Wie der Datenschutzbeauftragte für das Land Rhein-Pfalz in einer <link https: www.datenschutz.rlp.de de _blank external-link-new-window>Pressemitteilung erklärt, hat der Debeka-Krankenversicherungsverein die verhängte Geldbuße iHv. 1,3 Mio. EUR wegen Verletzung von datenschutzrechtlichen Bestimmungen akzeptiert.
In der Pressemitteilung heißt es dazu wörtlich:
"Die Ordnungswidrigkeitenverfahren, die der rheinland-pfälzische Landesbeauftragte für den Datenschutz und die Informationsfreiheit (LfDI), Edgar Wagner, im Dezember des vergangenen Jahres gegen den Debeka-Krankenversicherungsverein a.G. (Debeka) und gegen seine Vorstandsmitglieder eingeleitet hatte, sind heute mit einem Bescheid des Landesbeauftragten im Wege der Verständigung abgeschlossen worden.
Darin wird die Debeka verpflichtet, eine Geldbuße in Höhe von 1,3 Millionen Euro zu zahlen. Mit der Beendigung des Verfahrens sind die gegen die Debeka erhobenen Vorwürfe von Aufsichtspflichtverletzungen im Bereich des Datenschutzes insgesamt aufgearbeitet. Vorstand und Aufsichtsrat des Unternehmens haben die Geldbuße bereits akzeptiert. Der LfDI und die Debeka schließen die Auseinandersetzung um die Vergangenheit damit ab und wenden den Blick nach vorne.
Die Zusammenarbeit der Debeka mit Tippgebern wurde vom LfDI umfassend überprüft. Das Datenschutzrecht steht nach Auffassung des LfDI dem Einsatz von Tippgebern nicht grundsätzlich entgegen.
Unter beratender Einbeziehung des LfDI wurde der Vertrieb mit Tippgebern bei der Debeka so ausgerichtet, dass die Arbeit der Tippgeber zukünftig die gesetzlichen Standards für den Datenschutz auch nach Einschätzung des LfDI sogar übertreffen wird. So ist etwa eine Weitergabe von Adressen über Tippgeber zukünftig nur noch bei Vorliegen einer förmlichen Einwilligungserklärung jedes einzelnen Betroffenen möglich.
Das Unternehmen wird zusätzlich 600.000 Euro für eine Stiftungsprofessur bereitstellen, die an der Johannes Gutenberg-Universität Mainz, Fachbereich Rechts- und Wirtschaftswissenschaften eingerichtet wird. Damit wird die Debeka die Grundlagenforschung für einen effektiven Datenschutz und dessen Implementierung in der Praxis nachhaltig fördern. Die Einzelheiten dieser Stiftung wurden bereits mit der Mainzer Universität und dem LfDI abgestimmt. Der Stiftungsvertrag wird demnächst veröffentlicht.
Die Debeka und der LfDI sprechen übereinstimmend von einer sehr konstruktiven Aufarbeitung der datenschutzrelevanten Vorgänge im Vertrieb der Debeka. Dies führte letztlich dazu, dass eine langwierige gerichtliche Auseinandersetzung und Klärung mit für beide Seiten ungewissem Ausgang nicht gesucht, sondern - trotz teilweise unterschiedlicher Rechtsauffassungen - zur Erledigung aller im Raum stehender Vorwürfe das genannte Bußgeld gezahlt wird. Die Verfahren gegen die Vorstände sind ohne Bußgeldzahlungen eingestellt worden.
Anlass der Untersuchungen waren einige vom Unternehmen eingeräumte Fälle sogenannter Listenkäufe, bei denen einzelne Mitarbeiter weisungswidrig Datensätze zu Anwärtern im öffentlichen Dienst erworben und genutzt hatten. Diese Fälle wurden umfassend untersucht. Dabei wurde festgestellt, dass in einigen Fällen unter Missachtung des Datenschutzes Neukunden für die Debeka durch Informationen von Kollegen gewonnen wurden. Einzelne Debeka-Mitarbeiter hatten Listen oder Kontaktdaten möglicher Kunden ohne deren Einverständnis erhalten und dafür zum Teil auch ein Entgelt bezahlt. Hierbei verstießen sie gegen unternehmensinterne Vorgaben, aber auch gegen geltendes Datenschutzrecht. Die Debeka musste feststellen, dass in der Vergangenheit nicht alle Aufsichtsmaßnahmen und Kontrollen etabliert und angewandt worden waren, die aus heutiger datenschutzrechtlicher Sicht den notwendigen Standards entsprechen. Seit 2013 sind solche Aufsichtspflichtverletzungen mit erheblich gesteigerten Bußgeldern bedroht, die nun erstmals auch verhängt wurden.
Bei der Höhe der Bußgeldbemessung wurden zugunsten der Debeka ihre umfassende Kooperation mit dem LfDI, ihre eigene Aufklärung sowie die zugesagte Stiftungsprofessur berücksichtigt. Auch die Bereitschaft der Debeka, bei der Anwerbung neuer Kunden künftig strikt auf die Einhaltung einschlägiger Datenschutzvorschriften zu achten, wurden ebenso in die Bemessung einbezogen wie die vorbildliche Optimierung einer neuen, weitgreifenden internen Datenschutzstruktur. Berücksichtigt wurde ferner, dass in der Vergangenheit auch seitens der öffentlichen Dienstherren keine hinreichenden Maßnahmen zur Wahrung des Datenschutzes getroffen worden waren."