Müssen Versicherte der Auswertung zustimmen?

Nein. Die Auswertung ist ohne Einwilligung zulässig, soweit sie für einen der sechs Zwecke erforderlich und geeignet ist. Versicherte müssen aber mindestens vier Wochen vorher informiert werden und können jederzeit widersprechen.

Wie widerspreche ich der Datenauswertung nach § 25b SGB V?

Mit einer ausdrücklichen Erklärung gegenüber der eigenen Kranken- oder Pflegekasse. Die Kasse muss den Widerspruch barrierefrei und jederzeit ermöglichen und in ihrer Information vor Beginn der Auswertung erklären, wie er funktioniert. Wer widerspricht, darf dadurch weder Vor- noch Nachteile haben.

Was passiert, wenn die Krankenkasse ein Risiko erkennt?

Die Versicherten erhalten umgehend einen schriftlichen Hinweis in klarer, einfacher Sprache, verbunden mit einer begründeten Empfehlung, eine ärztliche, zahnärztliche, psychotherapeutische oder pflegerische Beratung in Anspruch zu nehmen. Der Hinweis wird außerdem in der elektronischen Patientenakte gespeichert. Eine Diagnose ist er nicht.

Darf die Krankenkasse die Daten an Dritte weitergeben?

Nein. Die Weitergabe an Dritte ist ausdrücklich verboten. Erlaubt ist nur die Verarbeitung durch Auftragsverarbeiter, also Dienstleister, die im Auftrag und nach Weisung der Kasse arbeiten.

Fällt die Auswertung nach § 25b SGB V unter die KI-Verordnung?

Nicht automatisch. Hochriskant sind nach Anhang III der KI-Verordnung unter anderem KI-Systeme, mit denen über Ansprüche auf Gesundheitsleistungen entschieden wird oder die Risiken für Preise in der Krankenversicherung bewerten. Hinweise nach § 25b entscheiden weder über Leistungen noch über Beiträge. Wird KI eingesetzt, sollte die Kasse die Einordnung dennoch im Einzelfall prüfen und dokumentieren.

§ 25b SGB V: Gesundheitsrisiken datengestützt erkennen

Q: Was regelt § 25b SGB V?

§ 25b SGB V erlaubt Kranken- und Pflegekassen, die bei ihnen vorliegenden Daten ihrer Versicherten auszuwerten, um sie auf bestimmte Gesundheitsrisiken hinzuweisen – etwa seltene Erkrankungen, Krebserkrankungen, gefährliche Risiken der Arzneimitteltherapie, eine noch nicht festgestellte Pflegebedürftigkeit oder fehlende empfohlene Impfungen. Die Regel wurde mit dem Gesundheitsdatennutzungsgesetz 2024 eingeführt.

Kurze Antwort

§ 25b SGB V erlaubt Kranken- und Pflegekassen, die Daten ihrer Versicherten auszuwerten, um sie auf bestimmte individuelle Gesundheitsrisiken hinzuweisen – zum Beispiel auf seltene Erkrankungen, Krebserkrankungen, Risiken durch Arzneimittel, eine noch nicht festgestellte Pflegebedürftigkeit oder fehlende empfohlene Impfungen. Eine Einwilligung ist nicht nötig, aber Versicherte müssen vorab informiert werden und können jederzeit widersprechen. Die Regel gilt seit dem Gesundheitsdatennutzungsgesetz vom März 2024.

Stand: November 2026

Das Wichtigste in Kürze

Sechs Zwecke sind erlaubt, andere Auswertungen nicht. Die Daten bleiben bei der Kasse; eine Weitergabe an Dritte ist verboten.
Versicherte werden mindestens vier Wochen vor Beginn informiert und können jederzeit barrierefrei widersprechen – ohne Vor- oder Nachteile.
Erkennt die Kasse ein Risiko, schreibt sie den Versicherten an, empfiehlt begründet eine fachliche Beratung und speichert den Hinweis in der elektronischen Patientenakte.
Vor dem Start muss die Kasse Ziele und Datengrundlagen der Aufsichtsbehörde anzeigen und den Verwaltungsrat unterrichten.
Für Kassen ist § 25b ein Data-Science-Projekt mit hohen Anforderungen an Datenqualität, Nachvollziehbarkeit und Kommunikation.

Was regelt § 25b SGB V?

Kurze Antwort

Die Vorschrift erlaubt Kranken- und Pflegekassen datengestützte Auswertungen zum Gesundheitsschutz einzelner Versicherter – für genau sechs Zwecke – und regelt, wie Versicherte informiert werden und widersprechen können.

Die Überschrift lautet „Datengestützte Erkennung individueller Gesundheitsrisiken durch die Kranken- und Pflegekassen“. Eingeführt wurde § 25b mit dem Gesundheitsdatennutzungsgesetz (GDNG). Zulässig sind Auswertungen nach Absatz 1 nur zu diesen Zwecken:

Nr.	Zweck nach § 25b Abs. 1 SGB V	Mögliches Beispiel
1	Erkennung seltener Erkrankungen	Ein Muster aus Diagnosen und Arztbesuchen deutet auf eine noch nicht erkannte seltene Erkrankung hin
2	Erkennung von Krebserkrankungen	Hinweise auf ein erhöhtes Risiko oder eine überfällige Früherkennungsuntersuchung
3	Erkennung schwerwiegender Gesundheitsgefährdungen durch die Arzneimitteltherapie	Verordnete Arzneimittel, die zusammen gefährlich sein können
4	Erkennung einer noch nicht festgestellten Pflegebedürftigkeit nach § 14 SGB XI	Krankenhausaufenthalte und Hilfsmittel, die auf einen Pflegebedarf schließen lassen
5	Erkennung ähnlich schwerwiegender Gesundheitsgefährdungen, wenn dies im überwiegenden Interesse der Versicherten liegt	Weitere Risiken vergleichbarer Schwere, von der Kasse zu begründen
6	Erkennung von Impfindikationen für Schutzimpfungen, die die Ständige Impfkommission empfiehlt	Chronisch Kranke ohne empfohlene Impfung

Die Beispiele sind typische Anwendungsfälle zur Veranschaulichung; welche Auswertungen eine Kasse tatsächlich durchführt, legt sie selbst fest und zeigt sie der Aufsicht an.

Welche Rechte haben Versicherte?

Kurze Antwort

Information vorab, Widerspruch jederzeit, ein begründeter Hinweis bei einem Befund, Auskunft über die Datengrundlage – und keine Vor- oder Nachteile, egal wie sie sich entscheiden.

Recht	Inhalt	Absatz
Information vorab	Mindestens vier Wochen vor Beginn, präzise, verständlich und auch öffentlich	Abs. 3
Widerspruch	Ausdrücklich gegenüber der eigenen Kasse, barrierefrei und jederzeit möglich	Abs. 3
Hinweis bei einem Befund	Umgehend, schriftlich, in klarer Sprache, mit begründeter Empfehlung zu einer ärztlichen, zahnärztlichen, psychotherapeutischen oder pflegerischen Beratung	Abs. 4
Eintrag in die ePA	Der Hinweis wird zu Dokumentations- und Transparenzzwecken in der elektronischen Patientenakte gespeichert	Abs. 4
Auskunft	Auf Anfrage teilt die Kasse mit, auf welcher Datengrundlage ein Hinweis erteilt wurde	Abs. 5
Keine Benachteiligung	Weder Widerspruch noch das Beachten oder Nichtbeachten eines Hinweises darf zu Vor- oder Nachteilen führen	Abs. 7

Der Hinweis der Kasse ist keine Diagnose. Er darf weder in die ärztliche Therapiefreiheit eingreifen noch die Wahlfreiheit der Versicherten einschränken (Abs. 2).

Welche Pflichten haben die Kassen?

Kurze Antwort

Die Auswertung muss für den Zweck erforderlich und geeignet sein, die Daten bleiben bei der Kasse, die Aufsicht und der Verwaltungsrat werden vorab eingebunden, und über die Umsetzung wird jährlich berichtet.

Erforderlichkeit und Eignung: Ohne Einwilligung dürfen nur die Daten verarbeitet werden, die für einen der sechs Zwecke erforderlich und geeignet sind (Abs. 2).
Keine Weitergabe: Die Daten dürfen nicht an Dritte gehen; erlaubt ist nur die Verarbeitung durch Auftragsverarbeiter (Abs. 2).
Anzeige bei der Aufsicht: Vor Beginn zeigt die Kasse der Aufsichtsbehörde Ziele und Datengrundlagen der Auswertung an (Abs. 6).
Verwaltungsrat: Über ein Auswertungsprogramm wird der Verwaltungsrat unverzüglich unterrichtet (Abs. 6).
Jährlicher Bericht: Der GKV-Spitzenverband berichtet dem Bundesministerium für Gesundheit jährlich, erstmals bis zum 30. Juni 2026, über Information, Umfang und Auswirkungen der Maßnahmen und die Zahl der Widersprüche; die Kassen liefern dafür die Daten (Abs. 8).
Haftung: Verarbeitet eine Kasse Daten entgegen den Vorgaben und wusste ein Vorstandsmitglied davon oder hätte es wissen müssen, kann es auf Schadensersatz in Anspruch genommen werden (Abs. 9).

Welche Daten und Methoden nutzen Krankenkassen?

Kurze Antwort

Grundlage sind die Daten, die bei der Kasse ohnehin vorliegen – vor allem Abrechnungsdaten aus Arztpraxen, Krankenhäusern, Apotheken, Hilfsmittel- und Pflegeversorgung. Ausgewertet wird mit festen Regeln oder statistischen Modellen und Machine Learning.

Ansatz	Wie er funktioniert	Stärken	Grenzen
Regelbasiert	Feste, medizinisch abgestimmte Kriterien, etwa bestimmte Wirkstoffkombinationen oder fehlende Impfungen bei bestimmten Diagnosen	Leicht nachvollziehbar und gut zu begründen	Erkennt nur, was vorher definiert wurde
Statistisch und Machine Learning	Modelle erkennen Muster in Diagnose-, Verordnungs- und Leistungsdaten, etwa Hinweise auf eine seltene Erkrankung	Findet auch komplexe Zusammenhänge	Braucht Validierung, erzeugt Fehlalarme, ist schwerer zu erklären

Drei Punkte entscheiden über die Qualität:

Aktualität: Ambulante Abrechnungsdaten liegen oft erst Monate später vor. Für Arzneimittelrisiken sind Apothekendaten deutlich schneller.
Datenqualität: Kodierfehler, fehlende Angaben und Kassenwechsel verfälschen Ergebnisse. Regeln zur Datenqualität gehören vor jede Auswertung.
Nachvollziehbarkeit: Weil Versicherte nach Abs. 5 erfahren können, auf welcher Datengrundlage ein Hinweis beruht, muss jede Auswertung dokumentiert und erklärbar sein. Das spricht für einfache, gut validierte Modelle.

Wie Kassen ihre Daten darüber hinaus nutzen, etwa für Ausgabenprognosen oder die Auswahl von Abrechnungsprüfungen, beschreibt der Artikel Data Science in der Krankenversicherung.

Gilt die KI-Verordnung für Auswertungen nach § 25b?

Kurze Antwort

Nicht automatisch als Hochrisiko-Anwendung, denn die Hinweise entscheiden weder über Leistungen noch über Beiträge. Wird KI eingesetzt, sollte die Kasse die Einordnung trotzdem prüfen und dokumentieren.

Anhang III der KI-Verordnung (EU) 2024/1689 stuft unter anderem KI-Systeme als hochriskant ein, mit denen Behörden den Anspruch auf öffentliche Leistungen einschließlich Gesundheitsleistungen beurteilen, sowie KI für Risikobewertung und Preisbildung in der Kranken- und Lebensversicherung. Hinweise nach § 25b dienen dagegen nur dem Gesundheitsschutz und dürfen nach Abs. 7 keine Vor- oder Nachteile auslösen. Unabhängig davon gelten die allgemeinen Regeln der KI-Verordnung und die der DSGVO für Gesundheitsdaten (Art. 9). Was die KI-Verordnung zur Schulung der Beschäftigten verlangt, erklärt der Artikel KI-Kompetenz nach der KI-Verordnung.

Wie setzt eine Krankenkasse § 25b SGB V um?

Kurze Antwort

Als gemeinsames Projekt von Versorgungsmanagement, Medizin, Data Science, Datenschutz und Kommunikation: vom Zweck über Kriterien und Datenbasis bis zu Information, Widerspruchsprozess, Hinweisschreiben und Auswertung.

Zweck und Zielgruppe festlegen: Welcher der sechs Zwecke, für welche Versicherten, mit welchem erwarteten Nutzen?
Kriterien medizinisch abstimmen: Regeln oder Modelle gemeinsam mit Ärztinnen und Ärzten bzw. Pharmazie festlegen und begründen.
Datenbasis prüfen: Welche Daten sind nötig, wie aktuell und vollständig sind sie? Nur Erforderliches verwenden.
Datenschutz und Recht: Datenschutz-Folgenabschätzung, Rechte- und Rollenkonzept, Auftragsverarbeitung, Anzeige bei der Aufsicht, Unterrichtung des Verwaltungsrats.
Versicherte informieren: Mindestens vier Wochen vorher, verständlich und öffentlich; Widerspruch technisch und organisatorisch jederzeit ermöglichen.
Validieren: Treffer und Fehlalarme an historischen Daten prüfen, bevor echte Hinweise verschickt werden.
Hinweise gestalten: Schreiben in einfacher Sprache mit begründeter Empfehlung, Übermittlung in die ePA, Ansprechpartner für Rückfragen.
Auswerten und berichten: Reaktionen, Widersprüche und Wirkung messen und die Angaben für den Bericht des GKV-Spitzenverbands bereitstellen.

Fazit

§ 25b SGB V gibt Kranken- und Pflegekassen erstmals ausdrücklich das Recht, ihre Daten zum Schutz einzelner Versicherter auszuwerten – eng begrenzt auf sechs Zwecke und mit starken Rechten für Versicherte. Für die Kassen ist das eine Chance, Versorgung früher anzustoßen, aber auch ein anspruchsvolles Data-Science-Projekt: Datenqualität, nachvollziehbare Kriterien, Fehlalarme und verständliche Kommunikation entscheiden über Akzeptanz und Nutzen. Bei Datenbasis, Auswertung und Umsetzung unterstützt unsere Beratung für Datenanalyse im Gesundheitswesen.

Quellen

§ 25b SGB V – Datengestützte Erkennung individueller Gesundheitsrisiken durch die Kranken- und Pflegekassen. Bundesministerium der Justiz.
Gesetz zur Nutzung von Gesundheitsdaten (Gesundheitsdatennutzungsgesetz, GDNG). Bundesministerium der Justiz.
§ 284 SGB V – Sozialdaten bei den Krankenkassen. Bundesministerium der Justiz.
§ 14 SGB XI – Begriff der Pflegebedürftigkeit. Bundesministerium der Justiz.
§ 20 Infektionsschutzgesetz – Schutzimpfungen und andere Maßnahmen der spezifischen Prophylaxe. Bundesministerium der Justiz.
Verordnung (EU) 2016/679 (DSGVO). Art. 9.
Verordnung (EU) 2024/1689 (KI-Verordnung). Anhang III.

Passende Schulungen

Vertiefen Sie das Thema mit Ihrem Team – im offenen Seminar oder als Inhouse-Schulung.

§ 25b SGB V: Wie Krankenkassen Gesundheitsrisiken datengestützt erkennen dürfen

Was regelt § 25b SGB V?

Welche Rechte haben Versicherte?

Welche Pflichten haben die Kassen?

Welche Daten und Methoden nutzen Krankenkassen?

Gilt die KI-Verordnung für Auswertungen nach § 25b?

Wie setzt eine Krankenkasse § 25b SGB V um?

Fazit

Quellen

Passende Schulungen

Häufige Fragen

Lassen Sie uns über Ihr Projekt sprechen.