Prüfdienst

Beratungsprüfungen nach § 274 SGB V / § 46 SGB XI

Verbundprüfung der Hilfsmittelabrechnung bei einem Dienstleister

Mehrere Prüfdienste der Länder sowie der PDK beim BAS führten gemeinsam eine Prüfung der Hilfsmittelabrechnung bei einem Dienstleister durch. Da dieser für eine größere Zahl an Krankenkassen arbeitet, bot sich eine abgestimmte Prüfung an, um auch übergreifende Beratungsansätze entwickeln zu können. Die Prüfung erwies sich als komplex. Krankenkassen schließen unterschiedliche Verträge mit Hilfsmittelleistungserbringern; eine flächendeckende Vertragsdichte besteht nicht überall. Zu beachten ist auch, dass sich das Hilfsmittelverzeichnis monatlich ändert. Hinzu kommt, dass nicht alle Leistungserbringer am elektronischen Datenaustausch teilnehmen, sondern weiterhin Papierrechnungen verwenden. Auch externe Faktoren, etwa die unterschiedliche umsatzsteuerrechtliche Behandlung von Bandagen und Orthesen, beeinflussen die Abrechnungspraxis.

Die Prüfdienste stellten fest, dass eine hohe Vertragsdichte die Qualität der vielfach automatisierten Abrechnungsprüfung wesentlich verbessert (→ vgl.  BAS-Sonderbericht über die Qualität der Hilfsmittelversorgung in der gesetzlichen Krankenversicherung 2022). Ebenso entscheidend sind klare Vorgaben der Krankenkassen zu den anzuwendenden Regelungen und den abzurechnenden Preisen. Datenqualität und elektronische Datenübermittlung haben dabei eine zentrale Bedeutung. 
Die Ergebnisse betreffen nicht nur den geprüften Dienstleister, sondern zeigen strukturellen Handlungsbedarf im gesamten Hilfsmittelsektor. Aus Sicht der Prüfdienste ist es entscheidend, dass alle Beteiligten bestehende Optimierungspotenziale nutzen und gezielte Maßnahmen umsetzen. Ziel ist es, Genehmigungs- und Abrechnungsprüfungsverfahren so weiterzuentwickeln, dass Kostenvoranschläge und Abrechnungen eindeutig und möglichst einfach erstellt und geprüft werden können.

Sonderprüfungen im Bereich Finanzen und Krankenkassensicherheit

In 2025 führte der PDK nach § 274 Abs. 1 Satz 1 SGB V bei zwei Krankenkassen eine Sonderprüfung durch. Konkrete Hinweise auf eine mögliche nachhaltige Gefährdung der finanziellen Leistungsfähigkeit gaben hierfür im konkreten Fall den Anlass. 
Die Prüfungen umfassten unter anderem die Kassen- und Rechnungsführung, die Finanz- und Vermögenswirtschaft, die Grundlagen der finanziellen Entwicklung, die Beurteilung der Finanz- und Liquiditätslage sowie eine mögliche Mittelinanspruchnahme von Finanzmitteln anderer Versicherungszweige, insbesondere der Pflegeversicherung und der Umlageversicherung nach dem AAG.

Der Prüfdienst stellte fest, dass beide geprüfte Krankenkassen in den geprüften Zeiträumen hohe Ausgabenüberschüsse erzielten. Eine Krankenkasse verfügte jedoch weiterhin über eine angemessene Finanzreserve und eine vergleichsweise stabile Liquidität. Sie bewertete ihre Forderungen und Verpflichtungen aus Sicht des PDK realistisch und kam ihren Zahlungsverpflichtungen fristgerecht nach. Die andere Krankenkasse wies hingegen ein bilanzielles Negativvermögen und eine angespannte Liquidität auf. Nach Einschätzung des Prüfdienstes waren wesentliche Teile der Forderungen aus der Kontenart 024 („Forderungen an andere aus Versicherungsleistungen“) nicht werthaltig, zudem hielt die Krankenkasse Zahlungsziele regelmäßig nicht ein.

Auch angesichts der gesamtwirtschaftlichen und systemischen Belastungen der gesetzlichen Krankenversicherung begleitet das BAS die weitere Entwicklung mit erhöhter Aufmerksamkeit. Die Ergebnisse einer dieser Sonderprüfungen übergab der Prüfdienst zur aufsichtsrechtlichen Weiterverfolgung dem zuständigen Referat im BAS; der aufsichtsrechtliche Dialog dauert an. Die zweite Sonderprüfung schloss der Prüfdienst im Jahr 2025 in Abstimmung mit dem zuständigen Aufsichtsreferat ab.
 

Berücksichtigung von Abfindungen bei Familienversicherten und in der freiwilligen Krankenversicherung 

In seinen Prüfungen nach § 274 SGB V im Prüfgebiet Mitgliedschaft/Beiträge stellte der PDK Fälle fest, in denen Krankenkassen trotz gezahlter Abfindung, die der Durchführung einer Familienversicherung entgegenstehen kann, eine Familienversicherung durchführten oder Abfindungszahlungen bei den Beitragseinstufungen zur freiwilligen Versicherung nicht korrekt berücksichtigten. Grundlage dieser Feststellungen war ein neuer Datenabgleich unter Einbeziehung der Meldungen der Bundesagentur für Arbeit, die sogenannte DUEBAK-Meldungen. 
Der PDK wies die Krankenkassen darauf hin, dass sie einen entsprechenden Datenabgleich durchführen müssen. Erhalten sie Hinweise auf eine Abfindung, müssen sie prüfen, ob die Voraussetzungen für eine Familienversicherung weiterhin vorliegen oder die Abfindung bei der Beitragsbemessung berücksichtigen.

Beschäftigtendatenschutz bei "Personalkassen"

Im Jahr 2025 prüfte der PDK im Rahmen von Prüfungen nach § 274 SGB V im Prüfgebiet Informationstechnologie die Umsetzung des Beschäftigtendatenschutzes bei sogenannten Personalkrankenkassen. 
In diesen Konstellationen versichert die Krankenkasse ihre eigenen Beschäftigten sowie deren Angehörige und tritt damit zugleich als Arbeitgeberin und Versicherungsträgerin auf. Dem Schutz personenbezogener Daten, insbesondere von Gesundheitsdaten, kommt daher besondere Bedeutung zu. 
Seit dem 25. Mai 2018 gilt die EU-Datenschutzgrundverordnung (DSGVO), die über Öffnungsklauseln nationale Regelungen im Beschäftigungskontext und Sozialdatenschutz ermöglicht. Nach § 35 Absatz 1 SGB I müssen Krankenkassen das Sozialgeheimnis und den Schutz der Sozialdaten der Beschäftigten und ihrer Angehörigen wahren. Sie müssen hierfür geeignete technische und organisatorische Maßnahmen nach Art. 24 ff. DSGVO umsetzen und die Sicherheit der Verarbeitung gemäß Art. 32 Abs. 1 DSGVO gewährleisten. 
Da alle Krankenkassen Personalkrankenkassen führen, unterstreicht die Aufnahme dieses Prüfthemas die besondere Sensibilität des Zusammenwirkens von Arbeits- und Versicherungsverhältnis. 

 

Der PDK legte den Fokus auf die Einhaltung der datenschutzrechtlichen Vorgaben zum Schutz der Sozialdaten. 
Personalkrankenkassen müssen ihre Räumlichkeiten so organisieren, dass ausschließlich Befugte einen Zugriff auf Sozial- und Gesundheitsdaten erhalten, etwa durch getrennte Räumlichkeiten und Zutrittskontrollen. Auch organisatorisch müssen sie sicherstellen, dass Personen, die Personalentscheidungen treffen oder daran mitwirken, keinen Zugang zu diesen Daten erhalten (§ 35 Abs. 1 Satz 3 SGB I). Ein klar geregeltes Rechte- und Rollenkonzept muss den Datenzugriff auf befugte Personen beschränken. Zudem müssen Krankenkassen im Rahmen von Datenschutzfolgeabschätzungen nach Art. 35 DSGVO Risiken benennen und geeignete Maßnahmen zu deren Minimierung festlegen. Dienstanweisungen sind regelmäßig zu aktualisieren und an rechtliche sowie technische Entwicklungen anzupassen. 
Die Prüfergebnisse waren grundsätzlich positiv, zeigten aber auch Verbesserungsbedarf. Alle geprüften Krankenkassen hatten technische und organisatorische Maßnahmen zum Schutz der Beschäftigtendaten eingerichtet, meist durch die organisatorische Abtrennung einer Personalkrankenkasse. Sie nutzen zudem ihre EDV-Systeme, um Krankenversicherungsnummern von Beschäftigten vor unberechtigtem Zugriff zu sperren. Eine besondere Herausforderung besteht darin, die Personalkrankenkasse in interne Informationsprozesse einzubinden, etwa bei Verfahrensumstellungen, unabhängig von eingesetzten Branchensoftwarelösungen. 
Der PDK wird das Thema Beschäftigtendatenschutz weiter begleiten, die Sensibilisierung fördern, dabei unterstützen, Standards weiterzuentwickeln und die Krankenkassen beraten.

Schwerpunkt: Prüfungen zur IT-Sicherheit und zu KRITIS-Pflichten

Seit dem 1. Januar 2024 gelten Kranken- und Pflegekassen als Betreiber Kritischer Infrastrukturen (KRITIS), wenn sie mindestens 500.000 Versicherte haben; zuvor lag der Schwellenwert bei drei Millionen. Diese Kranken- und Pflegekassen müssen nach § 8a des BSI-Gesetzes angemessene IT-Sicherheitsmaßnahmen nach dem Stand der Technik umsetzen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) überprüft die Einhaltung dieser Anforderungen.

Mit dem Digital-Gesetz (DigiG) vom 25. März 2024 verpflichtete der Gesetzgeber über § 392 Abs. 5 SGB V bzw. über den § 103a SGB XI auch Kranken- und Pflegekassen, die nicht unter die BSI-KritisV fallen, geeignete organisatorische und technische Maßnahmen im Sinne des § 392 Abs. 1 SGB V bzw. § 103a Abs. 1 SGB XI zu ergreifen. Die maßgeblichen Anforderungen definiert § 392 Abs. 3 SGB V bzw. § 103a Abs. 3 SGB XI im branchenspezifischen Sicherheitsstandard B3S-GKV/PV in der jeweils geltenden Fassung. Nach § 217f Abs. 4c SGB V legt der GKV-SV diesen Standard in einer Richtlinie verbindlich fest. 

Damit müssen sich alle Kranken- und Pflegekassen im Grundsatz wie KRITIS-Kranken- und Pflegekassen verhalten. Sie müssen nach dem Stand der Technik geeignete organisatorische und technische Vorkehrungen treffen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten und Prozesse zu vermeiden, soweit diese für ihre Funktionsfähigkeit und die Sicherheit der verarbeiteten Versichertendaten maßgeblich sind. 

Angesichts der bestehenden Gefährdungslage im Bereich der Informationssicherheit wird der PDK entsprechende Prüfungen nach § 274 SGB V bei Nicht-KRITIS-Kranken-/Pflegekassen intensivieren. Er entwickelt derzeit die Prüfkonzepte in Abstimmung mit den zuständigen Referaten der Aufsicht im BAS.
 

Datenbestimmungen für die Übermittlung von Prüfdaten

Im Jahr 2025 traten die Datenbestimmungen für das Prüfgebiet Krankenhausabrechnung in Kraft. Seitdem müssen Krankenkassen den Prüfdiensten auf Anforderung Daten in der vorgegebenen Form bereitstellen. Die beiden am weitesten verbreiteten Branchenlösungen bei den gesetzlichen Krankenkassen können die erforderlichen Prüfdaten zu Krankenhausabrechnungen bereits entsprechend erzeugen. 
Für weitere Prüfgebiete erarbeiten die Beteiligten schrittweise Datenbestimmungen zusammen mit Dienstleistern und Krankenkassen. Nach Anhörung des GKV-Spitzenverbands veröffentlichen sie diese Vorgaben.

Prüfungen nach § 252 SGB V

Weiterversicherung von Studierenden über 30 zum ermäßigten Beitrag 

Studierende sowie Praktikantinnen und Praktikanten, die nicht familienversichert sind, unterliegen bis zur Vollendung des 30. Lebensjahres der Versicherungspflicht in der gesetzlichen Krankenversicherung zu einem ermäßigten Tarif nach § 5 Abs. 1 Nr. 9 SGB V. Nach Vollendung des 30. Lebensjahres dürfen Krankenkassen die Krankenversicherung der Studierenden und Praktikanten (KVdS) nur fortführen, wenn besondere Umstände vorliegen. Solche Umstände können sich aus der Art der Ausbildung oder aus familiären beziehungsweise persönlichen Gründen ergeben, etwa beim Erwerb der Hochschulreife auf dem zweiten Bildungsweg.
Derzeit (Stand: 31.12.2025) sind gut 300.000 Studierende, Praktikantinnen und Praktikanten sowie Auszubildende ohne Entgelt bei den bundesunmittelbaren Krankenkassen versichert. Gewähren Krankenkassen unrechtmäßig den vergünstigten Beitragssatz, entsteht dem Gesundheitsfonds und damit der Versichertengemeinschaft ein finanzieller Schaden.
Im Rahmen systematischer Prüfungen nach § 252 Abs. 5 SGB V in Verbindung mit § 2 Abs. 3 der Prüfverordnung sonstige Beiträge untersuchte der PDK, ob Krankenkassen die KVdS nach Vollendung des 30. Lebensjahres konsequent beenden, wenn die gesetzlichen Voraussetzungen entfallen. Bis 2025 schloss der PDK die Überprüfung bei einem Großteil der bundesunmittelbaren Krankenkassen ab. In den geprüften Stichproben war eine durchschnittliche Fehlerquote von rund 30 Prozent festzustellen.
Der PDK leitete die Ergebnisse an die zuständigen Aufsichtsreferate weiter. Das BAS forderte die betroffenen Krankenkassen auf, die Einzelfälle zu korrigieren und ihren Gesamtbestand eigenständig zu bereinigen. Der aufsichtsrechtliche Dialog hierzu dauert an.