(1) Die Kranken- und Pflegekassen können zum Gesundheitsschutz eines Versicherten datengestützte Auswertungen vornehmen und den Versicherten auf die Ergebnisse dieser Auswertung hinweisen, soweit die Auswertungen den folgenden Zwecken dienen:

1. 1. der Erkennung von seltenen Erkrankungen,
2. 2. der Erkennung von Krebserkrankungen,
3. 3. der Erkennung von schwerwiegenden Gesundheitsgefährdungen, die durch die Arzneimitteltherapie entstehen können,
4. 4. der Erkennung einer noch nicht festgestellten Pflegebedürftigkeit nach § 14 des Elften Buches,
5. 5. der Erkennung ähnlich schwerwiegender Gesundheitsgefährdungen, soweit dies aus Sicht der Kranken- und Pflegekassen im überwiegenden Interesse der Versicherten ist, oder
6. 6. der Erkennung des Vorliegens von Impfindikationen für Schutzimpfungen, die von der Ständigen Impfkommission nach § 20 Absatz 2 des Infektionsschutzgesetzes empfohlen sind.

(2) Eine Verarbeitung der bei den Kranken- und Pflegekassen vorliegenden personenbezogenen Daten der Versicherten zur Durchführung einer Auswertung nach Absatz 1 ist ohne Einwilligung der betroffenen Person nur zulässig, soweit sie zu den in Absatz 1 genannten Zwecken erforderlich und geeignet ist. Die Kranken- und Pflegekassen haben in den Hinweisen nach Absatz 1 auf die Möglichkeit des Widerspruchs nach Absatz 3 hinzuweisen und über ihre Pflicht nach Absatz 5 in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu informieren. Ein Eingreifen in die ärztliche Therapiefreiheit oder eine Beschränkung der Wahlfreiheit der Versicherten im Rahmen von Hinweisen nach Absatz 1 ist unzulässig. Die Weitergabe der bei den Kranken- und Pflegekassen vorliegenden personenbezogenen Daten der Versicherten an Dritte ist untersagt. Abweichend von Satz 4 ist die Verarbeitung dieser Daten durch Auftragsverarbeiter zulässig.

(3) Die Datenverarbeitung nach Absatz 2 ist zu unterlassen, soweit der Versicherte einer Datenverarbeitung ausdrücklich gegenüber seiner Kranken- und Pflegekasse widersprochen hat. Die Versicherten sind rechtzeitig, mindestens vier Wochen vor Beginn der in Absatz 1 genannten Datenverarbeitung, von den Kranken- und Pflegekassen über die Datenverarbeitung und über die Möglichkeit des Widerspruchs nach Satz 1 in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache, auch öffentlich, zu informieren. Die Einlegung des Widerspruchs muss barrierefrei und jederzeit möglich sein. In den Informationen nach Satz 2 müssen die Kranken- und Pflegekassen darüber informieren, dass sie gemäß Absatz 6 Satz 1 Versicherte, die der Verarbeitung nach Absatz 2 nicht widersprochen oder widersprochen haben, nicht bevorzugen oder benachteiligen dürfen.

(4) Sofern bei einer in Absatz 1 genannten Auswertung eine konkrete Gesundheitsgefährdung, das konkrete Risiko einer Erkrankung oder einer Pflegebedürftigkeit oder das Vorliegen einer Impfindikation identifiziert wird, ist der Versicherte hierauf umgehend in präziser, transparenter, verständlicher Weise und in einer klaren und einfachen Sprache hinzuweisen. Der Hinweis nach Satz 1 ist mit einer Empfehlung zu verbinden, eine ärztliche, zahnärztliche, psychotherapeutische oder pflegerische Beratung in Anspruch zu nehmen. Die Empfehlung ist zu begründen. Die Hinweise nach Satz 1 erfolgen schriftlich und können, soweit erforderlich, zusätzlich in einer anderen geeigneten Form erfolgen. Die Kranken- und Pflegekassen haben die Hinweise nach Satz 1 zu Dokumentations- und Transparenzzwecken in die elektronische Patientenakte zu übermitteln und dort zu speichern.

(5) Die Kranken- und Pflegekassen sind verpflichtet, auf Anfrage der betroffenen Person oder ihres Vertreters, dieser oder diesem die Datengrundlage mitzuteilen, auf welcher ein Hinweis nach Absatz 1 oder Absatz 4 erteilt wurde.

(6) Die Kranken- und Pflegekasse ist verpflichtet, der Aufsichtsbehörde vor Beginn der Verarbeitung personenbezogener Daten nach Absatz 2 die Ziele und Datengrundlagen einer in Absatz 1 genannten Auswertung anzuzeigen. Über ein Programm zu der in Absatz 1 genannten Auswertung hat die Krankenkasse oder Pflegekasse den Verwaltungsrat der Krankenkasse oder Pflegekasse unverzüglich zu unterrichten.

(7) Die Versicherten dürfen nicht bevorzugt oder benachteiligt werden, weil sie einer Datenverarbeitung nach Absatz 2 nicht widersprochen oder widersprochen haben. Die Versicherten dürfen nicht bevorzugt oder benachteiligt werden, weil sie einen Hinweis nach Absatz 1 oder Absatz 4 beachtet oder nicht beachtet haben.

(8) Der Spitzenverband Bund der Krankenkassen berichtet dem Bundesministerium für Gesundheit jährlich, erstmals bis zum 30. Juni 2026 darüber, wie und in welchem Umfang Versicherte über Maßnahmen nach den Absätzen 2 und 4 informiert wurden, wie und in welchem Umfang Maßnahmen nach den Absätzen 2 und 4 durchgeführt wurden und welche Auswirkungen diese Maßnahmen auf die Versorgung haben sowie über die Zahl der Versicherten, die von dem Widerspruchsrecht nach Absatz 3 Gebrauch gemacht haben. Der Spitzenverband Bund der Krankenkassen bestimmt zu diesem Zweck die von seinen Mitgliedern zu übermittelnden Informationen.

(9) Hat eine Kranken- und Pflegekasse entgegen den vorstehenden Absätzen Daten verarbeitet und hat ein Vorstandsmitglied hiervon gewusst oder hätte hiervon wissen müssen, hat die zuständige Aufsichtsbehörde nach Anhörung des Vorstandsmitglieds den Verwaltungsrat zu veranlassen, das Vorstandsmitglied auf Ersatz des aus dieser Pflichtverletzung entstandenen Schadens in Anspruch zu nehmen, falls der Verwaltungsrat das Regressverfahren nicht bereits von sich aus eingeleitet hat.