Digitalisierung
in der Sozialversicherung

Informationstechnik im Aufsichtsbereich

Versicherte in der Welt der Digitalisierung

Auch im Jahr 2025 wandten sich Versicherte mit Anliegen zur Digitalisierung von Verwaltungsprozessen an das BAS. Im Mittelpunkt stand weiterhin die elektronische Patientenakte (ePA), die seit Ende April 2025 als wesentliches Element der Digitalisierung des Gesundheitswesens bundesweit von allen gesetzlich versicherten Personen genutzt werden kann. Die Einrichtung und Nutzung der ePA erfordert ein hohes Sicherheitsniveau. Dies kann für Versicherte mit Hürden verbunden sein. Insbesondere der Registrierungsprozess über ein NFC-fähiges Smartphone in Verbindung mit dem Online-Personalausweis oder PIN der elektronischen Gesundheitskarte stellt vor allem Nutzerinnen und Nutzer mit geringer Technikkompetenz vor Schwierigkeiten. Die meisten in den Eingaben geschilderten Registrierungsprobleme konnten jedoch im Austausch mit der jeweils betroffenen Krankenkasse geklärt werden. 

Zunehmend thematisierten Versicherte auch die Barrierefreiheit der ePA. Krankenkassen sind gesetzlich verpflichtet, die ePA barrierefrei zu gestalten, Stichproben zeigen, dass diese Vorgabe bislang nicht überall vollständig umgesetzt ist. Versicherte berichten etwa über Probleme bei der Navigation, der Darstellung oder beim Zugriff auf Dokumente. Dies erschwert insbesondere Menschen mit Behinderungen, älteren Personen oder Menschen mit geringer Technikkompetenz den Zugang zur ePA. Auch der von den Krankenkassen bereitzustellende Zugang über stationäre Endgeräte (Desktop Client) bietet bislang nur teilweise eine barriereärmere Nutzung. 

Informationssicherheit in der Sozialversicherung

Informationssicherheit bildet heute mehr denn je die Grundlage einer erfolgreichen Digitalisierung. Sozialversicherungsträger müssen daher ihre personellen und organisatorischen Strukturen so ausgestalten, dass sie ein angemessenes Sicherheitsniveau gewährleisten. Eine gut organisierte Informationssicherheit hilft, Sicherheitslücken frühzeitig zu erkennen und auf Vorfälle schnell und angemessen zu reagieren. Um einen aktuellen Überblick über die Organisation der Informationssicherheit bei den Sozialversicherungsträgern zu gewinnen und bei Bedarf beratend zu begleiten, hat das BAS im Jahr 2025 eine Prüfung zu organisatorischen und personellen Aspekten der Informationssicherheit bei allen Trägern gestartet. Insgesamt wurden bereits 23 Prüfungen eingeleitet. Im Fokus standen zunächst diejenigen Sozialversicherungsträger, die seit 2024 aufgrund der Schwellenwertabsenkung durch die Vierte Verordnung zur Änderung der BSI-Kritisverordnung neu als Betreiber kritischer Infrastrukturen (KRITIS) gelten. 

Frühzeitige Beratung zu Themen der Informationstechnik

Die Bedeutung der Digitalisierung und des Einsatzes neuer Technologien wie Cloud und Künstliche Intelligenz wächst weiter und ist mit erheblichen Modernisierungschancen verbunden.  Zugleich wirken sich die damit verbundenen wirtschaftlichen und rechtlichen Fragen auf die Ausgestaltung der Aufsichtstätigkeit aus. Nach § 85 Abs. 3b Nr. 1 SGB IV müssen Sozialversicherungsträger grundlegende Änderungen in der technischen Datenverarbeitung der Aufsichtsbehörde anzeigen. Das BAS hat sich bereits vor einiger Zeit von einer rein formalen Bearbeitung solcher Anzeigen gelöst. Stattdessen setzt es verstärkt auf eine frühzeitige Beratung der Träger. Dieses Beratungsangebot im Voraus wird von den Sozialversicherungsträgern intensiv genutzt. 2025 nahmen 30 Träger und Arbeitsgemeinschaften die Beratung des BAS zu Themen wie Cloud, Künstliche Intelligenz und Informationssicherheit proaktiv in Anspruch. Weitere Träger erreicht das BAS über regelmäßige Austausche mit den Verbänden sowie über Fachveranstaltungen. Die Abkehr vom starren Anzeigeprinzip hat sich damit weiterhin bewährt. 

Datenschutz im Aufsichtsbereich 

Aufsichtsrechtliche Begleitung der Einführung der elektronischen Patientenakte für alle

Seit dem 15. Januar 2025 haben alle gesetzlich Versicherten von ihrer Krankenkasse eine elektronische Patientenakte (ePA) erhalten, sofern sie der Einrichtung nicht widersprochen haben (Opt-Out-Verfahren). Das BAS hat die Einführung der „ePA für alle“ als wesentliches Element der Digitalisierung des Gesundheitswesens aufsichtsrechtlich begleitet und die Krankenkassen bei Bedarf beraten. Zudem stand das BAS zu den Entwicklungen rund um die ePA in regelmäßigem Austausch mit dem Bundesministerium für Gesundheit, der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit sowie dem Verbraucherzentrale Bundesverband e.V. 

Bereits im Jahr 2024 begannen die Krankenkassen, ihre Versicherten über die „ePA für alle“ zu informieren. Das BAS hat diese Informationsschreiben sowohl anlassbezogen aufgrund von Beschwerden als auch stichprobenhaft geprüft. Im Mittelpunkt stand dabei insbesondere die Information über das Widerspruchsrecht gegen die Einrichtung einer ePA. Die Schreiben sollten verschiedene Kommunikationskanäle für das Einlegen eines Widerspruchs aufzeigen, darunter auch analoge Möglichkeiten. Bei einer Krankenkasse stellte das BAS fest, dass die Informationsschreiben nicht versichertenindividuell versandt worden waren. Das BAS wirkte darauf hin, dass dies nachgeholt wurde. Insgesamt gingen vergleichsweise wenige Beschwerden von Versicherten zur ePA ein. Bei auftretenden Problemen suchten die Krankenkassen in der Regel zügig nach Lösungen.

Das BAS wird auch die weiteren Entwicklungen rund um die ePA, etwa die Datenausleitung an das Forschungsdatenzentrum Gesundheit, beobachten und aufsichtsrechtlich begleiten. Dabei setzt das BAS weiterhin auf eine unterstützende Beratung der Krankenkassen.

Anzeigen über datengestützte Auswertungen gem. § 25b SGB V 

Im Berichtsjahr 2025 nahmen sowohl die Beratungen als auch die Anzeigen zu datengestützten Auswertungen nach § 25b SGB V zu. Bei diesen Auswertungen, die mit dem Gesundheitsdatennutzungsgesetz vom 25. März 2024 eingeführt worden sind, geht es um die Nutzung von Versichertendaten für die Auswertung von individuellen Gesundheitsrisiken. Diese Auswertungen sollen unter anderem folgenden Zwecken dienen: der Erkennung von Krebserkrankungen, der Erkennung schwerwiegender Gesundheitsgefährdungen und der Erkennung des Vorliegens von Impfindikationen für Schutzimpfungen. Insgesamt gingen beim BAS im Jahr 2025 14 Anzeigen zu entsprechenden Auswertungen mit unterschiedlichen Auswertungszwecken ein. Kranken- und Pflegekassen nutzen diese Möglichkeiten damit häufiger als im Vorjahr. Dazu trugen auch die Beratungen des BAS sowie eine gemeinsam mit dem Bundesministerium für Gesundheit abgestimmte und am 22. Mai 2025 veröffentlichte FAQ-Liste bei, die zentrale Fragen zusammenfasst. Beschwerden von Versicherten zu den datengestützten Auswertungen gingen bislang nicht ein. Dies deutet darauf hin, dass auch die Versicherten die Informationen über die Ergebnisse dieser Auswertungen überwiegend positiv aufnehmen. 

Schutz, Verarbeitung, Übermittlung und Auswertung von Daten in Zahlen

Im Berichtsjahr 2025 stieg die Zahl der Meldungen über Datenschutzverletzungen stark an: insgesamt gingen 1.323 Meldungen ein. Wie in den Vorjahren beruhten die meisten Fälle auf Fehlversendungen. Die Vorschrift des § 83a SGB X wurde zum 24. Dezember 2025 mit dem Gesetz zur Anpassung des Sechsten Buches Sozialgesetzbuch (SGB VI-Anpassungsgesetz) aufgehoben. Bis dahin verpflichtete sie Sozialversicherungsträger, Verletzungen des Schutzes von Sozialdaten zusätzlich zur Meldepflicht nach Artikel 33 DSGVO auch der Rechts- und Fachaufsicht zu melden. Das BAS begrüßt den Wegfall dieser zusätzlichen Meldepflicht im Sinne des Bürokratieabbaus und informierte die Sozialversicherungsträger hierzu im Januar 2026 mit einem Rundschreiben. Der datenschutzrechtliche Standard bleibt gewahrt, da die Meldepflicht gegenüber den Datenschutzbehörden nach Artikel 33 DSGVO - insbesondere gegenüber der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit - weiterhin besteht. 

Auch bei den Eingaben mit ausschließlich datenschutzrechtlichem Schwerpunkt verzeichnete das BAS mit 122 Fällen den bisherigen Höchststand. Inhaltlich stand dabei häufig die elektronische Patientenakte (ePA) im Mittelpunkt.

Von großer Bedeutung sind die Datenübermittlungen zu Forschungszwecken: In 2025 genehmigte das BAS insgesamt 305 entsprechende Vorhaben. 

Im Überblick ergaben sich im Berichtsjahr folgende Fallzahlen im Bereich Daten:

• 1.323 Meldungen zu Datenschutzverletzungen nach § 83a SGB X,
• 554 Anzeigen zur Verarbeitung von Sozialdaten nach § 80 SGB X,
• 305 Datenübermittlungen zu Forschungsvorhaben nach § 75 SGB X, 
• 14 Anzeigen zu Datenauswertungen nach § 25b SGB V,
• 122 Eingaben von Versicherten mit datenschutzrechtlichem Schwerpunkt,
• 36 Stellungnahmen gegenüber der BfDI nach § 16 BDSG,
• 25 Beratungsprozesse zu datenschutzrechtlichen Themen.