In seinem Urteil vom 19. März 2019 hat das Bundesverwaltungsgericht die Datenbeschaffung beim App-gestützten Bonusprogram Helsana+ als rechtswidrig qualifiziert, weil keine gültige Einwilligung in die Bekanntgabe von Personendaten aus der obligatorischen Krankenversicherung an Dritte vorliegt.
Mit dem Inkrafttreten des Urteils erwartet der EDÖB von der Helsana, dass sie die vom Bundesverwaltungsgericht festgestellten Mängel behebt. Insbesondere sind die Nutzungs- und Datenschutzbestimmungen gemäss dem Grundsatz der Transparenz, auch bei Berücksichtigung der bereits vorgenommenen Anpassungen im Registrierungsprozess, anzupassen. Für Teilnehmerinnen und Teilnehmer am Bonusprogramm Helsana+ muss klar und deutlich erkennbar sein, zu welchen Datenbearbeitungen sie einwilligen, und die Einwilligung hat sich im Sinne der Verhältnismässigkeit auf das tatsächlich Notwendige zu beschränken. Das Bundesverwaltungsgericht stellt auch klar, dass die Einwilligung zu einer Datenbekanntgabe an Dritte durch ein Bundesorgan nur im Einzelfall eingeholt werden kann.
Der EDÖB nimmt zur Kenntnis, dass das Bundesverwaltungsgericht eine Datenbearbeitung zu einem rechtswidrigen Zweck nur dann als rechtswidrige Datenbearbeitung im Sinne des Datenschutzgesetzes betrachtet, wenn dabei gegen eine Norm verstossen wird, die zumindest auch – direkt oder indirekt – den Schutz der Persönlichkeit einer Person bezweckt. Dies im Unterschied zum Datenschutzrecht der EU, welches vorschreibt, dass personenbezogene Daten nur für «legitime» Zwecke erhoben werden dürfen. Mit dieser Auslegung zeigt das Gericht die Grenzen auf, welche das aus dem Jahre 1992 stammende DSG der Aufsichtstätigkeit des EDÖB setzt. Es ist Sache des Gesetzgebers, im Rahmen der hängigen Totalrevision dieses Gesetzes den Umfang der Datenschutzaufsicht des Bundes für die Zukunft festzulegen und allenfalls mit dem EU-Recht abzustimmen.
