BinDoc klagt gegen Datenschutzbehörde: Sind Millionen Patientendaten wirklich anonym?

Der Tübinger Analyse-Dienstleister BinDoc verarbeitet Daten aus Millionen Krankenhausfällen von hunderten Kliniken. Ob diese Daten wirksam anonymisiert sind oder weiterhin als personenbezogene Gesundheitsdaten unter die DSGVO fallen, ist seit mehr als zwei Jahren ungeklärt.

Ausgelöst hatte den Streit ein Gutachten des Netzwerks Datenschutzexpertise vom Juni 2024. Die Autoren Thilo Weichert und Karin Schuler kamen darin zu dem Schluss, BinDoc verarbeite personenbeziehbare, dem Patientengeheimnis unterliegende Daten. BinDoc wies dies über die Kanzlei Hogan Lovells zurück und mahnte entsprechende Berichterstattung ab. Zwei eigens eingeholte Gegengutachten legte das Unternehmen weder dem Netzwerk Datenschutzexpertise noch der Öffentlichkeit vor.

Technisch steht das eingesetzte Hashing-Verfahren im Mittelpunkt. Weichert und Schuler bemängeln, dass deterministische Hashwerte bei bekannten Eingabewerten wie Krankenversichertennummern eine Re-Identifizierung ermöglichen könnten. Zusätzlich sei bereits aus der Kombination verbleibender Merkmale wie Geschlecht, Postleitzahl, Alterskohorte und Diagnose in vielen Fällen eine eindeutige Zuordnung möglich. BinDoc beschreibt in einer Verfahrensbeschreibung vom August 2025 zusätzliche Schutzmaßnahmen, ohne zu klären, ob diese bereits 2024 im Einsatz waren.

Rechtlich hat sich die Lage für BinDoc verschlechtert: Der EuGH hob am 4. September 2025 ein Urteil des Gerichts der Europäischen Union auf, auf das sich BinDocs Anwälte in der Abmahnung maßgeblich gestützt hatten. Nun klagt BinDoc gegen eine Auskunftsanordnung des LfDI Baden-Württemberg nach Art. 58 Abs. 1 lit. a DSGVO beim Verwaltungsgericht Stuttgart. Weichert wertet dies als Verzögerungstaktik. Für die betroffenen Kliniken und Patienten bleibt die Frage nach dem tatsächlichen Datenschutzstatus vorerst offen.