Bundessozialgericht, Urteil vom 20.01.2021, Az. B 1 KR 7/20 R

Die Beteiligten streiten über die Obliegenheit, die Berechtigung zur Inanspruchnahme von Leistungen mittels elektronischer Gesundheitskarte ([X.]) nachzuweisen.

Die bei der beklagten Krankenkasse ([X.]) gesetzlich versicherte Klägerin lehnte es ab, ein Foto für die [X.] zur Verfügung zu stellen, und beantragte die Ausstellung eines [X.] in papiergebundener Form. Sie widerspreche der Einführung der [X.] und der Telematikinfrastruktur ([X.]). Die Beklagte lehnte die Ausstellung einer Ersatzbescheinigung ab (Bescheid vom 3.7.2015, Widerspruchsbescheid vom 25.1.2017).

Die hiergegen gerichtete Klage, mit der die Klägerin insbesondere datenschutz- und datensicherheitsrechtliche Einwände geltend gemacht hat, hat keinen Erfolg gehabt (Urteil des [X.] vom 19.6.2018). Im Berufungsverfahren hat die Klägerin ihr Vorbringen vertieft und ua die Einholung von Auskünften der [X.] (gematik GmbH, im Folgenden: gematik) sowie die Anhörung unabhängiger [X.] als Sachverständige beantragt. Die gesetzlichen Regelungen zur [X.] und zur [X.] seien wegen Verstoßes gegen das Recht auf informationelle Selbstbestimmung nicht mit dem [X.] vereinbar. Durch den Einsatz der Erweiterungssprache [X.] (Extensible Markup Language, erweiterbare Auszeichnungssprache) und das dazugehörige Regelwerk XSD ([X.] Schema Definition) könnten die auf der [X.] unverschlüsselt und nicht löschbar gespeicherten Daten jederzeit unzulässig erweitert und damit Metadaten produziert werden. Systemadministratoren könnten mit Hilfe von [X.] und [X.] die in zentralen Rechenzentren mit nur mittlerem Schutzbedarf gespeicherten Versichertendaten einsehen und sogar verändern. Mit der lebenslang selben Krankenversichertennummer würden alle ihre Daten für immer auffindbar und ihr zurechenbar, damit würde ihr "Recht auf Vergessen" verletzt. Die Übermittlung von Diagnosen, Behandlungs- und Verordnungsdaten an [X.]n sei nicht mit dem [X.] vereinbar, weil es bei den [X.]n eine nur unzureichende Datensicherheit gebe und die Gefahr von Profilbildungen durch die Weitergabe von personenbeziehbaren Gesundheitsdaten bestehe. Die Schutzeinstellung des [X.] in der Informationstechnik ([X.]) entspreche nicht der realen Gefährdung. Zudem seien die [X.] unvereinbar mit den Patientenrechten aus dem [X.] Recht. Es sei europarechtswidrig keine Datenschutz-Folgenabschätzung vorgenommen worden. Beim [X.] der Arztpraxen an die [X.] sei es zu diversen Datensicherheitsmängeln gekommen.

Das L[X.] hat die Berufung der Klägerin zurückgewiesen (Urteil vom [X.]). Die Klägerin habe auf der Grundlage der gesetzlichen Regelungen über die [X.] keinen Anspruch auf Ausstellung eines anderen [X.] als der [X.]. An der Verfassungsmäßigkeit der maßgebenden gesetzlichen Bestimmungen bestünden keine Zweifel. Der Eingriff in das informationelle Selbstbestimmungsrecht sei nach wie vor durch das überwiegende Allgemeininteresse gerechtfertigt. Die Klägerin habe ihre Zweifel an einer ausreichenden Datensicherheit zwar umfangreich begründet, letztlich handele es sich jedoch um Vermutungen und Befürchtungen, die nicht belegt seien. Risiken durch kriminelle Eingriffe könnten nicht gänzlich ausgeschlossen werden. Es seien jedoch ausreichende Vorkehrungen gegen unberechtigte Zugriffe getroffen worden. Der Gesetzgeber bleibe weiterhin verpflichtet, die Daten der Versicherten gegen zweckfremde Verwendung und sonstigen Missbrauch zu schützen und auf sich eventuell künftig zeigende Sicherheitslücken zu reagieren.

Mit ihrer Revision rügt die Klägerin eine Verletzung von § 103 [X.]G, Art 103 Abs 1 [X.] sowie des Rechts auf informationelle Selbstbestimmung aus Art 2 Abs 1 iVm Art 1 Abs 1 [X.]. Das L[X.] habe die von ihr gestellten Beweisanträge zu den Datensicherheitsmängeln des [X.]/[X.]-Systems nicht unberücksichtigt lassen dürfen. Soweit es davon ausgehe, die behaupteten Mängel seien nicht hinreichend belegt, erwecke das L[X.] den Eindruck, ihre diesbezüglichen Ausführungen nicht zur Kenntnis genommen oder in Erwägung gezogen zu haben. Die [X.] sei zwischenzeitlich hinreichend verfestigt und der durch § 15 Abs 2, § 291 und § 291a Abs 2 [X.]B V (aF) begründete Eingriff in das Recht auf informationelle Selbstbestimmung aufgrund der unzureichenden Datensicherheit insgesamt nicht verhältnismäßig. Das im tatsächlichen Betrieb von [X.] und [X.] vorhandene Schutzniveau habe jedenfalls zur [X.] noch nicht das für eine zumutbare Grundrechtseinschränkung erforderliche Ausmaß erreicht. Die Neuregelungen durch das [X.] (PD[X.]) änderten daran nichts. Allein durch normative Akte könne die erforderliche faktische Datensicherheit nicht hergestellt werden. Die Frage der Datensicherheit der [X.] und der [X.] betreffe generelle Tatsachen, die einer Aufklärung im Revisionsverfahren zugänglich seien.

Die Beklagte beantragt,
die Revision zurückzuweisen.

Sie hält die angefochtene Entscheidung für zutreffend.

Die Revision der Klägerin ist unbegründet (§ 170 Abs 1 Satz 1 S[X.]). Das Urteil des [X.] erweist sich im Ergebnis als richtig.

A. Die von der Klägerin erhobene Klage ist als Anfechtungs- und Verpflichtungsklage zulässig.

Die Klägerin begehrt neben der Aufhebung des angefochtenen Bescheides (vom 3.7.2015 in der Gestalt des Wi[X.]pruchsbescheides vom [X.]) die Verpflichtung der beklagten [X.], ihr einen Weg zu eröffnen, ihre Berechtigung zur Inanspruchnahme von vertragsärztlichen Leistungen nachweisen zu können, die dann auch von den Leistungserbringern gegenüber der [X.] abgerechnet werden können, ohne dabei die [X.] verwenden und einen online erfolgenden Abgleich von Versichertenstammdaten dulden zu müssen. Streitgegenstand ist daher die Geltendmachung eines Anspruchs auf Befreiung von der nicht fakultativen Nutzung der [X.] und den damit verbundenen Obliegenheiten der Versicherten, auch soweit sie die Anbindung an eine [X.] betreffen. Ihr Ziel verfolgt die Klägerin in zulässiger Weise mit der Anfechtungs- und Verpflichtungsklage (vgl [X.] vom 18.11.2014 - [X.] KR 35/13 R - [X.], 224 = [X.]-2500 § 291a [X.], [X.], 12 f).

Streitgegenstand ist demgegenüber nicht die Installation einer [X.] in einem ganz allgemeinen Sinne. [X.] sind auch nicht die zu den [X.] im Rahmen der [X.] gehörende elektronische Arbeitsunfähigkeitsbescheinigung (§ 295 Abs 1 Satz 1 [X.], Satz 10 [X.] in der seit dem 1.1.2021 geltenden Fassung von Art 2 [X.] 3 des [X.] - TSVG vom [X.], [X.]) und ab dem [X.] die Übermittlung vertragsärztlicher Verordnungen in elektronischer Form (§ 360 Abs 1 bis 3 [X.]). Diese Anwendungen der [X.] erfolgen ohne den Einsatz der [X.] und unabhängig hiervon (vgl § 334 Abs 2 [X.], wonach nur die Anwendungen nach Abs 1 [X.] [X.] bis 5 von der [X.] unterstützt werden, während die elektronischen Verordnungen in [X.] aufgeführt sind; vgl auch BT-Drucks 19/14867 [X.] zu [X.] und 34; [X.], [X.] 2020, 183, 191; [X.], [X.] 2020, 315, 318 ff).

B. Die Klage ist unbegründet. Die Beklagte lehnte es rechtmäßig ab, die Klägerin mit einem anderen Versicherungsnachweis als der [X.] auszustatten.

Die Klägerin trifft die Obliegenheit, die [X.] in ihrer gesetzlichen Ausgestaltung bei Inanspruchnahme vertragsärztlicher Leistungen vor Beginn der Behandlung zum Nachweis ihrer Berechtigung den vertragsärztlichen Leistungserbringern auszuhändigen und den (anderen) Leistungserbringern zur Abrechnung ihrer Leistungen zur Verfügung zu stellen (dazu 1.). Die aktuellen gesetzlichen Vorgaben zur [X.] und ihrer Einbeziehung in die [X.] stehen in Einklang mit den Vorgaben der [X.] ([X.]; Verordnung <[X.]> 2016/679 des [X.] und des Rates vom 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/[X.], ABl [X.] vom [X.], [X.]; berichtigt durch [X.] vom 22.11.2016, [X.]; berichtigt durch [X.] vom [X.], [X.]; dazu 2. und 3.). Sie verletzen die Klägerin auch nicht in ihren nach dem [X.] und der Europäischen Grundrechtecharta ([X.]) gewährleisteten Grundrechten (dazu 4.). Auf die von der Klägerin behaupteten Datenschutzverstöße und Sicherheitsmängel kommt es dabei nicht an. Für deren Geltendmachung stehen ihr die speziellen datenschutzrechtlichen Rechtsbehelfe gemäß Art 77 ff [X.] iVm §§ 81 ff [X.] X zur Verfügung (dazu 5.). Eine Vorlage an den [X.] oder das [X.] ist nicht geboten (dazu 6.).

1. Die Obliegenheit der Klägerin zur Nutzung der [X.] ergibt sich aus § 15 Abs 2 [X.] idF des Art 1 [X.] Buchst b des Gesetzes für sichere digitale Kommunikation und Anwendungen im Gesundheitswesen sowie zur Änderung weiterer Gesetze vom 21.12.2015 ([X.] 2408) iVm §§ 291 bis 291b [X.] idF des Art 1 [X.]4 des Gesetzes zum Schutz elektronischer Patientendaten in der [X.] vom 14.10.2020 ([X.]; [X.] 2115). Die während des Revisionsverfahrens durch das [X.] bei den Vorschriften zur [X.] (§§ 291 ff [X.]) und [X.] (§§ 306 ff [X.]) eingetretenen Rechtsänderungen sind bei kombinierten Anfechtungs- und Verpflichtungsklagen zu berücksichtigen, sofern sie - wie hier - das streitige Rechtsverhältnis erfassen (stRspr; vgl zB [X.] vom [X.] - 1 RA 5/55 - [X.], 188, 192; [X.] vom 2.12.2010 - B 9 SB 3/09 R - [X.]-3250 § 69 [X.]2 Rd[X.]4; [X.] vom 18.12.2018 - [X.] KR 31/17 R - [X.], 181 = [X.]-2500 § 284 [X.], Rd[X.]4 mwN).

a) Die für jeden Versicherten auszustellende [X.] (vgl § 291 Abs 1 [X.]) umfasst [X.] und -anwendungen sowie freiwillige Daten und Anwendungen. Die auf der [X.] gespeicherten [X.] zur Person des Versicherten werden in § 291a Abs 2 und 3 [X.] enumerativ aufgeführt. Zu den [X.] gehört das sogenannte Versichertenstammdatenmanagement. Dabei werden die auf der [X.] gespeicherten [X.] nach § 291a Abs 2 und 3 [X.] von den an der vertragsärztlichen Versorgung teilnehmenden Leistungserbringern unter Verwendung der [X.] online überprüft und bei Bedarf akt[X.]lisiert (vgl § 291b [X.]).

Zu den für die Versicherten freiwilligen Anwendungen gehören das Notfalldatenmanagement mit der Speicherung elektronischer Notfalldaten auf der [X.] (§ 358 Abs 1, 3 und 4 [X.]), die Speicherung von elektronischen Erklärungen zur Organ- und Gewebespende bzw von Hinweisen auf das Vorhandensein und den Aufbewahrungsort von Erklärungen zur Organ- und Gewebespende und von Vorsorgevollmachten oder Patientenverfügungen (§ 334 Abs 1 [X.] und 3, §§ 356 f [X.]) und der elektronische Medikationsplan (§ 358 Abs 2 [X.]). Ebenfalls freiwillig ist für die Versicherten die Nutzung der elektronischen Patientenakte ([X.]; § 341 [X.]) einschließlich der Freigabe der darin gespeicherten Daten zu Forschungszwecken (vgl § 363 Abs 1 [X.], sog "Datenspende").

Die Nutzung der [X.] und der weiteren Anwendungen erfolgt im Rahmen der [X.]. Dabei handelt es sich um eine interoperable und kompatible Informations-, Kommunikations- und Sicherheitsinfrastruktur, die der Vernetzung von Leistungserbringern, Kostenträgern, Versicherten und weiteren Akteuren des Gesundheitswesens sowie der Rehabilitation und der Pflege dient (vgl § 306 Abs 1 [X.] [X.]; vgl dazu auch BT-Drucks 19/18793 [X.]; [X.], [X.] 2020, 979, 982 f). Für den Aufbau und die Verwaltung der [X.] ist die gematik zuständig (§ 311 Abs 1 [X.]). Deren Gesellschafter sind die [X.] (51 Prozent), der [X.] [X.]n (24,5 Prozent) und die Spitzenorganisationen der Leistungserbringer (vgl § 306 Abs 1 Satz 1 [X.], zusammen 24,5 Prozent, § 310 Abs 2 [X.]).

b) § 15 Abs 2 [X.] iVm §§ 291 bis 291b [X.] erlegen der Klägerin die Obliegenheit auf, an der Herstellung der [X.] mit Lichtbild (§ 291a Abs 5 [X.]) und den in § 291a Abs 2 und 3 [X.] geregelten obligatorischen Angaben mitzuwirken und diese zu verwenden, um ihre Berechtigung zur Inanspruchnahme vertrags(zahn)ärztlicher Versorgung nachzuweisen und damit zugleich Abrechnungen der Leistungserbringer und den online erfolgenden Abgleich von Versichertenstammdaten (vgl § 291b Abs 1 und 2 [X.]) zu ermöglichen (vgl [X.] vom 18.11.2014 - [X.] KR 35/13 R - [X.], 224 = [X.]-2500 § 291a [X.], Rd[X.]7 ff).

Hierbei muss die Klägerin dulden, dass die [X.] weitere Funktionen im Rahmen der [X.] unterstützt (vgl § 291 Abs 2 [X.]) und dass die darauf gespeicherten obligatorischen Daten im Rahmen des sog [X.] (vgl § 291b Abs 2 [X.]) online abgeglichen und akt[X.]lisiert werden. In diesem Zusammenhang muss die Klägerin weiter die Verarbeitung ihrer personenbezogenen Daten im Rahmen der [X.] einschließlich der zentralen Speicherung der auf der [X.] gespeicherten Versichertenstammdaten bei der [X.] dulden. Die Rechtsgrundlage dafür findet sich in § 284 Abs 1 Satz 1 [X.] (idF des Art 1 [X.]2 [X.]) iVm § 67a Abs 1 und § 67b Abs 1 [X.] X (jeweils idF des Art 24 [X.] Gesetz zur Änderung des [X.] - und anderer Vorschriften vom 17.7.2017 [X.] 2541, mWv 25.5.2018). Nach § 284 Abs 1 Satz 1 [X.] dürfen die [X.]n im Hinblick auf Versicherte [X.] für Zwecke der Krankenversicherung insbesondere erheben und speichern, soweit diese für die Feststellung des Versicherungsverhältnisses und der Mitgliedschaft ([X.]), die Ausstellung der [X.] ([X.]), die Prüfung der Leistungspflicht und der Erbringung von Leistungen an Versicherte einschließlich der Voraussetzungen von Leistungsbeschränkungen sowie die Bestimmung des [X.] ([X.]), die Abrechnung mit den Leistungserbringern ([X.], die Vorbereitung von [X.], die Information der Versicherten und die Unterbreitung von Angeboten nach § 68b Abs 1 und 2 [X.] ([X.]9) und die administrative Zurverfügungstellung der [X.] sowie für das Angebot zusätzlicher Anwendungen iS des § 345 Abs 1 Satz 1 [X.] ([X.]0) erforderlich sind (zur Verwendung der [X.] durch nicht versicherte Personen vgl § 264 Abs 4 [X.]). Das für die Ausstellung der [X.] erforderliche Lichtbild dürfen die [X.]n für die Dauer des Versicherungsverhältnisses des Versicherten, jedoch längstens für zehn Jahre, für Ersatz- und Folgeausstellungen der [X.] speichern (§ 291a Abs 6 [X.]; zur früheren Rechtslage vgl [X.] vom 18.12.2018 - [X.] KR 31/17 R - [X.], 181 = [X.]-2500 § 284 [X.], Rd[X.]0 f).

Weist ein Versicherter seine Berechtigung nicht mittels [X.] nach, muss er den sich daraus ergebenden Nachteil hinnehmen: Er kann sich dort keine Sachleistungen verschaffen, wo die [X.] zum Nachweis der Berechtigung und zur Ermöglichung von Verschaffungsvorgängen erforderlich ist (vgl [X.] vom 18.11.2014 - [X.] KR 35/13 R - [X.], 224 = [X.]-2500 § 291a [X.], Rd[X.]7).

c) Keine Obliegenheit trifft die Klägerin demgegenüber hinsichtlich der fakultativen Daten auf der [X.] und zur Nutzung der im Rahmen der [X.] angebotenen freiwilligen Anwendungen. Hierzu gehören die [X.] (vgl § 341 Abs 1 [X.] [X.]), die elektronischen Notfalldaten (vgl § 358 Abs 1 [X.] [X.]), der elektronische Medikationsplan (vgl § 358 Abs 1 [X.], Abs 2 [X.] [X.]) sowie die Abgabe von elektronischen Erklärungen zur Organ- und Gewebespende bzw die Speicherung von Hinweisen auf das Vorhandensein und den Aufbewahrungsort von Erklärungen zur Organ- und Gewebespende und von Vorsorgevollmachten oder Patientenverfügungen (vgl § 334 Abs 1 [X.] und 3, §§ 356 f [X.]).

Die Klägerin hat hinsichtlich dieser Daten und Anwendungen nach dem Gesamtzusammenhang der Feststellungen des [X.] und ihrem Vorbringen kein Einverständnis erklärt. Dafür, dass trotz Fehlens ihres Einverständnisses mit ihrer [X.] fakultative Daten verarbeitet werden, ist nichts ersichtlich. Dies würde zudem nicht im Einklang mit den von ihr angegriffenen Regelungen erfolgen, sondern in rechtswidriger Weise, wogegen sich die Klägerin mit den dafür zur Verfügung stehenden Rechtsbehelfen individuell zur Wehr setzen könnte (s dazu noch unten 5.). Eine Überprüfung der Vereinbarkeit der Regelungen über die freiwilligen Daten und Anwendungen mit höherrangigem Recht erübrigt sich insoweit.

Dasselbe gilt auch, soweit die Klägerin geltend macht, auf der [X.] seien über die im Gesetz vorgesehenen Merkmale hinaus in unzulässiger Weise weitere Daten gespeichert (vgl [X.] vom 24.5.2017 - [X.] KR 79/16 B - juris [X.]). Insofern stünde ihr ggf ein Löschungsanspruch nach Art 17 Abs 1 Buchst d [X.] zu, den sie gesondert gegenüber der [X.] geltend machen könnte (vgl [X.] vom 18.12.2018 - [X.] KR 31/17 R - [X.], 181 = [X.]-2500 § 284 [X.], Rd[X.]1 ff). Die hier allein streitentscheidende Obliegenheit zur Nutzung der [X.] bliebe davon unberührt (s unten 5.).

2. Es kann dahingestellt bleiben, ob die [X.] im vorliegenden Zusammenhang unmittelbar Anwendung findet.

a) Die [X.] findet keine Anwendung auf die Verarbeitung personenbezogener Daten im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des [X.]srechts fällt (vgl Art 2 Abs 2 Buchst a [X.]). Das entspricht den durch Art 16 Abs 2 Satz 1 des Vertrages über die Arbeitsweise der [X.] ([X.]) gesetzten kompetenzrechtlichen Grenzen. Danach erlassen das [X.] und der Rat gemäß dem ordentlichen Gesetzgebungsverfahren Vorschriften über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der [X.] sowie durch die Mitgliedst[X.]ten im Rahmen der Ausübung von Tätigkeiten, die in den Anwendungsbereich des [X.]srechts fallen, und über den freien Datenverkehr.

Wie weit die durch Art 16 Abs 2 Satz 1 [X.] eingeräumte [X.] Regelungskompetenz reicht, ist umstritten und durch den [X.] noch nicht abschließend geklärt (für einen weiten Anwendungsbereich der [X.] Generalanwalt Szpunar in den Schlussanträgen vom 17.12.2020 in der [X.]/19, juris Rd[X.]7 ff; Kieck/[X.], [X.], 567; [X.] in von der [X.]Hatje, Europäisches [X.]srecht, 7. Aufl 2015, Art 16 [X.] Rd[X.]5 ff; [X.]/[X.]/[X.], [X.]/[X.], 3. Aufl 2020, Einführung Rd[X.] 8; [X.], NZ[X.]017, 887, 891; speziell für das Gesundheitswesen [X.] in [X.]/[X.], [X.]/[X.], 3. Aufl 2020, Art 9 [X.] Rd[X.]6; [X.] in von der [X.]Hatje, [X.]O, Art 168 [X.] [X.]5; für eine restriktive Auslegung des Art 16 Abs 2 [X.] dagegen [X.] in [X.], [X.]/[X.], 3. Aufl 2018, Art 16 [X.] Rd[X.] mwN; speziell für das Gesundheitswesen [X.], [X.] 2016, 401, 403; [X.], [X.], 1, 3 f; vgl auch [X.] in [X.]/[X.], [X.], 2017, Rd[X.]2 ff).

b) Ob die [X.] auf die Verarbeitung personenbezogener Daten im Zusammenhang mit der [X.] und der [X.] unmittelbar Anwendung findet oder über § 35 Abs 2 [X.] [X.] I lediglich entsprechend, ist fraglich, weil die Festlegung der Gesundheitspolitik sowie die [X.] und die medizinische Versorgung Sache der Mitgliedst[X.]ten ist (vgl Art 168 Abs 7 Satz 1 und 2 [X.]) und die [X.] keine Anwendung auf die Verarbeitung personenbezogener Daten im Rahmen einer Tätigkeit findet, die nicht in den Anwendungsbereich des [X.]srechts fällt (vgl Art 2 Abs 2 Buchst a [X.]; vgl dazu [X.] vom 18.12.2018 - [X.] KR 31/17 R - [X.], 181 = [X.]-2500 § 284 [X.], Rd[X.]4 f; [X.] vom 18.12.2018 - [X.] KR 40/17 R - [X.]-7645 Art 9 [X.] Rd[X.]9). Dies bedarf vorliegend jedoch keiner Entscheidung. Denn die gesetzlichen Regelungen zur [X.] und ihrer Einbeziehung in die [X.] stehen mit den Vorgaben der [X.] auch dann in Einklang, wenn die [X.] unmittelbar anwendbar und damit als höherrangiges Recht anzusehen sein sollte.

3. Die Verarbeitung der personenbezogenen Daten im Zusammenhang mit der [X.] nach Maßgabe der einschlägigen Vorschriften des [X.] ist durch die Ermächtigungen in Art 6 Abs 1 [X.] und [X.] 3 [X.] (dazu a) und - soweit besondere Kategorien von Daten iS von Art 9 Abs 1 [X.] betroffen sind - Art 9 Abs 2 Buchst h, Abs 3 [X.] gedeckt (dazu b). Die gesetzlichen Regelungen stehen auch mit den Vorgaben zur Gewährleistung von Datensicherheit (Art 5 Abs 1 Buchst f, Art 32, 35, 25 [X.]) in Einklang (dazu c).

a) Art 6 Abs 1 [X.] erlaubt die Verarbeitung personenbezogener Daten [X.] dann, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt, oder wenn sie für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde ([X.] und e). Die gesetzlichen Grundlagen für die Datenverarbeitungen selbst werden durch [X.]srecht oder das Recht der Mitgliedst[X.]ten festgelegt (Art 6 Abs 3 Satz 1 [X.]). Letzteres ist hier der Fall.

Einschlägig für die Verarbeitung der personenbezogenen Daten im Zusammenhang mit der [X.] sind die nationalen Vorschriften der § 35 Abs 2 Satz 1 [X.] I, § 67a Abs 1 und § 67b Abs 1 [X.] X, § 15 Abs 2 und §§ 284, 291, 291a, 291b [X.] (dazu [X.]). Aus ihnen ergibt sich auch der von Art 6 Abs 3 [X.] [X.] geforderte Zweck der Datenverarbeitung (dazu [X.]). Auch die weiteren Rechtmäßigkeitsanforderungen des Art 6 Abs 1 Satz 1 [X.] und e [X.] sind erfüllt (dazu [X.]). Das [X.]srecht oder das Recht der Mitgliedst[X.]ten müssen zudem ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen (Art 6 Abs 3 Satz 4 [X.]). Diese Voraussetzungen liegen hier vor (dazu [X.]).

[X.]) Wie sich bereits aus Art 6 Abs 3 Satz 1 [X.] ergibt und in den Erwägungsgründen ([X.]) klargestellt wird, stellen Art 6 Abs 1 [X.] und e [X.] selbst noch keine Rechtsgrundlage für die Verarbeitung personenbezogener Daten dar, sondern setzen eine den Anforderungen des Abs 3 genügende Rechtsvorschrift im [X.]srecht oder im Recht des Mitgliedst[X.]ts voraus, die eine rechtliche Verarbeitungspflicht bzw die hoheitliche Verarbeitungsbefugnis auslöst ([X.] 45 Satz 1 und 47 Satz 5 zur [X.]; vgl [X.] vom [X.] - [X.] 422.1 Presserecht [X.]8 = juris Rd[X.]6; [X.]/[X.]/[X.], [X.]/[X.], 3. Aufl 2020, Art 6 [X.] [X.]8; [X.] in [X.], [X.], 2. Aufl 2018, Art 6 Rd[X.]8; [X.] in Schütze, [X.] X, 9. Aufl 2020, Vorbemerkungen zu §§ 67-85a Rd[X.]0). Dies entspricht dem in Art 8 Abs 2 Satz 1 und Art 52 Abs 1 Satz 1 [X.] und Art 8 Abs 2 der [X.] ([X.]) verankerten Grundsatz, dass es für jede Beschränkung des Grundrechts auf Datenschutz einer gesetzlichen Grundlage bedarf (vgl [X.] vom 16.7.2020 - [X.]/18 - NJW 2020, 2613 = juris Rd[X.]73 f, [X.]; [X.] vom [X.] - [X.]/09 und [X.]/09 - Slg 2010, [X.] = juris Rd[X.]9 f, Schecke; [X.] vom [X.] - [X.]/00 - Slg 2003, [X.], [X.]6, [X.]; [X.] in [X.], [X.], 4. Aufl 2021, Art 8 Rd[X.]4 mwN).

Der nationale Gesetzgeber hat solche gesetzlichen Grundlagen geschaffen. Diese finden sich für die Verarbeitung der personenbezogenen Daten im Zusammenhang mit der [X.] in den Vorschriften der § 35 Abs 2 Satz 1 [X.] I, § 67a Abs 1 und § 67b Abs 1 [X.] X, § 15 Abs 2 und §§ 284, 291, 291a, 291b [X.].

[X.]) Diese Vorschriften regeln die Reichweite des Datenschutzes (dazu <1>) und den Zweck der Verarbeitung (dazu <2>).

(1) [X.] I, [X.] X und [X.] regeln den Schutz von [X.] grundsätzlich gleichrangig vorbehaltlich ausdrücklich davon abweichender spezialgesetzlicher Kollisionsregeln. § 35 Abs 2 Satz 1 [X.] I (idF des Art 119 des [X.] zur Anpassung des Datenschutzrechts an die Verordnung ([X.]) 2016/679 und zur Umsetzung der Richtlinie ([X.]) 2016/680 vom [X.], [X.] 1626, mWv 26.11.2019) bestimmt: Die Vorschriften des [X.] und der übrigen Bücher des [X.] regeln die Verarbeitung von [X.] abschließend, soweit nicht die Verordnung ([X.]) 2016/679 des [X.] und des Rates vom 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/[X.] ([X.]) in der jeweils geltenden Fassung unmittelbar gilt. Ein Rückgriff auf das [X.] ([X.]) ist nur zulässig, wenn das [X.] oder die [X.] dies vorsehen ([X.] vom 8.10.2019 - B 1 A 3/19 R - [X.], 156 = [X.]-2500 § 11 [X.], Rd[X.] mwN). Die datenschutzrechtlichen Regelungen der § 67a Abs 1 Satz 1 und 2, § 67b Abs 1 Satz 1 und 2 [X.] X jeweils iVm Art 9 Abs 1 [X.] verweisen [X.] auf die bereichsspezifischen Datenschutzregelungen des [X.]. Danach ist das Erheben von [X.] durch in § 35 [X.] I genannte Stellen zulässig, wenn ihre Kenntnis zur Erfüllung einer Aufgabe der erhebenden Stelle nach dem [X.] erforderlich ist (§ 67a Abs 1 Satz 1 [X.] X).

Dies gilt auch für die Erhebung der besonderen Kategorien personenbezogener Daten iS des Art 9 Abs 1 [X.], insbesondere also für Gesundheitsdaten (§ 67a Abs 1 [X.] [X.] X). § 67b Abs 1 Satz 1 [X.] X erlaubt die Speicherung, Veränderung, Nutzung, Übermittlung, Einschränkung der Verarbeitung und Löschung von [X.] [X.] nur, soweit die datenschutzrechtlichen Vorschriften des [X.] X oder eine andere Vorschrift des [X.] es erlauben oder anordnen. Dies gilt auch für die besonderen Kategorien personenbezogener Daten iS des Art 9 Abs 1 [X.] (vgl § 67b Abs 1 [X.] [X.] X; vgl zum Ganzen [X.] vom 18.12.2018 - [X.] KR 40/17 R - [X.]-7645 Art 9 [X.] Rd[X.]3 f; [X.] vom 8.10.2019 - B 1 A 3/19 R - [X.], 156 = [X.]-2500 § 11 [X.], Rd[X.]).

Zu den anderen Vorschriften des [X.] zählen auch die hier einschlägigen datenschutzrechtlichen Regelungen des [X.], insbesondere § 284 [X.] sowie § 15 Abs 2, §§ 291 bis 291b [X.] (vgl oben 1.). Sie kategorisieren nach dem Regelungskonzept des Gesetzgebers den für die [X.] erforderlichen Datenschutz nach Pflichtangaben, [X.] sowie einwilligungsabhängigen freiwilligen Angaben und Anwendungen und gestalten ihn ebenfalls als "Verbotsnorm mit Erlaubnisvorbehalt" aus (vgl [X.] vom 18.11.2014 - [X.] KR 35/13 R - [X.], 224 = [X.]-2500 § 291a [X.], Rd[X.]5). Hierbei dürfen die [X.]n [X.] für Zwecke der Krankenversicherung [X.] erheben und speichern, soweit diese für die Feststellung des Versicherungsverhältnisses und der Mitgliedschaft, die Ausstellung der [X.] und für die administrative Zurverfügungstellung der [X.] sowie für das Angebot zusätzlicher Anwendungen iS des § 345 Abs 1 Satz 1 [X.] erforderlich sind (§ 284 Abs 1 [X.], 2, 20 [X.]; s oben 1. b).

(2) Die vorgenannten Rechtsgrundlagen zur Datenverarbeitung im Zusammenhang mit der [X.] regeln und benennen selbst die Zwecke der Datenverarbeitung, wie dies § 6 Abs 3 [X.] [X.] verlangt. Diese Vorschrift bestimmt, dass der Zweck in der Rechtsgrundlage festgelegt oder für die Erfüllung einer Aufgabe erforderlich sein muss, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Dies ist bei den hier einschlägigen Vorschriften der Fall.

§ 284 Abs 1 Satz 1 [X.] erlaubt allgemein die Erhebung und Speicherung von [X.] "für Zwecke der Krankenversicherung". Spezielle Zwecke der Datenverarbeitung im Zusammenhang mit der [X.] sind der Nachweis der Berechtigung zur Inanspruchnahme von Leistungen im Rahmen der vertragsärztlichen Versorgung (Versicherungsnachweis) sowie der Abrechnung mit den Leistungserbringern (vgl § 291a Abs 1 [X.]), die Prüfung der Gültigkeit und Akt[X.]lität der Angaben auf der [X.] sowie ggf deren Akt[X.]lisierung (vgl § 291b Abs 1 [X.]) und zudem die Prüfung der [X.] der [X.] (vgl § 291b Abs 2 [X.]).

[X.]) Die besonderen Voraussetzungen für die Verarbeitung personenbezogener Daten gemäß Art 6 Abs 1 Satz 1 [X.] liegen vor.

Nach Art 6 Abs 1 Satz 1 [X.] ist die Verarbeitung personenbezogener Daten nur rechtmäßig, wenn eine der unter Buchst a bis f aufgeführten Bedingungen erfüllt ist. Die Verarbeitung ist insbesondere dann rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt ([X.]), oder wenn sie für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde (Buchst e). Beides ist hier der Fall.

Die Regelungen des [X.] zur [X.] statuieren in § 291 Abs 1, Abs 3 Satz 1, § 291a Abs 2, Abs 4, Abs 5 Satz 1, Abs 7 und § 291b Abs 1 Satz 1 [X.] für die [X.]n Verpflichtungen zur Verarbeitung der personenbezogenen Daten der Versicherten iS von Art 6 Abs 1 [X.] [X.]. Für die an der vertragsärztlichen Versorgung teilnehmenden Leistungserbringer sind die Überprüfung der Leistungspflicht der [X.] unter Nutzung der [X.] und der von der [X.] zur Verfügung gestellten Dienste einschließlich der [X.] und ggf die Online-Akt[X.]lisierung der auf der [X.] gespeicherten Daten in § 291b Abs 2 [X.] ebenfalls verpflichtend angeordnet. Die Verarbeitung der auf der [X.] gespeicherten Daten, einschließlich der fakultativen Daten nach § 291a Abs 3 [X.], erfolgt gemäß Art 6 Abs 1 Buchst e [X.] zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt (s dazu nachfolgend [X.] <1>) und jedenfalls von Seiten der [X.]n auch in Ausübung öffentlicher Gewalt (Art 6 Abs 1 Buchst e [X.]; vgl dazu auch [X.] vom 27.3.2019 - 6 C 2/18 - [X.]E 165, 111, Rd[X.]5 f). Zur Ausübung öffentlicher Gewalt gehört auch die Tätigkeit von Sozialleistungsträgern (vgl [X.], NZ[X.]017, 926, 927).

[X.]) Die genannten Vorschriften genügen auch den Anforderungen des Art 6 Abs 3 Satz 4 [X.], denn sie verfolgen ein im öffentlichen Interesse liegendes (legitimes) Ziel (dazu <1>) und wahren das Verhältnismäßigkeitsgebot (dazu <2>). Die Einwendungen der Klägerin hiergegen greifen nicht durch (dazu <3>).

(1) Die [X.] dient mit den in § 291a Abs 2 bis 5 [X.] genannten Angaben dem Nachweis der Berechtigung zur Inanspruchnahme von Leistungen im Rahmen der vertragsärztlichen Versorgung (Versicherungsnachweis). Sie erschwert dadurch den [X.] (vgl dazu [X.] vom 13.6.2007 - 1 BvR 1550/03 [X.] - [X.]E 118, 168, 196 = juris Rd[X.]29: "bedeutsamer Gemeinwohlbelang"). Sie dient ferner der Abrechnung mit den Leistungserbringern (§ 291a Abs 1 Satz 1 [X.]). Beide Aspekte kommen der finanziellen Stabilität der gesetzlichen Krankenversicherung ([X.]) zugute (vgl [X.] vom 13.9.2005 - 2 [X.] - [X.]E 114, 196, 248 = [X.]-2500 § 266 [X.], juris Rd[X.]39: "überragend wichtiges Gemeinschaftsgut").

Bei den vorgenannten Zwecken handelt es sich auch um legitime Zwecke iS des Art 6 Abs 3 Satz 4 [X.], wie die Regelbeispiele in Art 9 Abs 2 Buchst h [X.] ("für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich"; s dazu noch unten b) und Art 23 Abs 1 Buchst e [X.] (öffentliche Gesundheit und soziale Sicherheit) sowie [X.] 52 [X.] zur [X.] zeigen (vgl auch [X.]/[X.]/[X.], [X.]/[X.], 3. Aufl 2020, Art 6 [X.] Rd[X.] 88).

(2) Die mit der [X.] verbundene Datenverarbeitung wahrt den Grundsatz der Verhältnismäßigkeit.

Nach Art 6 Abs 3 Satz 4 [X.] müssen die die Datenverarbeitung legitimierenden Rechtsgrundlagen in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen. Die Vorschrift trägt dem in Art 52 Abs 1 [X.] [X.] verankerten Verhältnismäßigkeitsprinzip Rechnung (vgl [X.] in [X.]/[X.], [X.]/[X.], 3. Aufl 2021, Art 6 [X.] Rd[X.]5; vgl auch [X.] 4 [X.] zur [X.]). Dieser Grundsatz verlangt, dass die Handlungen der [X.]sorgane geeignet sind, die mit der fraglichen Regelung zulässigerweise verfolgten Ziele zu erreichen, und nicht die Grenzen dessen überschreiten, was zur Erreichung dieser Ziele geeignet und erforderlich ist (vgl [X.] vom [X.] - [X.]/12, [X.]/12 - NJW 2014, 2169 = juris Rd[X.]6, [X.] [X.], mwN).

Geboten ist in dem vorliegenden Zusammenhang eine ausgewogene Gewichtung legitimer Verarbeitungsziele auf der einen und der den natürlichen Personen durch die Art 7 und 8 [X.] zuerkannten Rechte auf Achtung ihres Privatlebens und auf Schutz ihrer personenbezogenen Daten auf der anderen Seite. Ausnahmen und Einschränkungen in Bezug auf den Schutz der personenbezogenen Daten müssen sich auf das absolut Notwendige beschränken (vgl [X.] vom 16.12.2008 - [X.]/07 - Slg 2008, [X.] = juris Rd[X.]6, [X.] und [X.]; [X.] vom [X.] - [X.]/09, [X.]/09 - Slg 2010, [X.] = juris [X.]7, 86, Schecke; [X.] vom 7.11.2013 - [X.]/12 - juris Rd[X.] 39; [X.] vom [X.] - [X.]/12, [X.]/12 - NJW 2014, 2169 = juris Rd[X.]2, [X.] [X.]; [X.] vom 6.10.2015 - [X.]/14 - NJW 2015, 3151 = juris Rd[X.]2, [X.]; [X.] vom 16.7.2020 - [X.]/18 - NJW 2020, 2613 = juris Rd[X.]76, [X.]).

Diesen Anforderungen werden die gesetzlichen Regelungen zur [X.] gerecht. Ihnen liegt ein insgesamt ausgewogenes Konzept zugrunde, das die Verarbeitung personenbezogener Daten auf das zur Erreichung der verfolgten (legitimen) Ziele zwingend erforderliche Maß beschränkt und die Persönlichkeitsrechte der Versicherten wahrt (vgl auch [X.]/[X.], [X.] 2018, 147, 153).

Es ist nicht ersichtlich, dass es andere gleich geeignete, weniger belastende Möglichkeiten gibt, um die oben genannten legitimen Ziele zu erreichen. So war die frühere Krankenversichertenkarte ohne Lichtbild, Angabe des Geschlechts und Möglichkeit des Versichertenstammdatendienstes nur bedingt geeignet, einer missbräuchlichen Verwendung zu begegnen. Sie wies ein erhebliches Missbrauchspotential auf, das deutlich höher war als jenes der [X.], und eine flankierende Vorlage des Personalausweises stellte kein gleich geeignetes milderes Mittel zur Missbrauchsverhinderung dar (vgl dazu näher [X.] vom 18.11.2014 - [X.] KR 35/13 R - [X.], 224 = [X.]-2500 § 291a [X.], Rd[X.]9 mwN). Auch für die Speicherung des [X.] ist kein weniger belastender, ebenso effektiver Weg ersichtlich (vgl [X.] [X.]O Rd[X.] 30).

Das [X.], die Speicherung des Geschlechts sowie der Versichertenstammdatendienst beschränken die Versicherten in ihrem Recht auf Schutz der personenbezogenen Daten (Art 8 [X.]) nur relativ geringfügig, zumal diese auch die alleinige Verfügungsgewalt über das auf der [X.] aufgebrachte (nicht gespeicherte) Lichtbild haben. Dagegen wiegen die zu erwartenden Vorteile für die Missbrauchsabwehr und Wirtschaftlichkeit der vertragsärztlichen Versorgung schwer (vgl [X.] vom 18.11.2014 - [X.] KR 35/13 R - [X.], 224 = [X.]-2500 § 291a [X.], Rd[X.] 31). Die mit den genannten Funktionen zu erwartende Sicherung der finanziellen Stabilität der [X.] ist ein überragend wichtiges Gemeinschaftsgut (vgl [X.] vom 13.9.2005 - 2 [X.] - [X.]E 114, 196, 248 = [X.]-2500 § 266 [X.] Rd[X.]39 = juris Rd[X.]39; vgl auch [X.] vom [X.] - 1 BvR 2011/07, 1 BvR 2959/07 - [X.]E 126, 112, 143 = [X.]-1100 Art 12 [X.]1 Rd[X.]9). Sie ist ein Gemeinwohlbelang von derart hoher Bedeutung, dass Maßnahmen, die ihr zu dienen bestimmt sind, auch dann gerechtfertigt sein können, wenn sie für die Betroffenen zu fühlbaren Einschränkungen führen (vgl [X.] vom 14.5.1985 - 1 BvR 449/82, 1 BvR 523/82, 1 BvR 728/82, 1 BvR 700/82 - [X.]E 70, 1, 30 = [X.] 2200 § 376d [X.] [X.]1 f = juris Rd[X.] 88; [X.] vom 12.6.1990 - 1 BvR 355/86 - [X.]E 82, 209, 230 = juris Rd[X.] 82).

Die Speicherung der von § 290 [X.] vorgegebenen [X.] ist ebenfalls erforderlich, um einen eindeutigen und auch bei einem Wechsel der [X.] bleibenden Bezug zu dem Versicherten sicherzustellen und im Rahmen von Abrechnungs- und Wirtschaftlichkeitsprüfungen eine Pseudonymisierung (vgl § 87 Abs 3f, § 303c [X.]) zu ermöglichen (vgl BT-Drucks 15/1525 [X.]43).

Die Preisgabe des [X.] ist für den Versicherten zwingend erforderlich, um in den Genuss der Befreiung bei der konkreten Versorgung zu gelangen (vgl [X.] vom 18.11.2014 - [X.] KR 35/13 R - [X.], 224 = [X.]-2500 § 291a [X.], Rd[X.] 33). Die Speicherung auf der [X.] ist hierbei für die Realisierung der elektronischen Verordnung (vgl § 360 [X.]) erforderlich, um eine sichere Übernahme des [X.] (anstelle der bislang erfolgenden händischen Übertragung durch das Praxispersonal, vgl die Praxisinformationen unter [X.], aufgerufen am [X.]) und dessen Überprüfung und Akt[X.]lisierung im Rahmen des [X.] zu ermöglichen. Der Gesetzgeber des [X.]-Modernisierungsgesetzes ([X.]) erwartete durch das Verhindern von unberechtigten [X.] geschätzte Einsparungen von [X.] (vgl Begründung des Gesetzentwurfs eines [X.] der Fraktionen [X.], [X.] und [X.]/[X.], BT-Drucks 15/1525 [X.]43 f).

Zwar wird in der Literatur geltend gemacht, aus dem [X.] könnten Schlussfolgerungen auf den Gesundheitszustand und/oder die wirtschaftlichen Verhältnisse der Versicherten gezogen werden, weshalb eine unverschlüsselte Speicherung auf der [X.] nicht verhältnismäßig sei (vgl [X.], [X.], 2005, [X.]79 f; [X.] in LPK-[X.], 5. Aufl 2016, § 291 Rd[X.]; [X.] in [X.] Sozialrecht, [X.], § 291 Rd[X.], Stand 1.9.2020; [X.], Wz[X.]015, 104, 108; vgl auch [X.] Berlin-Brandenburg vom 20.3.2015 - [X.] 18/14 - juris Rd[X.]3 ff). Dem vermag der [X.] nach wie vor nicht zu folgen (vgl auch [X.] [X.]O). Auch mit Blick auf den Umstand, dass Versicherte die bis zum Erreichen der individuellen Belastungsgrenze erforderliche Zuzahlungssumme an die [X.] vorauszahlen und so bereits zu Beginn eines Jahres eine Befreiung erhalten können (vgl [X.] in [X.] Komm, [X.], § 62 Rd[X.]1, Stand September 2020), erlaubt allein die Information darüber, ob jemand zuzahlungsbefreit ist oder nicht, allenfalls ganz entfernte Rückschlüsse auf den Gesundheitszustand und/oder die wirtschaftlichen Verhältnisse des Versicherten. Dass auch (der ärztlichen Schweigepflicht unterliegende) Leistungserbringer auf den [X.] zugreifen können, für die dieser im konkreten Fall nicht relevant ist, beeinträchtigt das Recht der Versicherten auf Geheimhaltung ihrer persönlichen Daten daher nur geringfügig und erfordert nicht zwingend eine Verschlüsselung der Information zum [X.]. Im Übrigen enthalten die gesetzlichen Regelungen zur [X.] zu der Frage, ob und ggf in welchem Umfang die darauf gespeicherten Daten zu verschlüsseln sind, keine Vorgaben (vgl [X.]/[X.]/[X.]/[X.], [X.], 2007, § 291 Rd[X.]0 ff; vgl demgegenüber - für die Daten über die Teilnahme an strukturierten [X.] - § 291 Abs 2 Satz 1 [X.] 7 [X.] in der bis zum 28.12.2015 geltenden Fassung). Die allgemeinen Regelungen der [X.] und des [X.] gebieten insoweit nichts anderes (vgl Art 5 Abs 1 [X.] und f , Art 32 Abs 1 Halbsatz 2 Buchst a [X.] , § 22 Abs 2 [X.] [X.] 7 [X.] ).

Soweit § 291a Abs 3 [X.] die Speicherung weiterer Daten auf der [X.] zulässt, räumt das Gesetz den [X.]n ein Ermessen ein, bei dessen Ausübung die Vorgaben der [X.] ebenfalls zu beachten sind. Hierdurch wird sichergestellt, dass eine Speicherung dieser Daten auf der [X.] nur erfolgt, soweit dies im jeweiligen Einzelfall zur Erreichung der in § 291a Abs 1 Satz 1 [X.] genannten Ziele erforderlich und auch angemessen ist. Hinsichtlich der durch § 291a Abs 3 [X.] [X.] ermöglichten Speicherung weiterer Angaben, "soweit die Verarbeitung dieser Daten zur Erfüllung von Aufgaben erforderlich ist, die den Krankenkassen gesetzlich zugewiesen sind", ergibt sich die Wahrung der Erforderlichkeit iS des Art 6 Abs 1 Buchst e und Abs 3 [X.] bereits aus dem Wortlaut der Regelung (vgl Begründung zum Gesetzentwurf der Bundesregierung zum [X.], BT-Drucks 19/13438 [X.] zu [X.]).

Dem Interesse der Versicherten, soweit wie möglich selbst über die Preisgabe und Verarbeitung ihrer (insbesondere Gesundheits-)Daten entscheiden zu können, hat der Gesetzgeber in besonderem Maße dadurch Rechnung getragen, dass er die zentralen medizinischen Anwendungen der [X.], wie die [X.], die elektronischen Notfalldaten und den elektronischen Medikationsplan, ebenso wie die Speicherung von elektronischen Erklärungen zur Organ- und Gewebespende sowie die Speicherung von Hinweisen auf das Vorhandensein und den Aufbewahrungsort von Erklärungen zur Organ- und Gewebespende und von Vorsorgevollmachten oder Patientenverfügungen auf der [X.] als freiwillige Dienste ausgestaltet hat. Über ihre Inanspruchnahme können die Versicherten frei und eigenverantwortlich entscheiden (vgl oben 1. a und c; vgl auch [X.]/[X.], [X.] 2018, 147, 160 f). Die Entscheidungsfreiheit der Versicherten wird hierbei durch das in § 335 [X.] geregelte Diskriminierungsverbot, welches auch dem in Art 5 Abs 1 Buchst b [X.] und § 67b Abs 1 Satz 1 [X.] X verankerten Zweckbindungsgrundsatz Rechnung trägt, zusätzlich abgesichert (vgl [X.], [X.] 2020, 979, 990 f).

(3) Die hiergegen gerichteten Einwendungen der Klägerin greifen nicht durch.

(a) Sofern die Klägerin geltend macht, auf der [X.] seien über die im Gesetz vorgesehenen Merkmale hinaus in unzulässiger Weise weitere Daten gespeichert, stünde ihr ggf ein Löschungsanspruch nach Art 17 Abs 1 Buchst d [X.] zu, den sie gesondert gegenüber der [X.] geltend machen könnte (s oben 1. c und unten 5.).

Soweit sich ihre Ausführungen konkret auf Angaben zur Teilnahme an strukturierten [X.] nach § 137f [X.] beziehen (sog Disease-Management-Programme >- Kennzeichen, vgl dazu [X.] vom 24.5.2017 - [X.] KR 79/16 B - juris [X.]), ist nicht ersichtlich, inwiefern die Klägerin davon persönlich betroffen ist. Dass sie an einem solchen strukturierten Behandlungsprogramm teilnimmt, hat das [X.] nicht festgestellt und lässt sich dem Vorbringen der Klägerin nicht entnehmen. Zudem wurde mit dem [X.] vom 9.12.2019 ([X.] 2562) in § 291 Abs 2 Satz 1 [X.] (jetzt § 291a Abs 3 [X.] [X.]) eine Generalklausel eingefügt, die die Speicherung sog "statusergänzender Merkmale" wie der [X.] auf der [X.] legitimiert (vgl [X.] in [X.] Komm, [X.], § 291 Rd[X.] 35, Stand Juli 2020, mwN).

(b) Auch die Speicherung der Versichertendaten auf der [X.] in einer erweiterbaren Auszeichnungssprache ([X.]) ist nicht zu beanstanden.

Die Datenspeicherung in diesem Format entspricht der Vorgabe des § 291a Abs 4 [X.]. Danach sind die Versichertendaten auf der [X.] in einer Form zu speichern, die für eine maschinelle Übertragung auf die für die vertragsärztliche Versorgung vorgesehenen Abrechnungsunterlagen und Vordrucke geeignet ist. Ein gleich geeignetes milderes Mittel zur Zweckerreichung ist auch insofern nicht ersichtlich. Dass die betreffenden Daten nicht für Zwecke eines unzulässigen Profiling (vgl zur Begriffsdefinition Art 4 [X.] [X.]) verwendet werden, wird durch die diesbezüglichen Regelungen der [X.] und des [X.] gewährleistet (vgl insbesondere Art 22 [X.]; ferner Art 13 Abs 2 Buchst f, Art 14 Abs 2 Buchst g, Art 15 Abs 1 Buchst h, Art 21 Abs 1 Satz 1 Halbsatz 2, Art 35 Abs 3 Buchst a, Art 70 Abs 1 Buchst f [X.]; § 37 [X.]).

Die Einhaltung dieser Vorgaben haben die datenschutzrechtlich Verantwortlichen durch geeignete technische und organisatorische Maßnahmen sicherzustellen (vgl Art 24 Abs 1 [X.]) und die Aufsichtsbehörden mit den ihnen zustehenden Befugnissen zu überwachen (vgl Art 57 f [X.]). Verstöße sind straf- oder bußgeldbewehrt (vgl Art 83 f [X.], §§ 41 ff [X.], § 397 [X.]).

(c) Sofern sich die Klägerin gegen die Protokollierung der Zugriffsdaten und [X.] im Rahmen des [X.] (vgl auch § 291b Abs 2 Satz 3 [X.]) wendet, verkennt sie, dass die Zugriffsprotokollierung dem in Art 5 Abs 1 Buchst a [X.] verankerten Transparenzgrundsatz Rechnung trägt (vgl dazu auch [X.] 39 zur [X.]; für die Anwendungen im Rahmen der [X.] vgl § 309 [X.]). Hierdurch wird gewährleistet, dass die Versicherten im Bedarfsfall die Information erhalten können, wer wann welche der auf der [X.] gespeicherten Daten verarbeitet hat (vgl Art 15 Abs 1 [X.] [X.]), um ihnen die Durchsetzung ihrer Datenschutzrechte und den Aufsichtsbehörden eine effektive Datenschutzkontrolle zu ermöglichen. Die Protokolldaten dienen insofern ausschließlich den Interessen der Versicherten (vgl auch § 309 Abs 2 [X.]). Sie werden auch nur auf der [X.] gespeichert ( vgl die Spezifikation Fachmodul [X.], Version 2.4.0, Stand 26.10.2018, [X.] und 50; vgl auch die Antwort der Bundesregierung auf die Kleine Anfrage Abgeordneter und der Fraktion der [X.] in BT-Drucks 19/16228 [X.] zu Frage 4).

b) Die Verarbeitung der personenbezogenen Daten im Zusammenhang mit der [X.] ist auch insoweit mit der [X.] vereinbar, als diese in Art 9 Sonderregelungen für besondere Kategorien von Daten, insbesondere Gesundheitsdaten, aufstellt.

Die Rechtmäßigkeit der Verarbeitung beson[X.] geschützter Kategorien von Daten, vorliegend insbesondere von Gesundheitsdaten (zum Begriff vgl Art 4 [X.]5 [X.]; [X.] in [X.]/[X.], [X.]/[X.], 3. Aufl 2020, Art 4 [X.]5 [X.] Rd[X.] ff, Art 9 [X.] Rd[X.]), nicht aber das Lichtbild auf der [X.] (vgl [X.] 51 zur [X.]; vgl auch [X.] vom 18.12.2018 - [X.] KR 31/17 R - [X.], 181 = [X.]-2500 § 284 [X.], Rd[X.]6), richtet sich nach Art 9 [X.]. Die Verarbeitung dieser beson[X.] geschützten Daten ist nach Art 9 Abs 1 [X.] grundsätzlich untersagt, sofern nicht eine der in Art 9 Abs 2 [X.] normierten Ausnahmetatbestände einschlägig ist.

Letzteres ist vorliegend der Fall. Die Verarbeitung besonderer Kategorien von Daten im Zusammenhang mit der [X.] ist durch Art 9 Abs 2 Buchst h [X.] iVm § 67a Abs 1 [X.] und § 67b Abs 1 [X.] [X.] X und §§ 291 ff [X.] legitimiert (vgl [X.], [X.] 2020, 979, 980; [X.]/[X.], [X.] 2018, 147, 152). Ob daneben auch die Voraussetzungen von Art 9 Abs 2 Buchst b [X.] (Verarbeitung zur Ausübung der aus dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und Nachkommen der diesbezüglichen Pflichten) und Buchst i (aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit) vorliegen, kann dahinstehen.

[X.]) Nach Art 9 Abs 2 Buchst h [X.] ist die Verarbeitung besonderer Kategorien personenbezogener Daten [X.] zulässig, wenn sie für Zwecke der Gesundheitsvorsorge, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des [X.]srechts oder des Rechts eines Mitgliedst[X.]ts oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs vorbehaltlich der in Art 9 Abs 3 [X.] genannten Bedingungen und Garantien erforderlich ist (vgl dazu auch [X.] vom 18.12.2018 - [X.] KR 40/17 R - [X.]-7645 Art 9 [X.] Rd[X.] 30).

Die Regelungen in Art 9 Abs 2 Buchst h und Abs 3 [X.] tragen der Bedeutung des Gesundheitsschutzes für den Einzelnen und für die Gesellschaft insgesamt Rechnung und berücksichtigen, dass im Gesundheits- und Sozialbereich in hohem Maße sensible Daten verarbeitet werden und dies für das Funktionieren der medizinischen Versorgung und des Sozialsystems auch notwendig ist (vgl [X.]/[X.] in [X.] DatenschutzR, [X.] Art 9 [X.]7, Stand [X.]). Die Verarbeitung besonderer Kategorien personenbezogener Daten soll dabei nur erfolgen, soweit dies für das Erreichen dieser Zwecke erforderlich ist, insbesondere im Zusammenhang mit der Verwaltung der Dienste und Systeme des Gesundheits- oder Sozialbereichs, einschließlich der Verarbeitung dieser Daten durch die Verwaltung und die zentralen nationalen Gesundheitsbehörden (vgl [X.] 53 zur [X.]).

Die medizinische Versorgung und Behandlung im Gesundheits- und Sozialbereich umfasst sämtliche gesundheitsbezogenen Handlungen und Leistungen präventiver, diagnostischer, kurativer und nachsorgender Art (vgl [X.] in [X.], [X.], 2. Aufl 2018, Art 9 Rd[X.] 35). Zur Verwaltung von Systemen und Diensten im Gesundheits- und Sozialbereich gehört der gesamte organisatorische Rahmen zur Erbringung von Gesundheitsdienstleistungen. Dies umfasst sämtliche Maßnahmen der Organisation, Planung und Abrechnung im Rahmen der [X.] und damit auch die Verarbeitung von Versichertendaten unter Nutzung der [X.] und der [X.] (vgl [X.] in [X.]/[X.], [X.]/[X.], 3. Aufl 2020, Art 9 [X.] Rd[X.]05, 107).

[X.]) Ergänzend sind für Gesundheitsdaten die im innerst[X.]tlichen Recht zusätzlich statuierten Bedingungen und Beschränkungen zu beachten (Art 9 Abs 4 [X.]). § 67a Abs 1 [X.] und § 67b Abs 1 [X.] [X.] X bestimmen, dass die jeweils in Satz 1 geregelten Verarbeitungsbefugnisse auch für besondere Kategorien personenbezogener Daten iS des Art 9 Abs 1 [X.] gelten. Für die Übermittlung [X.] von Gesundheitsdaten fordert § 67b Abs 1 Satz 3 [X.] X abweichend von Art 9 Abs 2 Buchst b, d bis j [X.] eine besondere gesetzliche Übermittlungsbefugnis nach den §§ 68 bis 77 [X.] X oder nach einer anderen Rechtsvorschrift im [X.]. Zur Gewährleistung geeigneter Garantien zum Schutz der personenbezogenen Daten ordnen § 67a Abs 1 Satz 3 und § 67b Abs 1 Satz 4 [X.] X jeweils die entsprechende Geltung von § 22 Abs 2 [X.] an (vgl dazu Beschlussempfehlung und Bericht des [X.] zu dem Entwurf eines Gesetzes zur Änderung des [X.] und anderer Vorschriften, BT-Drucks 18/12611 [X.]02 f; s dazu auch unten c [X.]).

[X.]) Die in § 15 Abs 2, §§ 291 bis 291b [X.] iVm § 35 Abs 2 Satz 1 [X.] I und § 67a Abs 1 und § 67b Abs 1 [X.] X geregelte Verarbeitung besonderer Kategorien personenbezogener Daten der Versicherten ist insbesondere für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich erforderlich. Dies ist jedenfalls in dem hier in Rede stehenden Umfang hinsichtlich der für die Versicherten obligatorischen Datenverarbeitung im Zusammenhang mit der [X.] der Fall. Insofern gelten die Ausführungen zu Art 6 [X.] entsprechend (vgl oben 3. a [X.]).

[X.]) Die einschränkenden Voraussetzungen für die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art 9 Abs 3 [X.] sind ebenfalls gewahrt.

Danach dürfen die besonderen Kategorien personenbezogener Daten zu den in Art 9 Abs 2 Buchst h [X.] genannten Zwecken nur von Fachpersonal oder unter dessen Verantwortung verarbeitet werden, das nach dem [X.]srecht oder dem Recht eines Mitgliedst[X.]ts oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt, oder durch Personen, die ebenfalls nach dem [X.]srecht oder dem Recht eines Mitgliedst[X.]ts oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliegen.

Dies ist hinsichtlich der Verarbeitung der auf der [X.] (und im Rahmen der [X.]) gespeicherten Daten, auch soweit es sich dabei um Gesundheitsdaten handelt, der Fall. Die Leistungserbringer und die bei ihnen sowie bei den und für die [X.]n tätigen Personen, die auf die [X.] bzw die darauf gespeicherten Daten zugreifen können, unterliegen entweder der beruflichen Schweigepflicht gemäß § 203 Strafgesetzbuch und nach den einschlägigen berufsrechtlichen Regelungen oder dem Sozialgeheimnis gemäß § 35 [X.] I. Dieses erstreckt sich auch auf Auftragsverarbeiter (§ 80 [X.] X, vgl [X.] in [X.] Komm, [X.] I, § 35 Rd[X.]2 ff, Stand März 2019) und ist als Berufsgeheimnis iS von Art 9 Abs 3 [X.] zu werten (vgl [X.] in [X.]/[X.], [X.]/[X.], 3. Aufl 2020, Art 9 [X.] Rd[X.]42). Es bindet nach § 78 Abs 1 [X.] X auch Personen und Stellen, die nicht in § 35 [X.] I genannt und denen [X.] übermittelt worden sind (sog "verlängerter [X.]schutz", vgl [X.] in Schütze, [X.] X, 9. Aufl 2020, § 78 Rd[X.] 3).

c) Die Regelungen zur [X.] und zur [X.] stehen im Einklang mit den Vorgaben der [X.] zur Gewährleistung einer ausreichenden Datensicherheit. Die Vorschriften des [X.] und [X.] X sowie das [X.] ermöglichen in ihrer rechtlichen Ausgestaltung und ihrer tatsächlichen Handhabung im Spannungsfeld zwischen effektiver Erledigung von Verwaltungsaufgaben mittels Datenverarbeitung und effektiver Datensicherheit einen prozesshaft-dynamischen Schutz im Einklang mit den Anforderungen der [X.]. Ob die rechtlichen Vorgaben im Rahmen der praktischen Umsetzung von den verantwortlichen Personen und Institutionen beachtet werden, ist nicht Gegenstand des vorliegenden Rechtsstreits und vom [X.] daher nicht zu überprüfen (s dazu im Einzelnen unten 5.).

[X.]) Nach Art 5 Abs 1 Buchst f [X.] müssen personenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen ("Integrität und Vertraulichkeit"). Dazu gehört auch, dass Unbefugte keinen Zugang zu den Daten haben und weder die Daten noch die Geräte, mit denen diese verarbeitet werden, benutzen können (s [X.] 39 zur [X.]).

Eine absolute Datensicherheit kann es jedoch nicht geben. Insofern werden die zu ergreifenden Sicherheitsmaßnahmen durch den in Art 24 [X.] zum Ausdruck kommenden Verhältnismäßigkeitsgrundsatz beschränkt (vgl [X.]/Meints in [X.], [X.]/[X.], 7. Aufl 2020, Art 24 [X.] Rd[X.] ff; [X.]/[X.] in [X.], [X.], 6. Aufl 2019, [X.] Rd[X.]14, Stand 6.1.2021; [X.] in [X.]/[X.], [X.]/[X.], 3. Aufl 2020, Art 32 [X.] Rd[X.] 8; Raschauer in [X.], [X.], 2. Aufl 2018, Art 24 Rd[X.] 30 ff; [X.] in [X.]/[X.], [X.]/[X.], 3. Aufl 2021, Art 24 [X.] Rd[X.]4; [X.] in [X.], [X.], 2. Aufl 2018, Art 24 Rd[X.]1).

Dabei verfolgt die [X.] einen risikobasierten Ansatz. Abhängig vom spezifischen Risiko der Datenverarbeitung und dessen Eintrittswahrscheinlichkeit hat der jeweils Verantwortliche die erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (vgl Art 24 Abs 1 [X.] sowie [X.] 74 ff zur [X.]; näher dazu [X.] in Taeger/Gabel, [X.]/[X.], 3. Aufl 2019, Art 24 [X.] Rd[X.]9 ff; [X.] in [X.], [X.], 2. Aufl 2018, Art 24 Rd[X.]9 ff; [X.], [X.], 347, 348; [X.], [X.], 503). Näher konkretisiert werden diese allgemeinen Vorgaben in Art 25, 32 und 35 [X.] (zum Verhältnis dieser Vorschriften zu den allgemeinen Regelungen des Art 24 [X.] vgl [X.] in [X.]/[X.], [X.]/[X.], 3. Aufl 2020, Art 24 Rd[X.]7 f).

Art 25 [X.] enthält Regelungen zur Gewährleistung von Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (vgl dazu [X.]/[X.], [X.], 308). Art 25 Abs 1 [X.] regelt hierbei die Verpflichtung, den Datenschutz bereits zu einem möglichst frühen Zeitpunkt bei der Auswahl, Festlegung und Einrichtung der Systeme für eine Verarbeitung zu berücksichtigen ("Privacy by Design" oder "Data Protection by Design"; vgl [X.] in [X.]/[X.], [X.]/[X.], 3. Aufl 2020, Art 25 [X.] Rd[X.]1 mwN). Art 25 Abs 2 [X.] verpflichtet den Verantwortlichen dazu, geeignete technische und organisatorische Maßnahmen zu treffen, die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten verarbeitet werden, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist ("[X.]" oder "Data Protection by Default").

Nach Art 32 Abs 1 [X.] sind der Verantwortliche und der Auftragsverarbeiter verpflichtet, unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Mögliche Maßnahmen sind dabei [X.] die Pseudonymisierung und Verschlüsselung personenbezogener Daten, die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen, die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen, sowie ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

Schließlich verpflichtet Art 35 Abs 1 Satz 1 [X.] den Verantwortlichen für den Fall, dass eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durchzuführen (Datenschutz-Folgenabschätzung).

[X.]) Diese Regelungen der [X.] finden auf die Datenverarbeitung im Zusammenhang mit der [X.] und der [X.] unmittelbar Anwendung, was in den Gesetzesmaterialien zum [X.] ausdrücklich erwähnt wird (BT-Drucks 19/18793 [X.]00 zu § 307). Danach entbindet die Pflicht zur Verwendung bestimmter Dienste, Anwendungen, Komponenten und sonstiger Infrastrukturteile den oder die jeweiligen Verantwortlichen (vgl Art 4 [X.] 7 [X.]; § 307 [X.]) nicht von der Pflicht zur Ergreifung geeigneter und angemessener technischer und organisatorischer Maßnahmen, soweit diese zusätzlich erforderlich sind, wie zB die Sicherung von Konnektoren gegen unbefugten Zugang, Verwendung geeigneter Verschlüsselungsstandards nach dem Stand der Technik etc.

Dies gilt auch für die Regelungen zu den [X.] nach Art 35 [X.] und der Benennung von Datenschutzbeauftragten nach Art 37 [X.] (s BT-Drucks [X.]O, allerdings mit dem Hinweis, dass die Regelungen mangels umfangreicher Verarbeitung von Gesundheitsdaten auf die allermeisten Arztpraxen nicht zutreffen würden; vgl dazu auch [X.] 91 zur [X.]). Soweit einzelne Verantwortliche im Rahmen der [X.] ihrer Verpflichtung zur Durchführung einer Datenschutz-Folgenabschätzung bislang nicht nachgekommen sein sollten, kann dies ggf Sanktionen nach sich ziehen (vgl Art 83 Abs 4 Buchst a [X.]). Es beeinträchtigt aber nicht die Rechtmäßigkeit der Datenverarbeitung (vgl [X.] in [X.] [X.], [X.], 2018, Art 35 Rd[X.]60 f; [X.]/Werkmeister in [X.], [X.], 2. Aufl 2018, Art 35 [X.]4; [X.] in Ehmann/[X.], [X.], 2. Aufl 2018, Art 35 [X.]8; zu der geplanten Datenschutz-Folgenabschätzung bezüglich der Komponenten der dezentralen [X.] bei den Leistungserbringern durch den Gesetzgeber vgl den Referentenentwurf des [X.] für ein Gesetz zur digitalen Modernisierung von Versorgung und Pflege vom 15.11.2020 [X.]6 [X.]0, [X.] ff, abrufbar unter [X.], abgerufen am [X.]).

[X.]) Die in Art 32 [X.] geregelten Anforderungen an die Datensicherheit werden in § 22 Abs 2 [X.], dessen entsprechende Anwendung § 67a Abs 1 Satz 3 und § 67b Abs 1 Satz 4 [X.] X anordnen, für den Fall, dass besondere Kategorien von Daten verarbeitet werden, weitergehend konkretisiert (vgl [X.]/[X.] in [X.]/[X.], [X.], 13. Aufl 2019, § 22 Rd[X.]0 mwN).

Darüber hinaus enthalten die Regelungen des [X.] zur [X.] und [X.] eine Vielzahl von Vorschriften, durch die die Vorgaben der [X.] im Einzelnen umgesetzt und konkretisiert werden. Dabei werden insbesondere die in Art 32 Abs 1 [X.] beispielhaft aufgeführten allgemeinen Maßnahmen zur Gewährleistung einer angemessenen Datensicherheit spezifiziert.

Zentrale und koordinierende Aufgaben weist der Gesetzgeber hierbei der gematik zu (vgl § 311 [X.]). Dass diese ihren Aufgaben ordnungsgemäß nachkommt, und nicht wie ein privater Diensteanbieter [X.] unter den Bedingungen von Wirtschaftlichkeit und Kostendruck agiert (vgl [X.] vom [X.] - 1 BvR 256/08 [X.] - [X.]E 125, 260, 325 = juris Rd[X.]22), wird zum einen dadurch gewährleistet, dass die [X.] als Mehrheitsgesellschafterin einen bestimmenden Einfluss auf die Geschicke der Gesellschaft hat (vgl § 310 Abs 2 [X.] und Abs 4 [X.]; vgl dazu auch Beschlussempfehlung und Bericht des [X.] zum Entwurf des TSVG, BT-Drucks 19/8351 [X.]14 f). Zum anderen unterliegt die gematik ihrerseits der Kontrolle durch das [X.] und den [X.] und die Informationsfreiheit ([X.]). Im Ergebnis wird so auch eine kontinuierliche Überwachung der Einhaltung der datenschutzrechtlichen Vorgaben durch die gematik und die Anbieter von Diensten und Anwendungen im Rahmen der [X.] gewährleistet (vgl Art 32 Abs 1 Buchst d [X.]). Die enge Einbindung des [X.] in den gesamten Verfahrensablauf beim Ausbau und Betrieb der [X.] sichert zudem die durch Art 32 Abs 1 [X.] angeordnete Berücksichtigung des Stands der Technik.

Insgesamt belegen die Regelungen, dass der Gesetzgeber beim Auf- und Ausbau der [X.] den Vorgaben der [X.] Rechnung trägt und den Belangen des Datenschutzes und der Datensicherheit eine zentrale Bedeutung beimisst. Er ist sich bewusst, dass im Rahmen der [X.] beson[X.] sensible Gesundheitsdaten verarbeitet werden, die im Interesse der Versicherten und der Leistungserbringer (als Berufsgeheimnisträger) eines besonderen Schutzes bedürfen (vgl BT-Drucks 19/18793 [X.]).

4. Die gesetzliche Obliegenheit zur Nutzung der [X.] verletzt die Klägerin nicht in ihren Grundrechten. Der [X.] lässt dabei offen, ob vorliegend die Grundrechte des [X.] oder diejenigen der [X.] Anwendung finden (dazu a). Denn der in der Obliegenheit zur Nutzung der [X.] und der Verarbeitung der damit im Zusammenhang stehenden personenbezogenen Daten der Klägerin liegende Grundrechtseingriff ist sowohl am Maßstab des nationalen Grundrechts auf informationelle Selbstbestimmung (Art 2 Abs 1 iVm Art 1 Abs 1 [X.]; dazu b), als auch am Maßstab der durch die Art 7 und 8 [X.] garantierten Grundrechte auf Achtung des Privatlebens und auf Schutz der personenbezogenen Daten (dazu c) gerechtfertigt.

a) Ob bei der Anwendung von [X.]srecht durch die Mitgliedst[X.]ten (vgl Art 51 Abs 1 Satz 1 [X.]) die Grundrechte des [X.] oder der [X.] anzuwenden sind, hängt maßgeblich davon ab, ob es sich bei den in Rede stehenden unionsrechtlichen Vorschriften um vollständig vereinheitlichtes oder um gestaltungsoffenes [X.]srecht handelt (vgl [X.] vom 6.11.2019 - 1 BvR 16/13 - [X.]E 152, 152 = juris Rd[X.]2, Recht auf [X.]; [X.] vom 6.11.2019 - 1 BvR 276/17 - [X.]E 152, 216 = juris [X.]7, Recht auf [X.]I; [X.] vom 1.12.2020 - 2 BvR 1845/18 [X.] - juris Rd[X.] 34 ff; vgl dazu auch [X.], NJW 2020, 275). [X.]srechtlich nicht vollständig determiniertes innerst[X.]tliches Recht ist primär am Maßstab der Grundrechte des [X.] zu überprüfen (vgl [X.] vom 6.11.2019 - 1 BvR 16/13 - [X.]E 152, 152 = juris Rd[X.]2, Recht auf [X.]). Eine Prüfung unmittelbar an den Grundrechten der [X.] ist hier lediglich dann geboten, wenn konkrete und hinreichende Anhaltspunkte gegeben sind, dass durch eine Prüfung an den Grundrechten des [X.] das grundrechtliche Schutzniveau des [X.]srechts ausnahmsweise nicht gewährleistet wird ([X.] vom 6.11.2019 - 1 BvR 16/13 - [X.]E 152, 152 = juris Rd[X.]3 ff, Recht auf [X.]). Demgegenüber sind bei der Anwendung unionsrechtlich vollständig vereinheitlichter Regelungen grundsätzlich allein die [X.]sgrundrechte maßgeblich, die insoweit gegenüber den Grundrechten des [X.] Anwendungsvorrang genießen ([X.] vom 6.11.2019 - 1 BvR 276/17 - [X.]E 152, 216 = juris Rd[X.]2 ff, Recht auf [X.]I; [X.] vom 1.12.2020 - 2 BvR 1845/18 - juris Rd[X.] 36). Ob es sich danach bei den hier in Rede stehenden Regelungen des [X.] zur [X.] und zur [X.] um vollständig vereinheitlichtes oder um gestaltungsoffenes [X.]srecht handelt, kann im Ergebnis dahinstehen, da der Grundrechtseingriff nach beiden Maßstäben gerechtfertigt ist.

b) Bei einer Prüfung am Maßstab der Grundrechte des [X.] begründet die Obliegenheit zur Nutzung der [X.] gemäß § 15 Abs 2, §§ 291 bis 291b [X.] einen Eingriff in das Grundrecht der Klägerin auf informationelle Selbstbestimmung als eine Ausprägung des allgemeinen Persönlichkeitsrechts (Art 2 Abs 1 iVm Art 1 Abs 1 [X.]). Dieser ist aber gerechtfertigt (dazu [X.] und [X.]). Die gesetzliche Konzeption gewährleistet auch die von [X.] wegen gebotene (faktische) Datensicherheit (dazu [X.]). Die Klägerin wird nicht in ihren Grundrechten dadurch verletzt, dass ihr kein anderer Weg eröffnet wird, als der durch Nutzung der [X.], ihre Berechtigung zur Inanspruchnahme von vertragsärztlichen Leistungen nachzuweisen und die Abrechnung der [X.]n mit den Leistungserbringern zu ermöglichen (vgl [X.] vom 18.11.2014 - [X.] KR 35/13 R - [X.], 224 = [X.]-2500 § 291a [X.], Rd[X.]3 ff; zustimmend [X.] in [X.] Komm, [X.], § 291a Rd[X.]4 ff, Stand Juli 2020).

[X.]) Das Grundrecht auf informationelle Selbstbestimmung gewährleistet die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen. Es umfasst den Schutz gegen die unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe persönlicher Daten (vgl [X.] vom 15.12.1983 - 1 BvR 209/83 [X.] - [X.]E 65, 1, 43; [X.] vom 17.7.1984 - 2 [X.], 2 [X.] - [X.]E 67, 100, 143; [X.] vom 27.5.2020 - 1 BvR 1873/13 - NJW 2020, 2699 = juris Rd[X.]2). Die Gewährleistung greift insbesondere, wenn die Entfaltung der Persönlichkeit dadurch gefährdet wird, dass personenbezogene Informationen von st[X.]tlichen Behörden in einer Art und Weise genutzt und verknüpft werden, die Betroffene weder überschauen noch beherrschen können ([X.] vom 27.5.2020, [X.]O, mwN). Mit dem Recht auf informationelle Selbstbestimmung wäre es nicht vereinbar, wenn die Bürger nicht mehr wissen können, wer was wann und bei welcher Gelegenheit über sie weiß ([X.] vom 15.12.1983, [X.]O). Das Recht auf informationelle Selbstbestimmung ist aber nicht uneingeschränkt und schrankenlos gewährleistet. Eingriffe in dieses Grundrecht bedürfen wie jede Grundrechtsbeschränkung einer gesetzlichen Ermächtigung, die einen legitimen Gemeinwohlzweck verfolgt und im Übrigen den Grundsatz der Verhältnismäßigkeit wahrt (vgl [X.] vom 15.12.1983, [X.]O, [X.]4; [X.] vom 27.5.2020, [X.]O, Rd[X.]23; [X.] vom 10.11.2020 - 1 BvR 3214/15 - juris Rd[X.] 84, stRspr). Sie müssen daher zur Erreichung des legitimen Zwecks geeignet, erforderlich und verhältnismäßig im engeren Sinne sein. Dabei bedürfen sie einer gesetzlichen Grundlage, welche die Datenverwendung auf spezifische Zwecke hinreichend begrenzt. Alle angegriffenen Befugnisse sind zudem am Grundsatz der Normenklarheit und Bestimmtheit zu messen, der der Vorhersehbarkeit von Eingriffen für die Bürgerinnen und Bürger, einer wirksamen Begrenzung der Befugnisse gegenüber der Verwaltung sowie der Ermöglichung einer effektiven Kontrolle durch die Gerichte dient (vgl [X.] vom 10.11.2020, [X.]O, Rd[X.] 85, mwN, stRspr; vgl auch [X.] vom 14.2.2007 - [X.] A 3/06 R - [X.]E 98, 129 = [X.]-2400 § 35a [X.], Rd[X.]0 ff).

[X.]) Diesen Anforderungen genügt die gesetzliche Pflicht der [X.]n, die [X.] herzustellen und im von der Klägerin angegriffenen, zu überprüfenden Umfang zu nutzen (vgl auch [X.] vom 18.11.2014 - [X.] KR 35/13 R - [X.], 224 = [X.]-2500 § 291a [X.], Rd[X.]24 ff).

(1) § 15 Abs 2 und §§ 284, 291, 291a, 291b [X.] iVm § 35 Abs 2 Satz 1 [X.] I, § 67a Abs 1 und § 67b Abs 1 [X.] X regeln die angegriffenen Beschränkungen des Rechts auf informationelle Selbstbestimmung einfachgesetzlich für die [X.] (s dazu oben 3. a [X.] <1>). Hieraus ergeben sich Voraussetzungen und Umfang der Beschränkungen klar erkennbar. Die Regelungen entsprechen dem rechtsst[X.]tlichen Gebot der Normenklarheit. Es unterliegt keinem Zweifel, welche Angaben von wem zu welchem Zweck verarbeitet werden dürfen (vgl zu § 15 Abs 2, § 291, § 291a Abs 2 [X.] aF [X.] vom 18.11.2014 - [X.] KR 35/13 R - [X.], 224 = [X.]-2500 § 291a [X.], Rd[X.]5).

Das gilt auch für § 291a Abs 3 [X.] [X.], der die Speicherung weiterer Angaben auf der [X.] erlaubt, soweit deren Verarbeitung zur Erfüllung von Aufgaben erforderlich ist, die den [X.]n gesetzlich zugewiesen sind. Insoweit hat der Gesetzgeber die Regelungsbefugnis unter klarer Begrenzung von Inhalt, Zweck und Ausmaß der Ermächtigung (zur bundesweiten Verwendung der [X.] "als Versicherungsnachweis" und soweit die Verarbeitung der Daten zur Erfüllung der den [X.]n gesetzlich zugewiesenen Aufgaben erforderlich ist) in verfassungsrechtlich zulässiger Weise gemäß § 291b Abs 6 [X.] auf die Vertragspartner der gemeinsamen Selbstverwaltung auf Bundesebene gemäß § 87 Abs 1 [X.] übertragen (vgl zur Zulässigkeit der Delegation von [X.] auf die zuständigen Spitzenverbände im Rahmen der gemeinsamen Selbstverwaltung auch [X.] vom 17.12.2002 - 1 BvL 28/95 [X.] - [X.]E 106, 275, 305 = [X.] 3-2500 § 35 [X.] [X.]2 f). Diese sind bei der Ausübung ihrer Regelungskompetenz ihrerseits den Geboten der Normenklarheit, der Bestimmtheit und der Verhältnismäßigkeit verpflichtet.

Die detaillierte und normenklare Ausgestaltung der bereichsspezifischen Normen der §§ 291 ff [X.] belegt, dass der Gesetzgeber im Falle der [X.] und der [X.] dem [X.]schutz einschließlich der Datensicherheit in ganz besonderem Maße hohe Bedeutung beimisst (vgl BT-Drucks 19/18793 [X.]; vgl zur Rechtslage vor dem [X.] [X.] vom 18.11.2014 - [X.] KR 35/13 R - [X.], 224 = [X.]-2500 § 291a [X.], Rd[X.]5 mwN).

(2) Die von der Klägerin angegriffenen Beschränkungen des Rechts auf informationelle Selbstbestimmung durch die Regelungen über die [X.] sind durch überwiegende [X.] gerechtfertigt. Denn sie sind zur Verhinderung von Missbrauch und zur Kosteneinsparung zwecks Erhalt der finanziellen Stabilität der [X.] geeignet, erforderlich und angemessen. Insofern wird auf die Ausführungen zu Art 6 Abs 3 Satz 4 [X.] verwiesen (s oben 3. a [X.]).

(3) Durch die speziellen datenschutzrechtlichen Rechtsbehelfe nach Art 77 ff [X.] iVm §§ 81 ff [X.] X (idF des Art 24 [X.] Gesetz zur Änderung des [X.] und anderer Vorschriften vom 17.7.2017, [X.] 2541, mWv 25.5.2018) ist auch eine effektive Kontrolle der Einhaltung der datenschutzrechtlichen Vorgaben durch die Gerichte gewährleistet.

Ob die datenschutzrechtlichen Vorgaben der [X.] und des [X.] durch die dafür nach Art 4 [X.] 7 [X.] iVm § 307 [X.] Verantwortlichen im Einzelnen eingehalten werden, ist durch die zuständigen Aufsichtsbehörden im Rahmen ihrer Aufgaben und Befugnisse nach Art 57 f [X.] zu überwachen. Nach Art 77 Abs 1 [X.] hat jede betroffene Person das Recht, sich bei der zuständigen Aufsichtsbehörde zu beschweren, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die [X.] verstößt. Dementsprechend regelt § 81 Abs 1 [X.] X, dass sich eine betroffene Person, die der Ansicht ist, bei der Verarbeitung ihrer [X.] in ihren Rechten verletzt worden zu sein, entweder an den Bundesbeauftragten oder die Bundesbeauftragte ([X.]) oder an die nach Landesrecht für die Kontrolle des Datenschutzes zuständige Stelle ([X.]) wenden kann. Gegen die daraufhin ergehende Entscheidung, wie auch gegen die Untätigkeit der genannten Stellen kann die betroffene Person nach Art 78 [X.] iVm § 81a [X.] X bzw § 20 [X.] gerichtlichen Rechtsschutz in Anspruch nehmen. Darüber hinaus besteht für die betroffene Person nach Art 79 [X.] iVm § 81b [X.] X auch das Recht, unmittelbar gegen den oder die datenschutzrechtlich Verantwortlichen und/oder Auftragsverarbeiter gerichtlich vorzugehen, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden (vgl dazu im Einzelnen [X.]/Giesberts-Kaminski, [X.] 2018, 609; [X.], [X.] 2018, 326).

[X.]) Untrennbarer Bestandteil der gesetzlichen Anordnung zur Offenbarung und Verarbeitung personenbezogener Daten ist neben einer normenklaren Begrenzung der Datenverwendung auch die verfassungsrechtlich gebotene Gewährleistung der Datensicherheit (vgl [X.] vom [X.] - 1 BvR 256/08 [X.] - [X.]E 125, 260, 344 f; [X.] vom 27.5.2020 - 1 BvR 1873/13 - NJW 2020, 2699 = juris Rd[X.]35, 188). Der Gesetzgeber hat ausreichende Vorkehrungen zur Gewährleistung der Datensicherheit im Zusammenhang mit der [X.] und der [X.] getroffen und ist insoweit auch seiner Beobachtungs- und Nachbesserungspflicht ausreichend nachgekommen.

Die Verfassung gibt nicht detailgenau vor, welche Sicherheitsmaßgaben im Einzelnen geboten sind (vgl [X.] vom [X.] - 1 BvR 256/08 [X.] - [X.]E 125, 260, 326), sondern belässt dem Gesetzgeber insofern einen Einschätzungs-, Wertungs- und Gestaltungsspielraum, der auch Raum lässt, etwa konkurrierende öffentliche und private Interessen zu berücksichtigen (vgl [X.] vom 29.10.1987 - 2 BvR 624/83 [X.] - [X.]E 77, 170, 215 f; [X.] vom [X.] - 1 BvR 612/12 - juris Rd[X.]1 mwN). Insofern liegt auch der Rspr des [X.] zugrunde, dass es keine absolute Datensicherheit gibt und dass allein dieser Umstand die automatisierte Verarbeitung personenbezogener Daten nicht verbietet. Im Ergebnis muss jedoch ein Standard gewährleistet werden, der insbesondere der Sensibilität der betroffenen Daten und dem jeweiligen [X.] hinreichend Rechnung trägt. Dabei ist sicherzustellen, dass sich dieser Standard - etwa unter Rückgriff auf einfachgesetzliche Rechtsfiguren wie den Stand der Technik (vgl hierzu allgemein Ekrot/[X.]/[X.] in [X.], Cybersecurity, 1. Aufl 2020, [X.]) - an dem Entwicklungsstand der Fachdiskussion orientiert und neue Erkenntnisse und Einsichten fortlaufend aufnimmt. Hierbei erfolgt auch nach der Rspr des [X.] eine Überprüfung vor allem am Maßstab des vorhandenen Normengeflechts zur Gewährleistung von Datensicherheit.

Erforderlich sind gesetzliche Regelungen, die einen ausreichend hohen Sicherheitsstandard in q[X.]lifizierter Weise jedenfalls dem Grunde nach normenklar und verbindlich vorgeben. [X.]rechtlich geboten sein können weiterhin eine für die Öffentlichkeit transparente Kontrolle unter Einbeziehung unabhängiger Datenschutzbeauftragter sowie ein ausgeglichenes Sanktionensystem, das auch Verstößen gegen die Datensicherheit ein angemessenes Gewicht beimisst (vgl [X.] vom [X.] [X.]O [X.]26 f). Darüber hinaus trifft den Gesetzgeber eine Beobachtungs- und ggf Nachbesserungspflicht (vgl dazu allgemein [X.] vom 28.5.1993 - 2 [X.] [X.] - [X.]E 88, 203, 309 ff; [X.] vom 24.1.2012 - 1 BvR 1299/05 - [X.]E 130, 151 Rd[X.]61; [X.] vom [X.] - 1 BvR 612/12 - juris Rd[X.]2, mwN; [X.] in [X.]/Kirchhof, Handbuch des St[X.]tsrechts, [X.], 3. Aufl 2011, § 191 Rd[X.]85 ff), um zB auf sich künftig zeigende Sicherheitslücken zu reagieren (vgl [X.] vom 18.11.2014 - [X.] KR 35/13 R - [X.], 224 = [X.]-2500 § 291a [X.], Rd[X.] 34; [X.]/[X.] in [X.]/[X.], [X.], [X.]81).

Die gesetzlichen Regelungen des [X.] zur [X.] und zur [X.] werden diesen verfassungsrechtlichen Anforderungen gerecht (vgl auch [X.] vom 18.11.2014 - [X.] KR 35/13 R - [X.], 224 = [X.]-2500 § 291a [X.], Rd[X.] 34; [X.]/[X.] in [X.]/[X.], [X.], [X.]81). Die mit dem [X.] neu gefassten und inhaltlich überarbeiteten Neuregelungen der §§ 291 ff [X.] enthalten ein hinreichend normdichtes und klares Regelungsgefüge, das durch eine Vielzahl aufeinander und insbesondere auch mit den Vorgaben der [X.] abgestimmter materiell-rechtlicher, organisatorischer und prozeduraler Maßnahmen der Datensicherheit dient (s dazu im Einzelnen oben 3. c), der der Gesetzgeber beim Auf- und Ausbau der [X.] eine "herausragende Rolle" beimisst (s oben [X.] <1>).

Dabei ist der Gesetzgeber auch seiner Beobachtungs- und Nachbesserungspflicht nachgekommen, indem er etwa auf die in der Praxis zu Tage getretenen datenschutzrechtlichen Defizite und Sicherheitslücken, auf die zum Teil auch die Klägerin hingewiesen hat, reagiert und entsprechende Gegenmaßnahmen ergriffen hat. So hat er auf die zuvor bestehenden Unklarheiten hinsichtlich der Abgrenzung der datenschutzrechtlichen Verantwortlichkeiten im Rahmen der [X.] durch die gesetzliche Normierung dieser Verantwortlichkeiten und die Einrichtung einer koordinierenden Stelle bei der gematik reagiert (§ 307 [X.]; s dazu oben 3. c [X.]). Den [X.] vom Chaos Computer Club eV aufgedeckten Mängeln des Authentifizierungsverfahrens hinsichtlich der Ausgabe der [X.]n und der [X.] hat der Gesetzgeber durch die Neuregelungen in § 217f Abs 4b Satz 4, § 291 Abs 6 [X.], § 311 Abs 1 [X.] und § 336 Abs 5 und 7 [X.] Rechnung getragen (s oben 3. c [X.]). Soweit die Klägerin auf Schwachstellen in den IT-Systemen einzelner Arztpraxen hinweist, hat der Gesetzgeber darauf mit der bereits durch das [X.] eingefügten und mit dem [X.] nochmals nachgebesserten Neuregelung des § 75b [X.] reagiert. Danach ist die [X.] verpflichtet, in einer für die Leistungserbringer verbindlichen Richtlinie die - mit dem [X.] abzustimmenden - Anforderungen zur Gewährleistung von [X.] in der vertragsärztlichen Versorgung festzulegen und jährlich anzupassen (vgl die Richtlinie nach § 75b [X.] über die Anforderungen zur Gewährleistung der [X.] vom 16.12.2020, abrufbar unter [X.], aufgerufen am [X.]). Damit wird gewährleistet, dass das hohe Sicherheitsniveau der [X.] auch der Maßstab für die Datensicherheit in den Vertragsarztpraxen ist (vgl [X.], [X.] 2020, 69, 81). Der Verbesserung der [X.] in Krankenhäusern dient die mit dem [X.] eingefügte Neuregelung des § 75c [X.] (vgl dazu BT-Drucks 19/20708 [X.]67).

Schließlich wurde dem mit der Einführung von medizinischen Anwendungen gewachsenen Sicherheitsbedürfnis auch durch die Schaffung weiterer Bußgeldtatbestände und der deutlichen Erhöhung des Bußgeldrahmens Rechnung getragen (§ 397 [X.], s dazu BT-Drucks 19/18793 [X.], 136).

c) Bei einer Überprüfung am Maßstab der [X.]sgrundrechte ist der in der Obliegenheit der Klägerin zur Nutzung der [X.] liegende Grundrechtseingriff ebenfalls gerechtfertigt.

[X.]) Nach Art 7 [X.] hat jede Person das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihrer Kommunikation. Nach Art 8 Abs 1 [X.] hat jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten (zum Verhältnis der Grundrechte aus Art 7 und Art 8 [X.] vgl [X.], AöR 142 <2017>, 528, 538 ff). Nach Art 8 Abs 2 Satz 1 [X.] dürfen diese Daten nur nach [X.] und Glauben für festgelegte Zwecke und mit Einwilligung der betroffenen Person oder auf einer sonstigen gesetzlich geregelten legitimen Grundlage verarbeitet werden (s dazu bereits oben 3. a [X.]). Nach [X.] hat jede Person das Recht, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken. Art 8 Abs 3 [X.] verlangt, dass die Einhaltung dieser Vorschriften von einer unabhängigen Stelle überwacht wird.

Eine [X.]sregelung, die einen Eingriff in die durch die Art 7 und 8 [X.] garantierten Grundrechte auf Achtung des Privatlebens und auf Schutz der personenbezogenen Daten enthält, muss nach der Rspr des [X.] dem Erfordernis der Verhältnismäßigkeit genügen. Die Ausnahmen und Einschränkungen in Bezug auf den Schutz personenbezogener Daten müssen sich auf das absolut Notwendige beschränken (s die Nachweise oben unter 3. a [X.] <2>). Die den Eingriff enthaltende Regelung muss zudem klare und präzise Regeln für die Tragweite und die Anwendung einer Maßnahme vorsehen und Mindestanforderungen aufstellen, sodass die Personen, deren personenbezogene Daten betroffen sind, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang zu diesen Daten und jeder unberechtigten Nutzung ermöglichen. Das Erfordernis, über solche Garantien zu verfügen, ist umso bedeutsamer, wenn die personenbezogenen Daten automatisch verarbeitet werden und eine erhebliche Gefahr des unberechtigten Zugangs zu ihnen besteht (vgl [X.] vom [X.] - [X.]/12 , [X.]/12 - NJW 2014, 2169 = juris Rd[X.]4 f, [X.] [X.]; [X.] vom 6.10.2015 - [X.]/14 - NJW 2015, 3151 = juris Rd[X.]1, [X.]; [X.] vom 16.7.2020 - [X.]/18 - NJW 2020, 2613 = juris Rd[X.]76, [X.]).

[X.]) Auch diesen Anforderungen, die sich mit denen des [X.] im Wesentlichen decken, werden die entscheidungserheblichen Regelungen zur [X.] gerecht (s oben b).

5. Soweit die Klägerin im Einzelnen faktische Lücken und Mängel außerhalb der datenschutzrechtlichen Verantwortlichkeit der [X.] in Bezug auf die [X.] als Ganzes oder in Teilbereichen geltend macht, ist dies nicht Streitgegenstand des Rechtsstreits. Insoweit ist die Klägerin auf die speziellen datenschutzrechtlichen Rechtsbehelfe nach Art 77 ff [X.] iVm §§ 81 ff [X.] X zu verweisen. Durch sie ist eine effektive Kontrolle der Einhaltung der datenschutzrechtlichen Vorgaben durch die Gerichte im Hinblick auf die einzelnen Verantwortlichen spezifisch gewährleistet (s dazu oben 4. b [X.] <3>). Ob die datenschutzrechtlichen Vorgaben der [X.] und des [X.] durch die dafür Verantwortlichen im Einzelnen eingehalten werden, ist durch die zuständigen Aufsichtsbehörden im Rahmen der ihnen durch Art 57 f [X.] zugewiesenen Aufgaben und Befugnisse zu überwachen und kann von den Versicherten sowohl im Verhältnis zu den Aufsichtsbehörden, als auch unmittelbar im Verhältnis zu den Verantwortlichen selbst einer gerichtlichen Überprüfung zugeführt werden.

Aus der von der Klägerin angeführten Entscheidung des [X.] vom [X.] (1 BvR 1184/04 - juris) ergibt sich insofern nichts anderes. In dieser Entscheidung wurde eine gegen die damaligen gesetzlichen Regelungen zur [X.] gerichtete Rechtssatz-[X.]beschwerde nicht zur Entscheidung angenommen und in der Begründung [X.] darauf hingewiesen, dass zur Prüfung der datenschutzrechtlichen Zulässigkeit der angegriffenen Normen konkret zu beurteilen sei, wie die jeweiligen Stellen mit den fraglichen Daten nach ihrer Speicherung oder Übermittlung umgehen und welche datenschutzrechtlichen Vorkehrungen insoweit bestehen. Dies bedürfe umfangreicher Ermittlungen, Einschätzungen und Wertungen. Hierzu seien in erster Linie die Fachgerichte wegen ihrer besonderen Sachnähe, ihrer umfassenden Erfahrung und den ihnen zur Verfügung stehenden Möglichkeiten zur Erhebung von Beweisen berufen.

Ungeachtet des Umstandes, dass diese Entscheidung vor dem Inkrafttreten der [X.] und den darauf beruhenden nationalen datenschutzrechtlichen Neuregelungen mit den speziellen datenschutzrechtlichen Rechtsbehelfen ergangen ist, kann hieraus nicht abgeleitet werden, dass die [X.]mäßigkeit der in Rede stehenden gesetzlichen Regelungen davon abhängig ist, dass die gesetzlichen Vorgaben zum Datenschutz und zur Datensicherheit in der Praxis durchgehend beachtet werden. Entscheidend für die Vereinbarkeit der gesetzlichen Obliegenheit zur Nutzung der [X.] mit den Grundrechten sowohl des [X.] als auch der [X.] ist nach der dargestellten Rspr des [X.] und des [X.] vielmehr, dass der Gesetzgeber ausreichende Vorkehrungen zur Gewährleistung eines dem Schutzniveau der (potenziell) betroffenen Daten und der Gefährdungslage angemessen Rechnung tragenden Maßes an Datensicherheit getroffen hat und dabei auch seiner Beobachtungs- und Nachbesserungspflicht nachgekommen ist. Dafür, dass trotz der vielfältigen institutionellen Sicherungsmechanismen ein angemessenes Maß an Datenschutz und Datensicherheit nicht gewährleistet ist, etwa weil zuständige Aufsichtsbehörden konkreten Hinweisen auf Datenschutzverstöße systematisch nicht nachgehen und diese über längere Zeiträume hinweg nicht abgestellt werden, ist nichts ersichtlich.

Dass die Beklagte selbst als datenschutzrechtlich Verantwortliche die datenschutzrechtlichen Vorgaben im Zusammenhang mit der [X.] verlassen hat, ist ebenfalls weder vorgetragen noch sonst ersichtlich. Die Klägerin hat entsprechende Beweisanträge auch nicht gestellt.

6. Eine Vorlage an den [X.] nach Art 267 Abs 3 [X.] ist nicht geboten. Die Anwendung der [X.] und der [X.]sgrundrechte auf den vorliegenden Fall wirft keine Auslegungsfragen auf, die nicht schon aus sich heraus klar oder durch die Rspr des [X.] hinreichend geklärt sind.

Die Voraussetzungen einer konkreten Normenkontrolle nach Art 100 Abs 1 [X.] liegen ebenfalls nicht vor. Der [X.] konnte sich aus den aufgezeigten Gründen nicht von der [X.]widrigkeit der von der Klägerin angegriffenen gesetzlichen Vorschriften überzeugen.

7. Da sich die Entscheidung des [X.] im Ergebnis als richtig darstellt, kommt es auf die von der Klägerin gerügten Verfahrensfehler nicht an (§ 170 Abs 1 [X.] S[X.]). Der [X.] muss daher weder entscheiden, ob das [X.] ausgehend von seiner Rechtsauffassung den Beweisanträgen der Klägerin zu den von ihr geltend gemachten Datensicherheitsmängeln des [X.]/[X.]-Systems hätte nachgehen müssen, noch, ob es den Anspruch der Klägerin auf Verletzung ihres rechtlichen Gehörs verletzt hat, indem es Ausführungen nicht zur Kenntnis genommen oder in Erwägung gezogen hat (vgl [X.] vom 12.12.2008 - G[X.]/08 - [X.]E 102, 166 = [X.]-1500 § 41 [X.], Rd[X.] 36 f; [X.] in jurisPK-S[X.], 1. Aufl 2017, § 170 Rd[X.]3).

8. [X.] beruht auf § 193 S[X.].