Tatbestand

Die Klägerin wendet sich gegen die Feststellung des Beklagten, dass bei der Verarbeitung ihrer personenbezogenen Daten durch die D. keine datenschutzrechtlichen Verstöße vorliegen und begehrt die Fortführung des Prüfverfahrens.

Im Jahr 2008 zog sich die Klägerin bei einem Autounfall als Beifahrerin eine instabile Fraktur des fünften Lendenwirbelkörpers mit einer anfänglich inkompletten Querschnittssymptomatik zu. In der Folgezeit wurde ihr fünfter Lendenwirbelkörper in mehreren Operationen durch einen Titan-Wirbelkörper ersetzt.

Die Klägerin nahm nach dem Unfall ihre private Unfallversicherung, die D., in Anspruch. Außerdem machte sie zivilrechtliche Schadensersatzforderungen gegenüber der Mecklenburgischen Versicherung als Haftpflichtversicherung des unfallverursachenden Fahrers geltend. Die Haftpflichtversicherung des Fahrers übernahm die aufgrund des Unfalles entstandenen Kosten für medizinische Leistungen und Heil- und Hilfsmittel. Die Krankenversicherung der Klägerin trat dafür in Vorleistung.

Durch intensive krankengymnastische Übungsbehandlungen und eine Rehabilitation erholte sich die Klägerin in den ersten zehn Monaten nach dem Unfall zunächst so weit, dass sie in der Rehabilitationsklinik wieder Wegstrecken von bis zu drei Kilometern ohne Hilfsmittel zurücklegen konnte. Sie erhielt seit Juni 2009 Pflegeleistungen der Pflegestufe I. Nach ihrem Umzug nach B-Stadt verschlechterte sich ihr gesundheitlicher Zustand, sodass sie wieder im Rollstuhl saß und nur wenige Schritte mit Unterarmstützen laufen konnte. Aufgrund einer erneuten Begutachtung wurde ihr seit Juli 2010 Pflegestufe II gewährt.

Die D. hielt die gravierende Verschlechterung im Heilungsverlauf nicht für plausibel. Deswegen beauftragte sie eine Detektei, die Fotos von der Klägerin anfertigte (u.a. beim Tragen ihres Kindes und bei einem Spaziergang mit einem Hund) und führte Internet-Recherchen durch, die sich auch auf den Lebensgefährten der Klägerin erstreckten.

Auf Betreiben der Mecklenburgischen Versicherung unterzog sich die Klägerin im Mai 2012 einer Begutachtung in dem E. }, auf deren Grundlage ein Invaliditätsgrad von 40 Prozent anerkannt wurde.

Im August 2012 beauftragte die D. den Chirurg Herrn Dr. F. mit der Beurteilung des gesundheitlichen Zustandes der Klägerin und übermittelte ihm zu diesem Zweck ihr vorliegende Berichte und Gutachten über den gesundheitlichen Zustand der Klägerin.

In seiner chirurgisch-traumatologischen Stellungnahme vom 5. Dezember 2012 kam Herr F. zu dem Ergebnis, dass bei der Klägerin eine Invalidität von 30 Prozent anzunehmen sei. Er führte weiter aus: Der medizinische Sachverhalt sei bekannt. Es seien "zahlreiche ärztliche Befund- und Behandlungsberichte sowie auch gutachterliche Zusammenfassungen im Aktenauszug vorhanden". Wolle man die Verletzungsfolgen mit einem geringeren Invaliditätsgrad bemessen, müsse der medizinische Sachverhalt umfangreich aufgeklärt werden. Unter anderem sei ein "Konversionssyndrom" auszuschließen, bei dem Patienten über neurologische Symptome klagten, für die sich keine organische Ursache finde; diese seien als psychische Störung von der Regulierung von der Versicherung ausgenommen. Wegen der weiteren Einzelheiten wird auf die Stellungnahme des Herrn F. verwiesen (Bl. 39 ff. Gerichtsakte).

Die D. teilte ihre durch die Detektei gesammelten Erkenntnisse sowie das Ergebnis der Begutachtung durch Herrn F. per "Mitteilung nach § 197a SGB V" der Staatsanwaltschaft B-Stadt mit. Außerdem forderte sie die Klägerin auf, sich ergänzend neurologisch untersuchen zu lassen, was sie ablehnte.

In der Folgezeit setzten sich die Klägerin und die D. zivilgerichtlich über die Höhe des der Klägerin zustehenden Invaliditätsanspruches auseinander.

Im April 2018 wandte sich die Klägerin (zunächst vertreten durch ihren Lebensgefährten) an die Beklagte. Sie beanstandete, dass die D. medizinische Dokumente an einen ihr nahestehenden Gutachter - Herrn F. - weitergegeben habe. Es habe keine Entbindung von der Schweigepflicht vorgelegen. Aufgrund der mutwillig zu niedrigen Begutachtung sei der Klägerin ein Vermögensschaden entstanden. Die übermittelten Befunde seien nicht anonymisiert worden. Über die Schadensnummer, Geburtsdatum und Unfalltag könne man auf ihre Identität schließen. In seinem Gutachten habe Herr F. selbst zugegeben, dass er schon lange in diesen Fall involviert sei; er verwende computertomographische Bilder der Klägerin, die sämtlich ihren Namen und ihr Geburtsdatum trügen. Es sei unklar, wie die CD mit den Befunden der Klägerin in die Hände der Mecklenburgischen Versicherung gelangt sei.

Unter dem 26. Mai 2018 wandte sich der Beklagte an die D. und unterrichtete sie über die Beanstandungen der Klägerin. Sie bat um Vorlage der Schweigepflichtentbindungserklärung, um Auskunft über die zur Klägerin derzeit gespeicherten Daten zu erlangen, sowie um Mitteilung, auf welcher Rechtsgrundlage und aus welchen Gründen die Weitergabe der medizinischen Dokumente erfolgt sei. Über dieses Vorgehen unterrichtete sie die Klägerin.

Die D. teilte unter dem 28. August 2018 mit, sie sei zur Feststellung der Berechtigung der geltend gemachten Ansprüche darauf angewiesen, die Unfallfolgen medizinisch feststellen zu lassen. Auf Basis der ihr bis dahin vorgelegten Gutachten, in denen nicht kritisch hinterfragt worden sei, wie die erhebliche Verschlechterung der Gehfähigkeit der Klägerin etwa ein Jahr nach dem Unfall zu erklären sei, habe sie eine sachliche Beurteilung der Leistungspflicht nicht vornehmen können. Mitarbeiter einer Versicherungsgesellschaft verfügten regelmäßig nicht selbst über medizinische Fachkenntnisse, sodass die Expertise eines Sachverständigen, der die erforderliche versicherungsmedizinische Qualifikation besitze, einzuholen gewesen sei. Eine Weitergabe personenbezogener Daten an den Gutachter sei nicht erfolgt. Der Gegenstand des Gutachtenauftrages habe sich ausschließlich auf die versicherungsmedizinische Beurteilung des Sachverhaltes ohne Bezug auf relevante personenbezogene Daten bezogen. Soweit ihm bereits vorhandene Unterlagen - Kopien der Arztberichte - vorgelegt worden seien, sei dies in geschwärzter Form erfolgt. Es habe sich danach um medizinische Informationen zu einer abstrakten weiblichen Person im Alter der Klägerin gehandelt. Sie fügte ihrem Schreiben eine allgemeine Schweigepflichtentbindungserklärung und eine im Rahmen der Beauftragung des Reha-Dienstes "Gen Re Rehabilitationsdienst GmbH" eingeholte Einwilligung bei (Bl. 57 f. des Verwaltungsvorgangs). Wegen der weiteren Einzelheiten des Vorbringens der Mecklenburgischen Versicherung, insbesondere zu der Übersicht aller zur Klägerin dort gespeicherten Daten, wird auf das Schreiben vom 26. August 2018 verwiesen (Bl. 50 ff. des Verwaltungsvorgangs).

Die Beklagte teilte der Klägerin mit Schreiben vom 26. September 2018 mit, dass sie nicht tätig werden könne, weil keine personenbezogenen Daten an Herrn F. übermittelt worden seien. Sie schließe den Vorgang ab.

Dem widersprach die Klägerin mit Schreiben vom 12. Oktober 2018. Sie meint, selbst wenn die Anonymisierung ihrer Daten zwecks Weitergabe erfolgt sei, was sie bestreite, hätte bereits diese eines Erlaubnistatbestands bedurft. Dass Herr F. bereits im Vorfeld mit ihrem Fall betraut gewesen sei, könne aus seiner Formulierung "der medizinische Sachverhalt ist bekannt" sowie daraus, dass er den Namen einer Assistenzärztin genannt habe, gefolgert werden. Weiter habe er ausgeführt, ihm habe eine Kontrolluntersuchung durch Computertomographie der Lendenwirbelsäule "in Kopie" vorgelegen. Es sei nicht möglich, die auf einer CD gespeicherten, personenbezogenen Daten zu schwärzen. Schon beim Öffnen der CD sowie auf jedem einzelnen Bild erscheine ihr vollständiger Name sowie ihr Geburtsdatum. Die D. habe die Gutachten aus G. und H. außerdem nicht anonymisiert an die Staatsanwaltschaft in G. sowie medizinische Daten nicht anonymisiert an einen Rechtsanwalt, ihre Krankenkasse und drei verschiedene Gutachter übersandt.

Daraufhin bat die Beklagte die D. um Stellungnahme zu den von der Klägerin vorgebrachten Punkten und fügte das Schreiben der Klägerin vom 12. Oktober 2018 bei.

Die D. nahm unter dem 27. März 2019 Stellung. Sie wiederholte ihr bisheriges Vorbringen und ergänzte, dass die in sich anonymisierten Unterlagen im Rahmen eines bestehenden Mandatsverhältnisses an einen Rechtsanwalt übermittelt worden seien. Die Rechtsgrundlage dafür sei § 28 Abs. 1 Nr. 2 BDSG-alt gewesen. Eine Übermittlung von Unterlagen an die weiteren, von der Klägerin genannten Personen, sei nicht erfolgt. I. und J. seien von der Kammer des Landgerichts C-Stadt als Gutachter bestellt worden und hätten durch die Übersendung der Gerichtsakte in dem Prozess Kenntnis von dem Prozessstoff erlangt. Die von der Klägerin angesprochene CD habe Herrn F. nicht vorgelegen, wenngleich sie einräume, dass die entsprechende Formulierung in seinem Gutachten missverständlich sei. Betrachte man die Formulierung jedoch im Kontext des gesamten Abschnittes, werde deutlich, dass die CD nicht ihm selbst, sondern dem E. } vorgelegen habe und sie dort ausgewertet worden sei. Der genannte Name der Assistenzärztin betreffe keine personenbezogenen Daten der Klägerin.

Mit Bescheid vom 1. Oktober 2019 stellte der Beklagte fest, dass die von ihr geprüfte Verarbeitung der personenbezogenen Daten der Klägerin durch die D. datenschutzrechtlich nicht zu beanstanden sei und beendete das eingeleitete Verfahren (Bl. 175 des Verwaltungsvorgangs). Zur Begründung wiederholte er im Wesentlichen das Vorbringen der Mecklenburgischen Versicherung; abweichend davon meint er, dass für die Übermittlung der Unterlagen an Herrn F. als einschlägige Rechtsgrundlage § 28 Abs. 8 i.V.m. Abs. 6 Nr. 3 BDSG-alt heranzuziehen sei.

Dagegen hat die Klägerin am 4. November 2019 Klage erhoben. Sie führt ergänzend zu ihrem bisherigen Vortrag aus: Das Schwärzen von Name und Anschrift genüge nicht, wenn Dokumente weitere personenbezogene Daten enthielten, die eine Identifizierung der sie betreffenden Person ohne unverhältnismäßig hohen Aufwand ermöglichten. Dem Gutachten des Herrn F. ließen sich zahlreiche Identifikatoren im Sinne des BDSG entnehmen, über die der Gutachter keine Kenntnis gehabt hätte, wären die ihm übermittelten Unterlagen ausreichend anonymisiert worden. Dazu zähle die Schadensidentifikationsnummer, Zeiträume und Orte vorangegangener Untersuchungen, medizinische Befunde - besonders in Kombination mit Zeiträumen und Orten der Untersuchungen und aufgrund der Seltenheit des Krankheitsbildes -, Bezugnahme auf eine computertomographische Untersuchung, weil Name und Geburtsdatum auf den Bildern nicht unkenntlich gemacht werden könnten, die Erwähnung der Geburt des ersten Kindes der Klägerin sowie Nennung der Körpergröße und des Gewichts. Sie meint, eine Weitergabe medizinischer Daten könne grundsätzlich nur nach Entbindung der Schweigepflicht der jeweiligen Person erfolgen. Die Möglichkeit, der Verbreitung derart sensibler Daten entgegenzuwirken, würde ad absurdum geführt, wenn einfache wirtschaftliche Geschäftszwecke der Gegenseite ausreichen würden, um von diesem Erfordernis abzurücken.

Die Klägerin beantragt,

Der Beklagte beantragt,

Er meint, es könne dahinstehen, ob die Anonymisierung der Daten als solche bereits einer Einwilligung bedurft habe, weil die an Herrn Dr. F. übersandten Unterlagen unstreitig nicht anonymisiert, sondern nur pseudonymisiert worden seien. Die Übermittlung der Daten habe dem Zweck gedient, die Leistungspflicht der Mecklenburgischen Versicherung zu prüfen und sei zur Verteidigung rechtlicher Ansprüche erforderlich gewesen. Es sei auch kein überwiegendes schutzwürdiges Interesse der Klägerin daran ersichtlich, dass das Übermitteln der Daten unterbleibe. Durch die Pseudonymisierung der Daten seien die Interessen der Klägerin bestmöglich geschützt worden.

Wegen der weiteren Einzelheiten des Sachverhalts wird auf den Inhalt der Gerichtsakte und des beigezogenen Verwaltungsvorgangs Bezug genommen.