Versicherer sollen illegal Kundendaten ausgetauscht haben

Die Landesdatenschutzbeauftragte in NRW hat Untersuchungen gegen zehn Versicherungsunternehmen in Nordrhein-Westfalen eingeleitet. Der Vorwurf: Die Versicherer haben rechtswidrig personenbezogene Daten ausgetauscht.

„Konkret haben die Unternehmen gemeinsam mit knapp 30 weiteren Versicherern Daten von Kund*innen in der Auslandsreisekrankenversicherung untereinander geteilt, um Betrugsfälle aufzudecken und Betrugsmuster zu erkennen“, erläutert die Landesdatenschutzbeauftragte, Bettina Gayk. Da die Unternehmen in zehn verschiedenen Bundesländern als auch im Ausland tätig seien, habe man eine gemeinsame koordinierte Prüfung gestartet.

Über einen geschlossenen Mailverteiler, auf den in den jeweiligen Unternehmen meist mehrere Personen Zugriff hatten, tauschten die Unternehmen die Daten aus, darunter auch Gesundheitsdaten, wie medizinische Diagnosen, sowie Daten minderjähriger Personen. Diese Daten gingen auf diese Weise auch an Versicherungen, die gar keinen Kontakt mit den betroffenen Personen hatten. Auch, so der Vorwurf, fehlten Vorkehrungen zum Schutz der Informationen oder zur Wahrung der Betroffenenrechte.

„Die Nutzung des E-Mailverteilers erstaunt umso mehr, als es eine mit den Datenschutzaufsichtsbehörden abgestimmte, seit Jahren im Versicherungssektor etablierte Möglichkeit gibt, sich datenschutzkonform über potentielle Betrugsfälle auszutauschen“, zeigt sich Gayk über die Unternehmen verärgert. Gemeint ist hier das HIS-System, das klar geregelte Kriterien für Abfragen hat sowie zur Frage, welche Daten geteilt werden dürfen.

Die Datenschutzbeauftragte äußerte den Verdacht, dass der Mailverteiler zunächst seitens der Versicherer dazu gedacht war, sich abstrakt und unabhängig von konkreten Fällen über Betrugsmuster auszutauschen. „Wir gehen davon aus, dass über die Jahre hinweg dann jedoch mehr daraus wurde und die Unternehmen den Weg über den E-Mailverteiler genutzt haben, um sich auch über konkrete Verdachtsfälle austauschen zu können“, erläutert Gayk.

Die Landesdatenschutzbeauftragte erklärte, dass der rechtswidrige Datenaustausch mittlerweile durch ihre Intervention von den Unternehmen eingestellt worden sei. Die Prüfung sei allerdings noch nicht beendet. Bei Datenschutzverstößen haben die Behörden die Möglichkeit, Bußgelder zu verhängen.