DSGVO für Versicherungen in Deutschland 2026

In einem Satz. Versicherungsunternehmen in Deutschland unterliegen einer komplexen Verschachtelung aus DSGVO, VVG (Versicherungsvertragsgesetz), VAG (Versicherungsaufsichtsgesetz, BaFin-Aufsicht), dem GDV Code of Conduct als Branchenstandard und bei Krankenversicherern den besonders strengen Anforderungen an Gesundheitsdaten nach Art. 9 DSGVO und § 22 BDSG.

Versicherungen verarbeiten besonders sensible Daten in großem Umfang: Gesundheit (PKV), Finanzen, Lebenssituation, Schadensgeschichte. BaFin und BfDI/LDA überwachen parallel — wie auch bei Banken und Fintechs. Der Code of Conduct des Gesamtverbands der Deutschen Versicherungswirtschaft (GDV) ist 2018 als erster DSGVO-Verhaltenskodex genehmigt worden und Branchenstandard. Die aufsichtsrechtlichen Vorgaben veröffentlicht die BaFin; die maßgeblichen Vorschriften zu besonderen Datenkategorien stehen in Art. 9 des DSGVO-Volltextes auf EUR-Lex.

Wichtige Punkte

• Doppelaufsicht: BaFin (VAG) und BfDI/LDA (DSGVO).
• GDV Code of Conduct ist genehmigter DSGVO-Verhaltenskodex (Art. 40).
• Gesundheitsdaten der PKV: Art. 9 + § 22 BDSG + § 213 VVG (Schweigepflichtentbindung).
• Telematik-Tarife: hohe Transparenzanforderungen, Profiling iSv Art. 22 möglich.
• Schadenregulierung: berechtigte Interessen + Hinweis- und Informationssystem (HIS).

1. Rechtsgrundlagen

Verarbeitung	Rechtsgrundlage
Antragstellung	Art. 6 Abs. 1 lit. b (Vertragsanbahnung)
Vertragsabwicklung	Art. 6 Abs. 1 lit. b
Schadensregulierung	Art. 6 Abs. 1 lit. b + lit. f
Risikoprüfung Gesundheit	Art. 9 Abs. 2 lit. h + § 22 BDSG + § 213 VVG
HIS-Abfrage	Art. 6 Abs. 1 lit. f
Marketing	Einwilligung (Art. 6 Abs. 1 lit. a)

2. GDV Code of Conduct

Erster genehmigter DSGVO-Verhaltenskodex (Art. 40) in Deutschland (2018). Inhalte:

• Mustertexte für Informationspflichten
• Datenkategorien-Kataloge je Sparte
• Aufbewahrungsfristen-Standards
• AVV-Muster für Versicherungsbranche

Bindend für GDV-Mitglieder, faktisch Branchenstandard. Der praktische Wert liegt in der Rechtssicherheit: Wer die Mustertexte und Aufbewahrungsstandards des Kodex konsequent anwendet, kann sich gegenüber der Aufsicht auf einen genehmigten Verhaltenskodex nach Art. 40 DSGVO berufen. Das ersetzt zwar nicht die eigene Rechenschaftspflicht (Art. 5 Abs. 2), verschiebt aber die Argumentationslast — Abweichungen vom Kodex muss der Versicherer begründen, nicht seine Einhaltung.

3. Gesundheitsprüfung in der PKV

Antragstellung in der privaten Krankenversicherung verlangt umfangreiche Gesundheitsangaben. Rechtlich:

• § 213 VVG: Versicherer darf Auskünfte einholen
• Pauschale Schweigepflichtentbindung unzulässig (BGH 2021)
• Stattdessen: Einzelfall-Entbindungserklärung
• Recht auf “vorläufige Einsicht” durch Versicherten

4. Hinweis- und Informationssystem (HIS)

Branchen-Datei zur Betrugsprävention, betrieben durch informa Insurance Risk and Fraud Prevention. Einträge bei:

• Auffälliger Schadensmeldung
• Vertragsende wegen Risikoausschluss
• Bekannten Betrugsversuch

Rechtsgrundlage Art. 6 Abs. 1 lit. f. Informationspflicht gegenüber Betroffenen, Auskunftsrecht über informa. Kritisch ist die Datenqualität: Ein fehlerhafter HIS-Eintrag kann einem Betroffenen künftige Vertragsabschlüsse erschweren und löst deshalb sowohl ein Bußgeldrisiko als auch Schadensersatzansprüche nach Art. 82 DSGVO aus. Vor jedem Eintrag ist daher zu prüfen, ob belastbare Anhaltspunkte vorliegen, und der Betroffene ist zu informieren.

5. Telematik-Tarife (Kfz)

Pay-as-you-drive- oder Pay-how-you-drive-Tarife sammeln Geo-, Geschwindigkeits- und Beschleunigungsdaten. Datenschutzfragen:

• Hohe Transparenzanforderungen (Art. 13/14)
• Profiling und ggf. automatisierte Entscheidungen iSv Art. 22
• Datenminimierung — wirklich nur erforderliche Daten?
• DSFA verpflichtend

Siehe DSGVO Artikel 22.

Bei Telematik-Tarifen ist die DSFA nach Art. 35 DSGVO nahezu immer verpflichtend: Es liegt eine systematische, umfangreiche Bewertung persönlicher Aspekte (Fahrverhalten) auf Basis automatisierter Verarbeitung vor — genau der Regelfall der DSFA-Muss-Liste. Zentrale Prüfpunkte sind die Datenminimierung (werden wirklich nur fahrverhaltensrelevante Daten erhoben, oder auch Standortverläufe?), die Transparenz der Score-Bildung und die Frage, ob der Fahrer und der Halter identisch sind. Wird der Tarif als “freiwillig” ausgestaltet, ersetzt das nicht die Rechtsgrundlage — die Aufsicht prüft, ob die Einwilligung angesichts des Preisvorteils überhaupt freiwillig ist.

6. Schadensregulierung

Verarbeitung umfasst:

• Schadensmeldung mit Hergang
• Gutachten und Sachverständigeneinholung
• Rechtsanwaltskorrespondenz
• Polizeiprotokolle
• Bei Personenschaden: Gesundheitsdaten

Rechtsgrundlage Art. 6 Abs. 1 lit. b (Versicherungsvertrag) plus ggf. Art. 9 Abs. 2 lit. h für Gesundheitsdaten.

7. Auftragsverarbeitung im Versicherungsbereich

Typische Auslagerungen:

• Schadenregulierungsdienstleister
• Sachverständige und Werkstätten
• IT-Dienstleister (Bestandsverwaltung, Vertrieb)
• Vermittler (auch eigenständig Verantwortlich!)

GDV CoC enthält Muster-AVV. Für Cloud-Auslagerungen BSI-C5-Niveau erwartet. Zur datenschutzrechtlichen Sonderstellung der Vermittler siehe DSGVO für Versicherungsvermittler. Siehe AVV-Muster.

8. Aufbewahrungsfristen

Dokument	Frist	Grundlage
Versicherungsverträge	10 Jahre nach Beendigung	§ 257 HGB
Schadensakten	10 Jahre nach Abschluss	§ 257 HGB / § 195 BGB
Gesundheitsdaten	bis Verjährung Schadensansprüche	§ 195/199 BGB
Werbeeinwilligungen	bis Widerruf	DSGVO

9. Datenpannen

Typische Vorfälle in der Branche:

• Vermittler-Datenträgerverlust
• Fehlversand (Brief, Mail, Post)
• Vermittler-Wechsel mit Datenmitnahme (Verstoß!)
• IT-Hack (Beispiel: Bertelsmann Tochter 2023)

Meldepflicht 72h, bei Vermittler-Verstößen oft auch BaFin-Meldung.

10. Sanktionsbeispiele

Fall	Sanktion	Behörde
Versicherungsmakler (Akten in Container)	€40.000	LfDI BaWü
Privatversicherer (HIS-Eintrag fehlerhaft)	€150.000	LDI NRW
Krankenversicherer (Tarifprüfung)	€900.000	BayLDA
Versicherer (Cookies Marketing)	€65.000	BfDI

11. Die Rolle des Versicherungsvermittlers

Ein datenschutzrechtlicher Dauerkonflikt der Branche betrifft den Vermittler. Er ist in der Regel eigenständig Verantwortlicher für die von ihm erhobenen Kundendaten — nicht bloßer Auftragsverarbeiter des Versicherers. Das hat handfeste Folgen:

• Beim Vermittlerwechsel darf der Bestand nicht ohne Weiteres zum neuen Vermittler “mitgenommen” werden; das ist ein häufiger, bußgeldträchtiger Verstoß.
• Der Vermittler braucht eigene Informationspflichten (Art. 13), eine eigene Datenschutzerklärung und eine eigene Rechtsgrundlage.
• Die Datenweitergabe zwischen Vermittler und Versicherer bedarf einer klaren rechtlichen Einordnung — je nach Konstellation gemeinsame Verantwortlichkeit (Art. 26) oder Übermittlung zwischen zwei Verantwortlichen.

Die genaue Sonderstellung und die Vertragsgestaltung behandelt unser Leitfaden für Versicherungsvermittler.

12. Gesundheitsdaten und § 213 VVG in der Praxis

Die Gesundheitsprüfung ist der sensibelste Vorgang der PKV. Der BGH hat pauschale Schweigepflichtentbindungen für unzulässig erklärt: Zulässig ist nur die anlassbezogene Einzelermächtigung, verbunden mit dem Recht des Versicherten, vor jeder Datenerhebung zu widersprechen und stattdessen die Auskünfte selbst beizubringen (“Modell der vorherigen Information”). Für den Versicherer bedeutet das:

1. Keine Blankoerklärung im Antragsformular.
2. Konkrete Benennung, welche Stelle (Arzt, Klinik) welche Auskunft geben soll.
3. Dokumentierte Wahlmöglichkeit des Versicherten zwischen Direktermächtigung und Selbstbeibringung.
4. Gesundheitsdaten strikt von allgemeinen Vertragsdaten getrennt speichern (§ 22 BDSG, TOMs).

Wer diese Schritte einhält, erfüllt zugleich Art. 9 Abs. 2 lit. h DSGVO und § 213 VVG — beide greifen kumulativ.

13. Tool-Unterstützung

Legiscope verwaltet GDV-konforme Datenkategorien, Aufbewahrungsfristen, AVV mit Vermittlern und DSFA für Telematik-Tarife.

Fazit

Versicherungen sind Datenverarbeitung als Geschäftsmodell. Wer den GDV Code of Conduct konsequent umsetzt und § 213 VVG sauber handhabt, hat das Bußgeldrisiko unter Kontrolle — wer es nicht tut, sieht sich schnell mit sechsstelligen Sanktionen konfrontiert. Zur IT-Sicherheit kommen seit 2025 zusätzliche Anforderungen — siehe unseren Leitfaden zu DORA für Versicherungen unter BaFin-Aufsicht.

FAQ

Ist der GDV Code of Conduct verpflichtend?

Für GDV-Mitglieder ja, für alle Versicherer Branchenstandard. Aufsichtsbehörden orientieren sich daran bei Bewertungen.

Darf ich pauschale Schweigepflichtentbindung verlangen?

Nein, BGH hat dies untersagt. Nur Einzelfall-Entbindungserklärung mit Recht auf vorläufige Einsicht.

Telematik-Tarif ohne Einwilligung möglich?

Nein, die freiwillige Wahl des Tarifs ist faktisch Einwilligung. Plus umfassende Informationspflichten und DSFA.

Welche Aufbewahrungsfrist für Schadensakten?

Regel 10 Jahre nach Abschluss (§ 257 HGB), bei Personenschäden bis zur Verjährung möglicher Ansprüche (bis 30 Jahre).

HIS-Eintrag: Was darf der Versicherer eintragen?

Nur belastbare Anhaltspunkte für Auffälligkeit, mit Informationspflicht gegenüber Betroffenem. Falscheinträge: Bußgeldrisiko und Schadensersatz.

Ist der Versicherungsvermittler Auftragsverarbeiter?

In der Regel nicht. Der Vermittler ist meist eigenständig Verantwortlicher für die von ihm erhobenen Daten und braucht eigene Informationspflichten und eine eigene Rechtsgrundlage. Deshalb ist auch die “Bestandsmitnahme” beim Wechsel des Vermittlers datenschutzrechtlich heikel und häufig unzulässig.

Brauche ich für Telematik-Tarife eine DSFA?

Ja, praktisch immer. Die systematische Auswertung des Fahrverhaltens erfüllt die Kriterien der DSFA-Pflicht nach Art. 35 DSGVO. Ohne dokumentierte DSFA ist der Tarif angreifbar.

Welche Bußgelder drohen im Versicherungssektor?

Die Spanne reicht von fünfstelligen Beträgen bei einzelnen Datensicherheitsmängeln bis zu sechsstelligen Sanktionen bei systematischen Verstößen (etwa fehlerhaften HIS-Einträgen oder unzulässiger Zweckänderung von Adressdaten). Der Rahmen des Art. 83 DSGVO — bis 20 Mio. Euro oder 4 % des Konzernumsatzes — gilt auch hier.