Im Gegensatz zur Daten-Affäre um die Dating-App Grindr, bei der ebenfalls der HIV-Status von Mitgliedern unbefugt preisgegeben worden sein soll, handelt es sich bei CVS um einen analogen Fehltritt: Im Juli und August 2017 hatte das Unternehmen Briefe an mehr als 6000 HIV-Patienten verschickt, die im Rahmen des Ohio Drug Assistance Program (OhDAP) versorgt werden. OhDAP ist ein öffentliches Programm, das kaum oder gar nicht versicherten Amerikanern Zugang zu Medikamenten verschaffen soll, wenn sie sich diese aufgrund ihrer finanziellen Situation nicht leisten können.

CVS wiederum stellt als Partnerunternehmen Medikamente zur Verfügung und ist für die Kommunikation mit den Patienten zuständig, weswegen die Kette Briefe an Patienten versandt hatte. Das Problem daran: Die Briefe wurden mit einem Sichtfenster versehen, aus dem eindeutig ersichtlich war, dass der Empfänger HIV-positiv ist. Denn direkt über dem Namen des Empfängers stand der Referenzcode des Programms, der mit den fettgedruckten Buchstaben HIV endet. Über dem Sichtfenster wiederum war zusätzlich in großen Lettern ein Hinweis an den Empfänger, dass es sich in der Angelegenheit um verschreibungspflichtige Medikamente handelt.

Bei wie vielen der 6000 Betroffenen das tatsächlich dazu geführt hat, dass Unbefugte deren HIV-Status in Erfahrung brachten, ist noch nicht bekannt. Drei von ihnen haben sich jedoch daraufhin zusammengetan und Ende März anonym eine Sammelklage gegen die Apothekenkette angestrengt. Das Vorgehen von CVS widerspreche dem Standardvorgehen des Gesundheitsministeriums von Ohio und habe „zu einer potenziellen oder tatsächlichen Offenlegung des HIV-Status der Empfänger gegenüber zahlreichen Personen inklusive deren Familien, Freunden, Mitbewohnern, Vermietern, Nachbarn, Postausträgern und Wildfremden“ geführt, heißt es dazu in der Klageschrift.

Es handele sich deshalb um eine „bewusste Missachtung der Persönlichkeitsrechte und der Sicherheit der betroffenen Personen, die ihnen mit hoher Wahrscheinlichkeit Schaden zufügen kann”, wird den Unternehmen vorgeworfen. „HIV-Infizierte sind nach wie vor Stigmatisierungen, Erniedrigung, seelischen Qualen, Scham und Stress ausgesetzt“, so die Anwälte der Kläger. Die Offenlegung des HIV-Status könne sogar dazu führen, dass die Betroffenen Wohnung, Beziehungen oder ihren Arbeitsplatz verlieren.

Genau das befürchten die drei anonymen Kläger nun ihren Anwälten zufolge. CVS habe „jedem eine Waffe in die Hand gegeben, der den Briefumschlag zu sehen bekam“, da der Kläger nun der Gefahr von Diffamierungen und persönlichen Attacken ausgesetzt sei. Ein anderer lebe „in einer Stadt, in der jeder jeden kennt” und befürchte nun persönliche Nachteile in seinem sozialen Umfeld.

CVS hielt sich bisher bedeckt zu den konkreten Anschuldigungen. Dem US-Nachrichtensender ABC versicherte der Konzern: „Wir räumen der Privatsphäre unserer Kunden höchste Priorität ein und werden unserer Verantwortung gerecht, vertrauliche Informationen zu schützen.” Der Referenzcode über dem Namen des Empfängers habe sich lediglich auf das Programm bezogen und nicht auf den HIV-Status der Person. „Sofort nachdem wir von dem Vorfall erfuhren, haben wir Schritte eingeleitet, damit in Zukunft anstelle des Referenzcodes lediglich der Name zu sehen ist.” Das Unternehmen versicherte, dass keine weiteren sensiblen Informationen weitergegeben worden seien.

Welche Folgen die Causa für CVS haben könnte, lässt sich bereits anhand eines ähnlichen Falles mutmaßen: Aetna – die Krankenversicherung, deren Kauf CVS Ende vergangenen Jahres angekündigt hat – hatte Anfang des Jahres 17 Millionen US-Dollar Entschädigung an fast 12.000 ihrer Kunden gezahlt. Das Unternehmen hatte Briefe mit Hinweisen zum Ausfüllen von Formularen an Kunden geschickt, die HIV-infiziert sind und an Kunden, die Präexpositionsprophylaxe (PrEP) nehmen. Wie im Fall von CVS wurden die Briefe mit Sichtfenstern verschickt, aus denen der HIV-Status der Empfänger ersichtlich war.

Ein größeres Medienecho fand in Deutschland der Fall der Dating-App Grindr. In der vor allem von homo- und bisexuellen Männern genutzten App kann man freiwillig angeben, ob man HIV-positiv ist und wann man den letzten Test hat machen lassen. Das norwegische Forschungsinstitut Sintef fand heraus, dass Grindr diese Daten an zwei Firmen weitergegeben hat, die die Grindr-Software optimieren sollen. Neben den HIV-Daten waren beispielsweise auch Wohnort und E-Mail-Adresse Teil der jeweiligen Datensätze, sodass sich aus der Kombination der Informationen die jeweiligen Nutzer identifizieren ließen.