Kurzantwort. Für Versicherer, Makler und Vertreter gilt dieselbe DSGVO, aber ihre Aufgaben und datenschutzrechtlichen Rollen unterscheiden sich. Maßgeblich sind eine Rechtsgrundlage nach Art. 6 für jeden Vorgang, bei Gesundheitsdaten zusätzlich eine Ausnahme nach Art. 9, klare Grenzen der Datenerhebung bei Dritten nach § 213 VVG, überprüfbare Entscheidungen über Scoring und ein Löschkonzept je Datenbestand. Eine Einwilligung, ein Auftragsverarbeitungsvertrag oder eine pauschale Frist löst diese Fragen nicht für alle Beteiligten zugleich.
Dieser Leitfaden behandelt den Informationsfluss zwischen Versicherer, Makler und Vertreter im deutschen Vertrieb. Der benachbarte Beitrag zu Versicherungen in Deutschland betrachtet die Organisation des Versicherers insgesamt. Für besondere Datenkategorien hilft zunächst die Einordnung von Art. 9 DSGVO.
Drei Beteiligte, drei Prüfungen
Der Versicherer entscheidet über Annahme, Tarif, Leistung und Bestandsführung. Ein unabhängiger Makler wählt im Rahmen seines Mandats Angebote aus und dokumentiert Beratung und Vermittlung. Ein gebundener Vertreter vertreibt Produkte eines oder mehrerer Versicherer nach seiner vertraglichen Stellung. Diese wirtschaftlichen Begriffe bestimmen die DSGVO-Rolle nicht automatisch. Prüfen Sie für jeden Schritt, wer Zweck und wesentliche Mittel festlegt, wer Weisungen erhält und ob Entscheidungen gemeinsam getroffen werden. Derselbe Beteiligte kann für einen Vorgang eigenständig Verantwortlicher und für einen anderen als Auftragsverarbeiter tätig sein.
Beispiel: Ein Makler erhebt Angaben, um passende Angebote zu suchen, und entscheidet, welche Versicherer er kontaktiert. Für diese Auswahl spricht eigene Verantwortlichkeit. Der Versicherer bestimmt anschließend allein, welche Angaben er für die Risikoprüfung benötigt und wie er über den Antrag entscheidet. Eine bloße Datenübermittlung zwischen beiden macht den Makler nicht zum Auftragsverarbeiter des Versicherers. Bei einem gebundenen Vertreter ist die tatsächliche Weisungs- und Entscheidungsstruktur zu untersuchen; die Vertriebsbezeichnung ersetzt die Prüfung ebenfalls nicht. Gemeinsame Verantwortlichkeit nach Art. 26 braucht gemeinsam bestimmte Zwecke und Mittel, ein Auftragsverarbeitungsvertrag eine echte Verarbeitung auf Weisung nach Art. 28.
§ 34d GewO und das Vermittlerregister regeln die gewerberechtliche Erlaubnis und Registrierung. Sie sind keine generelle datenschutzrechtliche Erlaubnis zum Teilen jeder Kundenakte. Ebenso erklärt § 61 VVG die Beratungs- und Dokumentationspflicht des Vermittlers, ohne eine pauschale Speicherfrist für sämtliche Datenarten vorzugeben. Halten Sie im Verzeichnis fest, an wen welche Daten für Angebot, Vertrag, Schaden oder Provisionsabrechnung gehen und wer die betroffene Person informiert.
Rechtsgrundlage getrennt vom Zweck bestimmen
Art. 6 Abs. 1 lit. b kann die Verarbeitung tragen, die für einen Vertrag mit der betroffenen Person oder vorvertragliche Schritte auf deren Anfrage erforderlich ist. Art. 6 Abs. 1 lit. c kommt für konkrete gesetzliche Pflichten in Betracht. Berechtigte Interessen nach lit. f erfordern eine dokumentierte Abwägung; sie sind kein Auffangtatbestand für bequeme Datensammlung. Einwilligung nach lit. a muss freiwillig, informiert, spezifisch und widerrufbar sein. Werbung per elektronischer Post verlangt zusätzlich die Prüfung des UWG. Ein Vertrag mit einem Versicherungsnehmer erlaubt beispielsweise nicht automatisch, Gesundheitsdaten einer mitversicherten Person für ein neues Produkt zu verwenden.
Für Gesundheitsdaten reicht Art. 6 allein nicht. Zusätzlich muss eine Ausnahme des Art. 9 Abs. 2 passen, etwa die ausdrückliche Einwilligung nach lit. a; ob eine gesetzliche Ausnahme wie § 22 BDSG im konkreten Sachverhalt trägt, ist gesondert zu prüfen. Die Einwilligung ist damit weder immer die einzige Grundlage noch stets ausreichend. Angaben über strafrechtliche Verurteilungen und Straftaten fallen unter Art. 10, nicht unter Art. 9. Finanz- und Schadendaten sind ebenfalls schutzbedürftig, gehören aber nicht schon wegen ihrer wirtschaftlichen Bedeutung zu Art. 9.
Ein praktisches Verzeichnis der Verarbeitungstätigkeiten trennt mindestens Antrag, Beratung, Vertragsverwaltung, Schadenbearbeitung, Betrugsprüfung und Werbung. Notieren Sie je Tätigkeit Zweck, Kategorien betroffener Personen und Daten, Empfänger, Übermittlungen, Löschkriterien und Sicherheitsmaßnahmen. Ein gemeinsamer Eintrag „Kundenverwaltung“ verdeckt oft die unterschiedlichen Grundlagen und Aufbewahrungsgründe. Auch kleinere Vermittler sollten die Ausnahme in Art. 30 Abs. 5 tätigkeitsbezogen prüfen: Sie greift nicht, wenn die konkrete Verarbeitung nicht nur gelegentlich ist, Risiken für Rechte und Freiheiten mit sich bringt oder besondere Datenkategorien bzw. Art.-10-Daten umfasst.
Gesundheitsdaten bei Antrag und Leistung
Besonders bei Kranken-, Lebens- und Berufsunfähigkeitsversicherung stellt sich die Frage, welche medizinischen Angaben wirklich benötigt werden. Beschränken Sie Antragsfragen auf das Risiko, das geprüft wird. Trennen Sie die Einwilligung in die Verarbeitung durch den Versicherer von der Entbindung behandelnder Personen von ihrer Schweigepflicht und von der Erhebung bei Dritten. Nach § 213 VVG ist die Erhebung durch den Versicherer bei den dort genannten Stellen nur zulässig, soweit die Kenntnis für Risiko- oder Leistungspflichtprüfung erforderlich ist und die betroffene Person eingewilligt hat. Die betroffene Person ist vor der Erhebung zu unterrichten, kann widersprechen und eine Einwilligung für jede einzelne Erhebung verlangen.
Stellen Sie sich einen Leistungsantrag wegen einer Rückenverletzung vor. Eine Anforderung der gesamten Behandlungsakte aller Ärzte wäre schwerer zu begründen als eine gezielte Anfrage zu Diagnose, Zeitraum und Leistungsvoraussetzung. Erfassen Sie, welche Stelle welche Information anforderte, welchen Prüfzweck sie hatte und auf welche Erklärung sich die Anfrage stützte. Falls der Antrag scheitert, endet nicht jede mögliche Aufbewahrung sofort; dokumentieren Sie verbleibende Ansprüche und Pflichten, sperren Sie Daten gegebenenfalls für andere Zwecke und löschen Sie nach dem begründeten Fristende.
Auch die interne Zugriffsverteilung gehört zum Schutz: Nicht jede Person im Vertrieb benötigt Einsicht in Diagnosen. Trennen Sie medizinische Unterlagen von allgemeinen Vertragsdaten, beschränken Sie Rollen und protokollieren Sie sensible Zugriffe. Fragen Sie bei externen Leistungsprüfern, Rechenzentren und Softwareanbietern nach Verantwortlichkeit, Weisungen, Unterauftragsverarbeitern und geeigneten Schutzmaßnahmen. Der Leitfaden zu technischen und organisatorischen Maßnahmen hilft, eine abstrakte Pflicht in Kontrollen zu übersetzen.
Scoring ist nicht jede automatisierte Entscheidung
Eine Risikoklasse oder Betrugswarnung kann Profiling nach Art. 4 Nr. 4 sein. Art. 22 greift enger: Es geht um Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und eine rechtliche oder ähnlich erhebliche Wirkung haben. Ein System, das nur einen Vorschlag liefert, fällt nicht allein deshalb unter Art. 22; entscheidend ist, ob ein Mensch den Fall tatsächlich prüfen, abweichend entscheiden und die Gründe verstehen kann. Ein bloßer Freigabeklick ohne inhaltliche Prüfung ist kein belastbarer Gegenbeleg.
Bei automatischer Ablehnung eines Antrags oder einer erheblichen Tarifentscheidung prüfen Sie zuerst, ob ein Ausnahmetatbestand des Art. 22 Abs. 2 vorliegt und welche Schutzmaßnahmen erforderlich sind. Dazu können menschliches Eingreifen, die Möglichkeit zur Stellungnahme und zur Anfechtung gehören. Werden besondere Kategorien verarbeitet, ist zusätzlich Art. 22 Abs. 4 zu beachten. Die Information über Logik, Tragweite und angestrebte Auswirkungen muss nach Art. 13 bis 15 passend zu dem tatsächlich eingesetzten Verfahren erklärt werden. Eine allgemeine Formel „wir nutzen Algorithmen“ reicht für eine Prüfung automatisierter Entscheidungen nicht.
Für Betrugsindikatoren gilt dieselbe Zweckbindung. Ein Hinweis aus einer Schadenakte ist kein Freibrief, alle Kunden dauerhaft zu überwachen. Halten Sie Datenquelle, Trefferqualität, Berechtigung zur Weitergabe und Korrekturmöglichkeit fest. Falsch zugeordnete Fälle können den Zugang zu Versicherungsleistungen erheblich beeinträchtigen. Prüfen Sie vor besonders riskanten neuen Auswertungen eine Datenschutz-Folgenabschätzung; Art. 35 stellt auf ein voraussichtlich hohes Risiko ab, nicht allein auf das Etikett „Scoring“.
Datenschutzbeauftragter und Verantwortungswege
Ob ein Versicherer oder Vermittler einen Datenschutzbeauftragten benennen muss, hängt von Art. 37 DSGVO und in Deutschland zusätzlich von § 38 BDSG ab. Art. 37 Abs. 1 lit. c betrifft Kerntätigkeiten, die in einer umfangreichen Verarbeitung besonderer Kategorien bestehen. „Gesundheitsdaten kommen vor“ genügt allein nicht für diese Schlussfolgerung. § 38 nennt unter anderem den Schwellenwert von regelmäßig mindestens 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind, und weitere Fälle ohne Rücksicht auf die Personenzahl. Prüfen Sie die konkrete Tätigkeit, Umfang und Personaleinsatz des jeweiligen Unternehmens; ein einzelner Makler und ein großer Krankenversicherer können unterschiedlich liegen.
Ein benannter DSB berät und überwacht, entscheidet aber nicht stellvertretend über Zwecke, Mittel und Rechtmäßigkeit. Weisen Sie dem Vertrieb Verantwortung für die Datenerhebung, der Fachabteilung für Risiken und Leistung, der IT für Sicherheitsmaßnahmen und der Geschäftsleitung für Freigaben zu. Beim Austausch zwischen Makler und Versicherer braucht es einen dokumentierten Eskalationsweg: Wer beantwortet einen Auskunftsantrag? Wer informiert wen bei einer Panne? Wer korrigiert einen falschen Gesundheitswert in beiden Systemen?
Aufbewahrung: Datum, Zweck und Auslöser
Eine einheitliche „Versicherungsfrist“ existiert nicht. Vertragsunterlagen können wegen laufender Leistungspflichten oder Ansprüche erforderlich bleiben; steuer- und handelsrechtliche Belege folgen ihren jeweils einschlägigen Regeln. Die geltenden Fristen für bestimmte Buchungsbelege und Handelsbriefe sind nach den aktuellen Fassungen von AO und HGB und nach Dokumenttyp zu bestimmen. § 195 BGB nennt die regelmäßige Verjährungsfrist, aber ihr Beginn und mögliche Sonderregeln entscheiden über das konkrete Ende. § 61 VVG verlangt Beratungsdokumentation, setzt für alle Maklerakten aber keine pauschale Fünf- oder Zehnjahresfrist.
Ein brauchbarer Löschplan nennt je Kategorie einen Startpunkt: abgelehnter Antrag, Vertragsende, abgeschlossener Schaden, Abschluss eines Rechtsstreits oder letzter abrechnungsrelevanter Beleg. Ergänzen Sie die Rechtsgrundlage der weiteren Speicherung, den Zugriff während der Sperrphase und einen Verantwortlichen für die Löschung in Kopien und Dienstleistersystemen. Das Recht auf Löschung gilt nicht schrankenlos; bei einem Antrag müssen Sie erklären, welche Daten wegen welcher Pflicht oder eines konkreten Anspruchs noch bleiben.
Auskunft, Berichtigung und Werbung im Vertrieb
Kunden können sowohl beim Vermittler als auch beim Versicherer Rechte geltend machen, soweit der jeweilige Beteiligte Verantwortlicher ist. Für eine Auskunft nach Art. 15 sammeln Sie Angaben aus Beratung, Antrag, Schaden und Scoring, prüfen Rechte Dritter und beantworten den Antrag nach Art. 12 Abs. 3 grundsätzlich binnen eines Monats; unter den gesetzlichen Voraussetzungen ist eine Verlängerung möglich. Beschwerden bei der Aufsichtsbehörde und Ansprüche nach Art. 82 DSGVO sind davon zu unterscheiden. Eine Korrektur beim Makler sollte auch den Versicherer erreichen, wenn dieser denselben falschen Wert für eine Entscheidung nutzt. Legen Sie fest, wer die Weitergabe veranlasst und nachweist.
Bei Direktwerbung kann eine Person nach Art. 21 Abs. 2 und 3 jederzeit widersprechen; danach dürfen ihre Daten nicht mehr für diesen Zweck verarbeitet werden. Prüfen Sie darüber hinaus für E-Mail, Telefon und andere Kanäle die Vorgaben des UWG. Ein Bestandskunde ist nicht automatisch für jede Sparte und jeden Kanal freigegeben. Eine wirksame Ausnahme nach § 7 Abs. 3 UWG hat eigene Voraussetzungen. Besonders kritisch wäre es, Gesundheitsangaben aus einem Leistungsfall als Segment für neues Marketing zu verwenden.
Pannen bei Vermittler und Versicherer
Ein fehlgeleiteter Gesundheitsfragebogen, eine kompromittierte Makler-Mailbox oder ein offenes Bestandsportal verlangt zuerst Sicherung und Risikoanalyse. Nach Art. 33 Abs. 1 ist eine Meldung an die Aufsicht erforderlich, sofern ein Risiko für Rechte und Freiheiten nicht unwahrscheinlich ist; sie erfolgt ohne unangemessene Verzögerung und möglichst binnen 72 Stunden nach Bekanntwerden. Jede Verletzung des Schutzes personenbezogener Daten ist nach Art. 33 Abs. 5 zu dokumentieren, auch wenn die Meldeschwelle nicht erreicht wird. Art. 34 stellt eine andere, höhere Schwelle für die Benachrichtigung betroffener Personen auf: voraussichtlich hohes Risiko, vorbehaltlich der dortigen Ausnahmen.
Beispiel: Ein verschlüsseltes Gerät geht verloren; der Schlüssel ist gesondert geschützt und Zugriffsprotokolle zeigen keine unbefugte Nutzung. Eine Meldung kann nach dokumentierter Prüfung entbehrlich sein. Enthält hingegen eine unverschlüsselte E-Mail Gesundheitsakten eines identifizierbaren Kunden an einen unbekannten Empfänger, sind Meldung und möglicherweise Betroffenenbenachrichtigung sorgfältig zu prüfen. Entscheidend sind Inhalt, Empfänger, Rückholbarkeit und mögliche Folgen, nicht nur die Zahl der Datensätze. Die Meldeschwellen nach Art. 33 und der praktische Meldeablauf sind getrennt erläutert.
Der Vermittler muss dem Versicherer einen Vorfall rasch mitteilen, wenn dessen Daten betroffen sind; bei einer echten Auftragsverarbeitung verlangt Art. 33 Abs. 2 die unverzügliche Unterrichtung des Verantwortlichen. Für eigenständig Verantwortliche ist dagegen zu prüfen, wer welche Meldung schuldet. Regeln Sie Kontaktpersonen, erforderliche Erstinformationen und Nachlieferung von Fakten vor einem Vorfall. Eine Klausel, wonach nur „der andere“ melden dürfe, ersetzt die gesetzliche Rollenprüfung nicht.
Eine umsetzbare Reihenfolge
Beginnen Sie mit einem konkreten Datenweg, etwa Antrag über Makler und digitale Gesundheitsprüfung. Zeichnen Sie Erhebung, Weitergabe, Risikoprüfung, Vertragsentscheidung und spätere Löschung auf. Markieren Sie pro Station Verantwortlichen, Zweck, Art.-6-Grundlage, gegebenenfalls Art.-9-Ausnahme, Empfänger und Schutzmaßnahme. Testen Sie dann anhand eines Auskunftsantrags und einer fehlgeleiteten Datei, ob Rollen und Fristen tatsächlich funktionieren. Erst danach lohnt es, weitere Produkte und Vertriebskanäle in dasselbe Verfahren aufzunehmen.
Häufige Fragen
Ist ein Versicherungsmakler immer eigenständig Verantwortlicher?
Nein. Für seine unabhängige Beratung liegt diese Rolle häufig nahe, aber jeder Verarbeitungsschritt ist anhand von Zweck, Mitteln und tatsächlichen Weisungen zu prüfen. Ein Vertragsetikett oder die Maklerzulassung allein entscheidet die DSGVO-Rolle nicht.
Braucht jede Gesundheitsfrage eine ausdrückliche Einwilligung?
Art. 9 verlangt eine passende Ausnahme, häufig eine ausdrückliche Einwilligung. Zusätzlich braucht die Verarbeitung eine Art.-6-Grundlage. Bei der Datenerhebung des Versicherers bei Dritten sind die besonderen Voraussetzungen des § 213 VVG zu beachten. Eine allgemeine Erklärung für beliebige spätere Anfragen genügt nicht als sorgfältige Praxis.
Darf ein abgelehnter Antrag sofort komplett gelöscht werden?
Prüfen Sie verbleibende Nachweis- und Anspruchszwecke pro Datenart. Was nicht mehr benötigt wird, ist zu löschen; erforderliche Reste dürfen nicht weiter frei für Vertrieb oder Scoring nutzbar sein. Ein dokumentierter Fristbeginn ist hilfreicher als eine pauschale Zahl von Jahren.