6.1 Die zu Lasten der obligatorischen Krankenpflegeversicherung erbrachten Leistungen (Art. 25-31 KVG) müssen wirksam, zweckmässig und wirtschaftlich sein (Art. 32 Abs. 1 Satz 1 KVG). Der Leistungserbringer muss sich in seinen Leistungen auf das Mass beschränken, das im Interesse der Versicherten liegt und für den Behandlungszweck erforderlich ist (Art. 56 Abs. 1 KVG). Für Leistungen, die über dieses Mass hinausgehen, kann die Vergütung verweigert werden (Art. 56 Abs. 2 Satz 1 KVG). Der Krankenversicherer ist berechtigt und verpflichtet, zu überprüfen, ob die erbrachten Leistungen das Wirtschaftlichkeitsgebot respektieren (BGE 127 V 43 E. 2e S. 48).

6.2 Die von der Krankenversicherung zu übernehmenden Kosten umfassen unter anderem die in Pflegeheimen erbrachten Pflegeleistungen (Art. 25 Abs. 2 lit. a KVG), die aufgrund einer Bedarfsabklärung auf ärztliche Anordnung oder im ärztlichen Auftrag erbracht werden (Art. 7 Abs. 1 KLV). Gemäss Art. 8 Abs. 4 der Verordnung des EDI vom 29. September 1995 über Leistungen in der obligatorischen Krankenpflegeversicherung (Krankenpflege-Leistungsverordnung, KLV; SR 832.112.31) erfolgt die Bedarfsabklärung in Pflegeheimen durch die Ermittlung von Pflegebedarfsstufen (Art. 9 Abs. 4 KLV); bestätigt ein Arzt oder eine Ärztin die Einreihung einer versicherten Person in eine Pflegebedarfsstufe, gilt dies als ärztliche Anordnung oder als ärztlicher Auftrag. Je nach Pflegebedarfsstufe ist der Tarif, welchen der Krankenversicherer zu decken hat, unterschiedlich (vgl. Art. 9a KLV).

6.3 Die Beschwerdegegnerin begründete ihr Begehren auf Herausgabe der Unterlagen mit dem Bestreben, die Wirtschaftlichkeit der Leistungen und namentlich die BESA-Einstufung (BESA = "BewohnerInnen-Einstufungs- und Abrechnungssystem") der einzelnen Patienten überprüfen zu wollen. Zu Recht hält die Beschwerdeführerin nicht mehr an ihrer vorinstanzlich noch vertretenen Ansicht fest, dem Versicherer sei es grundsätzlich nicht erlaubt, die BESA-Einstufung zu kontrollieren. Denn diese Einstufung hat einen erheblichen Einfluss auf die Höhe der vom Versicherer zu erbringenden Leistungen: Eine allenfalls unrichtige (zu hohe) Einstufung stellt eine unwirtschaftliche Leistung dar, für welche die Vergütung zu verweigern ist (Art. 56 Abs. 2 KVG); dies setzt zwangsläufig voraus, dass der Versicherer überprüfen kann, ob die Einstufung richtig ist. Die Beschwerdeführerin stellt sich jedoch auf den Standpunkt, für diese Überprüfung seien die Pflegeberichte und die Vitalzeichenkontrolle nicht erforderlich. Zudem sei die Herausgabe der übrigen verlangten Unterlagen (standardisierte und individuelle Pflegeplanung sowie individuelle Therapiepläne) nicht pauschal zulässig, sondern nur dann, wenn der Versicherer zuvor dem Leistungserbringer auf den konkreten Fall bezogene spezifische Fragen gestellt habe und die erhaltenen Angaben ausnahmsweise nicht ausreichten für die Erfüllung der Aufgaben des Versicherers. Der Versicherer habe im Einzelfall ein detailliert und konkret begründetes Gesuch zu stellen und zu belegen, dass er die Angaben für die Erfüllung seiner Aufgaben benötige. Die Beschwerdeführerin stützt ihre Auffassung auf datenschutzrechtliche Grundsätze.

6.4 Die Krankenversicherer gelten als Bundesorgane im Sinne von Art. 2 Abs. 1 lit. b und Art. 3 lit. h des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz (DSG; SR 235.1; BGE 131 II 413 E. 2.3 S. 416; Urteil des Eidg. Versicherungsgerichts K 34/01 vom 9. Oktober 2001, E. 5a mit weiteren Hinweisen, publ. in: RKUV 2002 Nr. KV 195 S. 1) und dürfen gemäss Art. 17 Abs. 1 DSG Personendaten bearbeiten, wenn dafür eine gesetzliche Grundlage besteht. Besonders schützenswerte Personendaten, wozu namentlich Daten über die Gesundheit gehören (Art. 3 lit. c Ziff. 2 DSG), und Persönlichkeitsprofile dürfen sie nur unter einschränkenden Voraussetzungen bearbeiten, namentlich wenn ein formelles Gesetz es ausdrücklich vorsieht (Art. 17 Abs. 2 DSG). Während Art. 84 KVG in der bis 31. Dezember 2000 gültig gewesenen Fassung generell auf das DSG (mit Ausnahme von dessen Art. 12-15) verwies, enthalten nun die Art. 84 und 84a KVG (in der Fassung vom 23. Juni 2000, in Kraft seit 1. Januar 2001) eine eigenständige Regelung des Datenschutzes in der Krankenversicherung. Nach Art. 84 KVG sind die mit der Durchführung sowie der Kontrolle oder der Beaufsichtigung der Durchführung dieses Gesetzes betrauten Organe, wozu auch die Krankenversicherer gehören (Botschaft des Bundesrates über die Anpassung und Harmonisierung der gesetzlichen Grundlagen für die Bearbeitung von Personendaten in den Sozialversicherungen vom 24. November 1999, BBl 2000 S. 255 ff., 263), befugt, die Personendaten, einschliesslich besonders schützenswerter Personendaten und Persönlichkeitsprofile, zu bearbeiten oder bearbeiten zu lassen, die sie benötigen, um die ihnen nach diesem Gesetz übertragenen Aufgaben zu erfüllen, namentlich unter anderem um Leistungsansprüche zu beurteilen (lit. c). Die Bearbeitung von Personendaten muss sich auf das beschränken, was zur Erfüllung der Aufgaben nötig ist; besondere Bestimmungen, wie etwa Art. 42 KVG, haben Vorrang vor der allgemeinen Regelung (Botschaft, a.a.O., S. 263; POLEDNA/BERGER, Öffentliches Gesundheitsrecht, Bern 2002, S. 146). Nach Art. 42 Abs. 3 KVG muss der Leistungserbringer dem Schuldner (d.h. im System des Tiers payant dem Versicherer) eine detaillierte und verständliche Rechnung zustellen (Satz 1) und ihm auch alle Angaben machen, die er benötigt, um die Berechnung der Vergütung und die Wirtschaftlichkeit der Leistung überprüfen zu können (Satz 2). Der Bundesrat regelt die Einzelheiten (Satz 4). Nach Art. 42 Abs. 4 KVG kann der Versicherer eine genaue Diagnose oder zusätzliche Auskünfte medizinischer Natur verlangen.

Art. 42 Abs. 3 und 4 sowie Art. 84 und 84a KVG stellen eine formellgesetzliche Grundlage im Sinne von Art. 17 Abs. 2 DSG dar (BGE 131 II 413 E. 2.3 S. 416 f.; Urteil des Eidg. Versicherungsgerichts K 7/05 vom 18. Mai 2006, E. 4.3, publ. in: RKUV 2006 Nr. KV 373 S. 286; Botschaft, a.a.O., S. 260 f.). Die Datenbearbeitung im Bereich der Krankenversicherung richtet sich in erster Linie nach diesen spezialgesetzlichen Bestimmungen, welche den Datenschutz konkretisieren und als sowohl jüngere wie auch speziellere Bestimmungen dem DSG vorgehen (ISABELLE HÄNER, Datenschutz in der Krankenversicherung, digma 2003 S. 146 ff., 146; ALFRED MAURER, Das neue Krankenversicherungsrecht, Basel 1996, S. 161; EUGSTER/LUGINBÜHL, Datenschutz in der obligatorischen Krankenpflegeversicherung, in: Hürlimann/Jacobs/Poledna [Hrsg.], Datenschutz im Gesundheitswesen, Zürich 2001, S. 73 ff., 80). Ist eine Datenbearbeitung nach diesen Bestimmungen rechtmässig, besteht kein Raum, sie gestützt auf das Datenschutzgesetz als unrechtmässig zu erklären (vgl. Urteil des Eidg. Versicherungsgerichts K 23/00 vom 8. April 2002, E. 7b).

6.5 Die Wirtschaftlichkeitskontrolle, die der Versicherer gemäss Art. 56 Abs. 2 KVG vornehmen muss, dient der Kontrolle über die Leistungserbringer. Schon aus dieser Zielsetzung ergibt sich, dass entgegen einer in der Literatur zum Teil vertretenen Ansicht (GEHRING/THEILER/BREITSCHMID, Weitergabe von Patientendaten an Versicherer im Spannungsfeld von Kostendruck und Persönlichkeitsrecht, Schweizerische Ärztezeitung 2005 S. 2751 ff., 2753 und 2755) nicht vom Leistungserbringer zu beurteilen ist, welche Angaben er dem Versicherer liefert, würde doch sonst der zu Kontrollierende selber den Umfang der Kontrolle festlegen (EUGSTER/LUGINBÜHL, a.a.O., S. 97). Vielmehr richtet sich der Umfang der Auskunftspflicht danach, was der Versicherer für die Durchsetzung seiner Rechte und der Pflicht zur Kontrolle der Wirtschaftlichkeit gemäss Art. 32 KVG als notwendig erachtet (Urteil des Eidg. Versicherungsgerichts K 34/01 vom 9. Oktober 2001, E. 4, publ. in: RKUV 2002 Nr. KV 195 S. 1; EUGSTER, Krankenversicherung, in: Schweizerisches Bundesverwaltungsrecht [SBVR], Soziale Sicherheit, 2. Aufl., S. 625 Rz. 686; POLEDNA/BERGER, a.a.O., S. 147 Fn. 496, S. 148 f.). Die Auskunftspflicht unterliegt freilich dem Verhältnismässigkeitsprinzip; sie kann sich sowohl im Lichte des Datenschutzrechts als auch unter Berücksichtigung der administrativen Belastung für den Leistungserbringer nur auf Angaben erstrecken, die objektiv erforderlich und geeignet sind, um die Wirtschaftlichkeit der Leistungen überprüfen zu können (BGE 131 II 413 E. 2.5 S. 418; Urteil des Eidg. Versicherungsgerichts K 90/01 vom 27. November 2001, E. 2c; BRUNO BAERISWYL, Entwicklungen und Perspektiven des Datenschutzes in öffentlich-rechtlichen Krankenhäusern - Erfahrungen aus dem Kanton Zürich, in: Hürlimann/Jacobs/ Poledna [Hrsg.], a.a.O., S. 49 ff., 62 f.; JEAN-LOUIS DUC, Quelques considérations sur le secret médical, la collecte des données relatives à la santé ainsi qu'à l'incapacité de travail et les médecins-conseils dans les assurances sociales, in: Jean-Louis Duc, Etudes de droit social, Genève 2001, S. 61 ff., 64; THOMAS EICHENBERGER, Löcher im Datenschutz der Krankenversicherer, Schweizerische Ärztezeitung 2006 S. 505 f., 505; EUGSTER/LUGINBÜHL, a.a.O., S. 81; HÄNER, a.a.O., S. 147). Immerhin muss dem Versicherer dabei ein gewisser Beurteilungsspielraum eingeräumt werden, auf welche Weise und mit welchen Angaben er diese Überprüfung vornimmt.

7.1 Gemäss den dargelegten Grundsätzen kann der Versicherer im Zusammenhang mit Pflegeleistungen vom Leistungserbringer verlangen, dass ihm diejenigen Elemente der Bedarfsabklärung mitgeteilt werden, welche die Leistungen nach Art. 7 Abs. 2 KLV betreffen (vgl. Art. 8 Abs. 5 KLV). Da der zu vergütende Umfang dieser Leistungen von der Pflegebedarfsstufe abhängt (vgl. Art. 9a Abs. 2 KLV), sind somit die für die Ermittlung dieser Stufe erforderlichen Angaben dem Versicherer auf Verlangen mitzuteilen. Die Beschwerdeführerin ist allerdings der Meinung, dass die Pflegeberichte und die Vitalzeichenkontrolle Angaben enthielten, die in keinem Zusammenhang mit den vom Versicherer zu erbringenden Leistungen stehen.

7.2 Dass diese Berichte - wie die Beschwerdeführerin geltend macht - besonders schützenswerte bzw. persönliche Daten enthalten, ist für sich allein noch kein Argument gegen ihre Übermittlung, da - wie dargelegt (vorne E. 6.4 und 6.5) - Art. 42 Abs. 3 und 4 KVG eine genügende gesetzliche Grundlage darstellt, um auch solche Daten herausverlangen zu können. Entscheidend ist, ob diese Unterlagen geeignet und notwendig sind, um die Wirtschaftlichkeit der Leistungserbringung, namentlich die Ermittlung der Bedarfsstufe, zu überprüfen.

7.3 Die Pflege- und Therapieplanung, gegen deren Herausgabe sich die Beschwerdeführerin nicht mehr grundsätzlich wendet, dokumentiert die zu erbringenden Pflege- und Therapiemassnahmen. Die Information darüber ist notwendig für die Beurteilung der Angemessenheit der Pflegebedarfsstufe. Indessen geben die entsprechenden Berichte nicht direkt den gesundheitlichen Zustand des Patienten wieder, indem sie nicht die Grundlage der Bedarfsabklärung, sondern vielmehr deren Resultat darstellen. Um den pflegerischen Bedarf als solchen (und damit die Korrektheit der Ermittlung der Pflegebedarfsstufe) überprüfen zu können, kann deshalb nicht einzig auf die Pflege- und Therapieplanung abgestellt werden, sondern es sind auch Unterlagen erforderlich, welche über den gesundheitlichen Zustand des Patienten Aufschluss geben. Dies trifft zu für den Pflegebericht, auf den sich die Pflegeplanung stützt und der deshalb den Kernpunkt des ganzen Prozesses der Pflegeplanung bildet. Auch die Vitalzeichenkontrolle ist geeignet, über den tatsächlichen Zustand des Patienten und damit über seinen Pflegebedarf Aufschluss zu geben. Diese Unterlagen sind generell geeignet und erforderlich für die Überprüfung der Richtigkeit der Pflegebedarfsermittlung und damit für die Verbesserung der Wirtschaftlichkeitskontrolle; der Krankenversicherer kann daher grundsätzlich vom Leistungserbringer ihre Herausgabe verlangen.

8. Die Beschwerdeführerin beantragt weiter, dass die Herausgabe der gesamten Unterlagen nur auf im Einzelfall begründetes Gesuch hin verlangt werden kann.

8.1 Weder Art. 42 KVG noch Art. 8 Abs. 5 KLV enthalten eine solche Einschränkung des Auskunftsrechts. Eine solche ergibt sich entgegen der in der Verwaltungsgerichtsbeschwerde vertretenen Auffassung auch nicht aus dem Verhältnismässigkeitsprinzip. Wenn die genannten Berichte generell geeignet und erforderlich für die Prüfung der Richtigkeit der Pflegebedarfseinstufung sind (vorne E. 7.3), dann trifft dies auch auf jeden einzelnen Fall zu. Die von der Beschwerdeführerin geforderte Voraussetzung einer individuellen Begründung im Einzelfall würde darauf hinauslaufen, dass die Krankenversicherer darlegen müssten, weshalb sie bei einer bestimmten Person eine Überprüfung vornehmen wollen. Mit Blick darauf, dass es angesichts der grossen Mengen von Abrechnungen den Versicherern nicht möglich ist, jeden Einzelfall zu prüfen, muss es zulässig sein, dass sie Stichproben vornehmen, d.h. einen zufällig ausgewählten Teil einer Kontrolle unterziehen. Dem widerspräche es, wenn die Wahl der Probe im Sinne des in der Verwaltungsgerichtsbeschwerde vertretenen Standpunkts begründet werden müsste. Es kann offensichtlich auch nicht im Belieben des Leistungserbringers stehen, zu bestimmen, bezüglich welcher Personen die Überprüfung erfolgt, könnte doch damit deren Zweck vereitelt werden (vgl. vorne E. 6.5). Auch wenn der Anlass für die Überprüfung im Umstand besteht, dass in einem bestimmten Heim überdurchschnittlich viele Patienten in hohen Pflegebedarfsstufen eingereiht sind, ergeben sich daraus nicht zwangsläufig Anhaltspunkte dafür, welche einzelnen Patienten allenfalls zu hoch eingereiht worden sein könnten. Auch in diesem Fall wird meist anhand von Stichproben die Einreihungspraxis des betreffenden Heims zu überprüfen sein.

8.2 Im Hinblick auf das Verhältnismässigkeitsprinzip ist auch der Verwaltungsaufwand für alle Beteiligten zu würdigen (EUGSTER/ LUGINBÜHL, a.a.O., S. 103 ff.). Auch unter diesem Aspekt kann vom Versicherer nicht verlangt werden, dass er - wie das die Beschwerdeführerin vorschlägt - jeweils zunächst im Einzelfall spezifische Fragen stellt und anschliessend das Herausgabebegehren eingehend begründet. Dies wäre überdies auch für die Leistungserbringer mit einem erheblichen zusätzlichen Aufwand verbunden. Zudem wäre ein solches Vorgehen auch nicht im Interesse der Versicherten, weil es eine grosse zeitliche Verzögerung verursachen könnte, während welcher die Berechtigung der Vergütung nicht abgeklärt und die Vergütung daher verweigert werden kann (Art. 56 Abs. 1 und 2 KVG). Schliesslich würde die Beantwortung dieser Fragen selber - soll sie überhaupt aussagekräftig sein - wieder eine zusätzliche Bearbeitung von besonders schutzwürdigen Personendaten darstellen, die vermieden werden kann, wenn bloss diejenigen Daten herausgegeben werden, die ohnehin schon vorhanden sind. Das von der Beschwerdeführerin vorgeschlagene Verfahren würde damit bloss auf eine sinnlose und schikanöse Erschwerung der Wirtschaftlichkeitskontrolle hinauslaufen.

8.3 In Bezug auf die Einhaltung des Datenschutzes ist sodann daran zu erinnern, dass einerseits eine persönliche Einwilligung des Patienten in die Datenherausgabe nicht erforderlich ist, wenn - wie das hier der Fall ist - dafür eine genügende gesetzliche Grundlage besteht (BGE 131 II 413 E. 2.5 S. 418), andererseits aber auch die Krankenversicherer und ihre Angestellten ihrerseits der strafrechtlich sanktionierten Schweigepflicht unterliegen (Art. 33 ATSG; Art. 92 lit. c KVG) und dass schliesslich dem Arztgeheimnis auch durch die in Art. 42 Abs. 5 KVG vorgesehene Abgabe an den Vertrauensarzt Rechnung getragen werden kann.