|
19.08.2026 11:23 Uhr |
Der Tübinger Analyse-Dienstleister BinDoc geht gerichtlich gegen eine Auskunftsanordnung des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI), Prof. Tobias Keber, vor. Wie die Behörde heise online auf Anfrage mitteilte, hat das Unternehmen einstweiligen Rechtsschutz beantragt und Klage beim Verwaltungsgericht Stuttgart erhoben.
Nach eigenen Angaben hat sich BinDoc auf die Analyse von Krankenhäusern spezialisiert, betreibt dafür eine cloudbasierte Analyseplattform und stellt Kliniken damit Vergleichs-, Markt- und Prognoseauswertungen bereit, die auf öffentlich zugänglichen Datenquellen und auf Wunsch zusätzlich auf klinikeigenen Struktur- und Leistungsdaten beruhen. Die Analysen sollen unter anderem Abläufe verbessern und den Ressourceneinsatz optimieren, dienen also vor allem der wirtschaftlichen und strategischen Steuerung von Kliniken.
Hintergrund ist ein Konflikt (PDF), der sich seit mehr als zwei Jahren hinzieht. Es geht um die Frage, ob BinDoc Daten aus Millionen Krankenhausfällen von hunderten Kliniken wirksam anonymisiert oder ob es sich weiterhin um personenbezogene Gesundheitsdaten handelt, deren Nutzung strengen Regeln unterliegt. Eine abschließende Klärung steht bis heute aus. Zwei Gutachten, mit denen BinDoc seine Position in einem Abmahnschreiben von 2024 untermauerte, hat das Unternehmen dem Netzwerk Datenschutzexpertise nicht vorgelegt. Und das Urteil des Gerichts der Europäischen Union, auf das sich BinDocs Anwälte damals maßgeblich stützten, hat der Europäische Gerichtshof inzwischen aufgehoben.
Der LfDI bestätigte gegenüber heise online, dass die Behörde BinDocs Anonymisierungstool sowie die damit verbundenen Datenflüsse untersucht. Ob die an BinDoc übermittelten Datensätze anonymisiert oder lediglich pseudonymisiert und damit weiterhin personenbezogen im Sinne der DSGVO sind, sei die „Kernfrage des laufenden behördlichen Verfahrens“, erklärt der LfDI. Details zum Ergebnis der Prüfung nennt die Behörde wegen des laufenden Verfahrens nicht.
Gegenstand der Klage ist eine Anordnung des LfDI, Informationen bereitzustellen. Nach Art. 58 Abs. 1 lit. a DSGVO können Aufsichtsbehörden Verantwortliche anweisen, ihnen „alle Informationen bereitzustellen, die für die Erfüllung ihrer Aufgaben erforderlich sind“.
heise online hatte bereits 2024 über das Gutachten des Netzwerks Datenschutzexpertise und dessen Vorwürfe berichtet. Nach der Abmahnung von BinDocs Anwälten hat heise online keine Unterlassungserklärung abgegeben. Um den Sachverhalt nicht auf Grundlage einseitiger, nicht überprüfbarer Unterlagen weiterzuführen, setzte die Redaktion den Beitrag zunächst aus und drängte auf eine Bewertung durch die zuständige Datenschutzbehörde.
Die von BinDoc angeführten Gutachten wollte das Unternehmen nur unter einer Geheimhaltungsvereinbarung vorlegen, was heise online ablehnte: Eine Prüfung, über deren Ergebnisse nicht berichtet werden darf, ist für eine Redaktion keine belastbare Grundlage. Die behördliche Klärung dauert inzwischen zwei Jahre an.
Ausgelöst hatte den Streit ein Gutachten des Netzwerks Datenschutzexpertise vom Juni 2024. Die Autoren Thilo Weichert, früherer Datenschutzbeauftragter Schleswig-Holsteins, und Karin Schuler kamen darin zu dem Schluss, BinDoc verarbeite „keine anonymen, sondern personenbeziehbare sensitive und dem Patientengeheimnis unterliegende Daten“. BinDoc wies dies über die Kanzlei Hogan Lovells zurück und mahnte eine Berichterstattung darüber ab. (Abmahnschreiben von Hogan Lovells vom 16. Juli 2024, liegt heise online vor). Zur Untermauerung der eigenen Position verwies das Unternehmen im Abmahnschreiben auf zwei eigens eingeholte Gutachten, eines von einem Rechtsanwalt Seiler, eines von der Kanzlei Dierks+Company. Beide Gutachten sind bis heute nicht öffentlich zugänglich. Nach Angaben des Netzwerks Datenschutzexpertise legte BinDoc sie diesem trotz wiederholter Anfragen nicht vor.
Parallel hat sich die Rechtsprechung weiterentwickelt. In der Abmahnung von 2024 beriefen sich BinDocs Anwälte maßgeblich auf ein Urteil des Gerichts der Europäischen Union vom 26. April 2023 (Az. T-557/20). Das Gericht hatte darin bei der Frage, ob pseudonymisierte Daten für einen Empfänger personenbezogen sind, auf dessen konkrete Möglichkeiten zur Re-Identifizierung abgestellt.
Der Europäische Gerichtshof hat dieses Urteil am 4. September 2025 aufgehoben (Az. C-413/23 P, EDSB/SRB) und die Sache zur erneuten Entscheidung an das Gericht der Europäischen Union zurückverwiesen. Das Urteil ist zur für EU-Institutionen geltenden Verordnung (EU) 2018/1725 ergangen, wegen der insoweit nahezu identischen Begriffsbestimmungen aber auf die DSGVO übertragbar. Der EuGH hat damit nicht entschieden, dass pseudonymisierte Daten stets personenbezogen sind. Er stellte vielmehr klar, dass die Einordnung vom jeweiligen Verarbeitungskontext abhängen kann. Bei der im konkreten Fall streitigen Informationspflicht komme es auf die Perspektive des Verantwortlichen zum Zeitpunkt der Datenerhebung an; zugleich könnten pseudonymisierte Daten für einen Empfänger ohne Zugriff auf Zusatzinformationen unter Umständen keinen Personenbezug aufweisen.
Für BinDoc lässt sich daraus weder automatisch eine wirksame Anonymisierung noch das Gegenteil ableiten. Das aufgehobene EuG-Urteil kann allerdings nicht mehr unverändert als Grundlage der damaligen Argumentation dienen. Offen bleibt, ob und in welchem Umfang die zwei nicht veröffentlichten Gutachten auf diesem Urteil beruhen und wie sie die spätere EuGH-Entscheidung berücksichtigen.
Auch technisch bleibt vieles unklar. BinDoc setzt nach eigenen Angaben und nach Darstellung seiner Anwälte ein Hashing-Verfahren ein, um unter anderem Krankenversichertennummern und interne Fallnummern in Hashwerte zu überführen. Hashing ist dabei keine Verschlüsselung im engeren Sinn: Es soll einen Ausgangswert in einen Prüfwert überführen, nicht den Ausgangswert für Berechtigte wieder lesbar machen.
Weichert und Schuler kritisierten 2024 insbesondere, dass bei einem deterministischen Hashverfahren gleiche Eingabewerte zu gleichen Hashwerten führen können. Wer über eine konkrete Krankenversichertennummer oder eine geeignete Liste möglicher Nummern verfüge, könne deren Hashwert möglicherweise berechnen und mit gespeicherten Werten vergleichen. Ob ein solcher Abgleich praktisch möglich wäre, hängt aber von der konkreten Umsetzung ab: etwa vom eingesetzten Algorithmus, möglichen Salt- oder Schlüsselwerten, deren Verwaltung, den weiteren Merkmalen im Datensatz und verfügbaren Zusatzdaten.
Unabhängig vom Hashing kritisierte das Gutachten zudem, dass sich Betroffene bereits aus der Kombination der verbleibenden Merkmale zuordnen ließen: Geschlecht, Krankenkassenart, Postleitzahl beziehungsweise Landkreis, Alterskohorte und Diagnoseangaben. Komme als Zusatzwissen das Krankenhaus oder die Fachabteilung hinzu, sei „in sehr vielen Fällen eine eindeutige Zuordenbarkeit gegeben“. Dieser Einwand wäre durch Salting nicht ausgeräumt.
Eine solche Absicherung erwähnte die zum Zeitpunkt des Gutachtens öffentlich zugängliche BinDoc-Verfahrensbeschreibung nach Darstellung des Netzwerks nicht. In einer späteren Fassung vom August 2025 beschreibt BinDoc zusätzliche Schutzmaßnahmen. Daraus allein lässt sich jedoch nicht ableiten, ob diese bereits 2024 eingesetzt wurden oder erst später hinzukamen.
Ob BinDoc das Salting oder vergleichbare Schutzmaßnahmen technisch bereits 2024 einsetzte und lediglich nicht öffentlich dokumentierte, oder ob sie erst später eingeführt wurden, lässt sich anhand der vorliegenden Unterlagen nicht abschließend beurteilen.
Weichert wertet BinDocs gerichtliches Vorgehen gegen genau diese Anordnung als Verzögerungstaktik. Seine Befürchtung: „Ohne qualifizierte Informationen kann der LfDI seiner Aufgabe, den Datenmissbrauch durch ein Bußgeld oder eine Untersagungsverfügung zu sanktionieren, nicht nachkommen.“ Das ist die Einschätzung des Netzwerks Datenschutzexpertise; eine gerichtliche Bewertung dieses Vorwurfs steht aus.
Nach Angaben des LfDI hat BinDoc erklärt, Anpassungen am eigenen Verfahren vorgenommen zu haben. Worin diese bestehen und ob sie ausreichen, ist ebenfalls Gegenstand der laufenden Prüfung. Auch dazu, ob derzeit weiterhin Daten an BinDoc übermittelt werden, äußerte sich die Aufsicht nicht näher.
heise online konfrontierte BinDoc mit den offenen Punkten: der Nutzung von Daten über den jeweiligen Klinikauftrag hinaus, dem konkreten Anonymisierungsverfahren einschließlich des Zeitpunkts möglicher Salt- oder vergleichbarer Schutzmaßnahmen, der Bereitschaft zur Offenlegung der beiden Gutachten, dem Umgang mit dem aufgehobenen EuG-Urteil, den gegenüber dem LfDI erwähnten Anpassungen sowie den Gründen für die Klage gegen die Auskunftsanordnung.
BinDoc beantwortete diese Fragen nicht im Einzelnen. Das Unternehmen teilte lediglich mit, es unterstütze Krankenhäuser „seit vielen Jahren mit datenbasierten Analyse- und Planungslösungen“ und entwickle die eigenen Verfahren „fortlaufend und unter Einbindung externer Expertise“ weiter. Zur Klage und Verfahrensänderungen erklärte BinDoc, man sei „von der Rechtmäßigkeit unseres Vorgehens überzeugt“. Dass offene Rechtsfragen gerichtlich geklärt würden, sei „ein gewöhnlicher rechtsstaatlicher Vorgang“. Zu Einzelheiten laufender Verfahren äußere man sich grundsätzlich nicht.
Zum Anonymisierungsverfahren, zum Salting-Zeitpunkt und zur Veröffentlichung der Gutachten sagte BinDoc bisher nichts. Ungeklärt bleibt damit weiterhin, ob die von BinDoc verarbeiteten Daten tatsächlich anonym sind oder ob sie personenbezogen bleiben. BinDoc hat die beiden angeführten Gutachten bislang nicht vorgelegt und die konkreten technischen Fragen von heise online nicht beantwortet. Parallel lässt das Unternehmen die Auskunftsanordnung des LfDI gerichtlich überprüfen.
Für die hunderten Kliniken, die BinDoc mit Daten versorgen, und für die Patientinnen und Patienten, deren Informationen verarbeitet werden, bleibt die Antwort damit vorerst aus. Klarheit könnte das laufende Verfahren der Datenschutzaufsicht, die gerichtliche Überprüfung der Auskunftsanordnung oder eine weitergehende Offenlegung durch BinDoc bringen.
(mack)