Wie weit dürfen Gesundheitsdaten für Krankenhausanalysen genutzt werden? Genau darüber streiten nun der Analyse-Dienstleister BinDoc und der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI). Im Mittelpunkt steht die Frage, ob bestimmte Datenverarbeitungen im Gesundheitssektor erforderlich und datenschutzrechtlich zulässig sind.
Der LfDI richtete hierzu eine Auskunftsanordnung an BinDoc. Das Unternehmen ist auf die Analyse von Krankenhäusern spezialisiert und verarbeitet dabei Daten aus dem Gesundheitsbereich. BinDoc wehrt sich nun gegen das Vorgehen der Datenschutzaufsicht. Das Unternehmen hat einstweiligen Rechtsschutz beantragt und Klage beim Verwaltungsgericht Stuttgart erhoben.
Vorwurf: BinDoc vermarktet illegal Patientendaten
BinDoc betreibt eine cloudbasierte Analyseplattform und spezialisiert sich nach eigenen Angaben dabei auf Vergleichs-, Markt und Prognoseauswertungen für Kliniken. Die dabei verarbeiteten Daten stammen aus öffentlich zugänglichen Datenquellen und gegebenenfalls sind auch klinikeigenen Struktur- und Leistungsdaten betroffen.
Die Netzwerk Datenschutzexpertise, ein Zusammenschluss von Datenschutzexpertinnen und -experten, hat bereits im Juni 2024 ein Gutachten veröffentlicht, welches sich damit beschäftigt, ob die Daten, die BinDoc verarbeitet und die aus Millionen Krankenhausfällen von hunderten Kliniken stammen, wirksam anonymisiert oder ob es sich dabei weiterhin um personenbezogene Gesundheitsdaten handelt.
Sollte die Anonymisierung unwirksam sein und Gesundheitsdaten vorliegend sein, würde die BinDoc mit ihrer Analysetätigkeit regelmäßig personenbezogene Daten besonderer Kategorie nach Art. 9 DSGVO verarbeiten. Dabei richtet sich die Rechtsgrundlage der Verarbeitung nach den Regelungen des Art. 9 Abs. 2 DSGVO ist nur unter Ausnahmefällen zulässig.
Verfahren der Anonymisierung
Werden personenbezogene Daten wirksam anonymisiert, entfällt der Personenbezug. Die Daten fallen dann nicht mehr unter den Anwendungsbereich der DSGVO und gelten auch nicht mehr als besondere Kategorien personenbezogener Daten. Die Anonymisierung selbst ist jedoch eine Verarbeitung personenbezogener Daten und muss daher datenschutzrechtlich zulässig erfolgen. Wann Daten tatsächlich als anonym gelten und wann weiterhin ein Personenbezug bestehen kann, hat der Europäische Datenschutzausschuss (EDSA) in Leitlinien näher eingeordnet. Hierzu haben wir bereits in unserem Beitrag vom 13. August 2026 berichtet.
BinDoc gibt an, dass die von Krankenhäusern übermittelten Daten vor einer eigenverantwortlichen Weiterverarbeitung durch das jeweilige Krankenhaus mithilfe eines von selbst erstellten Programms hinreichend anonymisiert würden. Ob eine Anonymisierung wirksam ist, hängt jedoch nicht allein von der technischen Bearbeitung einzelner Datenfelder ab. Entscheidend ist, ob eine Zuordnung zu einer Person weiterhin möglich ist. Dabei sind auch Zusatzinformationen zu berücksichtigen, die der verantwortlichen Stelle oder anderen Empfängern direkt oder indirekt zur Verfügung stehen können. Solches Zusatzwissen kann etwa aus anderen Datenquellen, aus eigener Kenntnis oder aus der Anonymitätsmenge selbst stammen.
Nach der Verfahrensbeschreibung von BinDoc werden im Wesentlichen drei Verfahren eingesetzt. Einige Datenfelder werden vollständig aus dem Datensatz entfernt. Andere Felder werden durch Hashwerte ersetzt. Weitere Angaben werden durch Kategorisierung in Wertegruppen, sogenannte Kohorten, überführt. Ob diese Maßnahmen im konkreten Fall ausreichen, um den Personenbezug tatsächlich auszuschließen, ist der zentrale Punkt der datenschutzrechtlichen Bewertung.
Keine wirksame Anonymisierung?
In dem Gutachten kommt die Netzwerk Datenschutzexpertise zu dem Ergebnis, dass das Verfahren keine wirksame Anonymisierung darstelle. Danach handele es sich weiterhin um personenbezogene Daten aus dem Gesundheitsbereich.
Kritisch bewertet wird unter anderem der Einsatz deterministischer Hashverfahren. Gleiche Eingabewerte können dabei zu gleichen Hashwerten führen. Wer über konkrete Krankenversichertennummern oder geeignete Vergleichslisten verfügt, könnte Hashwerte möglicherweise berechnen und abgleichen. Ob dies praktisch möglich ist, hängt von der konkreten Umsetzung ab.
Unabhängig davon sieht das Gutachten ein Re-Identifizierungsrisiko durch die Kombination verbleibender Merkmale, etwa Geschlecht, Krankenkassenart, Postleitzahl, Alterskohorte und Diagnosen. BinDoc weist das Ergebnis zurück und mahnte eine Berichterstattung darüber ab. Auf weitere Anfragen der Gegenseite reagiert das Unternehmen ebenfalls nicht.
Streit um Anonymisierung und Verantwortung
BinDoc wehrt sich nun auch gegen die Auskunftsanordnung des LfDI. Die Behörde bestätigte gegenüber heise online, dass sie das unternehmenseigene Anonymisierungsverfahren und die damit verbundenen Datenflüsse untersucht. Schwerpunkt des laufenden Verfahrens ist, ob die an BinDoc übermittelten Datensätze tatsächlich anonymisiert oder lediglich pseudonymisiert und damit weiterhin personenbezogen im Sinne der DSGVO sind.
Damit bleibt die datenschutzrechtliche Bewertung offen. Sollte die Anonymisierung nicht wirksam sein, könnten erhebliche Risiken für Patientendaten und krankenhausinterne Daten entstehen. Dann müssten insbesondere Rechtsgrundlage, Zweckbindung, Transparenzpflichten und Betroffenenrechte neu bewertet werden.
Die Netzwerk Datenschutzexpertise kritisiert zudem, dass betroffene Krankenhauspatientinnen und -patienten kaum nachvollziehen könnten, was mit ihren Daten geschieht. Der Fall zeigt damit, wie sensibel datenbasierte Krankenhausanalysen sind und wie wichtig eine belastbare Prüfung der Anonymisierung bleibt.
Fazit
Für Unternehmen zeigt der Fall, dass Anonymisierung kein rein technischer Vorgang ist. Das Verfahren selbst bleibt datenschutzrechtlich relevant und muss sorgfältig geprüft werden. Werden Daten nur pseudonymisiert, liegt weiterhin eine Verarbeitung personenbezogener Daten im Sinne der DSGVO vor.
Erst wenn kein Personenbezug mehr besteht, eine Re-Identifizierung praktisch ausgeschlossen ist und auch der Anonymisierungsprozess selbst die Vorgaben der DSGVO einhält, können Daten außerhalb des Anwendungsbereichs der DSGVO verarbeitet werden.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
