B u n d e s v e rw a l t u ng s g e r i ch t
T r i b u n a l ad m i n i s t r a t i f f éd é r a l
T r i b u n a l e am m in i s t r a t i vo f e d e r a l e
T r i b u n a l ad m i n i s t r a t i v fe d e r a l
Abteilung I
A-3548/2018
Ur t e i l vom 1 9 . Mä r z 2 0 1 9
Besetzung
Richter Jürg Steiger (Vorsitz),
Richterin Claudia Pasqualetto Péquignot,
Richter Maurizio Greppi,
Gerichtsschreiber Tobias Grasdorf.
Parteien
Eidgenössischer Datenschutz- und
Öffentlichkeitsbeauftragter EDÖB,
Feldeggweg 1, 3003 Bern,
Kläger,
gegen
Helsana Zusatzversicherungen AG,
Postfach, 8081 Zürich Helsana,
vertreten durch Dr. lic. iur. Gregor Bühler, Rechtsanwalt, und
lic. iur. David Rosenthal, Rechtsanwalt, Homburger AG,
Beklagte,
Gegenstand
Bonusprogramm Helsana+
der Helsana Zusatzversicherungen AG.
A-3548/2018
Seite 2
Sachverhalt:
A.
Die Helsana Zusatzversicherungen AG betreibt das App-gestützte Bonus-
programm „Helsana+“, das gemäss Eigenbeschreibung der freiwilligen
Förderung des Gesundheitsbewusstseins und des sozialen und gesell-
schaftlichen Engagements dient. Die Teilnehmerinnen und Teilnehmer am
Programm können durch bestimmte Aktivitäten Pluspunkte sammeln, die
sie in Boni wie Barauszahlungen, Sachleistungen oder Gutscheine von
Partnerbetrieben umwandeln können. Bonusberechtigt sind nur die Versi-
cherungsnehmer einer Versicherungsgesellschaft der Helsana AG (Hels-
ana Zusatzversicherungen AG, Helsana Versicherungen AG und Progrès
Versicherungen AG). Die App übermittelt keine Gesundheits- und Bewe-
gungsdaten, die Teilnehmerinnen und Teilnehmer erbringen die für die
Sammlung von Pluspunkten notwendigen Nachweise auf andere Weise,
beispielsweise per Foto-Upload. Für Versicherungsnehmer der obligatori-
schen Krankenpflegeversicherung und der Zusatzversicherung werden un-
terschiedliche Boni gewährt. Für die Ermittlung der Teilnahmeberechtigung
sowie die Berechnung der Höhe der Boni klärt die Helsana Zusatzversi-
cherungen AG die Versicherteneigenschaften der Teilnehmerinnen und
Teilnehmer ab. Dafür fordert sie von diesen im Rahmen des Registrie-
rungsprozesses über die App die Einwilligung ein, Daten von der obligato-
rischen Krankenpflegeversicherung der Helsana-Gruppe zur Zusatzversi-
cherung zu übertragen.
B.
Nach Durchführung einer Sachverhaltsabklärung, inklusive eines Augen-
scheins bei der Helsana Zusatzversicherungen AG, erliess der Eidgenös-
sische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) am 26. April
2018 Empfehlungen betreffend das Bonusprogramm Helsana+. Der EDÖB
empfahl der Helsana Zusatzversicherungen AG:
„1. Die Helsana Zusatzversicherung AG hat im Rahmen des Programms
Helsana+ die Entgegennahme und Weiterbearbeitung von Daten der
Helsana Grundversicherung sowie das Einholen von Einwilligungen zu
dieser Datenbearbeitung zu unterlassen.
2. Die Helsana Zusatzversicherung hat im Rahmen des Programms
Helsana+ die Bearbeitung von Kassenzugehörigkeits- und anderen Daten
von Kunden, die bei der Helsana ausschliesslich grundversichert sind,
zum Zwecke der Bemessung und rechtswidrigen Ausrichtung geldwerter
Rückerstattungen zu unterlassen.“
A-3548/2018
Seite 3
C.
Am 22. Mai 2018 teilte die Helsana Zusatzversicherungen AG dem EDÖB
mit, sie teile dessen Rechtsauffassung nicht und lehne eine Umsetzung der
Empfehlungen daher ab. Sie sei jedoch bereit, bis zum Vorliegen eines
rechtskräftigen Gerichtsurteils ohne Anerkennung einer Rechtspflicht den
Registrierungsablauf für rein grundversicherte Teilnehmerinnen und Teil-
nehmer anzupassen.
D.
Am 18. Juni 2018 reicht der EDÖB (Kläger) beim Bundesverwaltungsge-
richt Klage gegen die Helsana Zusatzversicherungen AG (Beklagte) ein
und stellt die folgenden Rechtsbegehren:
„1. Die Beklagte habe im Rahmen des Programms Helsana+ die Entgegen-
nahme und Weiterbearbeitung von Personendaten der Helsana Grundver-
sicherung sowie das Einholen von Einwilligungen zu dieser Datenbearbei-
tung zu unterlassen.
2. Die Beklagte habe im Rahmen des Programms Helsana+ die Bearbeitung
von Kassenzugehörigkeits- und anderen Daten von Kunden, die bei der
Helsana Versicherungen AG ausschliesslich grundversichert sind, zum
Zwecke der Bemessung und rechtswidrigen Ausrichtung geldwerter Rück-
erstattungen zu unterlassen.
3. Die Beklagte habe die im Rahmen der in den Begehren 1 und 2 vorste-
hend beschriebenen Datenbearbeitung angefallenen Personendaten in-
nert gerichtlich zu bestimmender Frist zu löschen und Dritte, denen sie die
Daten weitergegeben hat anzuweisen, diese Daten innert gleicher Frist zu
löschen.“
E.
Die Beklagte beantragt in ihrer Klageantwort, die Klage sei vollumfänglich
abzuweisen, soweit darauf einzutreten sei. Die Teilnehmerinnen und Teil-
nehmer am Programm Helsana+ gäben ihre Einwilligung dazu, dass die
Beklagte auf ihre Versichertendaten bei den Versicherungsgesellschaften
der Helsana-Gruppe zugreifen dürfe. Sie frage nur die Postleitzahl, das
Geburtsdatum und die Versichertennummer ab. Damit liege kein Verstoss
gegen das Datenschutzgesetz vor. Bezüglich des Rechtsbegehrens 2
fehle dem Kläger die Aktivlegitimation, da das Begehren sich nicht gegen
eine Bearbeitungsmethode richte. Das Rechtsbegehren 2 sei deshalb un-
zulässig. Eventualiter sei das Begehren abzuweisen, da das Bonuspro-
gramm bei ausschliesslich Grundversicherten nicht zu einer unzulässigen
Prämienrückerstattung führe, da die Boni des Programms Helsana+ nicht
A-3548/2018
Seite 4
in einem Austauschverhältnis mit der Prämienzahlung von Grundversicher-
ten stehe.
F.
In seiner Replik vom 2. Oktober 2018 führt der Kläger aus, dass aus der
Globalzustimmung zu den Nutzungsbedingungen für das App-Programm
der Beklagten als Zusatzversicherer nicht auf eine gültige Einwilligung für
Zugriffe auf Personendaten von Grundversicherern geschlossen werden
könne. Es gehe zudem um eine indirekte Rückerstattung von Grundversi-
cherungsprämien, die der Konzern querfinanziere, indem er aus den Per-
sonendaten seiner Nutzer Erträge respektive Wettbewerbsvorteile gene-
riere, was gegen das Prinzip der gleichen Prämien beziehungsweise der
Einheitsprämien verstosse.
G.
In ihrer Duplik betont die Beklagte insbesondere, die Teilnehmerinnen und
Teilnehmer wüssten im Zeitpunkt der Zustimmung zu den Nutzungsbestim-
mungen, dass aufgrund der Zustimmung für die Zwecke ihrer Identifikation
auf Daten von anderen Gesellschaften der Helsana-Gruppe zugegriffen
werden könne. Es sei nicht einzusehen, wieso es ihnen verwehrt sein
sollte, ihre Einwilligung zum Abgleich dieser von ihnen bereits bekannt ge-
gebenen Angaben mit den Daten einer Versicherungsgesellschaft der ob-
ligatorischen Krankenpflegeversicherung zu geben.
H.
Mit Schreiben vom 14. respektive vom 20. November 2018 haben Kläger
und Beklagte auf eine mündliche Vorverhandlung und eine Hauptverhand-
lung verzichtet.
I.
Auf die weiteren Vorbringen und die sich bei den Akten befindenden Unter-
lagen wird soweit entscheidrelevant in den Erwägungen eingegangen.
Das Bundesverwaltungsgericht zieht in Erwägung:
1.
1.1 Im Privatrechtsbereich klärt der Kläger von sich aus oder auf Meldung
Dritter hin den Sachverhalt näher ab, wenn Bearbeitungsmethoden geeig-
net sind, die Persönlichkeit einer grösseren Anzahl von Personen zu ver-
letzen (sog. Systemfehler, Art. 29 Abs. 1 Bst. a des Bundesgesetzes vom
A-3548/2018
Seite 5
19. Juni 1992 über den Datenschutz [DSG, SR 235.1]). Aufgrund seiner
Abklärungen kann er empfehlen, das Bearbeiten zu ändern oder zu unter-
lassen (Art. 29 Abs. 3 DSG). Wird eine solche Empfehlung nicht befolgt
oder abgelehnt, kann er die Angelegenheit dem Bundesverwaltungsgericht
auf dem Klageweg zum Entscheid vorlegen (Art. 29 Abs. 4 DSG i.V.m.
Art. 35 Bst. b VGG).
1.2 Die auf das Datenschutzgesetz gestützte Klage des Klägers vom
18. Juni 2018 richtet sich gegen die Nichtbefolgung beziehungsweise die
Ablehnung seiner Empfehlungen vom 26. April 2018 durch die Beklagte.
1.3 Die Aktivlegitimation des Klägers zur Klageerhebung im Privatrechts-
bereich ergibt sich direkt aus Art. 29 Abs. 4 DSG. Passivlegitimiert können
(neben dem Kläger) nur jene Datenbearbeiter sein, die formell und materi-
ell Adressat der umstrittenen Empfehlung sind und diese nicht befolgen
oder ablehnen. Die Legitimation der Parteien wird – anders als im Zivilpro-
zess – als subjektive Prozessvoraussetzung betrachtet, bei deren Fehlen
ein Nichteintretensentscheid zu fällen ist (Urteil des Bundesverwaltungs-
gerichts A-7040/2009 vom 30. März 2011 E. 4.3.1 m.w.H.; DAVID ROSENT-
HAL, Handkommentar Datenschutzgesetz, Art. 29, Rz. 42).
1.4 Die Beklagte stellt sich auf den Standpunkt, das vom Kläger gestellte
Rechtsbegehren 2 sei mangels Aktivlegitimation unzulässig. Als erstes ist
daher zu prüfen, ob die Rechtsbegehren des Klägers, wie sie formuliert
sind, zulässig sind.
1.5 Bearbeiten im Sinne von Art. 2 Abs. 1 DSG bedeutet jeder Umgang mit
Personendaten, unabhängig von den angewandten Mitteln und Verfahren,
insbesondere das Beschaffen, Aufbewahren, Verwenden, Umarbeiten, Be-
kanntgeben, Archivieren oder Vernichten von Daten (Art. 3 Bst. e DSG). Es
steht ausser Zweifel und ist nicht bestritten, dass die Beschaffung von
Postleitzahl, Geburtsdatum und Versichertennummer von Teilnehmerinnen
und Teilnehmern am Programm Helsana+ sowie die weiteren im Rahmen
des Programms vorgenommenen Bearbeitungen von Daten von am Pro-
gramm teilnehmenden Personen, Bearbeitungen im Sinne von Art. 3 Bst. e
DSG darstellen.
1.6
1.6.1 Die Beklagte bestreitet die Aktivlegitimation des Klägers bezüglich
des Rechtsbegehrens 2. Sie macht geltend, es gehe bei diesem Klagebe-
gehren nicht um eine Bearbeitungsmethode im Sinne von
A-3548/2018
Seite 6
Art. 29 Abs. 1 DSG, sondern um die Rechtmässigkeit des Endzwecks der
Datenbearbeitung, für deren Beurteilung der Kläger über keine Klagelegi-
timation verfüge.
1.6.2 Der Kläger hält dem entgegen, es werde eine Angelegenheit nach
Art. 29 Abs. 4 DSG zum Entscheid vorgelegt, die auf einer nicht befolgten
Empfehlung im Sinne dieser Bestimmung beruhe. Nach diesem Absatz
zielten die Empfehlungen darauf ab, das Bearbeiten von Personendaten
zu ändern oder zu unterlassen. Dies werde in den Rechtsbegehren ver-
langt. Das Kriterium des Systemfehlers nach Art. 29 Abs. 1 DSG sei erfüllt.
1.6.3 Voraussetzung für die Kontrolltätigkeiten – Abklärungen, Empfehlun-
gen und Klagen – des Klägers im Privatrechtsbereich ist, dass ein „Sys-
temfehler“ vorliegt. „Systemfehler" bedeutet in diesem Zusammenhang die
Eignung, eine grössere Anzahl von Personen in ihrer Persönlichkeit zu ver-
letzen (Art. 29 Abs. 1 Bst. a DSG; vgl. Urteil des Bundesverwaltungsge-
richts A-7040/2009 vom 30. März 2011 E. 1.1).
Diese Voraussetzung spiegelt die Absicht des Gesetzgebers, die Verlet-
zung der Persönlichkeitsrechte im Privatrechtsbereich im Einzelfall der in-
dividuellen Klage des Einzelnen zu überlassen und den Kläger nur in Fällen
zu Kontrolltätigkeiten zu ermächtigen, in denen aufgrund der grossen An-
zahl potentiell betroffener Personen ein öffentliches Interesse an dessen
Tätigwerden besteht (Botschaft des Bundesrates vom 23. März 1988 zum
Bundesgesetz über den Datenschutz, BBl 1988 II 413, 435 und 479;
BRUNO BAERISWYL, in: Bruno Baeriswyl/Kurz Pärli [Hrsg.], Handkommentar
Datenschutzgesetz, Art. 29, Rz. 12 und 17 [nachfolgend: BEARBEITER,
Handkommentar DSG]; RENÉ HUBER, in: Urs Maurer-Lambrou/Gabor P.
Blechta, Basler Kommentar Datenschutzgesetz/Öffentlichkeitsgesetz,
Art. 29, Rz. 7 [nachfolgend: BEARBEITER, BSK DSG]). Dabei stand in den
parlamentarischen Beratungen insbesondere die elektronische Datenbear-
beitung im Fokus (vgl. AB 1991 S 1064). Eine weitergehende Einschrän-
kung des Gegenstandes der Kontrolle durch den Kläger ist demgegenüber
aus der Formulierung in Art. 29 Abs. 1 Bst. a DSG nicht abzuleiten. Darauf
deutet auch die Verwendung des Begriffs der „Persönlichkeitsverletzung“
in Art. 29 Abs. 1 Bst. a DSG hin. Dieser verweist auf die Grundnorm in
Art. 12 DSG, welche wiederum auf die Datenbearbeitung im Sinne von
Art. 3 Bst. e DSG und die Grundsätze der Datenbearbeitung in Art. 4 DSG
verweist.
A-3548/2018
Seite 7
Dies zeigt, dass alle Datenbearbeitungen und deren Rechtmässigkeit Ge-
genstand der Kontrolltätigkeit des Klägers sein können (BAERISWYL, Hand-
kommentar DSG, Art. 29, Rz. 4; HUBER, BSK DSG, Art. 29 Rz. 12). Gegen-
stand der Sachverhaltsabklärungen können alle Datenbearbeitungen im
Sinne von Art. 3 Bst. e DSG sein, solange diese potentiell eine grössere
Anzahl von Personen betreffen. Im Fokus stehen Konzeption, Inhalt sowie
Art und Weise von Datenbearbeitungen (BAERISWYL, Handkommentar
DSG, Art. 29, Rz. 14; HUBER, BSK DSG, Art. 29, Rz. 7a). Der Begriff der
„Bearbeitungsmethode“ schränkt den Gegenstand möglicher Sachver-
haltsabklärungen des Klägers nicht ein, sondern verweist lediglich darauf,
dass sich die Datenbearbeitung nicht auf einzelne Fälle beziehen darf, son-
dern diese methodisch, mithin wiederkehrend, erfolgen muss. Beim Ent-
scheid, ob ein Systemfehler vorliegt, hat der Kläger grundsätzlich einen
weiten Ermessensspielraum, sein Entscheid muss jedoch begründet und
nachvollziehbar sein (BAERISWYL, Handkommentar DSG, Art. 29, Rz. 18),
was vorliegend der Fall ist. Ob die von der Beklagten im Rahmen des Pro-
gramms Helsana+ vorgenommenen Bearbeitungen von Personendaten
gegen den Grundsatz der Rechtmässigkeit von Art. 4 Abs. 1 DSG verstos-
sen, ist demgegenüber eine Frage des materiellen Rechts.
1.7 Dass vorliegend eine grosse Anzahl Personen betroffen sind, wird von
der Beklagten nicht bestritten. Darüber hinausgehende Voraussetzungen
für Abklärungen und Empfehlungen – und entsprechend auch für Klagen –
des Klägers ergeben sich aus Art. 29 DSG wie ausgeführt nicht. Entspre-
chend war der Kläger zur Erteilung der Empfehlungen ermächtigt und ist
zur vorliegenden Klage legitimiert. Die Aktivlegitimation des Klägers ist da-
mit auch bezüglich des Rechtsbegehrens 2 zu bejahen.
1.8 Die Beklagte ist formelle und materielle Adressatin der Empfehlungen
des Klägers vom 26. April 2018, deren Umsetzung sie gemäss Schreiben
an den Kläger vom 22. Mai 2018 ablehnt. Dass die Beklagte sich bereit
erklärte, den Registrierungsprozess bis zum Vorliegen eines rechtskräfti-
gen Urteils ohne Anerkennung einer Rechtspflicht anzupassen (vgl. Schrei-
ben der Beklagten an den Kläger vom 22. Mai 2018), ändert daran nichts.
Die Beklagte ist demnach passivlegitimiert.
1.9 Die Klage ist an keine bestimmte Frist gebunden und wurde vom Kläger
nicht ungebührlich hinausgezögert (vgl. HUBER, BSK DSG, Art. 29,
Rz. 34 f.). Sie genügt zudem den Formerfordernissen (Art. 23 BZP) und ist
damit zulässig.
A-3548/2018
Seite 8
2.
Das Verfahren vor dem Bundesverwaltungsgericht richtet sich gemäss
Art. 44 Abs. 1 VGG grundsätzlich nach den Art. 3-73 und den Art. 79-85
des Bundesgesetzes vom 4. Dezember 1947 über den Bundeszivilprozess
(BZP, SR 273). Obwohl im Bundeszivilprozess der Richter sein Urteil
grundsätzlich nur auf Tatsachen gründen darf, die im Verfahren geltend ge-
macht worden sind (Art. 3 Abs. 2 BZP), gilt vor Bundesverwaltungsgericht
infolge der spezialgesetzlichen Bestimmung von Art. 44 Abs. 2 VGG der
Grundsatz der Sachverhaltsabklärung von Amtes wegen.
3.
3.1 Personendaten dürfen nur rechtmässig bearbeitet werden. Ihre Bear-
beitung hat nach Treu und Glauben zu erfolgen und muss verhältnismässig
sein. Sie dürfen nur zu dem Zweck bearbeitet werden, der bei der Beschaf-
fung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich
vorgesehen ist. Die Beschaffung von Personendaten und insbesondere der
Zweck ihrer Bearbeitung müssen für die betroffene Person erkennbar sein.
Ist für die Bearbeitung von Personendaten die Einwilligung der betroffenen
Person erforderlich, so ist diese Einwilligung erst gültig, wenn sie nach an-
gemessener Information freiwillig erfolgt. Bei der Bearbeitung von beson-
ders schützenswerten Personendaten oder Persönlichkeitsprofilen muss
die Einwilligung zudem ausdrücklich erfolgen (Art. 4 DSG).
3.2 Eine private Person, die Personendaten bearbeitet, darf dabei die Per-
sönlichkeit der betroffenen Personen nicht widerrechtlich verletzen (Art. 12
Abs. 2 DSG). Sie darf insbesondere nicht Personendaten entgegen den
Grundsätzen der Art. 4, 5 Abs. 1 und 7 Abs. 1 bearbeiten (Art. 12 Abs. 2
Bst. a DSG). Eine Verletzung der Persönlichkeit ist widerrechtlich, wenn
sie nicht durch Einwilligung des Verletzten, durch ein überwiegendes pri-
vates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist
(Art. 13 Abs.1 DSG).
3.3 Organe des Bundes dürfen Personendaten bearbeiten, wenn dafür
eine gesetzliche Grundlage besteht (Art. 17 Abs. 1 DSG). Sie dürfen Per-
sonendaten nur bekannt geben, wenn dafür eine Rechtsgrundlage im
Sinne von Art. 17 DSG besteht oder wenn die betroffene Person im Einzel-
fall eingewilligt hat (Art. 19 Abs. 1 Bst. b DSG). Bundesorgane sind Behör-
den und Dienststellen des Bundes sowie Personen, soweit sie mit öffentli-
chen Aufgaben des Bundes betraut sind (Art. 3 Bst. h DSG).
A-3548/2018
Seite 9
4.
4.1 Der Kläger macht bezüglich des Rechtsbegehrens 1 geltend, der Zu-
griff der Beklagten auf Daten aus der obligatorischen Krankenpflegeversi-
cherung im Rahmen des Registrierungsprozesses für das Programm Hels-
ana+ verstosse gegen das Datenschutzgesetz. Die Beklagte sei diesbe-
züglich als Bundesorgan im Sinne von Art. 3 Bst. h DSG anzusehen. Für
diese Datenübertragung bestehe keine gesetzliche Grundlage im Sinne
von Art. 17 Abs. 1 DSG, weshalb diese rechtswidrig sei. Der Rechtsgültig-
keit einer Einwilligung stehe deren fehlende Freiwilligkeit entgegen, weil
sie zwingend mit dem Zugang zum Programm gekoppelt sei. Es handle
sich zudem um eine Globalzustimmung zu den Nutzungsbestimmungen für
das App-Programm, aus der nicht auf eine gültige Einwilligung für Zugriffe
auf Personendaten von Grundversicherern geschlossen werden könne.
Ebenso wenig könne aus dieser Globalzustimmung eine Befugnis der
Grundversicherungsgesellschaften abgeleitet werden, Personendaten
weiterzugeben, die von ihnen als Bundesorgan bearbeitet würden.
4.2 Die Beklagte hält dem entgegen, sie sei kein Bundesorgan, es seien
entsprechend die Bestimmungen für das Bearbeiten von Personendaten
durch private Personen anzuwenden. Zum Nachweis einer Versicherungs-
beziehung müssten die Teilnehmerinnen und Teilnehmer des Programms
Helsana+ bei der Registrierung Postleitzahl, Geburtsdatum und Versicher-
tennummer angeben. Bei Teilnehmerinnen und Teilnehmern, die bei einer
Versicherungsgesellschaft der Helsana-Gruppe grundversichert seien,
prüfe sie diese Angaben mehrmals jährlich automatisiert. Indem die Teil-
nehmerinnen und Teilnehmer die Nutzungsbestimmungen bei der Regist-
rierung akzeptierten, gäben sie ihre Einwilligung dazu, dass die Beklagte
auf Versichertendaten bei den anderen Versicherungsgesellschaften der
Helsana-Gruppe zugreifen dürfe. Damit würden sie implizit auch darin ein-
willigen, dass die Grundversicherung den entsprechenden Zugriff gestatte.
Die Teilnahme am Programm Helsana+ sei zudem freiwillig. Entsprechend
sei ihre Datenbearbeitung gemäss Art. 13 Abs. 1 DSG durch Einwilligung
gerechtfertigt.
4.3 Es ist unbestritten, dass sich die Beklagte im Rahmen des Registrie-
rungsprozesses für das Programm Helsana+ gewisse Personendaten der
Teilnehmerinnen und Teilnehmer von anderen Versicherungsgesellschaf-
ten der Helsana-Gruppe beschafft, welche die betroffenen Personen im
Rahmen ihrer obligatorischen Krankenpflegeversicherung mitgeteilt haben
(Postleitzahl, Geburtsdatum, Versichertennummer). Diese Personendaten
A-3548/2018
Seite 10
geben die Teilnehmerinnen und Teilnehmer gleichzeitig der Beklagten sel-
ber bekannt, welche diese anschliessend mit den Daten bei der entspre-
chenden Versicherungsgesellschaft der Helsana-Gruppe abgleicht. Der
Abgleich geschieht nach der Registrierung automatisiert mehrmals jährlich
zur Kontrolle, ob die Teilnehmerinnen und Teilnehmer (weiterhin) eine ob-
ligatorische Krankenpflegeversicherung bei einer Versicherungsgesell-
schaft der Helsana-Gruppe haben. Zudem bekommen die Teilnehmerinnen
und Teilnehmer am Programm Helsana+ Pluspunkte, wenn sie längere Zeit
eine Vertragsbeziehung mit einer Versicherungsgesellschaft der Helsana-
Gruppe haben; auch in diesem Zusammenhang beschafft sich die Beklagte
Personendaten bei den anderen Versicherungsgesellschaften der Hels-
ana-Gruppe.
Unbestritten ist zudem, dass die Beklagte im Rahmen des Registrierungs-
prozesses über die App eine Einwilligung für die Beschaffung der Perso-
nendaten von Teilnehmerinnen und Teilnehmern einholt, die bei anderen
Versicherungsgesellschaften der Helsana-Gruppe versichert sind. Die
„Nutzungs- und Datenschutzbestimmungen für Helsana+ App V1.0“ ent-
halten diesbezüglich die folgenden Bestimmungen:
Unter dem Titel „Welche Daten sammelt die Helsana im Rahmen der Hels-
ana+ App?“ führen die Bestimmungen in Ziff. B.3.1. aus:
„[…] Für die Registrierung und Identifikation des Nutzers zur Vollversion ist die
Angabe der Versichertennummer, der PLZ und des Geburtsdatums sowie der
E-Mail-Adresse erforderlich.
Helsana ist berechtigt, zwecks Identifikation des Nutzers Einblick in die ent-
sprechenden Daten der jeweiligen Versicherungsgesellschaften der Helsana-
Gruppe zu nehmen.“
In Ziff. B.4 „Einwilligung zum Abgleich mit Versichertendaten des Nutzers“
halten die Bestimmungen fest:
„Der Nutzer stimmt ausdrücklich zu, dass Helsana im Rahmen der Abwicklung
der Helsana+ App auf die bei den Versicherungsgesellschaften der Helsana-
Gruppe vorhandenen Versichertendaten des Nutzers zurückgreifen darf.“
Im Zusammenhang mit den Pluspunkten, welche die Teilnehmerinnen und
Teilnehmer am Programm für „langjährige Treue“ erhalten können, sieht
Ziff. A.7.1.4 vor:
A-3548/2018
Seite 11
„Der Nutzer ermächtigt Helsana hiermit ausdrücklich, den dafür notwendigen
Abgleich mit den bei den Versicherungsgesellschaften der Helsana-Gruppe
vorhandenen einschlägigen Nutzerdaten vorzunehmen.“
Zudem sieht Ziff. A.9.1 unter dem Titel „Arten des Nachweises“ (von zu
Pluspunkten berechtigenden Aktivitäten) vor:
„[…] Die Bepunktung z.B. für Vertragstreue erfolgt automatisch durch Helsana
(vgl. Zifffer 7.1.4). Der Nutzer ermächtigt hierfür Helsana, Einblick in die bei
den Versicherungsgesellschaften der Helsana-Gruppe vorhandenen einschlä-
gigen Nutzerdaten zu nehmen.“
4.4 Es ist zu prüfen, ob die Beklagte durch den Abgleich von Personenda-
ten der Teilnehmerinnen und Teilnehmer am Programm Helsana+ mit bei
einer anderen Versicherungsgesellschaft der Helsana-Gruppe gespeicher-
ten Personendaten gegen das Datenschutzgesetz verstösst.
4.5
4.5.1 Vorab ist zu klären, ob auf die Beklagte vorliegend die Regeln bezüg-
lich das Bearbeiten von Personendaten durch private Personen (Art. 12 ff.
DSG) oder diejenigen für das Bearbeiten von Personendaten durch Bun-
desorgane (Art. 16 ff. DSG) zur Anwendung kommen.
4.5.2 Der Kläger bringt vor, soweit die Beklagte Personendaten im Rahmen
der obligatorischen Krankenpflegeversicherung nach dem Krankenversi-
cherungsgesetz bearbeite, kämen die Bestimmungen bezüglich Bundesor-
gane zur Anwendung.
4.5.3 Die Beklagte hält dem entgegen, als Bundesorgan würden Kranken-
versicherungen nur dann gelten, wenn sie Aufgaben der obligatorischen
Krankenpflegeversicherung wahrnehmen und dem Krankenversicherungs-
gesetz unterstehen würden. Sie sei jedoch ausschliesslich mit Zusatzver-
sicherungen tätig und nehme keine Aufgaben im Bereich der obligatori-
schen Krankenpflegeversicherung wahr. Daran ändere auch nichts, dass
sie ihm Rahmen von Helsana+ auf Daten aus dem Bereich der obligatori-
schen Krankenpflegeversicherung zugreife. Dieser Zugriff erfolge nicht in
Anwendung des Krankenversicherungsgesetzes, sondern im Rahmen ih-
rer Tätigkeit als Zusatzversicherung. Auch würden keine Aufgaben der ob-
ligatorischen Krankenpflegeversicherung auf sie übertragen.
4.5.4 Bundesorgane sind Behörden und Dienststellen des Bundes sowie
Personen, soweit sie mit öffentlichen Aufgaben des Bundes betraut sind
(Art. 3 Bst. h DSG). Natürliche und juristische Personen gelten mithin für
A-3548/2018
Seite 12
die Zwecke des Datenschutzgesetzes als Bundesorgane, soweit sie durch
Bundesgesetze mit Verwaltungsaufgaben betraut sind (Art. 2 Abs. 4 des
Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 1997
[RVOG, SR 172.010]). Sie gelten aber nur insoweit als Bundesorgane, als
sie Personendaten für die Erfüllung einer öffentlichen Aufgabe bearbeiten,
in allen anderen datenschutzrechtlichen Bereichen unterliegen sie dem Pri-
vatrecht (MAURER-LAMBROU/KUNZ, BSK DSG, Art. 2, Rz. 14). Entschei-
dend bei der Beurteilung, ob eine Person als Bundesorgan handelt, ist die
Rechtsnatur des der Datenbearbeitung zugrunde liegenden Verhältnisses
zwischen Datenbearbeiterin und betroffener Person. Ist dieses Verhältnis
öffentlich-rechtlicher Natur, gilt die Datenbearbeiterin als öffentliches Organ
(RUDIN, Handkommentar DSG, Art. 2, Rz. 15 und 17).
4.5.5 Krankenkassen und private Versicherungsunternehmen, die dem
Bundesgesetz vom 17. Dezember 2004 betreffend die Aufsicht über Versi-
cherungsunternehmen (Versicherungsaufsichtsgesetz, VAG, SR 961.01)
unterstehen, gelten als Bundesorgane, wenn sie über eine Bewilligung zur
Durchführung der sozialen Krankenversicherung nach Art. 4 des Bundes-
gesetzes vom 26. September 2014 betreffend die Aufsicht über die soziale
Krankenversicherung (KVAG, SR 832.12) verfügen (vgl. MAURER-
LAMBROU/KUNZ, BSK DSG, Art. 2, Rz. 15; vgl. BGE 144 V 388 E. 4.1). Die
Beklagte bietet unbestrittenermassen keine obligatorischen Krankenversi-
cherungen an. Ebenso wenig wurden ihr durch einen obligatorischen Kran-
kenpflegeversicherer Aufgaben im Bereich der obligatorischen Kranken-
pflegeversicherung übertragen. Keine der Datenbearbeitungen, welche die
Beklagte im Rahmen des Programms Helsana+ vornimmt, beruht auf
durch das Krankenversicherungsgesetz geregelten Aufgaben. Das
Rechtsverhältnis zwischen der Beklagten und den betroffenen Personen
ist entsprechend nicht öffentlich-rechtlicher Natur. Dies gilt auch für den
Abgleich von Angaben der betroffenen Personen mit Personendaten, die
eine andere Versicherungsgesellschaft der Helsana-Gruppe im Rahmen
der Durchführung der obligatorischen Krankenpflegeversicherung bearbei-
tet. Auch in diesen Fällen ist das Verhältnis der betroffenen Personen und
der Beklagten privatrechtlicher Natur, die Beklagte nimmt weder öffentliche
Aufgaben (zum Beispiel im Rahmen der obligatorischen Krankenpflegever-
sicherung) wahr noch handelt sie hoheitlich. Die Beklagte handelt entspre-
chend vorliegend nicht als Bundesorgan.
A-3548/2018
Seite 13
4.5.6 Entsprechend finden auf die Datenbearbeitungen durch die Beklagte
im Rahmen des Programms Helsana+ die datenschutzrechtlichen Bestim-
mungen bezüglich das Bearbeiten von Personendaten durch private Per-
sonen der Art. 12 ff. DSG Anwendung.
4.6 Der Zugriff der Beklagten auf Personendaten der Teilnehmerinnen und
Teilnehmer am Programm Helsana+, die andere Versicherungsgesell-
schaften der Helsana-Gruppe im Rahmen ihrer Tätigkeit bearbeiten, ist sei-
nerseits eine Bearbeitung von Personendaten im Sinne von Art. 3 Bst. e
DSG. Entsprechend hat die Beklagte dabei die Grundsätze von Art. 4 DSG
zu beachten und sie darf keine widerrechtlichen Persönlichkeitsverletzun-
gen im Sinne von Art. 12 f. DSG begehen. Eine Datenbeschaffung ist im-
mer dann rechtswidrig im Sinne von Art. 4 Abs.1 DSG, wenn gegen irgend-
eine datenschutzrechtliche Rechtsnorm verstossen wird; jegliche Weiter-
bearbeitung rechtswidrig beschaffter Daten ist grundsätzlich ebenfalls
rechtswidrig (vgl. dazu ausführlich E. 5.4; AURER-LAMBROU/STEINER, BSK
DSG, Art. 4, Rz. 6; EVA MARIA BELSER/ASTRID EPINEY/BERNHARD WALD-
MANN, Datenschutzrecht, 2011, S. 520 f.; DAVID ROSENTHAL, Handkom-
mentar Datenschutzgesetz, Art. 4, Rz. 6 ff.).
4.7 Bearbeitet die Beklagte im Rahmen von Helsana+ Personendaten, die
bei einer anderen Versicherungsgesellschaft der Helsana-Gruppe im Rah-
men der obligatorischen Krankenpflegeversicherung gespeichert sind,
steht dies im Konflikt mit dem Grundsatz der Zweckbindung nach Art. 4
Abs. 3 DSG. Durch die zitierten Bestimmungen aus den „Nutzungs- und
Datenschutzbestimmungen Helsana+ App V1.0“ holt die Beklagte für sich
selber eine Einwilligung der Teilnehmerinnen und Teilnehmer am Pro-
gramm Helsana+ zur Bearbeitung der entsprechenden Nutzerdaten ein.
Die Einwilligung erfolgt entgegen den Vorbringen des Klägers freiwillig, da
der Nachteil, der bei einer Nichteinwilligung droht – die Unmöglichkeit der
Teilnahme am Programm Helsana+ – einen direkten Bezug zu den Daten
aufweist, für deren Bearbeitung die Einwilligung eingeholt wird und damit
kein unzulässiger Zwang zur Erteilung der Einwilligung vorliegt (vgl. dazu
BGE 138 I 331 E. 7.4.1; MAURER-LAMBROU/STEINER, BSK DSG, Art. 4,
Rz. 16f): Ohne die Beschaffung der Personendaten kann die Beklagte nicht
kontrollieren, ob eine Versichertenbeziehung zu einer andern Versiche-
rungsgesellschaft der Helsana-Gruppe vorliegt, was wiederum eine Vo-
raussetzung für die Teilnahme am Programm Helsana+ darstellt, und zu
Bonuspunkten im Rahmen des Programms berechtigt. Der Umstand allein,
dass die Beklagte für die Teilnahme am Programm mit geldwerten Vorteilen
und insbesondere mit Bargeldboni wirbt (in der Höhe von maximal Fr. 75.–
A-3548/2018
Seite 14
pro Jahr bei nur grundversicherten Personen), stellt ebenfalls keinen unzu-
lässigen Zwang dar. Die Beklagte verfügt damit für die Beschaffung der
Personendaten über eine Einwilligung der betroffenen Personen.
Beschafft sich die Beklagte bei den Versicherungsgesellschaften der Hels-
ana-Gruppe, die im Bereich der obligatorischen Krankenpflegeversiche-
rung tätig sind, Personendaten, welche diese im Rahmen der obligatori-
schen Krankenpflegeversicherung gespeichert haben, stellt dieser Vor-
gang gleichzeitig eine Bekanntgabe von Daten dar. Entsprechend kann die
Beschaffung dieser Personendaten durch die Beklagte nur rechtmässig
sein, wenn auch die Bekanntgabe der Personendaten rechtmässig ist. Zu
prüfen ist deshalb, ob die anderen Versicherungsgesellschaften der Hels-
ana-Gruppe, die im Bereich der obligatorischen Krankenpflegeversiche-
rung tätig sind, zur Herausgabe der Personendaten an die Beklagte be-
rechtigt sind.
4.8
4.8.1 Die Versicherungsgesellschaften der Helsana-Gruppe, die im Ge-
schäft mit obligatorischen Krankenpflegeversicherungen tätig sind, sind für
die hier vorliegenden Belange als Bundesorgane im Sinne von Art. 3 Bst. h
DSG zu behandeln (vgl. E. 4.5.5), womit die Art. 16 ff. DSG zur Anwendung
kommen. Entsprechend dürfen sie gemäss den datenschutzrechtlichen
Bestimmungen für Bundesorgane Personendaten nur bearbeiten, wenn
dafür eine gesetzliche Grundlage besteht (Art. 17 Abs. 1 DSG). Obligatori-
sche Krankenpflegeversicherungen sind nach Art. 84 des Bundesgesetzes
vom 18. März 1994 über die Krankenversicherung (Krankenversicherungs-
gesetz, KVG, SR 832.10) befugt, die Personendaten zu bearbeiten oder
bearbeiten zu lassen, die sie benötigen, um die ihnen nach dem Kranken-
versicherungsgesetz übertragenen Aufgaben zu erfüllen. Nach Art. 33 des
Bundesgesetzes vom 6. Oktober 2000 über den Allgemeinen Teil des So-
zialversicherungsrechts (ATSG, SR 830.1) haben Personen, die an der
Durchführung sowie der Kontrolle oder der Beaufsichtigung der Durchfüh-
rung der Sozialversicherungsgesetze beteiligt sind, gegenüber Dritten Ver-
schwiegenheit zu bewahren. Gemäss Art. 84a Abs. 5 Bst. b KVG dürfen
Organe, die mit der Durchführung des Krankenversicherungsgesetzes be-
traut sind, Personendaten in Abweichung von Art. 33 ATSG an Dritte be-
kannt geben, sofern die betroffene Person im Einzelfall schriftlich eingewil-
ligt hat. Nach Art. 19 Abs. 1 Bst. b DSG dürfen Bundesorgane Personen-
daten nur bekannt geben, wenn dafür eine Rechtsgrundlage besteht oder
wenn die betroffene Person im Einzelfall eingewilligt hat.
A-3548/2018
Seite 15
4.8.2 Da es sich bei der Helsana Versicherungen AG und der Progrès Ver-
sicherungen AG ebenso wie bei der Beklagten um juristische Personen
handelt, gilt die Bekanntgabe von Personendaten einer dieser Versiche-
rungsgesellschaften an die Beklagte als Bekanntgabe an eine dritte Per-
son. Die Bekanntgabe der Personendaten aus der obligatorischen Kran-
kenpflegeversicherung erfolgt vorliegend nicht in Ausübung einer durch
das Krankenversicherungsgesetz übertragenen Aufgabe. Auch eine Aus-
nahme von der sozialversicherungsrechtlichen Verschwiegenheitspflicht
gemäss den Absätzen 1-4 von Art. 84a KVG liegt nicht vor. Eine Ausnahme
von der sozialversicherungsrechtlichen Verschwiegenheitspflicht ist damit
vorliegend nur unter den kumulativen Voraussetzungen von Art. 19 Abs. 1
DSG und Art. 84a Abs. 5 Bst. b KVG rechtmässig, das heisst, wenn die be-
troffene Person im Einzelfall schriftlich zugestimmt hat.
4.8.3 Die Nutzungs- und Datenschutzbestimmungen von Helsana+ bein-
halten keine explizite Einwilligung in die Bekanntgabe von Personendaten
aus der obligatorischen Krankenpflegeversicherung an die Beklagte. Dass
die Einwilligung auch für die Datenbearbeitung durch andere Personen als
die Beklagte gilt – nämlich für weitere Versicherungsgesellschaften der
Helsana-Gruppe –, erwähnen die Bestimmungen nicht, was grundsätzlich
nicht einer transparenten Information im Sinne von Art. 4 Abs. 5 DSG ent-
spricht. Da die Datenbeschaffung durch die Beklagte und die Datenbe-
kanntgabe durch die obligatorische Krankenpflegeversicherungen jedoch
eine Einheit bilden, kann vorliegend trotzdem davon ausgegangen werden,
dass den Teilnehmerinnen und Teilnehmern am Programm Helsana+ hin-
reichend klar ist, dass ihre Einwilligung nicht nur die Datenbeschaffung
durch die Beklagte, sondern auch die Bekanntgabe dieser Daten durch die
obligatorische Krankenpflegeversicherung beinhaltet. Aus den Nutzungs-
und Datenschutzbestimmungen des Programms Helsana+ kann damit zu-
mindest eine implizite Einwilligung in die Bekanntgabe der Personendaten
durch die obligatorische Krankenpflegeversicherung an die Beklagte abge-
leitet werden.
4.8.4 Hingegen ist festzustellen, dass die Einwilligung in die Datenbekannt-
gabe durch die obligatorische Krankenpflegeversicherung nicht, wie von
Art. 19 Abs. 1 DSG und Art. 84a Abs. 5 Bst. b KVG gefordert, im Einzelfall
geschieht. Die Beklagte fragt die Daten nach eigenen Angaben mehrmals
jährlich in einem automatisierten Prozess bei den anderen Versicherungs-
gesellschaften der Helsana-Gruppe ab. Damit handelt es sich nicht um ei-
nen Einzelfall (vgl. GEBHARD EUGSTER, Verwaltungsverfahren und Rechts-
pflege, in: Ulrich Meyer [Hrsg.], Soziale Sicherheit, 3. Aufl. 2016, S. 871),
A-3548/2018
Seite 16
die Einwilligung gilt im Gegenteil für einen unbefristeten Zeitraum und eine
unbekannte Anzahl Bekanntgaben.
Die Einwilligung in die Bekanntgabe respektive in die Beschaffung der Da-
ten in Ziff. B.4 der Nutzungs- und Datenschutzbestimmungen beschränkt
sich zudem nicht auf die von der Beklagten genannten drei Datenpunkte
(Postleitzahl, Versichertennummer und Geburtsdatum des Nutzers). Die
Klausel enthält keine einschränkenden Verweise auf den Zweck der Da-
tenbearbeitung oder andere Bestimmungen, sondern ist breit und ohne
Einschränkungen formuliert. Die Beklagte holt damit eine über den notwen-
digen Zweck der Datenbearbeitung hinausgehende Einwilligung ein. Er-
schwerend kommt hinzu, dass sich die Einwilligung, auf mehrere Bestim-
mungen verteilt, in den umfangreichen Nutzungs- und Datenschutzbestim-
mungen befindet, welche die Teilnehmerinnen und Teilnehmer durch Ankli-
cken einer Schaltfläche in der Helsana+-App genehmigen. Dieses Vorge-
hen erschwert es den Teilnehmerinnen und Teilnehmern, zu erkennen, in
welche Datenbearbeitungen sie einwilligen. Aus diesen Gründen entspricht
die Einwilligung nicht den Voraussetzung einer angemessenen Information
für die Gültigkeit einer Einwilligung nach Art. 4 Abs. 5 DSG.
Schliesslich erfolgt die Einwilligung nicht wie in Art. 84a Abs. 5 KVG gefor-
dert, schriftlich, sondern auf der Helsana+-App durch Anklicken einer
Schaltfläche. Damit fehlt es der Einwilligung aufgrund der fehlenden eigen-
händigen Unterschrift an der Schriftlichkeit (Art. 14 OR).
Insgesamt liegt damit keine gültige Einwilligung in die Bekanntgabe von
Personendaten aus der obligatorischen Krankenpflegeversicherung an
Dritte vor, entsprechend ist die Beschaffung solcher Daten durch die Be-
klagte unrechtmässig im Sinne von Art. 4 Abs.1 DSG.
4.9 Zusammenfassend ist festzuhalten, dass die Beschaffung von Daten
durch die Beklagte bei den Grundversicherern der Helsana-Gruppe im
Rahmen des Programms Helsana+ insofern unrechtmässig ist, als keine
den datenschutzrechtlichen Vorschriften von Art. 19 DSG und Art. 84a
Abs. 5 KVG genügende Einwilligung der betroffenen Personen für die Be-
kanntgabe der im Rahmen der obligatorischen Krankenpflegeversicherung
gesammelten Daten vorliegt. Die Beklagte verstösst folglich mit der Be-
schaffung dieser Daten gegen Art. 4 Abs. 1 DSG und begeht eine wider-
rechtliche Persönlichkeitsverletzung im Sinne von Art. 12 DSG.
A-3548/2018
Seite 17
Das Rechtsbegehren 1 ist entsprechend insoweit gutzuheissen, als der
Kläger darin fordert, die Beklagte habe im Rahmen des Programms Hels-
ana+ die Entgegennahme und Weiterbearbeitung von Personendaten der
Helsana Grundversicherung zu unterlassen. Soweit der Kläger zudem be-
antragt, der Beklagten sei zu verbieten, Einwilligungen zu dieser Datenbe-
arbeitung einzuholen ist ihm hingegen nicht zu folgen. Es ist nicht am Klä-
ger oder am Bundesverwaltungsgericht, der Beklagten zu verbieten, Ein-
willigungen zu gewissen Datenbearbeitungen einzuholen. Einwilligungen
sind entweder rechtsgültig oder nicht, ein Verbot, solche einzuholen, kann
aus den Bestimmungen des Datenschutzgesetzes jedoch nicht abgeleitet
werden.
5.
5.1 Der Kläger macht bezüglich seines Rechtsbegehrens 2 geltend, bei
den Boni, die an die Teilnehmerinnen und Teilnehmer des Programms
Helsana+ ausbezahlt würden, die nur eine obligatorische Grundversiche-
rung bei einer Versicherungsgesellschaft der Helsana-Gruppe hätten,
handle es sich um eine Gegenleistung dafür, dass die Programmteilneh-
merinnen und -teilnehmer Prämienzahler einer Helsana-Grundversiche-
rung seien. Deshalb laufe die personenbezogene Bearbeitung der Kassen-
zugehörigkeitsdaten im Rahmen des Helsana+-Programms bei diesen
Personen wirtschaftlich darauf hinaus, ihnen einen Teil ihrer Grundversi-
cherungsprämie zurückzuerstatten. Die Prämienmodelle der Grundversi-
cherung seien jedoch nach dem Krankenversicherungsgesetz dem Prinzip
gleicher Prämien verpflichtet, von dem nur das Gesetz dispensieren könne.
Deshalb seien die Rückerstattungen rechtswidrig und entsprechend alle
damit zusammenhängenden Bearbeitungen von Personendaten wider-
rechtlich.
5.2 Die Beklagte führt demgegenüber aus, sie biete weder Versicherungen
aus dem Bereich der obligatorischen Krankenpflegeversicherung an, noch
flössen aus der Grundversicherung Finanzmittel in das Programm Hels-
ana+. Die Helsana Versicherungen AG und die Progrès Versicherungen
AG, die beide Grundversicherungen anböten, seien in den Betrieb des Pro-
gramms „Helsana+“ nicht involviert. Der Bonus stehe deshalb bei Grund-
versicherten nicht in einem Austauschverhältnis mit der Prämienzahlung.
Selbst wenn es sich jedoch um eine unzulässige Prämienrückerstattung
handeln würde, wäre die damit verbundene Datenbearbeitung zulässig, da
ein widerrechtlicher Endzweck nicht mit einer fehlenden Rechtmässigkeit
der Datenbearbeitung gleichzusetzen sei.
A-3548/2018
Seite 18
5.3 Es ist zu prüfen, ob die Datenbearbeitung der Beklagten im Rahmen
des Programms Helsana+, soweit sie Personen betrifft, die nur eine Grund-
versicherung bei einer Versicherungsgesellschaft der Helsana-Gruppe ha-
ben, grundsätzlich unrechtmässig im Sinne von Art. 4 Abs. 1 DSG ist, da
sie – wie vom Kläger behauptet – zu einem rechtswidrigen Zweck erfolgt,
nämlich einer indirekten Rückerstattung von Versicherungsprämien für die
obligatorische Krankenpflegeversicherung.
5.4
5.4.1 Gehalt und Umfang des Rechtmässigkeitsgrundsatzes von Art. 4
Abs. 1 DSG sind umstritten (vgl. EVA MARIA BELSER/ASTRID EPINEY/BERN-
HARD WALDMANN, Datenschutzrecht, 2011, S. 520) und damit auf dem
Wege der Auslegung zu ermitteln (vgl. BGE 131 II 697 E. 4.1 m.w.H.).
5.4.2 Unbestritten ist, dass eine Datenbearbeitung immer dann unrecht-
mässig im Sinne von Art. 4 Abs. 1 DSG ist, wenn der Datenbearbeiter da-
bei gegen eine Rechtsnorm verstösst, die den Schutz der Persönlichkeit
bezweckt, dies unabhängig davon, ob sich die Rechtsnorm im Daten-
schutzgesetz oder in einem anderen Erlass befindet. Nicht geklärt ist je-
doch, ob auch der Verstoss gegen eine Rechtsnorm, die nicht (zumindest
auch) dem Schutz der Persönlichkeit dient, die Bearbeitung von Personen-
daten unrechtmässig macht. Das Bundesgericht hat sich zu dieser Frage
bisher nicht geäussert.
5.4.3 Ein Teil der Lehre vertritt – ohne dies weiter zu begründen – die Mei-
nung, dass ein Verstoss gegen irgendeine Rechtsnorm als eine unrecht-
mässige Datenbearbeitung im Sinne von Art. 4 Abs. 1 DSG anzusehen sei
(MAURER-LAMBROU/STEINER, BSK DSG, Art. 4, Rz. 6; EVA MARIA BEL-
SER/ASTRID EPINEY/BERNHARD WALDMANN, Datenschutzrecht, 2011,
S. 519 ff.; BAERISWYL, Handkommentar DSG, Art. 4, Rz. 5). Ein anderer
Teil der Lehre vertritt demgegenüber die Meinung, dass nur Verstösse ge-
gen solche Verhaltensnormen erfasst seien, die direkt oder indirekt auch
den Schutz vor einem Eingriff in die Persönlichkeit einer Person bezwe-
cken (DAVID ROSENTHAL, Handkommentar Datenschutzgesetz, Art. 4,
Rz. 6 f.). Kein Autor und keine Autorin äussert jedoch ausdrücklich die Mei-
nung, ein rechtswidriger Zweck der Datenbearbeitung führe in jedem Fall
zur Unrechtmässigkeit der entsprechenden Datenbearbeitung, alle Lehr-
meinungen stellen vielmehr darauf ab, dass die Datenbearbeitung an sich
gegen keine Rechtsnorm verstossen darf. Dies korrespondiert mit dem
A-3548/2018
Seite 19
Wortlaut von Art. 4 Abs. 1 DSG, der sich auf die Rechtmässigkeit der Be-
arbeitung von Personendaten bezieht und nicht auf den Zweck, zu dem
diese bearbeitet werden.
Zudem äussert sich, systematisch betrachtet, das Datenschutzgesetz
grundsätzlich nicht dazu, zu welchen Zwecken Personendaten bearbeitet
werden dürfen und zu welchen nicht. Art. 4 Abs. 3 DSG, der den Grundsatz
der Zweckbindung der Bearbeitung von Personendaten enthält, legt ledig-
lich fest, dass Personendaten nur zu dem Zweck bearbeitet werden dürfen,
der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich
oder gesetzlich vorgesehen ist. Dies im Gegensatz zu Art. 5 Abs. 1 der für
die Schweiz nicht verbindlichen Datenschutz-Grundverordnung der EU
(Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates
vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung
personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung
der Richtlinie 95/46/EG, ABl. L 119/1 vom 4.5.2016). Dieser schreibt in
Bst. a nicht nur – analog zu Art. 4 Abs. 1 DSG – vor, dass personenbezo-
gene Daten auf rechtmässige Weise bearbeitet werden müssen, sondern
in Bst. b – im Gegensatz zu Art. 4 Abs. 3 DSG – auch, dass diese nur für
„legitime“ Zwecke erhoben werden dürfen. Mit der laufenden Revision des
Datenschutzgesetzes verfolgt der Bundesrat unter anderem das Ziel, die
Datenschutzbestimmungen der Schweiz an die Datenschutz-Grundverord-
nung der EU anzupassen (Botschaft des Bundesrates vom 15. September
2017 zum Bundesgesetz über die Totalrevision des Bundesgesetzes über
den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz,
BBl 2017 6941, 6998). Soweit anhand des bisherigen Gesetzgebungsver-
fahrens ersichtlich, ist jedoch nicht geplant, die Gesetzeslage in dieser Hin-
sicht derjenigen in der EU anzupassen.
In eine ähnliche Richtung weist eine teleologische Betrachtung von Art. 4
Abs. 1 DSG. Die Datenschutzvorschriften des Datenschutzgesetzes kon-
kretisieren insbesondere den verfassungsmässigen Persönlichkeitsschutz
im Bereich der Bearbeitung von personenbezogenen Daten. Dabei steht
den betroffenen Personen grundsätzlich das Recht auf informationelle
Selbstbestimmung zu (Art. 13 Abs. 2 BV und Art. 8 Abs. 1 EMRK), das
heisst, jede Person soll selber über ihre eigenen Personendaten bestim-
men und verfügen können (vgl. Botschaft des Bundesrates vom 23. März
1988 zum Bundesgesetz über den Datenschutz, BBl 1988 II 413, 417 f.;
MAURER-LAMBROU/STEINER, BSK DSG, Art. 4, Rz. 3). Diese allgemeine
Zweckrichtung aller Datenschutzvorschriften legt nahe, dass der Recht-
mässigkeitsgrundsatz in Art. 4 Abs. 1 DSG sich lediglich darauf bezieht,
A-3548/2018
Seite 20
dass das Bearbeiten von Personendaten dann unrechtmässig ist, wenn
dabei gegen eine Norm verstossen wird, die zumindest auch dem Schutz
der Persönlichkeit der betroffenen Person dient.
Die ursprüngliche Botschaft zum Datenschutzgesetz führt in diesem Zu-
sammenhang lediglich aus, klar rechtswidrig sei das Beschaffen von Da-
ten, wenn es mit Gewalt, Arglist oder Drohung gegenüber der betroffenen
Person geschehe, da es sich dabei um Verstösse gegen das Strafgesetz-
buch handle (BBl 1988 II 413, 449 f.). Die Botschaft von 2003 zur Anpas-
sung von Art. 4 Abs.1 DSG an das Übereinkommen vom 28. Januar 1981
zum Schutz des Menschen bei der automatischen Verarbeitung personen-
bezogener Daten (SR 0.235.1; Botschaft des Bundesrates vom 19. Feb-
ruar 2003 zur Änderung der Bundesgesetzes über den Datenschutz
[DSG]) äussert sich zu dieser Frage nicht (BBl 2003 2101, 2124). Auch den
Ratsprotokollen können keine Anhaltspunkte für die Beantwortung dieser
Frage entnommen werden (AB 1990 S 139; AB 1991 N 954).
5.4.4 Zusammenfassend ist der Grundsatz der Rechtmässigkeit von Art. 4
Abs. 1 DSG so zu verstehen, dass eine Datenbearbeitung zu einem rechts-
widrigen Zweck erst dann unrechtmässig im Sinne des Datenschutzgeset-
zes ist, wenn dabei gegen eine Norm verstossen wird, die zumindest auch,
direkt oder indirekt, den Schutz der Persönlichkeit einer Person bezweckt.
5.5 Die Versicherer müssen die soziale Krankenversicherung nach dem
Grundsatz der Gegenseitigkeit durchführen und die Gleichbehandlung der
Versicherten gewährleisten; sie dürfen die Mittel der sozialen Krankenver-
sicherung nur zu deren Zwecken verwenden (Art. 5 Bst. f KVAG). Nach
Art. 61 Abs. 1 KVG legt der Versicherer die Prämien für seine Versicherten
fest. Soweit das Krankenversicherungsgesetz keine Ausnahme vorsieht,
erhebt er von seinen Versicherten die gleichen Prämien. Der Versicherer
stuft die Prämien gemäss den kantonalen Kostenunterschieden ab (Art. 61
Abs. 2 KVG) und er kann die Prämien regional abstufen (Art. 61 Abs. 2bis
KVG). Für Kinder und junge Erwachsene setzt der Versicherer eine tiefere
Prämie fest als für die übrigen Versicherten (Art. 61 Abs. 3 KVG). Er kann
zudem die Prämien für Versicherungen mit eingeschränkter Wahl des Leis-
tungserbringers vermindern (Art. 62 Abs. 1 KVG). Der Bundesrat kann wei-
tere Versicherungsformen zulassen (Art. 62 Abs. 2 KVG).
Die gesetzliche Logik des Krankenversicherungsgesetzes sieht damit vor,
dass jede versicherte Person eine einkommens- und vermögensunabhän-
gige Individualprämie entrichtet, es gilt das Prinzip der Einheitsprämie pro
A-3548/2018
Seite 21
Versicherer. Die Einheitsprämie bezweckt geschlechtsunabhängig die So-
lidarität zwischen kranken und gesunden, jungen und alten Personen. Eine
Differenzierung der Prämien nach Beitrittsalter, Geschlecht oder Morbidi-
tätsrisiko ist nicht zulässig (GERHARD EUGSTER, Bundesgesetz über die
Krankenversicherung, 2010, Art. 61 Rz. 1 f.). Der Grundsatz der Gegensei-
tigkeit verlangt als Grundprinzip der sozialen Krankenversicherung insbe-
sondere, dass den Versicherten unter den gleichen Voraussetzungen die
gleichen Vorteile zu gewähren sind. Der Grundsatz verbietet, dass der Ver-
sicherer einem Versicherten einen Vorteil zukommen lässt, den er nicht
auch anderen Versicherten gewährt, die sich in vergleichbarer Lage befin-
den (vgl. BGE 113 V 205 E. 5b; 113 V 296 E. 2; GUSTAVO SCARTAZ-
ZINI/MARC HÜRZELER, Bundessozialversicherungsrecht, 4. Aufl. 2012,
S. 355).
Die Art. 61 und 62 KVG zur Regelung der Prämien in der obligatorischen
Krankenpflegeversicherung dienen der Verwirklichung dieses Grundsatzes
der Gegenseitigkeit in der sozialen Krankenversicherung und nicht dem
Schutz der Persönlichkeit der Prämienzahler. Dies wird auch zu Recht von
keiner Partei behauptet. Die Frage, ob die Beklagte mit dem Programm
Helsana+ gegen das Krankenversicherungsgesetz verstösst, ist entspre-
chend im Grundsatz keine datenschutzrechtliche Frage.
5.6 Da die Art. 61 und 62 KVG, nicht den Schutz der Persönlichkeit der
Prämienzahler bezwecken, würde selbst ein Verstoss gegen diese Bestim-
mungen die Datenbearbeitung im Rahmen von Helsana+ nicht unrecht-
mässig im Sinne von Art. 4 Abs. 1 DSG machen.
Entsprechend ist festzuhalten, dass die Bearbeitung von Personendaten
durch die Beklagte im Rahmen des Programms Helsana+ – selbst unter
Annahme eines unrechtmässigen Zwecks im Sinne einer Verletzung von
Art. 61 beziehungsweise 61 KVG – nicht gegen Art. 4 Abs. 1 DSG
verstösst. Das Rechtsbegehren 2 ist entsprechend abzuweisen.
5.7
5.7.1 Unabhängig davon ist zudem nicht ersichtlich, dass die Beklagte mit
dem Programm Helsana+ bezüglich Teilnehmerinnen und Teilnehmern, die
nur eine obligatorische Grundversicherung bei einer Versicherungsgesell-
schaft der Helsana-Gruppe haben, gegen das Krankenversicherungsge-
setz verstossen würde.
A-3548/2018
Seite 22
5.7.2 Das Bundesamt für Gesundheit BAG, Direktionsbereich Kranken-
und Unfallversicherung, hat als für die Aufsicht über die Krankenversiche-
rer zuständige Fachbehörde eine Untersuchung zum Programm Helsana+
durchgeführt. In seinem Schreiben vom 14. Februar 2018 teilte das BAG
der Helsana Versicherungen AG mit, es schliesse die Untersuchungen
ohne Einwände ab. Es habe festgestellt, dass weder die Helsana Versiche-
rungen AG noch die Progrès Versicherungen AG vom Programm betroffen
seien. Insbesondere würden keine Gelder der sozialen Krankenversiche-
rung zweckentfremdet und der Verzicht auf die Teilnahme am Programm
führe für versicherte Personen zu keiner Benachteiligung. Die für die Auf-
sicht über die Krankenversicherer zuständige Fachbehörde hat beim Pro-
gramm Helsana+ damit keine Verletzung von Regeln des Krankenversi-
cherungsgesetzes festgestellt.
5.7.3 Die Beklagte ist nicht im Bereich der obligatorischen Krankenpflege-
versicherung tätig. Sie ist ebenso wie die Helsana Versicherungen AG und
die Progrès Versicherungen AG, die in diesem Bereich tätig sind, als Akti-
engesellschaft organisiert. Obwohl alle drei Aktiengesellschaften zu hun-
dert Prozent im Eigentum der Helsana AG sind, handelt es sich mithin um
eigenständige juristische Personen. Das Programm Helsana+ wird unbe-
strittenermassen einzig von der Beklagten durchgeführt, insbesondere be-
zahlt sie die Boni im Rahmen des Programms aus ihren eigenen Finanz-
mitteln. Es ist damit nicht die obligatorische Krankenpflegeversicherung,
die versicherten Personen, die am Programm Helsana+ teilnehmen, geld-
werte Vorteile gewährt, sondern eine Drittperson. Die Grundversicherer der
Helsana-Gruppe – und damit auch die bei ihnen versicherten Personen,
die nicht am Programm Helsana+ teilnehmen – erleiden durch die Auszah-
lung der Boni keine finanziellen Nachteile, da jene nicht aus den von den
grundversicherten Personen einbezahlten und streng zweckgebundenen
Mitteln (vgl. Art. 5 Bst. f KVAG) stammen. Damit liegt vorliegend keine un-
zulässige Quersubventionierung zwischen zwei Schwestergesellschaften
einer Holding vor (vgl. BGE 144 V 388 E. 5.4.2). Im Gegensatz zur Situa-
tion in BGE 144 V 388 verschafft sich die Beklagte respektive verschaffen
sich die Grundversicherer der Helsana AG vorliegend durch ihre Hol-
dingstruktur keine ungerechtfertigten Vorteile, die den Wettbewerb der
Krankenversicherer nach Krankenversicherungsgesetz in unzulässiger
Weise beeinträchtigen würden. Soweit die Beklagte den Grundversiche-
rern der Helsana-Gruppe durch das Programm wirtschaftliche Vorteile ver-
schafft – zum Beispiel dadurch, dass zusätzliche Personen aufgrund der
Attraktivität von Helsana+ eine obligatorische Krankenpflegeversicherung
abschliessen –, sind diese nicht unzulässig, da ihr Vorgehen nicht gegen
A-3548/2018
Seite 23
das Krankenversicherungsgesetz verstösst (vgl. BGE 144 V 388 E. 5.5.2).
Aus diesem Grund liegt auch keine rechtsmissbräuchliche Berufung auf die
rechtliche Selbständigkeit einer juristischen Person und damit kein Rechts-
missbrauch vor.
5.7.4 Das Programm Helsana+ ist damit soweit für das vorliegende daten-
schutzrechtliche Verfahren relevant und soweit es Teilnehmerinnen und
Teilnehmer betrifft, die nur eine obligatorische Grundversicherung bei einer
Versicherungsgesellschaft der Helsana-Gruppe haben, als mit dem Kran-
kenversicherungsgesetz vereinbar anzusehen. Letztlich kann diese Frage
jedoch offen bleiben, da das das Rechtsbegehren 2 ohnehin abzuweisen
ist (vgl. E. 5.6).
6.
Zusammenfassend ist das Rechtbegehren 1 im Sinne der E. 4.9 teilweise
gutzuheissen und die Beklagte dazu zu verpflichten, im Rahmen des Pro-
gramms Helsana+ die Entgegennahme und Weiterbearbeitung von Perso-
nendaten der Helsana Grundversicherungen zu unterlassen. Im Übrigen
ist das Rechtsbegehren 1 abzuweisen.
Das Rechtsbegehren 2 ist abzuweisen. Das Rechtsbegehren 3 ist teil-
weise gutzuheissen, nämlich soweit es Personendaten betrifft, die im Rah-
men der im Rechtsbegehren 1 beschriebenen Datenbearbeitung angefal-
len sind. Die Beklagte ist anzuweisen, diese Personendaten innert 30 Ta-
gen zu löschen und Dritte, denen sie die Daten weitergegeben hat, anzu-
weisen, diese Daten innert gleicher Frist zu löschen. Im Übrigen ist das
Rechtsbegehren 3 abzuweisen.
7.
7.1 Die Festsetzung der Gerichtsgebühren und einer allfälligen Parteient-
schädigung richtet sich auch im Klageverfahren nach den Art. 63-65 VwVG
(Art. 44 Abs. 3 VGG). Gemäss Art. 63 Abs. 1 VwVG hat in der Regel die
unterliegende Partei die Verfahrenskosten zu tragen; unterliegt sie nur teil-
weise, werden die Kosten ermässigt. Unterliegenden Bundesbehörden
werden keine Kosten auferlegt (vgl. Art. 63 Abs. 2 VwVG).
7.2 Die Spruchgebühr, welche sich nach Umfang und Schwierigkeit der Sa-
che, Art der Prozessführung und finanzieller Lage der Parteien richtet, be-
trägt in Streitigkeiten ohne Vermögensinteresse in der Regel zwischen
Fr. 100.– und Fr. 5‘000.– (Art. 63 Abs. 4bis Bst. a VwVG). Im vorliegenden
Klageverfahren wurde ein doppelter Schriftenwechsel durchgeführt, jedoch
A-3548/2018
Seite 24
weder eine Vorbereitungs- noch eine Hauptverhandlung, weshalb die Ver-
fahrenskosten auf Fr. 2‘000.– festzusetzen sind (vgl. Art. 1 ff. des Regle-
ments vom 21. Februar 2008 über die Kosten und Entschädigungen vor
dem Bundesverwaltungsgericht [VGKE, SR 173.320.2]).
Der Kläger setzt sich mit den Rechtsbegehren 1 und 3 teilweise durch,
nicht jedoch mit dem Rechtsbegehren 2. Die Verfahrenskosten werden
entsprechend zur Hälfte, das heisst in der Höhe von Fr. 1‘000.– der Be-
klagten auferlegt. Dem Kläger sind als Bundesbehörde keine Kosten auf-
zuerlegen.
7.3 Der obsiegenden Partei ist von Amtes wegen oder auf Begehren eine
Entschädigung für die ihr erwachsenen notwendigen Kosten zuzusprechen
(vgl. Art. 64 Abs. 1 VwVG i.V.m. Art. 7 Abs. 1 VGKE). Obsiegt sie nur teil-
weise, ist die Parteientschädigung entsprechend zu kürzen (vgl. Art. 7
Abs. 2 VGKE). Bundesbehörden haben keinen Anspruch auf eine Partei-
entschädigung (vgl. Art. 7 Abs. 3 VGKE).
Die Rechtsvertreter der Beklagten reichten keine Kostennote ein. Der not-
wendige Vertretungsaufwand lässt sich indes aufgrund der Aktenlage zu-
verlässig abschätzen, weshalb praxisgemäss auf die Einholung einer sol-
chen verzichtet wird (Art. 14 Abs. 2 VGKE). In Anwendung der genannten
Bestimmungen und unter Berücksichtigung der massgeblichen Bemes-
sungsfaktoren (Art. 8 ff. VGKE) ist die Parteientschädigung von Amtes we-
gen auf Fr. 3‘600.– (ausgehend von einem Stundenansatz von Fr. 300.–,
inklusive Auslagen) festzusetzen. Nach dem Grad des Durchdringens ist
die Parteientschädigung zu halbieren. Die vom Kläger auszurichtende Par-
teientschädigung beträgt damit Fr. 1‘800.–.
Demnach erkennt das Bundesverwaltungsgericht:
1.
Das Rechtsbegehren 1 wird im Sinne der Erwägungen teilweise gutgeheis-
sen und die Beklagte dazu verpflichtet, im Rahmen des Programms Hels-
ana+ die Entgegennahme und Weiterbearbeitung von Personendaten der
Helsana Grundversicherungen zu unterlassen. Im Übrigen wird das
Rechtsbegehren 1 abgewiesen.
2.
Das Rechtsbegehren 2 wird abgewiesen.
A-3548/2018
Seite 25
3.
Das Rechtsbegehren 3 wird teilweise gutgeheissen. Die Beklagte wird ver-
pflichtet, die ihm Rahmen der im Rechtsbegehren 1 beschriebenen Daten-
bearbeitung angefallenen Personendaten innert 30 Tagen zu löschen und
Dritte, denen sie die Daten weitergegeben hat, anzuweisen, diese Daten
innert gleicher Frist zu löschen. Im Übrigen wird das Rechtsbegehren 3 ab-
gewiesen.
4.
Der Beklagten werden Verfahrenskosten in der Höhe von Fr. 1‘000.– auf-
erlegt. Der Betrag ist nach Eintritt der Rechtskraft des vorliegenden Urteils
zu Gunsten der Gerichtskasse zu überweisen. Die Zahlungsfrist beträgt
30 Tage ab Rechnungsdatum. Die Zustellung des Einzahlungsscheins er-
folgt mit separater Post.
5.
Der Kläger wird verpflichtet, der Beklagten nach Eintritt der Rechtskraft die-
ses Urteils eine Parteientschädigung von Fr. 1‘800.– zu bezahlen.
6.
Dieses Urteil geht an:
– den Kläger (Gerichtsurkunde; Medienmitteilungen mit
Begleitschreiben)
– die Beklagte (Gerichtsurkunde; Medienmitteilungen mit
Begleitschreiben)
Für die Rechtsmittelbelehrung wird auf die nächste Seite verwiesen.
Der vorsitzende Richter: Der Gerichtsschreiber:
Jürg Steiger Tobias Grasdorf
A-3548/2018
Seite 26
Rechtsmittelbelehrung:
Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bun-
desgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen Ange-
legenheiten geführt werden (Art. 82 ff., 90 ff. und 100 BGG). Die Rechts-
schrift ist in einer Amtssprache abzufassen und hat die Begehren, deren
Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten.
Der angefochtene Entscheid und die Beweismittel sind, soweit sie die be-
schwerdeführende Partei in Händen hat, beizulegen (Art. 42 BGG).
Versand: