Spezialisierte DSGVO-Compliance für Versicherungsunternehmen

DSGVO Versicherung: Datenschutz für die Versicherungsbranche

Versicherungsunternehmen verarbeiten besonders sensible personenbezogene Daten, von Gesundheitsdaten über Bonitätsinformationen bis zu Risikoprofilen.

  • 01Rechtsgrundlagen-Analyse für Gesundheitsdaten, Scoring und Profiling nach Art. 6 und Art. 9 DSGVO
  • 02Datenschutz-Folgenabschätzung (DPIA) und Löschkonzepte unter Berücksichtigung von VAG, HGB und AO
  • 03Umsetzung des GDV-Datenschutzkodex und branchenspezifischer Verhaltensregeln nach Art. 40 DSGVO
  • 04Auftragsverarbeitung mit Rückversicherern, IT-Dienstleistern und Schadenregulierern DSGVO-konform gestalten
Leistungen ansehen
11+Jahre Erfahrung
120+Mitarbeitende
540+Projekte
ISO 27001zertifiziert

Datenschutz in der Versicherungsbranche: DSGVO-Anforderungen für Versicherer umsetzen

Versicherungsunternehmen verarbeiten besonders schützenswerte personenbezogene Daten: Gesundheitsdaten nach Art. 9 DSGVO, Bonitätsinformationen und Risikoprofile. Die DSGVO stellt deshalb hohe Anforderungen an die Versicherungsbranche, von der Rechtsgrundlage über Einwilligungsmanagement bis zur Datenschutz-Folgenabschätzung. Wir unterstützen Versicherer bei der Umsetzung aller DSGVO-Pflichten, damit der Datenschutz rechtssicher, praxistauglich und effizient organisiert ist.

Wir beraten Versicherungsunternehmen bei der vollständigen DSGVO-Umsetzung: von der Rechtsgrundlagen-Analyse über das Verzeichnis der Verarbeitungstätigkeiten bis zur Implementierung von Lösch- und Sperrkonzepten. Dabei berücksichtigen wir branchenspezifische Anforderungen wie den GDV-Datenschutzkodex und die VAIT-Vorgaben.

6 Leistungsbausteine

Was wir für Sie übernehmen

Einzeln buchbar oder als durchgängiges Programm.

01

DSGVO-Rechtsgrundlagen und Einwilligungsmanagement

Wir analysieren die Rechtsgrundlagen für Ihre Datenverarbeitung und entwickeln ein praxistaugliches Einwilligungsmanagement, von der Antragstellung bis zur Leistungsprüfung.

  • Rechtsgrundlagen-Analyse für Gesundheitsdaten, Bonitätsdaten und Risikoprofile nach Art. 6 und Art. 9 DSGVO
  • Einwilligungserklärungen und Schweigepflichtentbindungen DSGVO-konform gestalten
  • Zweckbindung und Datenminimierung in allen Verarbeitungsprozessen sicherstellen
  • Dokumentation der Rechtsgrundlagen im Verzeichnis der Verarbeitungstätigkeiten
02

Datenschutz-Folgenabschätzung und Scoring-Compliance

Wir führen Datenschutz-Folgenabschätzungen für Ihre Scoring-, Profiling- und automatisierten Entscheidungsverfahren durch und stellen die Konformität mit Art. 35 DSGVO sicher.

  • DPIA für Risikoscoring, Bonitätsprüfung und automatisierte Tarifierung
  • Bewertung der Verhältnismäßigkeit und Dokumentation der Schutzmaßnahmen
  • Sicherstellung menschlicher Überprüfung bei automatisierten Entscheidungen nach Art. 22 DSGVO
  • Konsultation der Aufsichtsbehörde bei verbleibendem hohem Risiko
03

Löschkonzept und Aufbewahrungsfristen

Wir entwickeln ein differenziertes Löschkonzept, das versicherungsrechtliche Aufbewahrungspflichten mit dem DSGVO-Grundsatz der Speicherbegrenzung in Einklang bringt.

  • Kategorisierung aller Datenkategorien mit zugehörigen Aufbewahrungsfristen (HGB, AO, VVG)
  • Sperr- und Löschkonzept für Versicherungsnehmerdaten, Schadendaten und Gesundheitsdaten
  • Technische Umsetzung automatisierter Löschroutinen in Bestandssystemen
  • Orientierung am GDV-Datenschutzkodex für branchenspezifische Löschfristen
04

Auftragsverarbeitung und Drittlandtransfer

Wir gestalten Ihre Verträge mit IT-Dienstleistern, Schadenregulierern und Rückversicherern DSGVO-konform und sichern den internationalen Datentransfer ab.

  • Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO für alle Dienstleister
  • Prüfung der technischen und organisatorischen Maßnahmen (TOMs) bei Auftragsverarbeitern
  • Drittlandtransfer-Absicherung mit Standardvertragsklauseln nach Art. 46 DSGVO
  • Audit-Konzept und regelmäßige Kontrolle der Auftragsverarbeiter
05

Datenschutzbeauftragter und Schulung

Wir unterstützen beim Aufbau oder der Stärkung Ihres Datenschutzbeauftragten und schulen Ihre Mitarbeitenden im Umgang mit Versicherungsnehmerdaten.

  • Aufbau und Schulung des Datenschutzbeauftragten nach Art. 37 bis 39 DSGVO
  • Mitarbeiterschulungen für den datenschutzkonformen Umgang mit sensiblen Versicherungsdaten
  • Vorbereitung auf Prüfungen durch Datenschutzbehörden und BaFin
  • Meldepflicht-Prozess: 72-Stunden-Frist bei Datenschutzverletzungen nach Art. 33 DSGVO
06

GDV-Datenschutzkodex und Branchenstandards

Wir begleiten Sie bei der Umsetzung des GDV-Datenschutzkodex und stellen die Konformität mit branchenspezifischen Verhaltensregeln nach Art. 40 DSGVO sicher.

  • Umsetzung der Vorgaben des GDV-Datenschutzkodex in Ihrer Organisation
  • Integration der VAIT-Anforderungen in Ihr Datenschutzkonzept
  • Privacy-by-Design-Integration in Versicherungs-IT-Systeme und Antragsprozesse
  • Nachweis der Branchenkonformität gegenüber Aufsichtsbehörden

5 Phasen

Unser Beratungsansatz für DSGVO-Compliance in der Versicherungsbranche

Wir entwickeln mit Ihnen gemeinsam ein maßgeschneidertes Datenschutzkonzept, das die Anforderungen der DSGVO mit den branchenspezifischen Vorgaben aus VAG, VAIT und GDV-Datenschutzkodex verbindet, praxistauglich, rechtssicher und aufsichtskonform.

  1. DSGVO-Reifegrad-Bewertung und Gap-Analyse Ihrer bestehenden Datenschutzorganisation

  2. Schritt 2

    Konzeption eines versicherungsspezifischen Datenschutz-Frameworks unter Berücksichtigung aller Rechtsgrundlagen

  3. Implementierung mit Einbindung aller Fachbereiche, von der Antragsprüfung bis zur Schadenregulierung

  4. Integration in bestehende Bestandssysteme und Antragsprozesse (Privacy by Design)

  5. Laufende Überwachung, Schulung und Vorbereitung auf Prüfungen durch Datenschutzbehörden und BaFin

Sarah Richter

Ansprechpartner

Sarah Richter

Head of Informationssicherheit, Cyber Security

10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit

+49 69 913 113-01 info@advisori.de LinkedIn

Warum ADVISORI für Datenschutz in der Versicherungsbranche

  • 01Erfahrung mit DSGVO-Projekten bei Erstversicherern, Rückversicherern und InsurTechs
  • 02Praxiserprobte Methodik, die Datenschutzrecht und Versicherungsregulierung (VAG, VAIT) verbindet
  • 03Branchenkenntnisse zu Gesundheitsdaten, Scoring und grenzüberschreitender Datenübermittlung
  • 04Umsetzungsorientierte Beratung: vom Konzept über die Implementierung bis zur Aufsichtsprüfung

Gesundheitsdaten erfordern besondere Schutzmaßnahmen

Versicherer, die Gesundheitsdaten nach Art. 9 DSGVO verarbeiten, benötigen eine ausdrückliche Einwilligung oder einen gesetzlichen Erlaubnistatbestand. Verstöße werden mit Bußgeldern bis zu 20 Mio. EUR oder 4 % des Jahresumsatzes sanktioniert. Eine Datenschutz-Folgenabschätzung (DPIA) ist für Scoring, Profiling und automatisierte Entscheidungen Pflicht.

7 FRAGEN, KURZ BEANTWORTET

Häufig gestellte Fragen zu DSGVO Insurance Sector

Welche DSGVO-Anforderungen gelten speziell für Versicherungsunternehmen?

Versicherungsunternehmen müssen neben den allgemeinen DSGVO-Pflichten besondere Anforderungen erfüllen, da sie regelmäßig sensible personenbezogene Daten verarbeiten. Dazu gehören insbesondere:

• Rechtsgrundlage nach Art. 6 und Art. 9 DSGVO: Für die Verarbeitung von Gesundheitsdaten, Bonitätsinformationen und Risikoprofilen benötigen Versicherer entweder eine ausdrückliche Einwilligung oder einen gesetzlichen Erlaubnistatbestand (z. B. § 213 VVG).
• Datenschutz-Folgenabschätzung (DPIA): Automatisierte Scoring- und Profiling-Verfahren zur Risikoprüfung erfordern eine DPIA nach Art. 35 DSGVO.
• Verzeichnis der Verarbeitungstätigkeiten: Versicherer müssen alle Datenverarbeitungsprozesse dokumentieren, von der Antragsbearbeitung über die Leistungsprüfung bis zur Betrugserkennung.
• Meldepflicht: Datenschutzverletzungen sind innerhalb von 72 Stunden an die Aufsichtsbehörde zu melden (Art. 33 DSGVO).
• GDV-Datenschutzkodex: Der Verhaltenskodex des Gesamtverbandes der Deutschen Versicherungswirtschaft konkretisiert die DSGVO-Anforderungen für die Branche.

Wie dürfen Versicherungen Gesundheitsdaten nach der DSGVO verarbeiten?

Gesundheitsdaten sind nach Art. 9 DSGVO besonders geschützt. Versicherungen dürfen sie nur verarbeiten, wenn eine der folgenden Bedingungen erfüllt ist:

• Ausdrückliche Einwilligung des Versicherungsnehmers (Art. 9 Abs. 2 lit. a DSGVO), die Einwilligung muss freiwillig, informiert und widerrufbar sein.
• Erforderlichkeit für die Vertragsdurchführung: Bei der Kranken- und Lebensversicherung ist die Gesundheitsprüfung für die Risikoeinschätzung und Tarifierung notwendig.
• Gesetzliche Grundlage nach § 213 VVG: Dieser erlaubt Versicherern die Erhebung und Verarbeitung von Gesundheitsdaten, soweit sie für die Beurteilung des Risikos oder die Leistungsprüfung erforderlich sind.

Wichtig: Die Daten dürfen nur zweckgebunden verwendet und müssen nach Wegfall des Verarbeitungszwecks gelöscht werden. Eine Weitergabe an Dritte (z. B. Rückversicherer) erfordert eine eigene Rechtsgrundlage und transparente Information des Betroffenen.

Was ist der GDV-Datenschutzkodex und warum ist er für Versicherer relevant?

Der GDV-Datenschutzkodex ist ein Verhaltenskodex nach Art. 40 DSGVO, der vom Gesamtverband der Deutschen Versicherungswirtschaft (GDV) erstellt wurde. Er konkretisiert die allgemeinen DSGVO-Vorgaben für die Versicherungsbranche:

• Datenerhebung und -verarbeitung: Der Kodex regelt, welche Daten Versicherer zu welchem Zweck erheben dürfen und wie die Datenminimierung umzusetzen ist.
• Informationspflichten: Versicherer müssen Versicherungsnehmer transparent über die Datenverarbeitung informieren, einschließlich Profiling und Scoring.
• Löschfristen: Der Kodex definiert branchenspezifische Aufbewahrungsfristen und Löschkonzepte.
• Aufsicht: Die Einhaltung wird durch eine unabhängige Stelle überwacht.

Für beigetretene Versicherer ist der Kodex verbindlich und dient gleichzeitig als Nachweis gegenüber Aufsichtsbehörden, dass branchenspezifische Best Practices eingehalten werden.

Wann ist eine Datenschutz-Folgenabschätzung (DPIA) für Versicherer Pflicht?

Eine DPIA nach Art. 35 DSGVO ist für Versicherungsunternehmen immer dann Pflicht, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt. Typische Fälle in der Versicherungsbranche sind:

• Scoring und Profiling: Automatisierte Bewertung der Kreditwürdigkeit oder des Versicherungsrisikos anhand persönlicher Merkmale.
• Gesundheitsdatenverarbeitung: Systematische Verarbeitung von Gesundheitsdaten in der Kranken- oder Lebensversicherung.
• Betrugserkennung: Automatisierte Systeme, die Versicherungsbetrug anhand von Mustern und Auffälligkeiten erkennen.
• Big-Data-Analysen: Auswertung großer Datenmengen zur Tarifoptimierung oder Risikoselektion.

Die DPIA muss vor Beginn der Verarbeitung durchgeführt werden und dokumentiert die Risiken, die geplanten Schutzmaßnahmen sowie die Bewertung der Verhältnismäßigkeit. Bei verbleibendem hohem Risiko ist eine Konsultation der Aufsichtsbehörde erforderlich.

Welche Rolle spielt der Datenschutzbeauftragte bei Versicherungsunternehmen?

Versicherungsunternehmen sind nach Art. 37 DSGVO in Verbindung mit § 38 BDSG in der Regel zur Benennung eines Datenschutzbeauftragten (DSB) verpflichtet, da sie umfangreich besondere Kategorien personenbezogener Daten verarbeiten.

Der DSB übernimmt folgende Aufgaben:

• Überwachung der DSGVO-Compliance: Kontrolle aller Datenverarbeitungsprozesse, von der Antragstellung bis zur Schadensregulierung.
• Beratung: Unterstützung bei Datenschutz-Folgenabschätzungen, der Einführung neuer IT-Systeme und der Gestaltung von Einwilligungserklärungen.
• Schulung: Sensibilisierung der Mitarbeitenden für den Umgang mit Versicherungsnehmerdaten.
• Anlaufstelle: Ansprechpartner für Betroffene, die ihre Rechte auf Auskunft, Berichtigung oder Löschung ausüben.
• Aufsichtskontakt: Schnittstelle zur Datenschutz-Aufsichtsbehörde bei Prüfungen und Meldungen.

Der DSB muss unabhängig agieren können und darf nicht aufgrund seiner Tätigkeit benachteiligt werden.

Wie setzen Versicherer DSGVO-konforme Löschkonzepte um?

Ein DSGVO-konformes Löschkonzept ist für Versicherer besonders anspruchsvoll, da verschiedene Aufbewahrungspflichten aus Versicherungsvertragsgesetz (VVG), Handelsgesetzbuch (HGB) und Abgabenordnung (AO) zu berücksichtigen sind:

• Kategorisierung der Daten: Versicherungsnehmerdaten, Schadendaten, Gesundheitsdaten und Marketingdaten erfordern unterschiedliche Löschfristen.
• Aufbewahrungspflichten beachten: Vertragsdaten müssen i. d. R. 10 Jahre nach Vertragsende aufbewahrt werden (HGB/AO), Gesundheitsdaten aus Leistungsprüfungen können kürzere Fristen haben.
• Sperrung statt sofortiger Löschung: Wenn gesetzliche Aufbewahrungspflichten bestehen, werden Daten gesperrt und nach Ablauf der Frist gelöscht.
• Technische Umsetzung: Automatisierte Löschroutinen in den Bestandssystemen stellen sicher, dass Fristen eingehalten werden.
• Dokumentation: Jeder Löschvorgang muss nachvollziehbar protokolliert werden.

Der GDV-Datenschutzkodex enthält branchenspezifische Empfehlungen zu Löschfristen, die als Orientierung dienen.

Was müssen Versicherer bei der Zusammenarbeit mit Auftragsverarbeitern beachten?

Versicherungsunternehmen arbeiten mit zahlreichen externen Dienstleistern zusammen, von IT-Providern über Schadenregulierer bis zu Rückversicherern. Die DSGVO stellt hierfür klare Anforderungen:

• Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO: Jeder Dienstleister, der personenbezogene Daten im Auftrag verarbeitet, benötigt einen schriftlichen AVV mit definierten Weisungen, Sicherheitsmaßnahmen und Löschpflichten.
• Sorgfältige Auswahl: Versicherer müssen prüfen, ob der Auftragsverarbeiter ausreichende technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO gewährleistet.
• Subunternehmer: Einsatz von Unterauftragsverarbeitern bedarf der Zustimmung des Versicherers und muss vertraglich geregelt sein.
• Drittlandtransfer: Übermittlung an Dienstleister außerhalb des EWR erfordert zusätzliche Garantien (z. B. Standardvertragsklauseln nach Art. 46 DSGVO).
• Regelmäßige Kontrolle: Versicherer müssen die Einhaltung der vereinbarten Maßnahmen durch Audits oder Prüfberichte (z. B. SOC 2, ISO 27001) überprüfen.

Zertifikate, Partner und mehr

ISO 9001 CertifiedISO 27001 CertifiedISO 14001 CertifiedBeyondTrust PartnerBVMW Bundesverband MitgliedMitigant PartnerGoogle PartnerTop 100 InnovatorMicrosoft AzureAmazon Web Services

Ihr strategischer Erfolg beginnt hier

Unsere Kunden vertrauen auf unsere Expertise in digitaler Transformation, Informationssicherheit, Compliance und Risikomanagement

Bereit für den nächsten Schritt?

Vereinbaren Sie jetzt ein strategisches Beratungsgespräch mit unseren Experten

30 Minuten • Unverbindlich • Sofort verfügbar

Zur optimalen Vorbereitung Ihres Strategiegesprächs:

Ihre strategischen Ziele und Herausforderungen
Gewünschte Geschäftsergebnisse und ROI-Erwartungen
Aktuelle Compliance- und Risikosituation
Stakeholder und Entscheidungsträger im Projekt

Bevorzugen Sie direkten Kontakt?

Direkte Hotline für Entscheidungsträger

Strategische Anfragen per E-Mail

Detaillierte Projektanfrage

Für komplexe Anfragen oder wenn Sie spezifische Informationen vorab übermitteln möchten