Datenschutz: Keine Speicherung ohne gesetzliche Erlaubnis

Krankenkassen dürfen Lichtbilder ihrer Versicherten nur solange speichern, bis die elektronische Gesundheitskarte (eGK) hergestellt und dem Versicherten übermittelt ist.

Entscheidung des Bundessozialgerichts

Mit Urteil vom 18.12.2018 – Az. B 1 KR 31/17 R hat das Bundessozialgericht (BSG) entschieden, es gebe keine Rechtsgrundlage für Krankenkassen, Lichtbilder ihrer Versicherten bis zum Ende des Versicherungsverhältnisses – und damit dauerhaft – zu speichern. Vielmehr sei ein Lichtbild unverzüglich zu löschen, wenn die Versichertenkarte an den betreffenden Versicherten übermittelt ist.

Hintergrund des – erst in der Revisionsinstanz zugunsten des Klägers entschiedenen – Rechtsstreits war ein datenschutzrechtliches Löschungsbegehren eines Versicherten gegenüber seiner Krankenkasse. Personenbezogene Daten sind gem. Art. 17 Abs. 1 lit. a DS-GVO zu löschen, wenn sie für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind. Den Zweck hat der Gesetzgeber im Zusammenhang mit der eGK in § 284 Abs. 1 S. 1 Nr. 2 SGB V selbst festgelegt: er beschränkt sich demgemäß auf die „Ausstellung der eGK“ – nicht mehr und nicht weniger. Dieser Zweck ist erreicht, wenn die mit dem Lichtbild erstellte eGK in den Herrschaftsbereich des Versicherten übermittelt ist. Für eine darüber hinausgehende Vorratsspeicherung gibt es hingegen keine gesetzliche Erlaubnis.

Anmerkungen

Obwohl der BSG lediglich unter den Wortlaut der einschlägigen Vorschriften subsumiert, ist das Urteil aus mehreren Gründen bemerkenswert.

So zieht das BSG ohne nähere Begründung allein die Erlaubnistatbestände des Art. 6 DS-GVO in Betracht, was die Zulässigkeitsprüfung der Lichtbildspeicherung betrifft. Es handelt sich dabei um die Tatbestände für „einfache“ personenbezogene Daten. Im Umkehrschluss bringt das BSG damit zum Ausdruck, dass es ein Lichtbild nicht als ein besonders sensibles Datum ansieht, das zusätzlich den strengen Anforderungen des Art. 9 DS-GVO genügen müsste. Dabei lassen Lichtbilder im Einzelfall durchaus Rückschlüsse auf die „rassische und ethnische Herkunft“ (z.B. über die Hautfarbe oder den Haartyp), „religiöse oder weltanschauliche Überzeugung“ (z.B. über bestimmte Tattoos) oder auf die Gesundheit (z.B. bei Brillenträgern) im Sinne von Art. 9 Abs. 1 DS-GVO zu. Anhand solcher Merkmale lassen sich Lichtbildern aber auch als sensible personenbezogene Daten einordnen, deren Verarbeitung einer besonderen Erlaubnis bedarf (vgl. dazu Wiebke Reuter, Zeitschrift für Datenschutz 2018, S. 564 f.). Es bleibt abzuwarten, ob es nach dem Urteil des BSG in der Rechtsprechung bei der Einstufung von Lichtbildern als „einfache“ personenbezogene Daten bleiben wird oder ob das Gericht lediglich auf eine weitergehende Prüfung verzichtet hat, da es auf die Qualifikation des Lichtbilds als sensibles Datum nicht ankam. Gerade für den Bereich der gewerblichen Fotografie sowie der Verwendung von Mitarbeiterbildern in Unternehmensdarstellungen wäre die vom BSG vorgenommene Einordnung grundsätzlich zu begrüßen, die ansonsten stets auf die ausdrückliche Einwilligung der abgelichteten Personen angewiesen wäre.

Ferner zeigt das BSG-Urteil, wie entscheidend die Festlegung der Zwecke einer Datenverarbeitung sein kann. Legt der Gesetzgeber sie wie im entschiedenen Fall selbst abschließend fest, bleibt kein Raum für andere, legitime Zwecke, die mit einer Datenverarbeitung verbunden sein könnten. In Bereichen, in denen der Verantwortliche die Verarbeitungszwecke jedoch selbst bestimmen kann, z.B. bei der Nutzung von Daten von Website-Besuchern, ist darauf zu achten, diese Zwecke im Rahmen der Datenschutzhinweise umfassend transparent zu machen. Nachträgliche Erweiterungen sind nicht ohne weiteres möglich.