Die Verwendung von auch nur indirekten Gesundheitsdaten für Spendenwerbung ist ohne Einwilligung unzulässig

KI wurde verwendet, um dieses Bild zu erstellen | Verwendete APP: ChatGPT |Anmeldedaten für Inhalte bereitgestellt von: OpenAI

Behörde: Bundesverwaltungsgericht
Entscheidungsdatum: 30.04.2025
Geschäftszahl: W171 2298465-1/8E

Rechtssatz:
Die Verarbeitung von (indirekten) Gesundheitsdaten zum Zweck der Spendenwerbung  verletzt das Recht auf Geheimhaltung, wenn keine Einwilligung vorliegt.

Sachverhalt

Im November 2023 wurde eine Person mit einem Rettungstransportwagen befördert. Der Rettungsdienst erfasste dabei personenbezogene Daten wie Name und Adresse im Rahmen eines medizinischen Einsatzes.

Einige Wochen später erhielt die betroffene Person einen Spendenbrief des Rettungsdienstes. In diesem wurde unter Bezugnahme auf die erfolgte Behandlung um eine Spende geworben: Man danke „für das entgegengebrachte Vertrauen auf dem Weg zu und von Ihrer Behandlung…“.

Die betroffene Person erhob daraufhin Beschwerde bei der Datenschutzbehörde (DSB), da sie der Nutzung ihrer Gesundheitsdaten für diesen Zweck nicht zugestimmt hatte.

Die DSB stellte die Rechtswidrigkeit der Weiterverarbeitung fest. Der Rettungsdienst bekämpfte diese Entscheidung beim Bundesverwaltungsgericht, jedoch erfolglos.

Rechtliche Beurteilung

Das Bundesverwaltungsgericht bestätigte im Wesentlichen die Auffassung der Datenschutzbehörde.

Es führte aus:

• Die verwendeten Informationen – namentlich Name, Adresse und der Umstand, dass ein Rettungseinsatz stattfand – sind Gesundheitsdaten im Sinne des Art. 4 Z 15 DSGVO.
  
  

• Durch die Formulierung im Spendenbrief war klar erkennbar, dass ein medizinischer Notfall oder eine Gesundheitsbetreuung vorgelegen hatte. 
  
  

• Für die Verwendung dieser Gesundheitsdaten zur Versendung eines Spendenbriefes lag keiner der in Art. 9 Abs. 2 DSGVO genannten Ausnahmetatbestände vor:

  • Es lag keine Einwilligung der betroffenen Person vor.

  • Die Verarbeitung war nicht zur Geltendmachung von Rechtsansprüchen, nicht im öffentlichen Interesse, und nicht im Rahmen sozialrechtlicher Verpflichtungen erforderlich.

  • Es bestand kein regelmäßiger Kontakt zwischen Organisation und betroffener Person, sodass sich auch keine Legitimation aus einer bestehenden Beziehung ergab.

Die Sekundärverarbeitung der Daten zu Werbezwecken war somit nicht rechtmäßig. Die Datenverarbeitung verletzte das Recht auf Geheimhaltung nach § 1 DSG.

Allerdings präzisierte das Gericht den Spruch der DSB:

Nicht die gesamte Datenverarbeitung sei unzulässig, sondern nur die konkrete Verwendung des Gesundheitsdatums zur Spendenwerbung.

Fazit und Empfehlung für Verantwortliche

Diese Entscheidung verdeutlicht, dass jegliche Nutzung gesundheitsbezogener Daten außerhalb des ursprünglichen medizinischen Kontextes nur unter strengsten Voraussetzungen erlaubt ist.

Schon die implizite Offenbarung eines Gesundheitskontakts, etwa durch einen Spendenbrief mit Bezug auf eine medizinische Leistung, unterliegt dem Verbot der Verarbeitung nach Art. 9 Abs. 1 DSGVO.

Verantwortliche Stellen wie Rettungsdienste, Krankenhäuser oder Pflegeeinrichtungen sollten daher:

• Jegliche Weiterverwendung von Gesundheitsdaten für Marketing- oder Spendenzwecke strikt unterlassen, sofern keine ausdrückliche Einwilligung vorliegt.
  
  

• Ihre internen Prozesse und Marketingmaßnahmen überprüfen, um unbeabsichtigte Offenlegungen zu verhindern.
  
  

• Mitarbeiter entsprechend schulen, insbesondere im Umgang mit Datensätzen, die ursprünglich für medizinische Zwecke verarbeitet wurden.