Ihre Krankenkasse hat mehr kritische Daten über Sie, als jede andere Institution: Krankheiten, Behandlungen, Einkommen, Arbeitsplätze, Anschriften. Sie können Ihre Krankenkasse fragen, welche Daten sie über Sie gespeichert hat. Die Krankenkasse ist verpflichtet, Ihre Anfrage innerhalb von vier Wochen kostenlos zu beantworten.

Ein Anfrage-Generator, der vom Verein Patientenrechte und Datenschutz e. V. bereitgestellt wird, hilft dabei, solch eine Anfrage zu erstellen. Mehr als 1.300 Versicherte haben dieses Angebot bisher genutzt und Auskünfte beantragt. Nach Rückmeldungen, die beim Verein Patientenrechte und Datenschutz e. V. eingingen, sind die Auskünfte in einer nennenswerten Zahl von Fällen unzureichend.

In seinem 17. Tätigkeitsbericht zum Datenschutz hat der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern zu dieser Problematik im Abschnitt 5.5.2 (ab S. 42) zu diesem Problem Stellung genommen:

„Immer wieder erreichen uns Beschwerden  betroffener Personen, die eine unvollständige Erteilung einer Auskunft nach Art. 15 DS-GVO durch die Verantwortlichen monieren…

Unvollständig ist die Auskunft des Verantwortlichen, wenn dieser nicht die konkreten personenbezogenen Daten benennt, sondern nur die Datenkategorien. In diesen Fällen wird den betroffenen Personen in der Regel mitgeteilt: „Wir haben von Ihnen Name/Vorname(n), Adresse, E-Mail-Adresse, Telefonnummer [, etc.] gespeichert.“ Mit diesen alleinigen Datenkategorien können die betroffenen Personen grundsätzlich nichts anfangen. Sie können z. B. ihr Recht auf Berichtung nicht geltend machen, weil sie durch diesen unvollständig erfüllten Auskunftsanspruch kein Wissen darüber erlangen, welche Daten konkret gespeichert sind und ob diese gegebenenfalls falsch sind. Zu den konkreten verarbeiteten personenbezogenen Daten sind die Datenkategorien zusätzlich zu benennen.

Ein weiteres Problem stellt die Auskunft über die Empfänger oder Kategorien von Empfängern dar, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden sollen. Hier stellen sich einige Verantwortliche auf den Standpunkt, dass die Auskunft über die Kategorien von Empfängern ausreichend sei. Dieser Standpunkt ist nicht hinreichend differenziert und damit falsch. Die Auskunft über die Kategorien von Empfängern ist dann ausreichend, wenn die Offenlegung der personenbezogenen Daten in der Zukunft stattfinden soll. Wurden die personenbezogenen Daten bereits einem Dritten offenbart, ist dieser konkret zu benennen. Denn nur so kann die betroffene Person die ihr zustehenden Rechte, wie das Recht auf Auskunft, auf Löschung, auf Berichtigung etc. auch gegenüber dem Dritten wahrnehmen, der ebenfalls die personenbezogenen Daten der betroffenen Person verarbeitet.“

Die hier vom Landesbeauftragten für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern vertretene Rechtsposition wird auch von anderen deutschen Datenschutz-Aufsichtsbehörden geteilt.

Versicherte, die von Ihren Krankenkassen unvollständige Auskünfte oder nur Auskünfte über Datenkategorien erhalten,

• können Ihre Krankenkasse auf diese Rechtsposition hinweisen;
• auf dieser Basis präzisere und vollständigere Auskünfte anfordern und
• bei nachhaltiger Weigerung ihrer Krankenkasse eine Beschwerde an die Datenschutz-Aufsichtsbehörde richten, die das für ihre jeweilige Krankenkasse ist. Wer das ist, ist in der Datenschutzerklärung auf der Homepage der jeweiligen Krankenkasse vermerkt.

In Kürze ist auch mit einem Urteil des Europäischen Gerichtshofs (EuGH) zu diesem Thema zu rechnen. Darüber informiert ein umfangreicher Beitrag auf der Homepage De Lege Date vom 17.06.2022.