). In Gestalt des § 22 Abs. 1 Nr. 1 Buchst. b BDSG ist die nach Art. 9 Abs. 2 Buchst. h DSGVO notwendige Rechtsgrundlage im nationalen Recht vorhanden (e)). Die mit der Verarbeitung befassten Mitarbeiter des Klägers unterliegen einer den Anforderungen des Art. 9 Abs. 3 DSGVO sowie des § 22 Abs. 1 Nr. 1 Buchst. b BDSG genügenden Geheimhaltungspflicht (f)).

a) Der Anwendungsbereich des Art. 9 DSGVO ist eröffnet. Zu den in Art. 9 Abs. 1 DSGVO aufgezählten besonderen Kategorien personenbezogener Daten, deren Verarbeitung untersagt ist, gehören "Gesundheitsdaten". Nach Art. 4 Nr. 15 DSGVO handelt es sich hierbei um personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen. Dass hierunter jedenfalls die medizinischen Diagnosen fallen, die in den von den Versicherten des Klägers zur Leistungsabrechnung eingereichten Rechnungen enthalten sind, ist nicht zweifelhaft. Diese Gesundheitsdaten verarbeitet der Kläger, indem er die Rechnungen hinsichtlich der darin enthaltenen Diagnosen in einem automatisierten Prozess analysiert, um potentielle Teilnehmer an den von ihm angebotenen Vorsorgeprogrammen zu ermitteln und anschließend aufgrund einer Einzelprüfung durch Mitarbeiter der von der Leistungsabteilung getrennten Abteilung "Gesundheitsmanagement" entscheidet, welche Versicherten für ein konkretes Vorsorgeprogramm in Betracht kommen und eine Einladung zur Teilnahme enthalten. Eine Verarbeitung im Sinne des Art. 4 Nr. 2 DSGVO liegt damit jedenfalls in Gestalt der Verwendung der Daten vor.

b) Nach Art. 9 Abs. 2 Buchst. a DSGVO gilt das Verbot der Verarbeitung der in Art. 9 Abs. 1 DSGVO genannten sensiblen Daten nicht, wenn die betroffene Person in die Verarbeitung für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt hat. Diese Ausnahme von dem Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO könnte zwar bei einem Teil der von der Datenverarbeitung des Klägers betroffenen Personen vorliegen. Denn nach den tatsächlichen Feststellungen des Oberverwaltungsgerichts holt der Kläger für die Datenanalyse zur Ermittlung potentieller Programmteilnehmer bei Neukunden mit Vertragsschluss ab dem 1. Juli 2017 eine datenschutzrechtliche Einwilligung ein. Entsprechend verfährt er ab diesem Zeitpunkt bei Vertragsänderungen von Bestandskunden. Ob dies den Anforderungen des Art. 9 Abs. 2 Buchst. a DSGVO genügt (vgl. hierzu BGH, Urteil vom 27. März 2025 - I ZR 223/19 - NJW 2025, 2237 Rn. 52), bedarf keiner Vertiefung. Denn es ist unstreitig, dass der Kläger jedenfalls bei dem anderen Teil seiner Versicherten die von diesen zur Leistungserstattung eingereichten Rechnungen ohne ausdrückliche Einwilligung zu dem Zweck auswertet, potentielle Teilnehmer von Vorsorgeprogrammen zu ermitteln. Ausschließlich auf diese Fälle einer fehlenden ausdrücklichen Einwilligung der betroffenen Versicherten bezieht sich der angefochtene Bescheid des Beklagten.

c) Die streitige Datenverarbeitung des Klägers dient jedoch Zwecken der Gesundheitsvorsorge im Sinne des Ausnahmetatbestands des Art. 9 Abs. 2 Buchst. h DSGVO. Der Begriff der Gesundheitsvorsorge greift über den Kernbereich der medizinischen Versorgung hinaus (aa)). Der Anwendbarkeit des Art. 9 Abs. 2 Buchst. h DSGVO auf den Kläger als privates Krankenversicherungsunternehmen (bb)) steht nicht der Umstand entgegen, dass der Kläger die gesundheitsbezogenen Leistungen nicht selbst erbringt, sondern diese nur vermittelt (cc)).