Helsana+: Urteil wird rechtskräftig

Medienmitteilung des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten vom 15.05.2019

Nach ungenutztem Ablauf der Rechtsfrist kann der Bundesverwaltungsgerichtsentscheid vom 19. März 2019 in Sachen Helsana+ in Kraft treten. Das Schweizerische Bundesverwaltungsgericht hat wichtige Rechtsfragen geklärt, deren Umsetzung der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) bei der Helsana überprüfen wird.

In seinem Urteil vom 19. März 2019 hat das Schweizerische Bundesverwaltungsgericht die Datenbeschaffung beim App-gestützten Bonusprogram Helsana+ als rechtswidrig qualifiziert, weil keine gültige Einwilligung in die Bekanntgabe von Personendaten aus der obligatorischen Krankenversicherung an Dritte vorliegt.

Mit dem Inkrafttreten des Urteils erwartet der EDÖB von der Helsana, dass sie die vom Schweizerischen Bundesverwaltungsgericht festgestellten Mängel behebt. Insbesondere sind die Nutzungs- und Datenschutzbestimmungen gemäss dem Grundsatz der Transparenz, auch bei Berücksichtigung der bereits vorgenommenen Anpassungen im Registrierungsprozess, anzupassen. Für Teilnehmerinnen und Teilnehmer am Bonusprogramm Helsana+ muss klar und deutlich erkennbar sein, zu welchen Datenbearbeitungen sie einwilligen, und die Einwilligung hat sich im Sinne der Verhältnismässigkeit auf das tatsächlich Notwendige zu beschränken. Das Schweizerische Bundesverwaltungsgericht stellt auch klar, dass die Einwilligung zu einer Datenbekanntgabe an Dritte durch ein Bundesorgan nur im Einzelfall eingeholt werden kann.

Der EDÖB nimmt zur Kenntnis, dass das Schweizerische Bundesverwaltungsgericht eine Datenbearbeitung zu einem rechtswidrigen Zweck nur dann als rechtswidrige Datenbearbeitung im Sinne des Datenschutzgesetzes betrachtet, wenn dabei gegen eine Norm verstossen wird, die zumindest auch – direkt oder indirekt – den Schutz der Persönlichkeit einer Person bezweckt. Dies im Unterschied zum Datenschutzrecht der EU, welches vorschreibt, dass personenbezogene Daten nur für „legitime“ Zwecke erhoben werden dürfen. Mit dieser Auslegung zeigt das Gericht die Grenzen auf, welche das aus dem Jahre 1992 stammende DSG der Aufsichtstätigkeit des EDÖB setzt. Es ist Sache des Gesetzgebers, im Rahmen der hängigen Totalrevision dieses Gesetzes den Umfang der Datenschutzaufsicht des Bundes für die Zukunft festzulegen und allenfalls mit dem EU-Recht abzustimmen.

Die Medienmitteilungen des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten können hier abgerufen werden.