Helsana verstösst mit Bonus-App gegen den Datenschutz

Im Frühling 2018 analysierte Adrian Lobsiger, der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (Edöb), die Gesundheits-App «Helsana+». Bei der App handelt es sich um ein Programm, das bei Teilnehmenden die Gesundheit fördern und diese mit Prämienverbilligungen zu einem bewegungsbetonteren Lebensstil animieren soll. Er erkannte dabei zwei datenschutzrechtliche Probleme und legte den Sachverhalt dem Bundesverwaltungsgericht vor.

Dieses hat nun das Verdikt des Edöb in einem Punkt bestätigt. Und zwar gaben Nutzerinnen und Nutzer bis vor der Beanstandung Lobsigers bei der Registrierung ihre Einwilligung, dass die Helsana prüfen darf, ob eine Grundversicherung bei der Helsana-Gruppe vorliegt. Dies ist gemäss Bundesverwaltungsgericht tatsächlich rechtswidrig.

Der Edöb störte sich zudem daran, dass auch Grundversicherte mit der App Boni erhalten. Aus der Sicht Lobsigers handle es sich dabei um versteckte Prämienverbilligungen, die laut Krankenversicherungsgesetz (KVG) verboten sind. In diesem Punkt waren die Richter jedoch der Meinung, dass das Bonusprogramm mit dem KVG vereinbar ist. Ausserdem pfiffen sie den Datenschützer zurück, weil die KVG-Konformität von «Helsana+» nach Auffassung des Gerichts keine datenschutzrechtliche Frage sei.

Die Helsana passte den Registrationsprozess für das Bonusprogramm bereits an, nachdem der Edöb diesen im Frühling 2018 kritisiert hatte. Insofern habe das Urteil nun keine Konsequenzen für die Versicherung, heisst es in einer Mitteilung des Unternehmens. «Das Urteil bestärkt uns darin, dass wir mit Helsana+ auch datenschutzrechtlich auf dem richtigen Weg sind. Wir sind überzeugt, dass Helsana+ weiterhin aktiv genutzt wird», wird CEO Daniel Schmutz darin zitiert.

Der Edöb begrüsse es, dass das Bundesverwaltungsgericht mit dem Urteil «mehrere bedeutsame datenschutzrechtliche Fragen geklärt und dabei auch Unterschiede zum europäischen Datenschutzrecht aufgezeigt hat». Er wolle das Urteil nun sorgfältig analysieren und die datenschutzrelevanten Aspekte daraus weiterverfolgen.