# Swiss Caselaw Document

**Case Identifier:** 33851a40-afe0-59f9-a353-815876f13c7a
**Source:** Bundesgericht ()
**Court Level:** federal
**Decision Date:** 2007-04-17
**Language:** de
**Title:** Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) Schlussberichte und Empfehlungen Datenschutz 17.04.2007
**Docket/Reference:** 
**URL:** https://entscheidsuche.ch/docs/CH_EDOEB/CH_EDÖB_001_20070417---Vertrauen_2007-04-17.pdf

## Full Text

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter 
EDÖB 

Der Beauftragte 

 

 

 
Feldeggweg 1, 3003 Bern 
Tel. 031 322 43 95, Fax 031 325 99 96 
www.edoeb.admin.ch 

 
 

 
 
 
 
 
 
 
 
 
 
 
 
 
 

Datenbearbeitung im vertrauensärztlichen Dienst  
der CSS Kranken-Versicherung AG 

 
 
 
 

Schlussbericht 
(anonymisiert am 01.06.2007) 

 
vom 17. April 2007 

 
 
 

der Sachverhaltsabklärung des  
Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragen (EDÖB) 

gemäss Art. 27 des Bundesgesetzes über den Datenschutz (DSG) 
 
 
 
 
 
 
 
 

 

 

 
 
 

2/23

 
 

Inhaltsverzeichnis 
Inhaltsverzeichnis.................................................................................................................................... 2 
1. Ausgangslage............................................................................................................................... 3 
2. CSS-interner Revisionsbericht ..................................................................................................... 3 
3. Umfang der Sachverhaltsabklärung ............................................................................................. 4 
4. Grundlage..................................................................................................................................... 4 
5. Ablauf der Sachverhaltsabklärung ............................................................................................... 5 

5.1. Dokumente............................................................................................................................. 5 
5.2. Augenschein .......................................................................................................................... 5 
5.3. Sachverhaltsfeststellung ........................................................................................................ 5 

6. Sachverhalt................................................................................................................................... 6 
6.1. Struktur CSS .......................................................................................................................... 6 
6.2. Struktur VAD .......................................................................................................................... 6 
6.3. Abläufe im VAD...................................................................................................................... 7 

6.3.1. Der Posteingang................................................................................................................ 7 
6.3.1.1. Mail Source ............................................................................................................... 7 
6.3.1.2. Der Posteingang im Service-Center ......................................................................... 8 

6.3.2. Der vertrauensärztliche Dienst .......................................................................................... 8 
6.3.2.1. Die Unabhängigkeit des VAD in Bezug auf das Budget........................................... 8 
6.3.2.2. Die Räumlichkeiten ................................................................................................... 8 
6.3.2.3. Das Sekretariat ......................................................................................................... 9 
6.3.2.4. Die Mitarbeiter........................................................................................................... 9 
6.3.2.5. Die Triage................................................................................................................ 10 

6.3.3. Das Archiv des VAD ........................................................................................................ 12 
6.3.4. Das AVD System............................................................................................................. 12 

6.3.4.1. Die Klassifikation der Daten.................................................................................... 12 
6.3.4.2. Die Berechtigungsstufen / Funktionen.................................................................... 13 
6.3.4.3. Die Zugriffsberechtigungen..................................................................................... 15 
6.3.4.4. Der zentrale Datenfluss .......................................................................................... 15 

............................ 16 
7. Datenschutzrechtliche Beurteilung............................................................................................. 17 

7.1. Einleitung ............................................................................................................................. 17 
7.2. Zuständigkeit des EDÖB...................................................................................................... 17 
7.3. Zweck der Sachverhaltsabklärung....................................................................................... 18 

8. Würdigung der Ergebnisse aus der Sachverhaltsabklärung...................................................... 18 
8.1. Allgemeines.......................................................................................................................... 18 
8.2. Zugangskontrolle und Räumlichkeiten................................................................................. 18 
8.3. Der Vertrauensärztliche Dienst (VAD) ................................................................................. 19 
8.4. Leiter vertrauensärztlicher Dienst (L-VAD) .......................................................................... 19 
8.5. Berechtigungskonzept ......................................................................................................... 19 

8.5.1. Bereich Medical ............................................................................................................... 19 
8.5.2. Bereich Basic................................................................................................................... 19 
8.5.3. Bereich Control ................................................................................................................ 20 
8.5.4. Zahl der Zugangsberechtigten zum VAD ........................................................................ 20 

9. Die neue Version AVD................................................................................................................ 21 
10. Schlussfolgerungen .................................................................................................................... 21 

10.1. Bezüglich der Kontrolle ........................................................................................................ 21 
10.2. Verfahren und weiteres Vorgehen ....................................................................................... 22 

 

 

 

 
 
 

3/23

 
 

1. Ausgangslage 
 
Im Februar 2006 teilte der Beobachter in seinem Artikel „Einblicke in den Intimbereich“ mit, ihm lägen 
Dokumente vor, die zeigten, dass rund 400 CSS-Mitarbeiterinnen und Mitarbeiter  – unter ihnen auch 
Mitarbeitende der Administration – auf das elektronische System „Anfragebewirtschaftung vertrauens-
ärztlicher Dienst“ (AVD) Zugriff hätten. Dieser Beitrag blieb nicht unbeachtet. Er gab verschiedensten 
Medien Anlass zu einer Berichterstattung über einen „unzureichenden Datenschutz“ bei der CSS. Er 
veranlasste das Bundesamt für Gesundheit (BAG) im Rahmen seiner Aufsichtspflichten zum Handeln. 
In Zusammenarbeit mit dem Eidgenössischen Datenschutz und Öffentlichkeitsbeauftragten (EDÖB) 
wurden Vorabklärungen durchgeführt, in deren Verlauf dem BAG und dem EDÖB ein interner Revisi-
onsbericht der CSS vom 2.5.06 zugestellt wurde. Wegen des Verdachts auf Verletzung beruflicher 
Geheimhaltungspflichten  hat das BAG am 15.5.06 eine Strafanzeige gegen die CSS eingereicht. Der 
EDÖB hat seinerseits die CSS mit Brief vom 23.5.06 darüber in Kenntnis gesetzt, dass er sich ent-
schieden habe, im Rahmen seiner Aufsichtstätigkeit eine Sachverhaltsabklärung im Sinne von Art. 27 
des Datenschutzgesetzes (DSG, SR 235.1) durchzuführen. 
 
 

2. CSS-interner Revisionsbericht 
 
Im Bericht der internen Revision der CSS wird zunächst festgestellt, dass der AVD in drei Bereiche 
unterteilt sei: Basic, Control, Medical. Im Bereich Basic könnten Anfragen an den Vertrauensarzt for-
muliert und Empfehlungen entgegengenommen werden. Im Bereich Control könnten zusätzliche me-
dizinische Dokumente (zum Beispiel Arztberichte) bewirtschaftet werden, welche für die Beurteilung 
einer Sachlage und die Formulierung einer Empfehlung für den Vertrauensärztlichen Dienst (VAD) 
und die Experten notwendig seien. Zudem bestehe in diesem Bereich die Möglichkeit vertraulich me-
dizinische Texte zu hinterlegen. Im Bereich Medical könnten zusätzlich eingescannte Fotos abgelegt 
werden.  
 
 
Der Bericht der internen Revision weist ferner darauf hin, dass entgegen den Behauptungen in den 
Medienberichten nicht 400 Personen „uneingeschränkten Zugang zum AVD“ gehabt hätten. Zum Be-
reich Medical hätten ausschliesslich die Vertrauensärzte und deren Hilfspersonen (total 25 Personen) 
Zugang gehabt. Bis zum 22. Februar 2006 hätten ausserdem „gut 150 Personen“ Zugang zum Be-
reich Control gehabt. Inzwischen habe der VAD Massnahmen getroffen, um die Anzahl der Benutzer 
mit Control-Berechtigung anhand ihrer Zugriffshäufigkeit zu reduzieren. Der Kreis habe auf ungefähr 
120 Personen eingeschränkt werden können. Parallel dazu habe die Interne Revision eine Analyse 
der internen Prozesse vorgenommen und daraus die Benutzer abgeleitet, die auf Zugriff zum Control-
Bereich verzichten könnten. Im Bericht wird festgehalten, dass die von der Internen Revision festge-
haltenen Benutzer sich weitestgehend mit denjenigen Personen decken würde, deren Berechtigung 
zwischenzeitlich bereits vom VAD eingeschränkt worden sei. Hinsichtlich der Berechtigungsvergabe 
stellte der Bericht fest, dass zum Zeitpunkt der Revision „in Bezug auf AVD kein standardisiertes Ver-
fahren für das Beantragen, das Bewilligen und Dokumentation von Berechtigungen“ existierte. Daraus 
zieht der Bericht den Schluss: „ ………….“1 

 
Aus Sicht des EDÖB hat der Revisionsbericht gravierende Mängel beim VAD der CSS zu Tage geför-

                                                      
1 Aufgrund überwiegender Interessen der CSS an der Vertraulichkeit dieser Schlussfolgerung (Geschäftsgeheim-
nisse) wurde die entsprechende Passage für die Publikation aus dem Bericht herausgenommen. 

 

 

 
 
 

4/23

 
 

dert. Die Analyse der internen Prozesse führte zu einer deutlichen Reduktion der Zugriffsberechtigun-
gen zum heiklen Bereich der medizinischen Informationen. Wegen des fehlenden standardisierten 
Verfahrens für die Berechtigungsvergabe kann rückwirkend nicht mehr festgestellt werden, ob auch 
Unberechtigte Zugang zum sensiblen Bereich des VAD erhielten. Das ist im Rahmen des vom BAG 
eingeleiteten Strafverfahrens abzuklären. 
 
 

3. Umfang der Sachverhaltsabklärung 
 
Gemäss Art. 27 DSG überwacht der Datenschutz- und Öffentlichkeitsbeauftragte die Einhaltung die-
ses Gesetzes und der übrigen Datenschutzvorschriften des Bundes durch die Bundesorgane. Der 
Datenschutzbeauftragte klärt von sich aus oder auf Meldung Dritter hin den Sachverhalt näher ab. Bei 
der Abklärung kann er Akten herausverlangen, Auskünfte einholen und sich Datenbearbeitungen vor-
führen lassen. Die Bundesorgane müssen bei der Feststellung des Sachverhalts mitwirken. Das 
Zeugnisverweigerungsrecht nach Artikel 16 des Verwaltungsverfahrensgesetzes (VwVG, SR 172.021) 
gilt sinngemäss. Dem EDÖB stehen in einer angeordneten Sachverhaltsabklärung keine strafprozes-
sualen Untersuchungsmassnahmen zu. Er kann weder Zeugen noch Auskunftspersonen vorladen. 
Ebenso wenig ist er befugt, aussagewillige Drittpersonen vom Berufsgeheimnis zu entbinden. 
 
In verschiedenen Medienberichten wurden die Vorwürfe an die Adresse der CSS mit konkreten Bei-
spielen von Datenschutzverletzungen untermauert. Wie unter Ziffer 2 ausgeführt, kann nicht ausge-
schlossen werden, dass sich mit Bezug auf diese Beispiele Unberechtigte Zugang zu sensiblen Daten 
im VAD verschafften. Das BAG hat deshalb eine Strafuntersuchung veranlasst. Es obliegt dem Unter-
suchungsrichter abzuklären, inwieweit sich im Zusammenhang mit diesen Beispielen bei der CSS 
strafrechtlich relevante Sachverhalte ereignet haben. 
 
Der EDÖB kontrollierte die aktuelle Datenbearbeitung im vertrauensärztlichen Dienst (nachfolgend 
VAD) der CSS Kranken-Versicherung AG (nachfolgend CSS KVG). In Art. 57 des Bundesgesetzes 
über die Krankenversicherung (KVG, SR 832.10) ist die gesetzliche Grundlage für Vertrauensärzte 
und Vertrauensärztinnen zu finden. Gemäss Art. 42 Abs. 5 KVG ist der Leistungserbringer in begrün-
deten Fällen berechtigt und auf Verlangen der versicherten Person in jedem Fall verpflichtet, medizini-
sche Angaben nur dem Vertrauensarzt oder der Vertrauensärztin des Versicherers nach Artikel 57 
bekannt zu geben. Geprüft wurden im VAD deshalb insbesondere sämtliche Datenflüsse wie auch die 
Datenweitergabe an die Administration von CSS KVG. 
 
 

4. Grundlage 
 
Eine wichtige Grundlage der Sachverhaltsabklärung bildet zunächst der interne Revisionsbericht der 
CSS vom 2.5.06. Nach Überprüfung des AVD wurden in Bezug auf den Datenschutz CSS-intern 
punktuelle Optimierungen empfohlen. Insbesondere wurde veranlasst, dass die Anzahl Personen, die 
die Zugriffsberechtigungen erteilen können, möglichst klein zu halten sei, und dass die systemtechni-
sche Zuteilung von Zugriffsberechtigungen nur den Mitgliedern des VAD zustünde. Im Rahmen der 
Sachverhaltsabklärung wurden sodann durch den EDÖB umfangreiche Dokumente über Organisation 
und interne Datenflüsse eingeholt. Anlässlich eines Augenscheins bei der CSS konnten die Räumlich-
keiten und die Zugangskontrolle begutachtet sowie ausstehende Fragen in Bezug auf den VAD vor 
Ort geklärt werden. 
 

 

 

 
 
 

5/23

 
 

Die daraus resultierende Sachverhaltsfeststellung des EDÖB wurde von der CSS bestätigt und in 
bereinigter Form verfasst (24.1.2007). Ergänzend wurde von Anfang an eine enge Zusammenarbeit 
mit dem BAG angestrebt und gepflegt. 
 
 

5. Ablauf der Sachverhaltsabklärung 
5.1. Dokumente 

 
Mit Schreiben vom 23. Mai 2006 hat der EDÖB seine Sachverhaltsabklärung beim VAD der CSS KVG 
angekündigt. Im Rahmen der Sachverhaltsabklärung hat er schwergewichtig Dokumente über die 
Datenbearbeitung, die einzelnen Prozesse sowie die entsprechenden Datenflüsse einverlangt. Nach 
gewährter Fristerstreckung wurden diese Dokumente mittels Schreiben vom 6. Juli 2006 eingereicht. 
Der EDÖB unterzog diese einer eingehenden Analyse. 
 
Aufgrund der gewonnen Erkenntnisse wurden anlässlich des Augenscheins weitere Dokumente ange-
fordert. Sie wurden mit Datum vom 20. November zugestellt. Eine letzte Dokumenteneingabe erfolgte 
am 3. Januar 2007. 
 
 

5.2. Augenschein 
 
Der Augenschein beim VAD der CSS KVG erfolgte am 30. Oktober 2006 in Anwesenheit der verant-
wortlichen Mitarbeiterinnen und Mitarbeiter der CSS und des EDÖB. 
 
 
Anlässlich des Augenscheins wurden zunächst die Aufgaben der anwesenden Personen erläutert und  
Fragen zur Struktur der CSS Versicherung erörtert. In einem zweiten Schritt wurde die Datenbearbei-
tung im VAD vor Ort erklärt. Die Vorführung erfolgte dem zeitlichen Ablauf entsprechend, vom Ein-
gang der Daten mit der Post bis zu deren Archivierung. Die mit den einzelnen Teilaufgaben der Da-
tenbearbeitung betrauten Personen wurden während des Rundgangs vorgestellt. Insgesamt wurde ein 
gut strukturierter Einblick in die Datenflüsse und in die einzelnen Prozesse der Datenbearbeitung ver-
mittelt. 
 
 

5.3. Sachverhaltsfeststellung 
 
Die durch den EDÖB erstellte Sachverhaltsfeststellung stützt sich auf die vor Ort gewonnenen Er-
kenntnisse sowie auf die von der CSS zugestellten Dokumente ab. Am 6. Dezember 2006 wurde sie 
dem VAD zur Stellungnahme zugestellt. Mit Korrekturen und Ergänzungen hat sie dieser am 3. Januar 
2007 zurückgesandt. Die anschliessend bereinigte Version wurde dem VAD am 15. Januar 2007 zur 
erneuten Einsicht zugestellt. Der VAD hat sie mit letzten Korrekturen am 24. Januar 2007 zurückge-
schickt. Sie flossen in die definitive Sachverhaltsfeststellung ein, welche dem EDÖB u.a. als Grundla-
ge für vorliegenden Bericht dient. 
 
 
 

 

 

 
 
 

6/23

 
 

6. Sachverhalt 
6.1. Struktur CSS 

 
Der CSS Verein ist Alleinaktionär der CSS Holding AG. Die Mitglieder des CSS Vereins werden durch 
einen 40-köpfigen Mitgliederrat vertreten. Die CSS Holding AG befindet sich als Dachgesellschaft und 
Finanzholding aller operativen Gesellschaften an der Spitze der CSS Gruppe. 
 
Die CSS Gruppe besteht aus: 

- CSS Kranken-Versicherung AG (KVG) 
- Arcosana AG (KVG) 
- Auxilia (KVG) 
- CSS Versicherung AG (VVG) + Tochtergesellschaft: vivit gesundheits ag 

 
Die oberste Leitung der CSS Gruppe übt der Verwaltungsrat aus. Die operative Leitung der CSS 
Gruppe obliegt der Geschäftsleitung. 
 
Die Organe der Gesellschaft sind:2 
 
 

6.2. Struktur VAD 
 
Der VAD umfasst den Leiter des VAD (nachfolgend L-VAD), die Vertrauensärzte (nachfolgend VA) 
sowie die VertrauensarztassistentInnen (nachfolgend VA-Assistent). 
 
Im VVG-Bereich fungiert der VAD als gesellschaftsärztlicher Dienst. Im VVG hat der Gesellschaftsarzt 
nur eine beratende Funktion, die Entscheidung liegt bei den entsprechenden Stellen der Administrati-
on. 
 
 
Abgrenzung zwischen den einzelnen KVG-Versicherern 
 
Es gibt einen VAD für die CSS KVG, die Arcosana AG sowie die Auxilia. Zwischen diesen drei Kran-
kenversicherungen nach KVG gibt es den VAD betreffend keine Trennung. Die Mitarbeiter des VAD 
CSS KVG sind für alle drei Kassen zuständig. 
 
Im Bereich der Administration gibt es gemäss CSS eine Trennung zwischen CSS Kranken-
Versicherung, Arcosana und Auxilia durch die verschiedenen IT-Systeme. Die Versicherten der Arco-
sana und Auxilia sind von der CSS darauf aufmerksam gemacht worden, dass die Durchführung und 
die Bearbeitung der Daten durch Mitarbeiter der CSS Kranken-Versicherung AG erfolgt. 
Innerhalb der Applikation AVD gibt es nach Versicherung unterteilte Datenbanken: CSS, Arcosana, 
Auxilia, Personal. 
 
 
 
 

                                                      
2 Aufgrund überwiegender Interessen der CSS an der Vertraulichkeit dieses Inhalts (Geschäftsgeheimnisse) 
wurden die entsprechenden Angaben für die Publikation aus dem Bericht herausgenommen. 

 

 

 
 
 

7/23

 
 

Abgrenzung zwischen KVG und VVG 
Für KVG und VVG gibt es getrennte Policen. Es wird bei KVG-Anmeldungen auch kein Fragebogen 
verteilt. Im VVG-Vertrag ist aber geregelt, dass der Versicherer in die KVG-Unterlagen Einsicht neh-
men darf. 
90% der Anfragen betreffen die Leistung und somit den KVG Bereich. 
10% der Anfragen betreffen das Taggeld und die Antragsgeschäfte und somit nur den VVG Bereich. 
 
In Bezug auf die logische Trennung von KVG und VVG ist gemäss CSS zu bemerken, dass die meis-
ten Versicherten der CSS beide Versicherungsarten bei der CSS abgeschlossen haben. Die Leis-
tungserbringer stellen keine getrennten Kostengutsprachegesuche oder Rechnungen etc. zu. Eine 
Trennung dieser Bereiche wäre unverhältnismässig und für die Versicherten unverständlich. Es sind 
keine Fälle bekannt, in denen ein Versicherter eine getrennte Rechnungsstellung beim Leistungserb-
ringer verlangt hätte. 
 
Für den Bereich VVG besteht ein AVD-Zugriff auf dem Niveau Control, aber ohne Einsicht in die obli-
gatorische Krankenpflegeversicherung (OKP). Die Mitarbeiter, die nur im VVG arbeiten, haben keinen 
Zugriff auf VAD-Daten von nur OKP-Versicherten. 
Falls der Versicherte nur das KVG bei der CSS hat, wird bei Anfragen des VVG-Versicherers eine 
Vollmacht der versicherten Person verlangt. 
Einen Zugriff auf die Berechtigungsstufe Basic reicht nicht, da die Mitarbeiter Empfehlungen machen 
müssen (vgl. auch die Kapitel Berechtigungsstufen und Zugriffsberechtigungen). 
 
 

6.3. Abläufe im VAD 
 
Die Abläufe im VAD werden in zeitlicher Folge aufgeführt und erläutert: vom Posteingang der Daten 
bis zu deren Archivierung. Abschliessend folgt ein Kapitel zum AVD-System. 
 

6.3.1. Der Posteingang 

6.3.1.1. Mail Source 
 
Die Verarbeitung der Post (Eingang/Ausgang) wurde an die Mail Source – Tochtergesellschaft der 
Post – ausgegliedert. 
 
Der eigentliche Posteingang der CSS erfolgt demnach bei Mail Source. Ihre Mitarbeitende unterziehen 
die eingehende Post vorschriftsgemäss einer Triage. Für den VAD gibt es ein separates Fach. Mail 
Source überbringt die Briefe sodann persönlich in das Sekretariat des VAD. 
 
Werden von CSS Dokumente zuhanden des VAD eingeholt, wird ein Umschlag mit Anschrift des VAD 
bzw. des betroffenen Vertrauensarztes mitgeschickt. 
Ist nicht ersichtlich, ob ein Umschlag für den VAD bestimmt ist, so wird er von Mail Source-Mitar-
beitenden geöffnet. Die Triage erfolgt aufgrund des Inhalts. Bestehen Unsicherheiten, wird beim VAD 
direkt nachgefragt. Eine Mitarbeiterin ist Ansprechperson in Bezug auf die Triage aller Bereiche.  
Mail Source-Mitarbeiter unterstehen dem Postgeheimnis. 
 
Für die Postverteilung haben die Mitarbeiter von Mail Source Zugang zu den Räumlichkeiten der CSS.  
Beim VAD wird die Post nur an Anwesende des Sekretariats oder aber direkt an einen Vertrauensarzt 
verteilt. Bei Abwesenheit nimmt Mail Source die für den VAD bestimmte Post zurück. 

 

 

 
 
 

8/23

 
 

Die Postverteilung erfolgt dreimal täglich: morgens (08.00), mittags (12.30) und abends (16.00). 
 
Mail Source ist verantwortlich für die Post bis und mit Übergabe an die verschiedenen Bereiche von 
CSS. 

6.3.1.2. Der Posteingang im Service-Center 
 
An das Service-Center adressierte Postsendungen gelangen über den internen Postdienst des Leis-
tungsbereichs CSS in den Posteingang des Service-Centers. 
Das Service-Center umfasst die Sachbearbeiter Service-Center sowie die medizinischen Experten, 
nicht aber die Risikoprüfer/Risikoexperten oder die Taggeldsachbearbeiter und die Taggeldexperten, 
die in die Geschäftsbereiche Entwicklung & Innovation (respektive Markt) eingeordnet sind. 
Im Service-Center wird eingegangene Post geöffnet und einer Triage unterzogen. Auch hier kann 
noch für den VAD bestimmte Post auftauchen, die irrtümlich nur mit Service-Center angeschrieben 
war. Dies geschieht täglich. Absender sind mehrheitlich Ärzte. 
Für die Weiterleitung solcher Briefe an den VAD bestehen mündliche Richtlinien. Gemäss Art. 33 des 
Bundesgesetzes vom 6. Oktober 2000 über den Allgemeinen Teil des Sozialversicherungsrechts 
(ATSG, SR 830.1) unterstehen alle Mitarbeiter der CSS der Schweigepflicht. Sie haben ein entspre-
chendes Formular zu unterschreiben. 
 
 

6.3.2.  Der vertrauensärztliche Dienst 

6.3.2.1. Die Unabhängigkeit des VAD in Bezug auf das Budget 
Der Vertrauensarzt (VA) hat die Vertraulichkeit aller ihm zur Verfügung gestellten medizinischen In-
formationen zu wahren ( Art. 83 und 84 KVG). Gemäss Art. 5 Abs. 3 des Vertrauensarztvertrages 
zwischen santésuisse und FMH (nachfolgend VA-Vertrag) haben Versicherer die Stellung des Ver-
trauensarztes so zu organisieren, dass dessen Unabhängigkeit gewahrt wird und keine Interessen-
konflikte entstehen. Insbesondere ist eine Leistungshonorierung nach dem Geschäftsergebnis des 
Versicherers unzulässig. Damit soll verhindert werden, dass Leistungseinsparungen über den VAD 
erfolgen. Entsprechend dürfen keine Budgetvorgaben gemacht werden. Auch die CSS hat ihren VAD 
dementsprechend organisiert. Wie jede andere Abteilung bei der CSS erhält der VAD ein Verwal-
tungsbudget. Dieses untersteht aber keinen Leistungseinsparungszielen. Die Stellenbewirtschaftung 
und Administration im VAD werden allein nach den anfallenden Tätigkeiten vorgenommen.  
In Bezug auf die administrative Führung ist einzig der Geschäftsbereichsleiter Leistung berechtigt, 
Entscheide zu fällen. In dem vom Gesetz und vom VA-Vertrag vorgegebenen Aufgabenbereich ist der 
VAD laut eigenen Angaben unabhängig und nicht weisungsgebunden. Die organisatorische Einbin-
dung des VAD in unmittelbarer Nähe zum Service Center wurde in der CSS einzig aus prozessöko-
nomischen Gründen gewählt. Damit werde eine rasche und effiziente Abwicklung garantiert. Ebenso 
könne der VA die Einhaltung der Datenschutzbestimmungen besser kontrollieren. Insbesondere wer-
de vermieden, dass zusätzliche Stellen im Informationsfluss eingeschaltet werden. 
 

6.3.2.2. Die Räumlichkeiten 
 
Der VAD ist zusammen mit anderen Büros im 3. Stock des alten CSS-Gebäudes untergebracht. Dort 
befindet sich ebenfalls das Service-Center. Die Büros der Mitarbeiter des VAD (VA und VA-Assistenz) 
sind von den anderen Büros auf dem 3. Stock räumlich nicht abgetrennt. Die VAD-Büros sind bei Ver-
lassen abzuschliessen. 

 

 

 
 
 

9/23

 
 

Die Büros der medizinischen Experten (nachfolgend MedEx) befinden sich ausserhalb des VAD. Beim 
Verlassen der Büros haben die medizinischen Experten alle medizinischen und vertraulichen Unterla-
gen in Schränken einzuschliessen. Die Büros werden aber nicht abgeschlossen. 
Obschon die medizinischen Experten nicht Mitarbeiter des VAD sind, werden sie zur Bearbeitung von 
leichten Fällen beigezogen (vgl. hierzu das Kapitel Mitarbeiter und Triage). Aus diesem Grund werden 
sie hier aufgeführt. 
 
 

6.3.2.3. Das Sekretariat 
 
Die Post gelangt grundsätzlich ungeöffnet zum VAD-Sekretariat. Nur falsch oder fehlerhaft adressierte 
Post, die nicht eindeutig dem VAD zugewiesen werden konnte, wird geöffnet übergeben. Sämtliche 
Posteingänge werden im Sekretariat mit einem Eingangsstempel versehen und den 15 VA-
Assistenten zur weiteren Bearbeitung zugeteilt. Die Dokumente werden registriert (vgl. weiter hinten 
die Erklärung des AVD) und vor der weiteren Bearbeitung einer Triage unterzogen. 
 

6.3.2.4. Die Mitarbeiter 
 
Der Leiter Vertrauensärztlicher Dienst 
Der L-VAD hat einen Anstellungsvertrag mit der CSS Kranken-Versicherung AG. Seine Fachaufgaben 
sind in einer Stellenbeschreibung zusammengefasst. Er ist dem Leiter Geschäftsbereich Leistung 
direkt unterstellt. Zu den Fachaufgaben des L-VAD gehören unter anderem die Beratung im Bereich 
Leistungsabwicklung (KVG) und Antragsbearbeitung (VVG). 
 
Im VVG-Bereich ist der VA als Gesellschaftsarzt tätig. 
 
Die CSS setzt für die Bereiche des KVG und VVG die gleichen Datenschutznormen ein. 
 
Auch im Antragsbereich hat der VA (Gesellschaftsarzt) keine Entscheidungsbefugnis. Diese liegt bei 
der Administration. 
 
Für die Funktion als Gesellschaftsarzt gibt es keine separate Stellenbeschreibung. 
 
Die Stellung des L-VAD als Kader oder als Mitglied der Direktion hat gemäss CSS keinen Einfluss auf 
die Budgetfragen des VAD oder Vorgaben für Leistungseinsparungen. 
 
Kader- und Direktionsmitglieder haben einen gewissen Informationsvorsprung gegenüber anderen 
Mitarbeitern der CSS. Ebenfalls ist die Arbeitszeit anders geregelt. 
Der L-VAD ist gemäss Stellenbeschreibung zuständig für den Ablauf im VAD und zwischen Versicher-
ten, Leistungserbringern und den zuständigen Mitarbeitern der Administration CSS. 
 
Die zuständigen Mitarbeiter sind diejenigen der Expertengruppe, die zahlenmässig beschränkt und 
speziell geschult sind. Es soll verhindert werden, dass der VA von allen Sachbearbeitern kontaktiert 
werden kann. Zudem haben die Experten eine spezielle Schweigepflichtserklärung zu unterzeichnen. 
 
Einer der Leistungsmassstäbe des Leiter-VA ist das Budget VAD. Leistungsmassstab ist, dass der VA 
sein Budget unter geordneten Verhältnissen einhalten kann und seine Ressourcen danach richtet. 

 

 

 
 
 

10/23

 
 

Die Vertrauensärzte 
 
Die VA haben Anstellungsverträge mit der CSS Kranken-Versicherung AG. Ihre Fachaufgaben sind in 
einer Stellenbeschreibung zusammengefasst. Sie sind dem L-VAD direkt unterstellt. Als Mitglieder des 
Kaders sind sie zuständig für die Leitung der ihnen zugeteilten VA-Assistenten. Gemäss Stellenbe-
schreibung haben sie die gleichen Fachaufgaben wie der L-VAD. 
 
 
Die VA-Assistenten 
 
Die VA-Assistenten haben Anstellungsverträge mit der CSS Kranken-Versicherung AG. Ihre Fachauf-
gaben sind in einer Stellenbeschreibung zusammengefasst. Sie sind den VA direkt und dem L-VAD 
indirekt unterstellt. Die VA-Assistenten haben keine zusätzlichen Funktionen oder Verträge mit Dritten 
(innerhalb oder ausserhalb CSS Kranken-Versicherung AG). 
 
 
Die medizinischen Experten 
 
Die MedEx haben Anstellungsverträge mit der CSS Kranken-Versicherung AG. Ihre Fachaufgaben 
sind in einer Stellenbeschreibung zusammengefasst. Sie sind der/dem Leistungsexperten/In Service 
Center unterstellt. 
 
Der MedEx fungiert als Schnittstelle zwischen dem VAD und dem Service Center. 
 
Der MedEx ist für die Empfehlung leichter Fälle verantwortlich, die nach Art. 42 Abs. 4 und 5  KVG 
direkt an den Versicherer gelangen. In diesen leichten Fällen ist weder eine Begründung für die Zu-
stellung an den VAD ersichtlich noch wurde eine solche vom Versicherten verlangt.  
 
 
In der ohnehin kleinen Gruppe der MedEX sind zusätzlich „Spezialisten“ integriert, die von der Sache 
her ein medizinisches Urteil abgeben können. Diese sind auch zuständig für die Korrespondenz bei 
Ablehnung mit medizinisch-administrativen Begründungen. Sie haben eine separate Datenschutz-
vereinbarung unterschrieben. Bei nicht standardisierten Abklärungen in Leistungsfragen bei Leis-
tungserbringern stehen sie mit ihren Spezialkenntnissen den Sachbearbeitern im Service Center zur 
Verfügung. Damit wird gewährleistet, dass die CSS die Kostengutsprache und die Leistungsentschei-
de innerhalb der sachgerechten Frist und damit auch innerhalb der gesetzlichen Frist vollziehen kann. 
 
 

6.3.2.5. Die Triage 
 
Die VA-Assistenten nehmen eine Triage der eingegangenen Dokumente vor und verteilen diese zur 
medizinischen Beurteilung wie folgt: 

- Fälle die keiner medizinischen Beurteilung bedürfen, werden direkt an den Versicherer weiter-
geleitet. 

- Leichte Fälle: die Dossiers enthalten lediglich den Inhalt, welcher der VAD dem Versicherer 
zur Überprüfung der Leistungspflicht mitteilen muss. Die Bearbeitung erfolgt durch medizini-
sche Experten. 

- Mittelschwere Fälle: die Dossiers enthalten mehr medizinische Daten als der Versicherer zur 
Beurteilung der Leistungspflicht benötigt. Die Bearbeitung erfolgt durch VA-Assistenten. 

 

 

 
 
 

11/23

 
 

- Schwere Fälle und Fälle von hohem Geheimhaltungsgrad: die Beurteilung dieser Fälle er-
fordert ein hohes medizinisches Wissen. Zu beurteilen sind Neubeurteilungen, Berichte von 
bekannten Personen und Beratung in Rechtsfällen. Die Bearbeitung erfolgt ausschliesslich 
durch Vertrauensärzte. 

 
Die VA und VA-Assistenten 
Muss die Empfehlung mittelschwerer Fälle dem externen Antragsteller (i.d.R. ein Leistungserbringer)  
kommuniziert werden, erfolgt die Unterschrift durch einen VA.  
Der Entscheid erfolgt durch die CSS Administration. Da der VA nur befugt ist, Empfehlungen ab-
zugeben, werden Leistungserbringer wie Versicherte überwiegend direkt durch die Administration 
informiert. Ein direkter Kontakt zwischen VA und Leistungserbringer beschränkt sich auf Empfehlun-
gen. 
 
Wer als Patient oder versicherte Person darauf Wert legt, dass seine Unterlagen nur dem VA oder 
dem VAD ausgehändigt werden, muss dies auf dem Umschlag ausdrücklich vermerken. 
Bei seiner medizinischen Beurteilung hat der VA eine Prüfung zum Krankheitswert und zu Wirtschaft-
lichkeit, Zweckmässigkeit sowie Wirksamkeit (nachfolgend WZW) vorzunehmen. Zu prüfen ist dabei 
primär, ob die vorgesehene Behandlung wirksam und zweckmässig ist. Die WZW ist vom Gesetzge-
ber wie der Rechtssprechung vorgegeben. 
 
Fallbezogene Besprechungen erfolgen stets zwischen dem VA und der VA-Assistenz oder dem VA 
und einem MedEx, nicht aber zwischen dem VA und einem Sachbearbeiter der Administration. 
 
Betreffen Anfragen die Mitarbeiterinnen und Mitarbeiter der CSS (ca. 2000) ist nur der VAD (VA / VA-
Assistenz), nicht aber der MedEx zuständig. Es ist vorgesehen, die medizinische Beurteilung an einen 
externen VA auszulagern. In der CSS-Administration ist ein beschränkter Kreis von Mitarbeitenden in 
einem separaten Büro ausschliesslich für die Fälle „Personal“ zuständig (keine Vermischung). 
 
Die medizinischen Experten  
Wie die Risikoexperten (nachfolgend REX), Case Manager und Taggeldexperten (nachfolgend TEX) 
gehören die MedEx der Expertengruppe an. Sie sind beim Service-Center und somit beim Geschäfts-
bereich Leistung angegliedert und nicht im VAD integriert. Sie walten als Bindeglied zwischen VAD 
und Sachbearbeiter. Im Gegensatz zum VAD sind sie nicht nur befugt, Empfehlungen abzugeben, 
sondern auch Entscheide zu fällen. Medizinische Experten erhalten nur im Einzelfall und nach aus-
drücklicher Erlaubnis des VA Zugriff auf das AVD. Der VAD hingegen darf nur empfehlen. 
 
Anlässlich des Augenscheins wurde dem EDÖB anhand eines Reha-Gesuches das Vorgehen erläu-
tert. Vorab wird stets die Versicherungsdeckung des Gesuchstellers geprüft. Es folgt eine medizini-
sche Beurteilung. Nach eingehender Begründung hat die medizinische Expertin schliesslich empfoh-
len, das Gesuch gutzuheissen. 
 
Die Sachbearbeiter erhalten eine Empfehlung für eine Kostengutsprache in der Regel per E-Mail. Den 
Link können aber nur die Berechtigten öffnen. Die Sachbearbeiter übermitteln die Kostengutsprache 
dem Leistungserbringer bzw. der versicherten Person. Diese Mitteilung kann auch durch einen MedEx 
erfolgen. Das Schreiben wird sowohl vom Gruppenleiter als auch vom Sachbearbeiter unterschrieben.  
 
Ein Gesuch um Kostengutsprache kann nur von einem MedEx abgelehnt werden, da der Sachbear-
beiter im AVD keine Einsicht in die medizinische Begründung hat. 
 
 

 

 

 
 
 

12/23

 
 

6.3.3.  Das Archiv des VAD 
 
Das Papierarchiv 
Dossiers sind nach Eröffnungsdatum im AVD in einem separaten, abgeschlossenen und nur für Mitar-
beiter des VAD zugänglichen Archiv alphabetisch abgelegt. Diese Dossiers werden 10 Jahre aufbe-
wahrt und dann gesichert entsorgt. 
 
Das elektronische Archiv im AVD 
Nach 15 Monaten ohne neuen Eintrag wird auch das elektronische Dossier archiviert, während 10 
Jahren aufbewahrt und anschliessend gesichert gelöscht. 
Einen Zugriff zum Archiv haben: 

- Die VA 
- Die VA-Assistenten 
- Die MedEx unter Aufsicht eines VA-Assistenten 

 
 

6.3.4. Das AVD System 
 
Beim AVD handelt es sich um eine Lotus Notes Applikation. Das User/ID-Management erfolgt über 
SAP im Rahmen des HR-Management CSS. Die Systeme werden durch die Informatik CSS betreut. 
Die Clients sind mit Citrix Metaframe angebunden. Der Passwortwechsel für den Zugriff auf das AVD 
wird alle drei Monate forciert. Die Zugriffsberechtigung auf das AVD wird nach Vorschlag des direkten 
Vorgesetzten des Mitarbeiters und nach Überprüfung VAD-NAV durch den VAD-NAV vergeben und 
periodisch überprüft. 
 
Eine allgemeine Überprüfung der Zugriffsberechtigungen findet monatlich statt. Zwischenzeitliche 
Mutationen erfolgen bei Änderung des Berechtigungsgrades, bei Neueintritten wie Austritten. 
 

6.3.4.1. Die Klassifikation der Daten 
 
Die Daten werden aufgrund folgender Kriterien drei Klassen zugeordnet: 
 
- datenschutzrechtliche Relevanz 
- Vertraulichkeit 
- Archivierungspflicht 
 
Die Daten in den einzelnen Klassen werden entsprechend ihrer Eigenschaft in Stufen eingeteilt. 
Für die Datensammlungen im VAD ergeben sich somit folgende Klassifikationen: 
 
- Stammdaten: Personendaten, Vertraulich, gesetzliche Archivierungspflicht 
- Vorschlag: besonders schützenswerte Personendaten, Vertraulich, gesetzliche Archivierungs-

pflicht 
- Empfehlung: besonders schützenswerte Personendaten, Vertraulich, gesetzliche Archivierungs-

pflicht 
- Entscheidung: besonders schützenswerte Personendaten, Vertraulich, gesetzliche Archivie-

rungspflicht 
- Medizinische Stammdaten: besonders schützenswerte Personendaten, Vertraulich, gesetzliche 

Archivierungspflicht 

 

 

 
 
 

13/23

 
 

6.3.4.2.  Die Berechtigungsstufen / Funktionen 
 
Für die einzelnen Datenfelder im AVD gibt es drei Berechtigungsstufen. 
 
- Basic 
- Control 
- Medical 
 
Wer über Control-Rechte verfügt, hat keine zusätzlichen Funktionen oder Verträge mit Dritten (inner-
halb oder ausserhalb CSS Kranken-Versicherung AG). 
 
CaseManager und Underwriting haben keinen Zugriff auf Daten von nur KVG-Versicherten. 
 
Neben den drei Berechtigungsstufen gibt es: 
 
Administrationsrechte 
Die Notes-Administratoren sind befugt, die Benutzungsrechte zu überprüfen und zu vergeben. Sie 
stellen gleichzeitig die Schulung sicher. Zusätzlich holen sie die jeweils notwendige Unterschrift für die 
verschärfte Datenschutzbestimmung ein, die im Personaldossier abgelegt wird. 
Die NAV-AdministratorInnen sind primär VA-AssistentInnen. 
 
 
Funktionen 
 

 

Beschreibung 
 

 

Rechte 
 

Anzahl

SB 
(Sachbearbeiter) 

- Macht Anfrage an den Leis-
tungserbringer (LERB) bei für die 
Leistungskontrolle unerlässlichen 
medizinischen Fragestellungen 

- Kommuniziert Entscheidungen 
bei Zustimmungen und nur admi-
nistrative begründeten Ableh-
nungen. 

 

Basic 3 

EXP 
(Experten) 

- medizinische Experten: Zustän-
dig für die medizinische Beurtei-
lung von leichten Fällen (mit Un-
terstützung durch den VAD), ar-
beiten ausschliesslich mit dem 
VAD zusammen; kommunizieren 
medizinisch begründete ableh-
nende Entscheidungen (siehe 
Bericht interne Revision, Punkt 
2.2) 

Control  

 

 

 

 

 

 

                                                      
3 Aufgrund überwiegender Interessen der CSS an der Vertraulichkeit der genauen Anzahl Sachbearbeiter (Ge-
schäftsgeheimnisse) wurden in der Tabelle die entsprechenden Zahlen für die Publikation aus dem Bericht he-
rausgenommen. 

 

 

 
 
 

14/23

 
 

 

- Fachspezialisten, die für Leistun-
gen in einem bestimmten, abge-
grenzten Gebiet (Unfall, Zahnbe-
handlung, Spitalspezialisten, Ab-
rechnungen von Leistungen, die 
im Ausland erbracht werden etc.) 
zuständig sind. 

 

 

 

Care Manager Fallspezialisten. Sie begleiten und bera-
ten die Versicherten individuell in kom-
plexen Fällen. Sie arbeiten mit Vollmacht 
der Versicherten (Einsichtsrecht in ver-
trauensärztliche Unterlagen). 

Control  

Taggeld Case 
Manager 

Fallspezialisten für Taggeld nach VVG. 
Begleiten und kontrollieren Versicherte 
mit längerer Arbeitsunfähigkeit 

Control: kein Zugriff 
auf nur OKP- Ver-
sicherte (siehe Be-
richt interne Revi-
sion, Punkt 2.3) 

 

Underwriting Risikoexperten für VVG-Anträge. Eine 
Vollmacht der Versicherten liegt vor. 

Control: kein Zugriff 
auf nur OKP- Ver-
sicherte (siehe Be-
richt interne Revi-
sion, Punkt 2.3 

 

Vertrauensarzt Zuständig für die medizinische Beurtei-
lung von schwierigen Fällen 

Medial  

VA-Assistenz Zuständig für die medizinische Beurtei-
lung von Fällen mittleren Schwierigkeits-
grads und Fällen erhöhter Geheimhal-
tungspflicht (z.B. Fotos) 

Medical  

Notes-
Administratoren 
(NAV) 

Definierte Einzelpersonen innerhalb des 
VAD, welche Benutzerberechtigungen 
auf Antrag erteilen und entziehen 

Administratoren-
rechte 

 

IT-
Administratoren 

Definierte Einzelpersonen, welche aus 
technischen Gründen Zugriff auf die Da-
tenbanken benötigen, nicht aber auf die 
Appliaktion AVD 

Systemrechte  

Controller Einzelperson, die Kennzahlen aus dem 
AVD ableitet 

Hat zur Zeit keine 
Berechtigung, neu-
er Zugriff in Erar-
beitung (siehe Be-
richt interne Revi-
sion, Punkt 2.4) 

 

Zur Tabelle: sie entspricht derjenigen, welche der Leiter Recht & Compliance mit Brief vom 6.7.06 
dem EDÖB zu den Akten der Sachverhaltsabklärung zugesandt hat. Darin wird ausdrücklich darauf 
hingewiesen, dass die Anzahl der Berechtigten aufgrund von Ein- und Austritten variiere. 

 

 

 
 
 

15/23

 
 

6.3.4.3. Die Zugriffsberechtigungen 
 
Im AVD werden die Zugriffsberechtigungen auf die elektronisch erfassten Daten des VAD den drei 
Kategorien Basic, Control und Medical zugeordnet. 
 
Die in folgender Tabelle zusammengefasste Anzahl der Zugriffsberechtigten ergibt sich aus obiger 
Tabelle. In der Antwort der CSS vom 3.1.07 auf den Sachverhaltsfeststellungsentwurf des EDÖB vom 
6.12.06 wurde bei der Berechtigungsstufe Control die Zahl der Zugriffsberechtigten mit total + / - 130 
Personen angegeben. 
 
Der Vorgesetze stellt Antrag auf die Zugriffsberechtigung. Mit den Kategorien wird der Umfang der zur 
Bearbeitung zur Verfügung stehenden Information definiert. Ein Mitarbeiter, der Zugriff auf Daten des 
AVD hat, erhält eine dieser Berechtigungsstufen. In den vier Kernfunktionen Eröffnung, Vorschlag, 
Empfehlung und Entscheidung können zuständige Mitarbeiter gemäss ihrer Zugriffsberechtigung auf 
den gesamten oder nur einen Teil der Daten innerhalb eines Falls zugreifen. Die Zugriffsberechtigun-
gen4 sind fest vergeben: 
 
Basic Control Medical 

 

SB5 
 

MedEx, REX, TEX, 
 

CareManager, 

CaseManager, 

Underwriting 

 

 

VA, VA-Ass 

6.3.4.4. Der zentrale Datenfluss 
 
Im VAD haben total 25 Mitarbeiter (VA 9, VA-ASS 15) Medicalrechte, ausserhalb des VAD 621 Mitar-
beiter (Experten 61, Sachbearbeiter 560) Control und Basicrechte. Mit diesen Rechten können sie in 
unterschiedlichem Umfang auf Daten im AVD zugreifen. 
Besondere Aufmerksamkeit muss der Datenbearbeitung ausserhalb des VAD gewidmet werden. Dort 
werden mit der Empfehlung und dem Entscheid Daten des Versicherten, welche an den VAD ge-
schickt wurden, durch Mitarbeiter ausserhalb des VAD bearbeitet. Mit dem Vorschlag und der Empfeh-
lung stehen Gesundheitsdaten des Versicherten auch Mitarbeitern mit Control und Basic Rechten zur 
Verfügung. 

                                                      
4 Die Zugriffsrechte für die System- und Anwendungsadministration werden an dieser Stelle nicht berücksichtigt. 
5 Aufgrund überwiegender Interessen der CSS an der Vertraulichkeit der genauen Anzahl Sachbearbeiter (Ge-
schäftsgeheimnisse) wurden in der Tabelle die entsprechenden Zahlen für die Publikation aus dem Bericht he-
rausgenommen. 

 

 

 
 
 

16/23

 
 

 
 
 
6 Basic Control Medical 

Eröffnung Alles Alles Alles 

Vorschlag Ohne Fotos und me-
dizinische Dokumen-
tation 

Ohne Fotos Alles 

Empfehlung Ohne Angaben zum 
Autor der Empfeh-
lung, der Begrün-
dung, dem Vorschlag 
für die Begründung 
und dem vertrauli-
chen Text. 

Ohne vertraulichen 
Text 

Alles 

Entscheid Alles Alles Alles 

 
Bei der Eröffnung werden die administrativen Daten des Versicherten bearbeitet.  
Kritisch könnte lediglich das Datenfeld „Text der externen Anfrage“ sein. Wenn der Text heikle Infor-
mationen enthält sind diese auch für Control und Basic sichtbar. 
 

                                                      
6 Aufgrund überwiegender Interessen der CSS an der Vertraulichkeit der genauen Anzahl Sachbearbeiter (Ge-
schäftsgeheimnisse) wurden in der Tabelle die entsprechenden Zahlen für die Publikation aus dem Bericht he-
rausgenommen. 

VAD Ausserhalb des VAD 

Anfrage1. Triage

Vorschlag
leichte Fälle

Empfehlung 

Empfehlung 

mittlere oder  
schwere Fälle 

Eröffnung

2. Triage

Entscheid 

 

 

 
 
 

17/23

 
 

Bei der Erarbeitung des Vorschlags werden neben administrativen auch medizinische Daten eines 
Versicherten bearbeitet. Bildmaterial zu einem Fall kann nur von Mitarbeitern mit Medical bearbeitet 
werden. Weder Control noch Basic haben Zugriff auf diese besonders sensible Information. Anders 
verhält es sich beim Datenfeld Zeugnistext. Auf dieses haben neben Medical auch Control und Basic 
Zugriff. Wohingegen auf das Datenfeld medizinische Dokumentation Basic der Zugriff verwehrt bleibt. 
 
Die Empfehlung beinhaltet Datenfelder, die dazu geeignet sein können, besonders schützenswerte 
Informationen über einen Versicherten zu enthalten. Hier handelt es sich um Felder zur Anfra-
ge/Diagnose, Vorschlag für Empfehlung und Attachments. Der Inhalt der Felder wird durch den Ver-
fasser der Empfehlung bestimmt. Er entscheidet, welche Information über den Versicherten Mitarbei-
tern der CSS mit Control und Basic sichtbar gemacht werden. 
 
Bei der Entscheidung gibt es keinen Unterschied in den Zugriffsberechtigungen. 
Lediglich das Feld mit dem Text der Entscheidung kann Gesundheitsdaten enthalten. 
 
Der Controller kann als einzige Stelle ausserhalb des VAD direkt auf die Daten des VAD zugreifen. 
Der Zugriff wird ihm nur ad hoc und unter Kontrolle der Notes-Applikations-Verantwortlichen gewährt. 
Aufgrund der monatlichen Kennzahlen erhebt er die Durchlaufzeit und die Anzahl der Empfehlungen. 
 
 

7. Datenschutzrechtliche Beurteilung 
7.1. Einleitung 

 
Im Bereich des Gesundheitswesen ist das Bearbeiten von besonders schützenswerten Personenda-
ten an der Tagesordnung. Mit der elektronischen Datenbearbeitung hat sich die Datenschutzproble-
matik zugespitzt. Die enorme Anhäufung von Gesundheitsdaten – bedingt durch den Kostendruck und 
die technologische Entwicklung – erhöht die Gefahr von Persönlichkeitsverletzungen sowie Diskrimi-
nierung aufgrund bestimmter Gesundheitsdispositionen. Das Schlagwort vom gläsernen Patienten 
macht die Runde. Im Spannungsfeld stehen sich auf der einen Seite Datenschutz und Datensicherheit 
der versicherten Personen und auf der anderen Seite die Interessen der Versicherer gegenüber. Kurz 
und bündig zusammengefasst: „Im Krankenversicherungswesen müssen die Versicherten wirksam vor 
der Gefahr des Datenmissbrauchs geschützt werden. Ebenso in ihrem Interesse liegt allerdings eine 
effektivere Wirtschaftlichkeitsprüfung von Seiten der Versicherer, denn die medizinische Leistung 
kann nur anhand ausreichender Informationen überprüft werden. Auch die Versicherten profitieren 
davon, wenn die Leistungserbringer die Qualität und Wirtschaftlichkeit ihrer Leistungen verbessern 
und die Versicherer gleichzeitig ihre internen Abläufe rationalisieren.“7 Soweit die Zuständigkeit des 
EDÖB gegeben ist, greift er im Rahmen seiner Ressourcen ein, wenn er den Datenschutz und die 
Verhältnismässigkeit der Datenbearbeitung schwerwiegend verletzt sieht. 
 
 

7.2. Zuständigkeit des EDÖB 
 
Die Krankenversicherer erfüllen im Bereich des KVG eine öffentliche Aufgabe. Sie gelten diesbezüg-
lich als Bundesorgane im Sinne von Art. 3 lit. h des DSG. Der Geltungsbereich des DSG gilt für das 
Bearbeiten von Daten natürlicher Personen durch Bundesorgane (Art. 2 lit. b DSG). Die Zuständigkeit 
des EDÖB ist gemäss Art. 27 DSG gegeben. Ihm obliegt danach die Aufsicht über Bundesorgane. 

                                                      
7 PD Dr. iur. Isabelle Häner, Datenschutz in der Krankenversicherung, digma 2003.4, S. 147 

 

 

 
 
 

18/23

 
 

7.3. Zweck der Sachverhaltsabklärung 
 
Mit der vorliegenden Sachverhaltsabklärung bezweckt der EDÖB die Überprüfung des internen Da-
tenschutzes im VAD der CSS. 
 
Die Datenbearbeitung hat den Grundsätzen der Verhältnismässigkeit und der Zweckmässigkeit zu 
gehorchen. Für die Bearbeitung von besonders schützenswerten Personendaten sind hohe Hürden zu 
setzen. Zugang zu diesen Daten darf nur erhalten, wer diese zur Erfüllung seiner Aufgaben unbedingt 
benötigt. Je durchdachter die interne Organisation des Datenschutzes eingegrenzt und geregelt ist, 
desto geringer ist die Gefahr von systemimmanenten Datenschutzverletzungen. 
 
 

8. Würdigung der Ergebnisse aus der 
Sachverhaltsabklärung 

 
8.1. Allgemeines 

 
Im Zusammenhang mit den eingangs erwähnten Presseberichten über die angeblichen Datenschutz-
verletzungen in der CSS und infolge der Sachverhaltsabklärung durch den EDÖB hat die CSS ihr 
AVD einer intensiven internen Überprüfung unterzogen und aus Sicht des EDÖB notwendige Korrek-
turen bereits angebracht (vgl. oben Ziffer 2). 
 
Nach durchgeführter Sachverhaltsabklärung sind aus Sicht des EDÖB weitere Verbesserungen be-
sonders mit Blick auf das neue AVD-System erforderlich, weshalb der CSS die nachfolgenden Emp-
fehlungen unterbreitet werden. 
 
 

8.2. Zugangskontrolle und Räumlichkeiten 
 
Beurteilung aus Sicht des EDÖB: 
 
Die weit überwiegende Anzahl von Patientendossiers wird auch heute noch in Papierform bearbeitet 
und entsprechend aufbewahrt. Die Räumlichkeiten der VAD-Mitarbeiter sind von den Arbeitsplätzen 
der übrigen CSS-Mitarbeiter nicht getrennt, sodass auch keine systematische Zugangskontrolle er-
folgt. Umfangreiche Dossiers können nicht stets von allen neugierigen Blicken geschützt werden. Es 
ist auch nicht zu verhindern, dass bisweilen Teile eines Dossiers – Fotos, wichtige Daten – Unbefug-
ten zur Kenntnis gelangen. 
 
Empfehlung des EDÖB: 
 
Eine höhere Sicherheit vor unbeabsichtigt neugierigen Blicken wie vor Missbrauch kann nur durch 
eine konsequente räumliche Abtrennung des VAD-Bereichs erzielt werden. Dem vertrauensärztlichen 
Dienst müssen die notwendigen eigenen Räumlichkeiten und Infrastrukturmittel zur Verfügung 
gestellt werden. Die Ausgestaltung hat so zu erfolgen, dass die Daten des VAD gegenüber der Versi-
cherung und gegenüber Dritten stets vertraulich gehalten werden können. 
 

 

 

 
 
 

19/23

 
 

8.3. Der Vertrauensärztliche Dienst (VAD) 
 
Beurteilung aus Sicht des EDÖB: 
 
Der VAD der CSS kommt nicht nur in der Grundversicherung (KVG) zum Einsatz sondern wird auch 
für Fälle im Bereiche der Zusatzversicherungen (VVG) als gesellschaftsärztlicher Dienst beigezogen. 
Während der Vertrauensarzt im Bereiche des KVG gegenüber der Versicherung seine Unabhängigkeit 
zu bewahren hat, geniesst er als Gesellschaftsarzt im Bereiche des VVG diesen Status nicht. Es be-
steht die Gefahr, dass der VAD sein Wissen aus der obligatorischen Versicherung wegen des Unter-
stellungsverhältnisses im VVG-Bereich der Versicherung nicht vorenthalten kann. Diese Interessen-
kollision kann dazu führen, dass die vorgeschriebene Unabhängigkeit im Bereiche der Grundversiche-
rung nicht genügend gewahrt werden kann.   Der EDÖB erachtet deshalb eine strikte personelle 
Trennung des VAD gemäss KVG vom Gesellschaftsarzt gemäss VVG für unerlässlich. 
 
Empfehlung des EDÖB: 
 
Der Gesellschaftsarzt gemäss VVG ist vom VAD gemäss KVG personell zu trennen. 
 

8.4. Leiter vertrauensärztlicher Dienst (L-VAD) 
 
Beurteilung aus Sicht des EDÖB: 
 
Der L-VAD ist gemäss Stellenbeschreibung direkt dem Leiter Geschäftsbereich Leistung unterstellt. 
Eine andere Unterstellung des L-VAD drängt sich allein schon im Hinblick auf dessen unabdingliche 
Unabhängigkeit förmlich auf. 
Empfehlung des EDÖB: 
 
Der L-VAD ist direkt der Geschäftsleitung als Stabstelle beizuordnen. 
 

8.5. Berechtigungskonzept 
 

8.5.1. Bereich Medical 
 
Beim bestehenden Berechtigungskonzept ist der Bereich Medical als unbedenklich zu bewerten. Auf 
diesen Bereich haben lediglich der Leiter des VAD, die Vertrauensärzte und die Vertrauensarztassis-
tentInnen Zugriff (24 Personen). 
 
Beurteilung aus Sicht des EDÖB: 
 
Keine Verbesserungen notwendig. 
 

8.5.2. Bereich Basic 
 
Beurteilung aus Sicht des EDÖB 
Im Bereich Basic ist mit grösster Sorgfalt darauf zu achten, dass in den Textfeldern des Vorschlags 
oder der Empfehlung keine Angaben über den Versicherten gemacht werden, die den vertrauensärzt-
lichen Bereich nicht verlassen dürften. Im internen Revisionsbericht wird festgehalten, dass die Emp-
fehlungsbegründung, insbesondere bei Ablehnungen, sensitive Informationen über Versicherte bein-
halten kann. Gemäss Bericht sollen nach der Zusammenführung der Service Center Luzern und Zü-

 

 

 
 
 

20/23

 
 

rich (wann?) sämtliche Ablehnungsentscheide ausschliesslich durch medizinische Experten, welche 
Zugriff zum Bereich Control verfügen, formuliert werden. 
 
Empfehlung des EDÖB: 
 
Bis zur Zusammenführung der Service Center Luzern und Zürich dürfen bei Ablehnungsentscheiden 
keine sensitiven Informationen über Versicherte Personen zugänglich gemacht werden, die lediglich 
über die Berechtigung Basic verfügen. 
 

8.5.3. Bereich Control 
 
Beurteilung aus Sicht des EDÖB: 
 
Nach den erwähnten Medienberichten hat die CSS im Rahmen ihrer internen Revision im Bereich 
Control feststellen müssen, dass die Zugriffsberechtigung auf Daten der Versicherten zuwenig genau 
definiert war. Die ungenaue Zugriffs-Definition und -Abgrenzung hatte zur Folge, dass die Anzahl der 
Mitarbeiter mit Zugriffsrecht Control als zu hoch gewertet werden musste. Die CSS sah sich deshalb 
veranlasst, die Anzahl der Mitarbeiter mit Zugangsberechtigung Control von „gut 150 Benutzern“ zu 
reduzieren. Die CSS hat in ihrer Antwort vom 3.1.07 auf den Sachverhaltsfeststellungsentwurf des 
EDÖB (6.12.06) die Zahl der Zugriffsberechtigten mit Berechtigungsstufe Control auf total + / - 130 
Personen festgesetzt. Der EDÖB erachtet diese Bandbreite als zu hoch, sieht er doch im Bereich 
Control das eigentliche Risikopotential für Datenschutzverletzungen im Zusammenhang mit der Bear-
beitung von Versichertendaten durch den vertrauensärztlichen Dienst. Zwar umfasst die Gruppe mit 
den Rechten Control gemäss obiger Tabelle momentan „lediglich“ 115 Zugangsberechtigte. Aufgrund 
der Systematik und der Tatsache, dass die Anzahl der Berechtigten infolge von Ein- und Austritten 
variiert, ist jedoch nicht auszuschliessen, dass diese Gruppe in der täglichen Anwendung des Sys-
tems wieder wächst. 
 
Empfehlung des EDÖB: 
 
Die Aufgaben und Pflichten der Mitarbeiter der Gruppe Control sind möglichst detailliert zu beschrei-
ben. Die Zugriffsberechtigung auf die einzelnen Datenfelder, insbesondere in der Empfehlung, müs-
sen auf ein absolutes Minimum reduziert werden. Bei den als leicht eingestuften Fällen sind die Zeug-
nistexte für Basic zu sperren, wenn diese Angaben enthalten, die aus vertrauensärztlicher Sicht für die 
Erstellung des Entscheids nicht nötig sind. Die Anzahl der Zugangsberechtigten mit Zugriffsrecht 
Control ist möglichst klein zu halten und ständig zu überprüfen.  
 
 

8.5.4. Zahl der Zugangsberechtigten zum VAD 
 
Beurteilung aus Sicht des EDÖB: 
 
Die von der CSS angegebene Anzahl von +/- 130 Zugriffsberechtigten zum sensiblen Bereich des 
VAD erscheinen dem EDÖB nach wie vor zu hoch. Die mit Blick auf die Verhältnismässigkeit und 
Zweckmässigkeit richtige Zahl kann nur durch eine detaillierte und fundierte Analyse der internen Pro-
zesse festgelegt werden. Eine solche Überprüfung ist wegen der Komplexität der Sache, der mögli-
chen Veränderungen und dem hohen Gefährdungspotential in regelmässigen zeitlichen Abständen zu 
wiederholen. Derartige Überprüfungen und Revisionen sind im Rahmen von Audits bzw. Zertifizie-
rungsverfahren, wie sie das neue DSG vorsieht, an die Hand zu nehmen. Insbesondere mit der be-
vorstehenden Einführung der vollelektronischen Dossiers wird die konsequent durchorganisierte, 

 

 

 
 
 

21/23

 
 

dem Datenschutz vollauf gerecht werdende Architektur der entsprechenden AVD-Software unabding-
bar. Die CSS konnte während der Sachverhaltsabklärung weder über die effektive noch über die not-
wendige Anzahl Zugriffsberechtigungen genauen Angaben liefern. Deshalb verlangt der EDÖB von 
der CSS, sich einer externen und systematischen Untersuchung (Audit) unterziehen zu lassen, um die 
Erforderlichkeit und die Zweckmässigkeit der Anzahl von Zugriffsberechtigungen zu überprüfen. 
 
Empfehlung des EDÖB: 
 
Die CSS lässt ihren VAD im Rahmen eines externen Audits auf dessen Datenschutzkonformität hin 
überprüfen. 
 
 

9. Die neue Version AVD 
 
Wie aus den obigen Darlegungen ersichtlich, werden die medizinischen Dossiers bei der CSS 
schwerpunktmässig in Papierform bearbeitet und archiviert. Lediglich die Administrationsdaten (wer 
bearbeitet gerade das Patienten-Dossier X, wo befindet es sich zum Zeitpunkt usw.) werden elektro-
nisch erfasst. So kann jederzeit über jedes Dossier eine „History“ aller Bearbeitungszyklen eingese-
hen werden. Dieses papierlastige AVD-System soll möglichst umgehend durch eine vollelektronische 
neue Version abgelöst werden. Sie befindet sich zur Zeit in der Planungsphase. Vorgesehen ist die 
elektronische Bearbeitung und Archivierung sämtlicher medizinischer Patientendaten samt der dazu-
gehörigen Administrationsdaten. Die Aufbewahrungszeit umfasst 10 Jahre und sieht danach eine ge-
sicherte Löschung vor. Das neue System ist bis heute weder vom internen Datenschutz der CSS noch 
von Recht&Compliance abgenommen worden. Für die Umsetzung wird der Bericht des EDÖB abge-
wartet. 
 
 

10. Schlussfolgerungen 
10.1. Bezüglich der Kontrolle 

 
Im Rahmen seiner Sachverhaltsabklärung bei der CSS musste der EDÖB feststellen, dass sich der 
VA mit Datenschutzproblemen konfrontiert sieht. Dabei hat sich einmal mehr bewahrheitet, dass der 
Datenschutz nicht nur eine Frage von gesetzlichen Vorschriften und internen Weisungen ist, sondern 
vor allem Sache des Verhaltens der einzelnen Personen, die mit der Bearbeitung der Daten beauftragt 
sind. Nach den Presseberichten und der Sachverhaltsabklärung des EDÖB hat die CSS unverzüglich 
die notwendigen organisatorischen wie technischen Massnahmen getroffen und durch eine sofortige 
interne Analyse selbst Massnahmen zur Verbesserungen vorgenommen. Die CSS behauptet, 
dass zu keinem Zeitpunkt die hohe Zahl von 400 CSS Mitarbeiterinnen und Mitarbeiter auf das elekt-
ronische System „Anfragebewirtschaftung vertrauensärztlicher Dienst“ (AVD) Zugriff hatten, sondern 
lediglich rund 150 Personen. Ob allerdings auch nicht Zugriffsberechtigte Zugang zum sensiblen Be-
reich des VAD hatten (vgl. oben Ziffer 2), ist im Rahmen des vom BAG angehobenen Strafverfahrens 
abzuklären. Immerhin stellt der interne Revisionsbereicht der CSS selber fest, dass rückwirkend nicht 
mehr feststellbar sei, welcher Mitarbeiter zu welchem Bereich zu welchem Zeitpunkt Zugriffsberechti-
gung hatte. 
 
Die fehlende räumliche Abgrenzung des VAD von den übrigen Versicherungsteilen und die papier-
lastige Dossierverwaltung haben auf ein Problem hingewiesen, das wohl in ähnlichem Ausmass auch 
bei anderen Krankenversicherern auszuloten wäre. Gegen das Führen einer Datenbank mit heiklen 

 

 

 
 
 

22/23

 
 

Patientendaten für eine vertrauensärztliche Abklärung ist nichts einzuwenden. Die darin enthaltenen 
Informationen müssen jedoch zwingend im Kreis des vertrauensärztlichen Dienstes bleiben. So-
lange Patientendossiers überwiegend in Papierform behandelt werden, kann besagter Kreis – wie 
empfohlen – nur durch eine konsequente räumliche Abtrennung des VAD von den übrigen Bereichen 
erreicht werden. 
 
Es wird immer wieder betont, dass der Vertrauensarzt eine Scharnierfunktion zwischen Patient, be-
handelndem Arzt und Versicherung innehabe. Scharniere sind allgemein grosser Belastung unterwor-
fen. Mehr oder weniger ständig in Bewegung, bedürfen sie regelmässigen Unterhalts. Sind Scharniere 
zu schwach dimensioniert, führt dies früher oder später zu Funktionsstörungen. Tatsache bleibt, dass 
an den Scharnieren, an den Schnittstellen der AVD-Abläufe die grösste Gefahr von Lücken im System 
besteht. Die Stellung des L-VAD ist deshalb zu stärken. Er muss direkt der Geschäftsleitung unter-
stellt werden. Seine Unabhängigkeit ist auch dadurch zu stärken, dass er nicht gleichzeitig mit Aufga-
ben eines Gesellschaftsarztes für den Bereich des VVG belastet wird. Eine Stärkung seiner Stellung 
kann auch durch Datenschutzaudits erfolgen. 
 
 

10.2. Verfahren und weiteres Vorgehen 
 

In Anbetracht der Tatsache, dass auch andere Krankenkassen im Bereich des vertrauensärztlichen 
Dienstes sich mit den gleichen Abgrenzungsschwierigkeiten konfrontiert sehen, erweist sich die vor-
liegende Kontrolle als richtungsweisend für weitere Anwender (Krankenkassen). Aus besagtem Grund 
besteht ein grundsätzliches Interesse daran, die Öffentlichkeit für diese Art der Datenerhebung zu 
sensibilisieren und sie insbesondere über die erfolgte Datenschutzkontrolle bei der CSS und die dies-
bezüglichen Ergebnisse zu informieren. Gestützt auf Art. 30 Abs. 2 DSG wird der EDÖB daher den 
vorliegenden Kontrollbericht sowie die daraus resultierende Empfehlung betreffend der Organisation 
des AVD bei der CSS in einer angepassten Version der Öffentlichkeit zugänglich machen und die-
se Dokumente auf seiner Website (www.edoeb.admin.ch) publizieren. Selbstverständlich erfolgt die 
Publikation unter dem Vorbehalt, dass aus Sicht von CSS keine vertraulichen Daten, welche Ge-
schäftsgeheimnisse offenbaren oder die Konkurrenzfähigkeit beeinflussen könnten, bekannt gegeben 
werden. Die CSS wird daher aufgefordert, den Kontrollbericht und die Empfehlung auf solche vertrau-
lichen Inhalte hin zu überprüfen und dem EDÖB mit Frist von 30 Tagen entsprechend schriftliche 
Rückmeldung zu erstatten. 
 
Der vorliegende Kontrollbericht enthält eine Reihe von Feststellungen, welche auf der vom EDÖB 
durchgeführten Kontrolle basieren. Die CSS wird gebeten, vorliegenden Kontrollbericht sowie die dar-
in enthaltenen Feststellungen zur Kenntnis zu nehmen und den EDÖB mit Frist von 30 Tagen dar-
über zu informieren, ob von Seiten CSS irgendwelche Bemerkungen dazu vorliegen und ob, und wenn 
ja, welche Massnahmen zur Verbesserung sie in der Zwischenzeit zusätzlich selbst getroffen oder in 
die Wege geleitet hat 
 
 
Darüber hinaus enthält der vorliegende Kontrollbericht sechs Empfehlungen im Sinne des Art. 27 
Abs. 4 DSG, welche sich an die CSS Versicherung, Geschäftsleitung, Tribschenstrasse 21, Postfach 
2568, 6002 Luzern richtet. Die CSS teilt dem EDÖB mit Frist von 30 Tagen mit, ob sie diese Empfeh-
lung akzeptiert oder nicht. Falls die Empfehlung abgelehnt oder nicht befolgt wird, kann der EDÖB die 
Angelegenheit dem Departement oder der Bundeskanzlei zum Entscheid vorlegen (Art. 27 Abs. 5 
DSG). 
 

 

 

 
 
 

23/23

 
 

Bern, den 17. April 2007 

 

EIDGENÖSSISCHER 
DATENSCHUTZ- UND ÖFFENLICH-
KEITSBEAUFTRAGTER 
 

Der Beauftragte: 

 
 

Hanspeter Thür