Die Landesbeauftragte für Datenschutz und Informationsfreiheit in Nordrhein-Westfalen hat ein Verfahren gegen zehn dort ansässige Versicherer eingeleitet. Ihnen wird vorgeworfen, gemeinsam mit knapp 30 weiteren Versicherern aus zehn Bundesländern und dem europäischen Ausland Kundendaten geteilt zu haben, um Betrugsfälle aufzudecken und Betrugsmuster zu erkennen.
Es handele sich bei den Daten fast ausschließlich um Versicherungsfälle in der Auslandsreisekrankenversicherung, die über einen geschlossenen E-Mailverteiler ausgetauscht wurden. Meist sollen mehrere Beschäftigte der beteiligten Unternehmen in dem Verteiler registriert worden sein. Dabei sollen unter anderem Gesundheitsdaten wie etwa medizinische Diagnosen und Daten minderjähriger Personen geteilt worden sein – auch mit Versicherern, die gar keinen Kontakt mit den betroffenen Personen hatten. Auch fehlen sonstige „Vorkehrungen zum Schutz der Informationen oder zur Wahrung der Betroffenenrechte“.
Austausch wurde eingestellt
Landesdatenschutzbeauftragte Bettina Gayk sagt, die Nutzung des E-Mailverteilers „erstaunt“ – gibt es doch ein seit Jahren ein im Versicherungssektor etabliertes System, das den datenschutzkonformen Austausch über potenzielle Betrugsfälle ermöglicht. „Dieses „HIS“ genannte System kennt klar geregelte Kriterien für Abfragen sowie Ein- und Ausmeldungen, sichert Betroffenenrechte und sieht Löschfristen vor“, erklärt Gayk. „Auch ist eindeutig geregelt, welche personenbezogenen Daten verarbeitet werden dürfen – hochsensible Gesundheitsdaten gehören nicht dazu.“
Die Datenschutzbeauftragte geht davon aus, dass man sich über den Verteiler zunächst abstrakt über Betrugsmuster ausgetauscht hatte, er sich über die Jahre hinweg jedoch so entwickelte, dass er auch für den Austausch über konkrete Verdachtsfälle genutzt wurde.
Die Landesdatenschutzbeauftragte habe die zehn betroffenen Versicherer in Nordrhein-Westfalen kontaktiert. Der rechtswidrige Austausch konnte abgestellt werden, die Prüfung sei aber noch nicht abgeschlossen, heißt es vonseiten der Datenschutzbeauftragten. Um welche Versicherungsunternehmen es sich konkret handelt, ist nicht bekannt.
Zwar sei es legitim, Versicherungsbetrug aufdecken zu wollen – aber nicht jeder Zweck heilige die Mittel. „Schon gar nicht, wenn dabei die Privatsphäre unbescholtener Versicherungsnehmer gravierend verletzt wird“, betont Gayk. (js)
- Anmelden, um Kommentare verfassen zu können
