Datenschutz bei Versicherungen

Beim Datenschutz bei Versicherungen liegt die Schwierigkeit nicht in der Menge der Daten, sondern in ihrer Art. Wer eine Berufsunfähigkeits-, Kranken- oder Lebensversicherung kalkuliert, braucht Gesundheitsdaten – und die sind nach Art. 9 DSGVO besondere Kategorien, deren Verarbeitung grundsätzlich untersagt ist.

Die Erlaubnis kommt vom Kunden, nicht vom Gesetz

Für die Risikoprüfung ist die tragende Grundlage die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a. Daneben tritt § 213 VVG, der die Erhebung von Gesundheitsdaten bei Dritten – Ärzten, Krankenkassen, anderen Versicherern – an enge Voraussetzungen knüpft.

Zwei davon werden in der Praxis am häufigsten verfehlt:

Die Erhebung muss erforderlich sein. Eine pauschale Ermächtigung, „alle behandelnden Ärzte” zu befragen, trägt nicht. Zulässig ist die anlassbezogene Einzelerhebung – wer gefragt wird und wonach, muss bestimmbar sein.

Die betroffene Person behält die Wahl. Sie kann verlangen, dass jede Erhebung ihr vorher angekündigt wird und sie ihr widersprechen kann. Eine Schweigepflichtentbindung, die diese Wahl nicht abbildet, ist angreifbar – und mit ihr die gesamte darauf gestützte Prüfung.

Dasselbe gilt in der Leistungsprüfung: Die Einwilligung aus dem Antrag deckt nicht automatisch die Ermittlungen im Leistungsfall Jahre später ab.

Die Vermittlerkette

Selten sauber geklärt, obwohl sie über alles Weitere entscheidet.

Der gebundene Vertreter handelt für den Versicherer; die Daten fließen in dessen Verantwortung.

Der Makler ist Sachwalter des Kunden. Er handelt weisungsfrei, wählt selbst aus, welche Angebote er einholt – und ist damit in aller Regel eigenständig verantwortlich, nicht Auftragsverarbeiter des Versicherers. Wer hier reflexhaft einen Vertrag nach Art. 28 schließt, beschreibt eine Weisungsbindung, die es nicht gibt.

Dienstleister – Rechenzentrum, Aktenarchiv, Callcenter, Regulierungsdienst – sind Auftragsverarbeiter mit den üblichen Pflichten; die Einstufung beschreibt das Lieferantenaudit.

Für den Makler folgt daraus eine eigene Pflichtenlage: eigenes Verarbeitungsverzeichnis, eigene Informationspflichten, eigene Löschfristen. Und ab zwanzig ständig mit der Verarbeitung befassten Personen – oder bei umfangreicher Verarbeitung von Gesundheitsdaten unabhängig davon – ein eigener Datenschutzbeauftragter.

Automatisierte Entscheidungen

Antragsannahme, Tarifierung, Betrugserkennung, Regulierung: Vieles läuft regelbasiert oder modellgestützt. Art. 22 DSGVO verbietet Entscheidungen mit rechtlicher Wirkung, die ausschließlich automatisiert ergehen – und die Ablehnung eines Antrags ist eine solche Entscheidung.

Die übliche Antwort, ein Sachbearbeiter sehe darüber, trägt nur, wenn er tatsächlich abweichen kann und es gelegentlich auch tut. Wer den Vorschlag nie überstimmt, hat faktisch eine automatisierte Entscheidung. Kommt KI ins Spiel, treten die Pflichten der KI-Verordnung hinzu; die Prüfliste steht unter KI-Werkzeuge prüfen.

Auch das branchenweite Hinweis- und Informationssystem gehört hierher: Ein Eintrag wirkt sich auf künftige Verträge aus, ist für die betroffene Person kaum sichtbar und unterliegt vollständig den Betroffenenrechten.

Aufbewahren und löschen

Versicherungsverträge laufen Jahrzehnte, Verjährungsfristen ebenso, und handels- wie steuerrechtliche Pflichten kommen hinzu. Das rechtfertigt lange Aufbewahrung – aber nicht, dass alles aktiv bleibt. Sauber ist die Trennung: gesperrt, was der Aufbewahrung unterliegt, gelöscht, was nur „vielleicht noch nützlich” ist. Besonders bei Gesundheitsdaten aus abgelehnten Anträgen ist das kein Detail. Die Fristen gehören ins Löschkonzept.

Kontakt

Sie sind Versicherer, Makler oder Assekuradeur und wollen die Rollen sauber zuordnen? Diese Frage steht vor allen Verträgen.