Entscheidungsstichwort (Thema)
Krankenkasse - Mitgliederwerbung - Datenerhebung - Datenschutz - Aufgabe - Datennutzung - Datenübermittlung - Verwenden - Löschen - Wettbewerbsunternehmen - Datenverarbeitung - Einwilligung - Aufsicht - Ermessen - Rechtsverletzung - Beratung - Aufklärung - Ersatzkassen - Kassenwahlrecht - Erforderlichkeit - Beheben - Unterlassen - Sozialdaten
Leitsatz (redaktionell)
Die Mitgliederwerbung gehört nicht zu den Aufgaben, für die die Krankenkassen Sozialdaten erheben dürfen.
Normenkette
BDSG § 13 Abs. 1, §§ 28, 12 Abs. 1, § 4; SGB X § 67 Abs. 1, § 67a Abs. 1, § 67b Abs. 1-2, § 67c Abs. 1-2; SGB I §§ 13-14, 35; SGB V § 284 Abs. 1 S. 1 Nr. 1; SGB IV § 89 Abs. 1 Sätze 1-2; SGB V §§ 173, 175
Verfahrensgang
Tenor
Die Revision der Klägerin gegen das Urteil des Landessozialgerichts Hamburg vom 30. November 1999 wird zurückgewiesen.
Außergerichtliche Kosten des Revisionsverfahrens sind nicht zu erstatten.
Tatbestand
I
Die Klägerin wehrt sich gegen eine die Mitgliederwerbung betreffende Aufsichtsmaßnahme des Bundesversicherungsamts (BVA).
Zwischen dem BVA und den Ersatzkassen ist seit Jahren streitig, ob und unter welchen Voraussetzungen sich die Ersatzkassen zum Zwecke der Mitgliederwerbung an Betriebe bzw Arbeitgeber wenden dürfen, um Namen und Adressen von Auszubildenden und Berufsanfängern zu erhalten und dann auf die betreffenden Personen zuzugehen. Während die Ersatzkassen ihr Verhalten mit einer gegenüber den Primärkassen ungünstigeren Wettbewerbssituation unter Hinweis auf Bestimmungen des Bundesdatenschutzgesetzes (BDSG) und die Verpflichtung zur Beratung und Aufklärung (§§ 13, 14 Sozialgesetzbuch – Allgemeiner Teil – ≪SGB I≫) rechtfertigen, vertrat das BVA die Ansicht, es sei unzulässig, Adressmaterial für die Aufklärung und Werbung zu verwenden, wenn die Möglichkeit bestehe, dass es vom Übermittelnden unter Verstoß gegen Datenschutzbestimmungen erlangt oder weitergegeben worden sei. Die Krankenkassen nähmen in Kauf, dass sie personenbezogene Daten unter Verstoß gegen das BDSG erlangten und zur Werbung benutzten, wenn die betreffenden Auszubildenden oder Berufsanfänger nicht ihre Einwilligung zur Übermittlung ihres Adressmaterials erteilt hätten.
Nachdem über Jahre keine Einigung erzielt werden konnte, forderte das BVA die Klägerin mit Beratungsschreiben vom 7. März 1993 auf, Arbeitnehmerdaten zu Werbezwecken nur noch in Empfang zu nehmen, zu erbitten und zu nutzen, wenn sie auf Grund entsprechender Erklärungen sicher sein könne, dass die Betroffenen schriftlich in die Weitergabe ihrer Daten eingewilligt hätten. Man halte fünf Wochen für eine angemessene Frist, diese Beratung rechtlich abschließend zu prüfen und für die praktische Umsetzung im Geschäftsstellenbereich zu sorgen. Weil die Klägerin dem BVA daraufhin mitteilte, dass sie ihre bisherige Praxis nicht ändern wolle (Schreiben vom 20. April 1993), verpflichtete das BVA die Klägerin, es zu unterlassen, von Arbeitgebern Namen und Anschriften von Auszubildenden oder Berufsanfängern oder sonst für eine Mitgliedschaft bei ihr in Frage kommenden Personen sowie von nicht berücksichtigten Bewerbern um einen Ausbildungs- oder Arbeitsplatz zu erbitten oder entgegenzunehmen oder derartige Angaben auf sonstige Art zur Aufklärung, Werbung und Gewinnung von Mitgliedern zu verwenden, soweit die Arbeitgeber nicht das ausdrückliche Einverständnis des Betroffenen zur Überlassung seiner Daten an die Kasse hätten; bereits vorhandene ohne Einwilligung erlangte Personendaten seien nicht mehr zu verwenden und zu löschen (Bescheid vom 18. Juni 1993).
Die Klage gegen diesen Verpflichtungsbescheid wurde abgewiesen (Urteil des Sozialgerichts ≪SG≫ vom 19. Juli 1996); die Berufung der Klägerin gegen das Urteil des SG blieb erfolglos (Urteil des Landessozialgerichts ≪LSG≫ vom 30. November 1999). Zur Begründung seiner Entscheidung hat das LSG ausgeführt, der Verpflichtungsbescheid des BVA sei von §§ 89 Abs 1 Satz 2, 90 Abs 1 Satz 1 Sozialgesetzbuch – Gemeinsame Vorschriften für die Sozialversicherung – (SGB IV) gedeckt, nachdem die in § 89 Abs 1 Satz 1 SGB IV vorgesehene Beratung erfolglos geblieben sei. Die Ermessensentscheidung der Beklagten sei nicht zu beanstanden. Nach § 284 Abs 1 Satz 1 Sozialgesetzbuch – Gesetzliche Krankenversicherung – (SGB V) dürften die Krankenkassen Sozialdaten für die Krankenversicherung nur erheben und speichern, soweit diese für die in Nr 1 bis 10 dieser Vorschrift abschließend aufgeführten Zwecke erforderlich seien. Die beanstandete Praxis der Klägerin werde jedoch vom Katalog des § 284 Abs 1 Satz 1 SGB V nicht gedeckt; insbesondere dürfe Abs 1 Satz 1 Nr 1 dieser Vorschrift nicht erweiternd ausgelegt werden. Zwar ermögliche diese Bestimmung die Erhebung und Speicherung von Daten zur Feststellung des Versicherungsverhältnisses und der Mitgliedschaft, nicht jedoch zur Anbahnung von Versicherungsverhältnissen. Dies gehe aus Bundestagsdrucksachen (14/1245 und 14/1977) zu einer geplanten, aber nicht erfolgten Änderung des § 284 SGB V hervor, mit der der Katalog des § 284 Abs 1 Satz 1 Nr 1 SGB V um die Feststellung der für die Anbahnung eines Versicherungsverhältnisses erforderlichen Daten habe erweitert werden sollen. Selbst im Hinblick auf die Einführung der Kassenwahlrechte ab 1. Januar 1996 (§§ 173, 175 SGB V), wonach Versicherungspflichtige und Versicherungsberechtigte jede Ersatzkasse wählen könnten, sei es nicht Aufgabe des Gerichts, im Wege der richterlichen Rechtsfortbildung die Kompetenzen der Krankenkassen für Zwecke der Mitgliederwerbung auszudehnen. Wegen der speziellen und abschließenden Regelung für den Bereich der Krankenversicherung, die enger sei als die allgemeinen Datenschutzregelungen der §§ 67a ff Sozialgesetzbuch – Sozialverwaltungsverfahren und Sozialdatenschutz – (SGB X), gehe § 284 SGB V der Regelung des § 67a SGB X vor; das BDSG sei nicht anwendbar. Dahinstehen könne, ob – wovon das BVA ausgehe – das Einverständnis der Betroffenen gegenüber dem Arbeitgeber die beanstandete Praxis der Klägerin legitimiere.
Mit ihrer Revision rügt die Klägerin eine Verletzung der §§ 67d Abs 2 SGB X, 17 Abs 2 BDSG, 284 SGB V. Sie ist der Ansicht, eine Rechtspflicht der Krankenkassen zur Überprüfung, ob die Datenübermittlung vom Arbeitgeber rechtmäßig vorgenommen werde, existiere nicht. Vielmehr trage nach § 67d Abs 2 Satz 1 SGB X ebenso wie nach § 17 Abs 2 BDSG die übermittelnde Stelle die Verantwortung für die Zulässigkeit der Datenweitergabe, mithin also der Arbeitgeber. Das LSG habe § 284 SGB V unzutreffend ausgelegt. Über den in § 284 Abs 1 SGB V enthaltenen Katalog hinaus müssten die Krankenkassen Aufgaben erfüllen, die sich insbesondere aus ihrer Aufklärungs- und Beratungspflicht ergäben. Im Rahmen dieser Aufgabenerfüllung sei auch die Erhebung personenbezogener Daten zum Zwecke der Mitgliederwerbung erforderlich. Insoweit sei die Ausgangslage dadurch gekennzeichnet, dass die Mitglieder der gesetzlichen Krankenkassen seit dem 1. Januar 1996 grundsätzlich frei wählen könnten, welcher Kasse sie angehören wollten. Bei der Erhebung von Interessentendaten handele es sich um eine zulässige Aufgabe der Krankenkasse. Allerdings fänden nicht die Regelungen des SGB X und des SGB V Anwendung, sondern des BDSG, dort die Regelungen für öffentlich-rechtliche Wettbewerbsunternehmen (§ 27 Abs 1 Nr 2 Buchst a BDSG).
Die Klägerin beantragt sinngemäß,
die Urteile des LSG und des SG sowie den Bescheid der Beklagten vom 18. Juni 1993 in der Fassung vom 18. September 2002 aufzuheben.
Die Beklagte beantragt,
die Revision zurückzuweisen.
Sie ist – wie das LSG – der Auffassung, dass die Klägerin mit der Beschaffung von personenbezogenen Daten über Dritte zum Zwecke der Mitgliederwerbung gegen § 284 SGB V verstoßen habe. Sie verweist auf die Gemeinsamen Wettbewerbsgrundsätze der Aufsichtsbehörden der gesetzlichen Krankenversicherung vom 3. November 1994; danach sei es unzulässig, Adressmaterial für Werbung und Aufklärung entgegenzunehmen und zu verwenden, das unter Verstoß gegen Datenschutzbestimmungen übermittelt werde. Um einen Verstoß gegen Datenschutzbestimmungen auszuschließen, seien die Krankenkassen verpflichtet, jedem Verdacht nachzugehen, der auf die unrechtmäßige Weitergabe oder Erlangung hindeute. Erst wenn sich dieser Verdacht – durch Einverständnis des Betroffenen mit der Weitergabe der Daten – nicht erhärtet oder nicht bestätigt habe, könne das Adressmaterial – nach entsprechender Dokumentation – verwendet werden.
Im Termin zur Erörterung des Sachverhalts vom 18. September 2002 hat das BVA den Bescheid vom 18. Juni 1993 wie folgt gefasst:
Die Kasse wird verpflichtet, es zu unterlassen, von Arbeitgebern Name und Anschrift von Auszubildenden oder Berufsanfängern oder sonst für eine Mitgliedschaft bei ihr in Frage kommenden Personen sowie von nicht berücksichtigten Bewerbern um einen Ausbildungsplatz oder Arbeitsplatz zu erbitten oder derartige Angaben auf sonstige Art zur Aufklärung, Werbung und Gewinnung von Mitgliedern zu verwenden, soweit die Arbeitgeber nicht das ausdrückliche Einverständnis der Betroffenen zur Überlassung seiner Daten an die Kasse haben.
Bereits vorhandene ohne Einwilligung nach dem 30. Juni 1994 erlangte Personendaten, die nicht später erneut rechtmäßig erhoben worden sind oder auf einer späteren rechtmäßigen Verarbeitung oder Nutzung beruhen, sind nicht mehr zu speichern, zu verändern oder innerhalb der verantwortlichen Stelle weiterzugeben und an Dritte nur zu übermitteln, soweit die Übermittlung aus anderen Gründen gesetzlich erlaubt ist; im Übrigen sind sie zu löschen.
Die Beteiligten haben sich mit einer Entscheidung ohne mündliche Verhandlung durch Urteil einverstanden erklärt (§ 128 Sozialgerichtsgesetz ≪SGG≫).
Entscheidungsgründe
II
Die Revision ist unbegründet (§ 170 Abs 1 Satz 1 SGG). Zu Recht haben das SG und das LSG die Aufsichtsklage der Klägerin (§ 54 Abs 3 SGG) gegen den Bescheid vom 18. Juni 1993 zurückgewiesen.
Gegenstand des Revisionsverfahrens ist dieser Bescheid nicht mehr in seiner ursprünglichen, sondern in der Fassung vom 18. September 2002. Die Beklagte hat weder den früheren Bescheid ersetzt noch wiederholt, sondern in der Sache – nach den ausdrücklichen Bekundungen im Erörterungstermin – mit ihrer Erklärung vom 18. September 2002 die ursprüngliche Verfügung teilweise aufgehoben und im Übrigen nur der Terminologie des Datenschutzrechts angepasst. Dadurch ergibt sich weder ein anderer Streitgegenstand, noch wird von der Beklagten ein “Mehr” gegenüber dem ursprünglichen Bescheid geltend gemacht; vielmehr hat sie die Klägerin in geringem Umfang klaglos gestellt, sodass der Senat weiterhin im Übrigen über den ursprünglichen Bescheid befinden muss und darf (§ 171 Abs 2 SGG). Im Erörterungstermin hat die Klägerin deutlich gemacht, dass sie sich nicht mehr gegen den Bescheid in der ursprünglichen Fassung wehrt, also die Hauptsache teilweise für erledigt hält.
Der Bescheid ist nicht bereits wegen mangelnder Bestimmtheit (§ 33 Abs 1 SGB X) rechtswidrig. Er forderte und fordert von der Klägerin in verständlicher Weise ein bestimmtes Verhalten; dabei ist durch Auslegung ermittelbar, dass der Klägerin dieses Verhalten nicht abverlangt wird, wenn die betroffenen Personen eine datenschutzrechtlichen Voraussetzungen genügende Einwilligung abgeben oder abgegeben haben. Dies zeigt bereits der vom BVA im angefochtenen Bescheid verfügte Zusatz über das ausdrückliche Einverständnis der Betroffenen mit einer Datenübermittlung durch den Arbeitgeber. Ob dieses Einverständnis den jeweiligen Anforderungen des Datenschutzrechts an eine wirksame Einwilligung entspricht, ist eine andere Frage (dazu unten).
Die Entscheidung der Beklagten beruht auf § 89 Abs 1 Satz 1 und 2 SGB IV. Danach kann die Aufsichtsbehörde (hier gemäß § 90 Abs 1 Satz 1 SGB IV das BVA) den Versicherungsträger (hier die Klägerin) verpflichten, eine Rechtsverletzung zu beheben, wenn der Versicherungsträger durch Handeln oder Unterlassen das Recht verletzt hat, die Aufsichtsbehörde zuvor beratend darauf hingewirkt hat, dass die Rechtsverletzung behoben wird, und der Versicherungsträger innerhalb einer angemessenen Frist dem Rat nicht nachgekommen ist.
Die Voraussetzungen für den Erlass der Aufsichtsanordnung sind erfüllt. Die Klägerin ist insbesondere vom BVA zunächst im Sinne der gesetzlichen Regelung beraten worden (vgl zu den Anforderungen BSGE 67, 85 ff = SozR 3-2400 § 89 Nr 1), wobei die Klägerin erklärt hat, das beanstandete Verhalten nicht ändern zu wollen. Das BVA hat im angefochtenen Bescheid auch Ermessen ausgeübt und die Ermessensgesichtspunkte im Sinne der erforderlichen formalen Begründungspflicht dargelegt (§ 35 Abs 1 SGB X), sodass dahinstehen kann, ob der Aufsichtsbehörde vorliegend überhaupt ein Entschließungsermessen oder nicht lediglich ein Auswahlermessen zugestanden werden kann (vgl: Maier in Kasseler Komm, § 89 SGB IV RdNr 2, Stand Mai 1993; Hauck, § 89 SGB IV RdNr 5, Stand Mai 1999).
Die Klägerin hat durch das vom BVA gerügte Verhalten das Recht verletzt. Sie hat gegen § 13 BDSG (anwendbar gemäß § 12 BDSG) verstoßen, der bis zur Neufassung der §§ 67 ff SGB X durch das Zweite Gesetz zur Änderung des SGB vom 13. Juni 1994 (BGBl I 1229) zum 1. Juli 1994 neben den §§ 67 ff SGB X aF anwendbar war (vgl § 79 SGB X aF und § 1 Abs 4 BDSG); denn zu der in § 13 BDSG geregelten Datenerhebung hat das SGB X vor dem 1. Juli 1994 keine Regelung enthalten. Wie später noch auszuführen ist, ergäbe sich aber nichts anderes bei Anwendung des § 67a SGB X in seinen Fassungen seit 1. Juli 1994. Deshalb kann offen bleiben, ob das Vorliegen einer Rechtsverletzung nach § 89 SGB IV auch dann angenommen werden kann, wenn ein ursprünglich bei Bescheiderlass noch rechtmäßiges und später fortgeführtes Verhalten des Versicherungsträgers durch spätere Rechtsänderungen rechtwidrig würde, ob es also für die Beurteilung der Voraussetzungen für den Erlass der Aufsichtsverfügung dann auf die Rechtslage nach deren Erlass ankommt.
Es sind auch nicht die Regelungen des Dritten Abschnitts des BDSG über die Datenverarbeitung nichtöffentlicher Stellen und öffentlich-rechtlicher Wettbewerbsunternehmen, insbesondere § 28 BDSG, anwendbar (§ 27 Abs 1 Satz 1 Nr 2 Buchst a BDSG). Bei der vom BVA gerügten Mitgliederwerbung nimmt die Klägerin gerade nicht am privaten Wettbewerb teil. Vielmehr geht es ihr in ihrer Funktion als Krankenkasse (Körperschaft des öffentlichen Rechts) um die Gewinnung von Mitgliedern, denen durch Gesetz ein Wahlrecht zu den unterschiedlichen Kassenarten eingeräumt ist (vgl: BSGE 56, 140 ff = SozR 2200 § 516 Nr 1; BSGE 36, 238, 239 f = SozR Nr 64 zu § 51 SGG). Insoweit tritt sie nicht in Konkurrenz zu privaten Anbietern (vgl zu dieser Voraussetzung Gola/Schomerus, BDSG, 6. Aufl 1997, § 27 Anm 2.4). § 12 Abs 1 2. Halbsatz BDSG schließt nur öffentlich-rechtliche Unternehmen, die am privaten Wettbewerb teilnehmen, von der Anwendung des § 13 BDSG aus. Er erfasst damit jedenfalls nicht öffentlich-rechtliche Unternehmen, soweit sie in öffentlich-rechtlicher Weise am wirtschaftlichen Wettbewerb teilnehmen. Bei den öffentlich-rechtlichen Wettbewerbsunternehmen muss es sich vielmehr grundsätzlich um Unternehmen handeln, die in ihren wesentlichen Belangen privatwirtschaftlich ausgestaltet sind und geführt werden und Geschäfte betreiben, die im Allgemeinen Gegenstand der privatwirtschaftlichen Betätigung von Personen und Gesellschaften des privaten Rechts sind (Auernhammer, BDSG, 3. Aufl 1993, § 12 RdNr 4). Ob öffentlich-rechtliche Unternehmen im Sinne eines funktionalen Verständnisses dann Wettbewerbsunternehmen sind, wenn und soweit sie außerhalb des öffentlich-rechtlichen Bereichs wie Private am privaten Wettbewerb teilnehmen (vgl dazu Schaffland/Wiltfang, BDSG, Stand Januar 2001, § 12 RdNr 8 f mwN), kann offen bleiben. Die Klägerin erfüllt nämlich keine dieser Voraussetzungen. Das Verhalten der Klägerin war auch nicht auf Grund von Einwilligungen (§ 4 Abs 1 BDSG) der Betroffenen zulässig; diese lagen nicht vor.
Die Klägerin hat sich aktiv Daten beschafft, indem sie diese von Arbeitgebern angefordert hat (vgl: Gola/Schomerus, BDSG, 6. Aufl 1997, § 13 Anm 2 mwN; Roos in von Wulffen, SGB X, 4. Aufl 2001, § 67 RdNr 23). Nach § 13 Abs 1 BDSG ist das Erheben personenbezogener Daten – Einzelangaben über persönliche und sachliche Verhältnisse (§ 3 Abs 1 BDSG) – (nur) zulässig, wenn ihre Kenntnis zur Erfüllung der Aufgaben der verantwortlichen Stelle erforderlich ist. Die Mitgliederwerbung gehört jedoch entgegen der Ansicht der Klägerin nicht zu den Aufgaben, für die die Krankenkassen Sozialdaten erheben dürfen; selbst wenn man dies annähme, wäre das Erbitten von Daten bei Arbeitgebern über potenzielle Mitglieder nicht erforderlich iS des § 13 Abs 1 BDSG (bzw nach § 67a Abs 1 SGB X in seinen seit 1. Juli 1994 geltenden Fassungen).
Welche Aufgaben die Klägerin wahrzunehmen hat, ergibt sich – von § 67 Abs 2 SGB X in der seit 1. Juli 1994 geltenden Fassung einmal abgesehen – aus den einzelnen Büchern des Sozialgesetzbuchs (vgl zu §§ 67 ff SGB X Hauck, SGB X, § 67 RdNr 20 ff, Stand April 1996). Insoweit greifen vorliegend weder § 13 SGB I noch § 14 SGB I zugunsten der Klägerin ein. Nach letzterer Vorschrift hat zwar jeder Anspruch auf Beratung über seine Rechte und Pflichten nach dem Sozialgesetzbuch; dieser Beratungsanspruch, der als Leistung des Versicherungsträgers ausgestaltet ist, umfasst jedoch nicht den Auftrag zu der Leistung vorgeschalteten Eingriffen in das Persönlichkeitsrecht von Personen, mit denen noch kein sozialrechtliches Verhältnis besteht (vgl zum Erfordernis eines Antrags auf Beratung, wenn kein Sozialrechtsverhältnis besteht: Seewald, Kasseler Komm, § 14 SGB I RdNr 6, Stand März 1995). Dem steht nicht entgegen, dass das Bundessozialgericht den Ersatzkassen im Grundsatz ein Recht zur Mitgliederwerbung im Rahmen ihrer allgemeinen Aufgabe der gesundheitlichen Daseinsvorsorge zugestanden hat (vgl: BSGE 56, 140 ff = SozR 2200 § 516 Nr 1; BSGE 36, 238 ff = SozR Nr 64 zu § 51 SGG). Ein solcher Auftrag ergibt sich auch nicht aus § 13 SGB I. Die Pflicht zur Aufklärung der Bevölkerung im Sinne dieser Vorschrift erfasst nur Informationsmaßnahmen nicht-individueller Art (vgl nur Seewald, Kasseler Komm, § 13 SGB I, RdNr 2 f).
Unabhängig davon, ob Mitgliederwerbung im weiteren Sinne Aufgabe der Ersatzkassen ist, gehört sie jedenfalls nicht zu den Aufgaben und damit auch nicht zu den Zwecken innerhalb der Aufgabenstellung, für die § 284 SGB V die Datenerhebung durch Krankenkassen zulässt. Vielmehr hat hierzu bereits das LSG in der Sache zu Recht ausgeführt, dass § 284 SGB V als bereichsspezifische, die Vorschrift des § 13 BDSG konkretisierende Norm der Krankenversicherung in allen seit 1. Januar 1989 geltenden Fassungen die Datenerhebung und -verwendung zur Mitgliederwerbung nicht zu den in der Vorschrift abschließend genannten Zwecken (= konkreten Aufgaben) der Krankenkassen (vgl dazu Peters in Kasseler Komm, § 284 SGB V RdNr 5, Stand April 2002) zählte bzw zählt (bestätigend BT-Drucks 14/1245 S 101 zu Nr 109 und S 102 zu Abs 1). Denkbar war und ist allenfalls eine Anwendung des § 284 Abs 1 Satz 1 Nr 1 SGB V, wonach die Krankenkassen Sozialdaten für Zwecke der Krankenversicherung erheben und speichern dürfen, soweit diese für die Feststellung des Versicherungsverhältnisses oder der Mitgliedschaft erforderlich sind.
Hierzu hat das LSG zu Recht entschieden, § 284 Abs 1 Satz 1 Nr 1 SGB V sei selbst nach Einführung der allgemeinen Kassenwahlrechte zum 1. Januar 1996 (§§ 173, 175 SGB V) keiner erweiternden Auslegung im Sinne der Rechtsauffassung der Klägerin zugänglich (aA Kranig in Hauck, SGB V, § 284 RdNr 9, Stand April 1999; zur Notwendigkeit der erweiternden Auslegung des § 284 Abs 1 Satz 1 SGB V in anderen Fällen etwa Eul, DOK 1995, 306, 308). Dies zeigt insbesondere ein nicht realisiertes Gesetzesvorhaben, mit dem § 284 Abs 1 SGB V dahin ergänzt werden sollte, dass Aufgaben nach dem SGB V die Feststellung des Mitgliedsverhältnisses und der Mitgliedschaft, “einschließlich der für die Anbahnung eines Versicherungsverhältnisses erforderlichen Daten” seien (vgl BT-Drucks 14/1245). In der Gesetzesbegründung heißt es hierzu, die Ergänzung der Nr 1 sei eine Folge der Einführung des Kassenwahlrechts durch das Gesundheitsstrukturgesetz. Mitglieder der Krankenkassen nähmen vor dem Wechsel von einer zur anderen Krankenkasse Kontakt zu mehreren Krankenkassen auf, um von diesen informiert zu werden. Zum Teil erklärten sie schon in der Mitte eines Jahres gegenüber einer Krankenkasse, zum Jahresende ihr Mitglied werden zu wollen. In der Zwischenphase müsse es der neugewählten Krankenkasse möglich sein, die Daten dieses zukünftigen Mitglieds zu erfassen und zu verarbeiten (S 102). Nach den derzeit geltenden Regelungen seien Datenerhebungen zum Zwecke der Mitgliedergewinnung ohne Einwilligung des Betroffenen nicht zulässig (S 103 zu Abs 3); ein abschließender Katalog umfasse die Zwecke bzw die Aufgaben, für die die Krankenkassen Daten für ihre Versicherten und Leistungserbringer der GKV erheben, verarbeiten und nutzen dürften, sowie zu welchen Zwecken die Daten zusammengeführt werden dürften (S 101 zu Nr 109). Es kann dahinstehen, ob die Ansicht des Gesetzgebers, nach geltendem Recht sei eine Erhebung der Daten mit Einwilligung des Betroffenen zulässig, richtig ist; jedenfalls hat das LSG zu Recht aus diesem – gescheiterten – Gesetzesvorhaben den Schluss gezogen, dass es nicht zu den Aufgaben der gesetzlichen Krankenkassen nach § 284 Abs 1 SGB V gehört, Daten zum Zwecke der Mitgliedergewinnung zu erheben.
Selbst wenn man der Meinung der Klägerin folgen wollte, § 284 Abs 1 Satz 1 Nr 1 SGB V müsse schon vor einer entsprechenden Gesetzesänderung einer erweiternden Auslegung zugeführt werden, wäre eine Datenerhebung in der von der Klägerin betriebenen Form unzulässig gewesen, weil sie zur Erfüllung der (vermeintlichen) Aufgabe nicht erforderlich gewesen wäre, und zwar weder nach § 13 BDSG noch nach § 284 SGB V (noch im Übrigen nach § 67a Abs 1 SGB X in allen seinen seit 1. Juli 1994 geltenden Fassungen). Die in § 13 Abs 1 BDSG verlangte Erforderlichkeit der Datenerhebung bedeutet nämlich, dass sich die Klägerin auf das zum Erreichen des angegebenen Zwecks – im Rahmen des konkreten Auftrags – erforderliche Minimum beschränken muss (BVerfGE 65, 1, 44; Gola/Schomerus, BDSG, 6. Aufl 1997, Anm 3.3 zu § 13; Roos in von Wulffen, SGB X, 4. Aufl 2001, § 67a RdNr 4; Scholz in Kasseler Komm, § 67a SGB X, RdNr 13 f, Stand Februar 1997). Da bei der Ausfüllung des unbestimmten Rechtsbegriffs der Erforderlichkeit von der Grundentscheidung des Gesetzgebers auszugehen ist, die Erhebung und sonstige Verwendung von personenbezogenen Daten zu verbieten (§ 4 BDSG; so auch §§ 67a, 67b SGB X) und nur in den vorgegebenen Grenzen zuzulassen, ist die Ausnahmeregelung des § 13 Abs 1 BDSG eng auszulegen. Erforderlich sind daher nur Daten, deren Kenntnis notwendig ist, um die gestellte Aufgabe rechtmäßig, vollständig und in angemessener Zeit erfüllen zu können (vgl nur Gola/Schomerus, BDSG, 6. Aufl 1997, § 13 Anm 3.3; so im Ergebnis auch für § 67a SGB X Hauck, SGB X, § 67a RdNr 41 und 46, Stand Januar 1997; vgl auch Benz, BG 1996, 52, 54); dass die Daten zur Aufgabenerfüllung geeignet oder zweckmäßig sind, genügt mithin nicht (Auernhammer, BDSG, 3. Aufl 1993, § 13 RdNr 6; Hauck formuliert aaO: “Datenerhebung muss geeignetes Mittel sein, für das es keine zumutbare Alternative gibt”).
Nähme man an, dass zu den Zwecken bzw den Aufgaben der Klägerin iS des SGB V auch die Datenerhebung zwecks Mitgliederwerbung zählte, so würde die Aufgabenerfüllung insoweit keinesfalls ohne das von dem BVA gerügte Verhalten, also ohne das aktive Zugehen der Klägerin auf die Arbeitgeber der potenziellen Mitglieder mit der Bitte um Übermittlung der personenbezogenen Daten, unerfüllbar bzw unzumutbar. Die allgemeine Aufklärung der Bevölkerung bzw die besondere Aufklärung potenzieller Mitglieder mittels Broschüren oder sonstiger Werbematerialien, die den Arbeitgebern zur Verteilung übersandt werden können, würde genügen, um diesen potenziellen Mitgliedern ein eigenes Herantreten an sie (die Klägerin) zu ermöglichen. Im Übrigen zeigt auch hier wiederum der nicht realisierte Gesetzentwurf zur Änderung des § 284 SGB V, dass dies der Gesetzgeber ebenso sieht, wenn in Abs 3 die “Verwendung” von Daten zum Zwecke der Werbung nur zugelassen werden sollte, wenn sie aus allgemein zugänglichen Quellen entnommen werden können (vgl BT-Drucks 14/1245, dazu auch S 103 zu Abs 3), es sei denn, dass schutzwürdige Interessen des Betroffenen überwiegen oder der Betroffene widerspricht. Um eine allgemein zugängliche Quelle handelt es sich bei Datenbeständen von Arbeitgebern jedoch nicht; sie sind keine Medien, die technisch geeignet und bestimmt sind, der Allgemeinheit, dh einem individuell nicht bestimmbaren Personenkreis, Informationen zu beschaffen (vgl zu dieser Voraussetzung Gola/Schomerus, BDSG, 6. Aufl 1997, § 14 Anm 3.6 mwN).
Hat mithin die Klägerin bereits vor Erlass der Aufsichtsmaßnahme das Recht verletzt, durfte das BVA mit Aufsichtsmitteln dagegen vorgehen. Dahinstehen kann, ob nicht bereits eine drohende Rechtsverletzung genügt hätte (vgl dazu Maier in Kasseler Komm, § 89 SGB IV RdNr 2, Stand Mai 1993), bzw ob eine zunächst wegen fehlender Rechtsverletzung rechtswidrige Aufsichtsmaßnahme bei anschließender Rechtsverletzung oder auf Grund einer Gesetzesänderung rechtmäßig würde. Vorliegend war jedenfalls das BVA berechtigt, die Klägerin zur Behebung der Rechtsverletzung zu verpflichten; sie blieb auch hierzu berechtigt, weil sich – wie später noch ausgeführt wird – an der Rechtslage materiell durch die Anwendung des § 67a SGB X ab 1. Juli 1994 nichts geändert hat. Der Terminus der Behebung kann dabei nicht nur bedeuten, dass derjenige, der das Recht verletzt hat, verpflichtet wird, diese Rechtsverletzung rückgängig zu machen (restitutive Verpflichtung), sondern es ist nach Sinn und Zweck der Regelung des § 89 SGB IV folgerichtig, von demjenigen, der das Recht verletzt hat, auch zu verlangen, künftig entsprechende Rechtsverletzungen nicht mehr zu begehen (präventive Verpflichtung).
Diesen Grundsätzen entspricht die Verfügung des BVA. Sie verpflichtet zum einen die Klägerin, künftig nicht mehr von Arbeitgebern Name und Anschrift von Auszubildenden oder Berufsanfängern oder sonst für eine Mitgliedschaft bei ihr in Frage kommenden Personen sowie von nicht berücksichtigten Bewerbern um einen Ausbildungsplatz oder Arbeitsplatz zu erbitten oder – ohne eigene Erhebung – derartige Angaben auf sonstige Art zur Aufklärung, Werbung und Gewinnung von Mitgliedern zu verwenden, soweit die Arbeitgeber nicht das ausdrückliche Einverständnis des Betroffenen zur Überlassung seiner Daten an die Kasse haben (präventive Verpflichtung). Sie verpflichtet zum anderen die Klägerin, bereits vorhandene (zu ergänzen: im obigen Sinne unrechtmäßig erhobene), nach dem 30. Juni 1994 ohne Einwilligung erlangte Personendaten, die nicht später erneut rechtmäßig erhoben worden sind oder auf einer späteren rechtmäßigen Verarbeitung oder Nutzung beruhen, nicht mehr zu speichern, zu verändern oder innerhalb der verantwortlichen Stelle weiterzugeben und an Dritte nur zu übermitteln, soweit die Übermittlung aus anderen Gründen gesetzlich erlaubt ist, und die genannten Daten im Übrigen zu löschen (restitutive Verpflichtung). Es bedarf keiner Entscheidung, ob sich der Begriff des Behebens in § 89 Abs 1 Satz 1 SGB IV ohne Rücksicht auf die datenschutzrechtlichen Regelungen bestimmt, ob also – anders gewendet – von der Klägerin ein anderes Verhalten verlangt werden darf, als dies die Datenschutzregelungen vorsehen; die Verfügung der Beklagten hält sich jedenfalls im Rahmen der datenschutzrechtlichen Regelungen, und zwar sowohl in ihrem präventiven als auch ihrem restitutiven Teil.
Zur Beurteilung der Rechtmäßigkeit des Inhalts der Verfügung ist nur noch auf die Regelungen der §§ 67 ff SGB X einzugehen. Denn soweit es den präventiven Teil der Aufsichtsmaßnahme betrifft, wird von der Klägerin ein künftiges Verhalten verlangt, das sich ohnedies nur am aktuellen Recht messen kann; die Unterlassungsverfügung hat sich für die Zeit bis zur Entscheidung des Senats durch Zeitablauf erledigt (§ 39 Abs 2 SGB X). Soweit es den restitutiven Teil der Verfügung betrifft, hat die Beklagte die Behebung des rechtswidrigen Zustandes auf die nach dem 30. Juni 1994 unzulässigerweise erhobenen Sozialdaten beschränkt. Seit 1. Juli 1994 gelten jedoch ausschließlich die Regelungen der §§ 67 ff SGB X, insbesondere § 67a SGB X, die, wie zuvor § 13 BDSG, ergänzt werden durch § 284 SGB V; das BDSG findet nur noch Anwendung, soweit darauf ausdrücklich im SGB X verwiesen ist (vgl nur: Roos in von Wulffen, SGB X, 4. Aufl 2001, Vor § 67 RdNr 19; Hauck, SGB X, § 67 RdNr 2, Stand April 1996).
Wie bereits ausgeführt, will das BVA der Klägerin jedenfalls nicht verbieten, Daten mit Einwilligung des Betroffenen zu erheben, zu verarbeiten oder zu nutzen. Zwar sehen die §§ 67 ff SGB X iVm § 284 SGB V jedenfalls nicht expressis verbis vor, dass eine Erhebung durch die Einwilligung des Betroffenen Rechtens wird (anders § 4 BDSG); eine solche Einwilligung genügt nach dem Gesetzeswortlaut (andeutungsweise zum Problem Roos in von Wulffen, SGB X, 4. Aufl 2001, Vor § 67 RdNr 23) nur für die Verarbeitung und Nutzung (§ 67b Abs 1 und 2 SGB X). Ob die vom BVA akzeptierte Einwilligung den Voraussetzungen des § 67b Abs 1 und 2 SGB X genügt (vgl dazu etwa Hauck, SGB X, § 67b RdNr 63 ff, Stand Februar 1997), bedarf jedoch keiner Entscheidung; denn das BVA würde, wenn man dies verneint, ohnedies von der Klägerin weniger verlangen, als es verlangen dürfte.
Soweit die Klägerin verpflichtet wird, es künftig zu unterlassen, entsprechende Daten von Arbeitgebern zu erbitten, gilt gemäß § 67a SGB X das Gleiche wie das zu § 13 Abs 1 BDSG Gesagte. Nach § 67a Abs 1 SGB X (in der seit 19. Mai 2001, aber auch in der davor geltenden Fassung) ist das Erheben von Sozialdaten durch in § 35 SGB I genannte Stellen (nur) zulässig, wenn ihre Kenntnis zur Erfüllung einer Aufgabe der erhebenden Stelle nach diesem Gesetzbuch erforderlich ist. Bei den von der Klägerin angeforderten Daten (Name und Adresse) handelt es sich um Sozialdaten iS des § 67 Abs 1 SGB X; es gibt kein “belangloses” Datum im Sozialbereich (Binne, NZS 1995, 95, 96 mwN). Nach § 67 Abs 1 SGB X sind Sozialdaten Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (auch Name und Adresse: vgl nur Roos in von Wulffen, SGB X, 4. Aufl 2001, § 67 RdNr 7), die von einer in § 35 SGB I genannten Stelle im Hinblick auf eine ihrer Aufgaben nach diesem Gesetzbuch erhoben, verarbeitet oder genutzt werden. Wie in § 13 Abs 1 BDSG ist also die Erhebung solcher Daten nur zulässig, wenn ihre Kenntnis zur Erfüllung einer Aufgabe der erhebenden Stelle nach diesem Gesetzbuch erforderlich ist (§ 67a Abs 1 Satz 1 SGB X in der seit 19. Mai 2001 geltenden Fassung, aber auch in der davor geltenden Fassung).
Der Anwendung der §§ 67 ff SGB X steht nicht entgegen, dass die Erhebung der Daten in der von dem BVA gerügten Form zum Zwecke der Mitgliedergewinnung – wie oben ausgeführt – gerade nicht zu den im SGB V bzw im SGB I ausdrücklich genannten Aufgaben der Klägerin gehört. Dadurch verlieren diese Daten nicht iS des § 67 Abs 1 SGB X ihren Charakter als Sozialdaten (mit der Folge, dass das BDSG Anwendung fände). Die Klägerin vertritt ja gerade die Auffassung, es gehöre zu ihren Aufgaben nach § 284 Abs 1 SGB V, Mitgliederwerbung in dem genannten Sinne zu betreiben. Die Anwendung der Vorschriften über den Sozialdatenschutz kann aber, wenn sich der Adressat des Schutzgebots auf eine gesetzliche Aufgabe nach dem SGB beruft, nicht davon abhängig gemacht werden, ob diese Ansicht richtig ist. Mithin war und ist auch nach § 67a Abs 1 SGB X (in allen seit 1. Juli 1994 geltenden Fassungen) das Erbitten von Daten (Namen und Adresse) beim Arbeitgeber unzulässig, und zwar nach dem Gesetzeswortlaut sogar ohne Rücksicht darauf, ob die Betroffenen einwilligen. Ob die weiteren Voraussetzungen des § 67a Abs 2 bis 5 SGB V (bei wem die Daten und wie sie im Einzelnen zu erheben sind) vorliegen, wäre erst dann zu prüfen, wenn die Datenerhebung überhaupt zulässig wäre.
Die Klägerin darf auch künftig Namen und Anschriften der betreffenden Personen – unabhängig von einer vorausgegangenen Erhebung – nicht zur Mitgliederwerbung bzw die auf unzulässige Weise erhobenen Daten generell nicht mehr verwenden. Dabei ist unter Verwendung jede Nutzung, Verarbeitung und Weitergabe innerhalb der speichernden Stelle (Argument aus § 67 Abs 7 SGB X), also etwa auch das Anschreiben der betroffenen Personen, zu verstehen. Verarbeiten ist das Speichern, Verändern und Übermitteln (§ 67 Abs 6 SGB X). Zwar zählt § 67 Abs 6 SGB X außerdem das Sperren und Löschen von Daten zu der Verarbeitung; jedoch ist nach Sinn und Zweck der Aufsichtsverfügung der Klägerin nicht verboten worden, unzulässigerweise erhobene Daten auf diese Weise zu verarbeiten (sperren und löschen). Die Unzulässigkeit der Verarbeitung (speichern, verändern, übermitteln) und Nutzung (§ 67 Abs 7 SGB X: jegliche Verwendung, soweit nicht Verarbeitung, einschließlich Weitergabe innerhalb Behörde) ergibt sich – bei fehlender Einwilligung des Betroffenen – aus § 67b Abs 1 SGB X in der ab 19. Mai 2001 geltenden Fassung iVm § 67c SGB X in der seit 19. Mai 2001 geltenden Fassung (ebenso allerdings auch in den davor geltenden Fassungen) sowie aus § 284 Abs 1 Satz 1 und Abs 3 SGB V. Insoweit erstreckt Abs 3 das Gebot des Abs 1 (Erheben und Speichern nur für aufgezählte Zwecke) auf die Verarbeitung und Nutzung.
Nach § 67c Abs 1 SGB X ist das Speichern, Verändern oder Nutzen von Sozialdaten durch die in § 35 des SGB I genannten Stellen (nur) zulässig, wenn es zur Erfüllung der in der Zuständigkeit der verantwortlichen Stellen liegenden gesetzlichen Aufgaben nach diesem Gesetzbuch erforderlich ist und für Zwecke erfolgt, für die die Daten (zu ergänzen: rechtmäßig) erhoben worden sind. Ist eine Erhebung vorausgegangen, dürfen die Daten nur für die Zwecke geändert oder genutzt werden, für die sie (zu ergänzen: rechtmäßig) gespeichert worden sind. Die Speicherung, Veränderung oder Nutzung für andere Zwecke nach bereits erfolgter Speicherung ist ebenfalls schon dann unzulässig, wenn eine unzulässige Speicherung nach § 67c Abs 1 SGB X vorausgegangen ist (§ 67c Abs 2 SGB X). Nichts anderes gilt nach § 284 Abs 3 SGB V, sodass sich das Problem des Konkurrenzverhältnisses zu § 67c SGB X und § 35 SGB I (vgl dazu etwa Scholz in Kasseler Komm, § 67a RdNr 4, Stand Februar 1997) – also die Frage, ob die §§ 67 ff SGB X über § 37 Satz 2 SGB I iVm § 35 Abs 2 SGB I nur einen Mindestschutz gewähren, der durch bereichsspezifische Datenschutzregelungen nur verstärkt werden darf – nicht stellt (s § 37 SGB I).
Erhebt mithin in Zukunft die Klägerin unzulässigerweise Daten zum Zweck der Mitgliederwerbung, hat sie es seit 1. Juli 1994 getan oder will sie entsprechende Daten ohne vorausgegangene Erhebung speichern, verändern oder nutzen, so ergibt sich aus der umfassenden Koppelung und Gleichschaltung der zulässigen Zwecke und Aufgaben im Rahmen aller Phasen der Datenerfassung (Erheben, Speichern, Verändern, Nutzen) automatisch auch die Unzulässigkeit der jeweiligen Maßnahme (vgl Hauck, SGB X, § 67b RdNr 85 und 87, Stand Januar 1997; Benz, BG 1996, 52, 53). Dass § 284 SGB V in Abs 1 neben der Erhebung der Daten nur das Speichern der Daten nennt, hat hierbei keine weitere Bedeutung; denn durch dessen Abs 3 werden – wie oben bereits dargelegt – die restlichen Phasen des Umgangs mit Sozialdaten einbezogen. Eine Übermittlung von Daten an Dritte ist ohnedies – abgesehen von der Einwilligung (§ 67b Abs 1 SGB X) – nach § 67d Abs 1 SGB X nur zulässig, soweit eine gesetzliche Übermittlungsbefugnis nach den §§ 68 bis 77 SGB X oder nach einer anderen Rechtsvorschrift im Sozialgesetzbuch vorliegt. Dem hat die Beklagte mit der Änderung der Verfügung am 18. September 2002 Rechnung getragen. Schließlich kann das BVA von der Klägerin die Löschung der unzulässigerweise erhobenen Daten verlangen (§ 84 Abs 2 SGB X), weil ihre Speicherung, wie bereits ausgeführt, unzulässig war.
Die Kostenentscheidung folgt aus § 193 SGG in der vor dem Jahre 2002 geltenden Fassung. Da die Teilaufhebung der Aufsichtsverfügung durch die Beklagte ohnedies nicht zu einem wesentlichen Erfolg der Klage geführt hat, kann dahinstehen, ob vorliegend die Aufwendungen der Klägerin überhaupt erstattungsfähig sind (§ 193 Abs 4 SGG). § 197a SGG in der seit Anfang 2002 geltenden Fassung findet auf das vorliegende Verfahren noch keine Anwendung (BSG SozR 3-2500 § 116 Nr 24 am Ende).
Fundstellen
BSGE 2003, 162 |
BSGE 90, 162 |
DuD 2003, 645 |
SozR 3-2500 § 284, Nr. 1 |
SozVers 2003, 242 |
Breith. 2003, 183 |