Das Wichtigste in Kürze
Als Versicherungsmakler verarbeiten Sie mit Gesundheits- und Finanzdaten besonders sensible Daten, kommen aber mit acht Pflichtdokumenten und wenigen technischen Einstellungen auf einen belastbaren, prüfungsfesten Stand, ohne teuren Kanzlei-Retainer.
KI-generiert
Die meisten DSGVO-Ratgeber im Netz sind für „Unternehmen allgemein“ geschrieben. Für ein Maklerbüro mit ein bis fünf Personen taugen sie kaum, weil sie den entscheidenden Punkt überspringen: Als Versicherungsmakler verarbeiten Sie Gesundheitsangaben und Finanzdaten, und zwar nicht als Ausnahme, sondern als Regelfall. Dieser Beitrag zeigt Ihnen, was davon wirklich Pflicht ist, was warten kann und wie Sie in überschaubarer Zeit auf einen belastbaren Stand kommen. Er ersetzt keine Rechtsberatung, aber er nimmt Ihnen die Orientierungslosigkeit.
Sobald Sie eine Krankenversicherung, eine Berufsunfähigkeits- oder eine Risikolebensversicherung vermitteln, füllen Ihre Kunden Gesundheitsfragen aus. Diese Angaben sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Für solche Daten gilt ein grundsätzliches Verarbeitungsverbot mit Erlaubnisvorbehalt. Sie dürfen sie also nur verarbeiten, wenn eine der engen Ausnahmen aus Art. 9 Abs. 2 greift. Im Makleralltag ist das in der Regel die ausdrückliche Einwilligung nach Art. 9 Abs. 2 Buchstabe a. Daneben können je nach Konstellation weitere Ausnahmen des Art. 9 Abs. 2 sowie die ergänzenden Regelungen des § 22 BDSG in Betracht kommen. Im laufenden Kundenkontakt bleibt die Einwilligung aber der praktische Regelfall.
Das hat eine praktische Folge: Eine normale Einwilligung reicht bei Gesundheitsdaten nicht. Der Kunde muss ausdrücklich in genau diese sensible Verarbeitung einwilligen, und Sie müssen das dokumentieren können. Finanzdaten (Einkommen, Vermögen, bestehende Verträge) fallen zwar nicht unter Art. 9, sind aber ebenfalls sensibel und verlangen saubere Rechtsgrundlagen und Sicherheit. Genau diese Datenlage macht Sie zum Sonderfall, den die Standardtexte nicht abbilden.
Jede Verarbeitung braucht eine Rechtsgrundlage aus Art. 6 Abs. 1 DSGVO. Es gibt genau sechs, für Makler sind vor allem drei relevant:
Die Einwilligung (Buchstabe a) brauchen Sie dort, wo keine der anderen Grundlagen passt, klassisch für Werbung, Newsletter und eben für Gesundheitsdaten (dann in der verschärften Form nach Art. 9 Abs. 2 Buchstabe a). Welche Grundlage wann trägt, ist der häufigste Fehlerpunkt. Eine ausführliche Einordnung finden Sie in unserem Beitrag zu Einwilligung und Rechtsgrundlagen.
Sie brauchen kein Aktenregal, aber diese acht Bausteine sollten in Ihrem Büro existieren und auffindbar sein:
Wer diese acht Punkte hat, ist beim harten Kern der Nachweispflicht (Art. 5 Abs. 2, Rechenschaftspflicht) gut aufgestellt.
Hier wird oft mit Angst verkauft, deshalb der nüchterne Weg. Zwei Fragen entscheiden:
Erstens die zahlenmäßige Schwelle aus § 38 BDSG: Beschäftigen Sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten? In einem Ein- bis Fünf-Personen-Büro lautet die Antwort klar nein.
Zweitens die Tätigkeitsschwelle aus Art. 37 Abs. 1 Buchstabe c DSGVO: Besteht Ihre Kerntätigkeit in einer „umfangreichen“ Verarbeitung besonderer Kategorien (Art. 9)? Sie verarbeiten Gesundheitsdaten zwar als Kerntätigkeit, aber das Merkmal „umfangreich“ zielt auf große Datenmengen. Die europäischen Aufsichtsbehörden führen die Einzelpraxis, etwa den einzelnen Arzt oder Anwalt, ausdrücklich als Beispiel dafür an, dass eine solche Verarbeitung im Regelfall nicht als umfangreich gilt. Für ein kleines Maklerbüro trifft das sinngemäß zu.
Ergebnis für die meisten kleinen Büros: Ein Datenschutzbeauftragter ist nicht verpflichtend. Trotzdem müssen Sie alle Pflichten selbst erfüllen. Wenn Ihr Bestand stark wächst, Sie mehrere Mitarbeitende an Bildschirmen mit Kundendaten beschäftigen oder Sie sich unsicher sind, holen Sie eine Einschätzung Ihrer zuständigen Aufsichtsbehörde oder eines Fachanwalts ein. Die Grenze zwischen „nicht verpflichtend“ und „doch verpflichtend“ ist eine Einzelfallfrage.
Der Moment, in dem ein Interessent zum ersten Mal Daten hinterlässt, ist der praktische Prüfstein. Nach Art. 13 DSGVO müssen Sie transparent informieren, bevor oder spätestens sobald Sie Daten erheben. Erheben Sie Daten nicht beim Betroffenen selbst, etwa über einen Tippgeber oder einen Vergleichsrechner, gilt Art. 14 mit eigenen Fristen.
Konkret gehören in Ihre Datenschutzhinweise mindestens: wer verantwortlich ist, welche Daten Sie zu welchem Zweck verarbeiten, auf welche Rechtsgrundlage Sie sich stützen, wie lange Sie speichern, an wen Sie weitergeben (Versicherer, Pools, Dienstleister) und welche Rechte der Kunde hat (Auskunft, Berichtigung, Löschung, Widerspruch, Beschwerde bei der Aufsichtsbehörde). Legen Sie ein knappes, verständliches Merkblatt ins Beratungsgespräch und binden Sie die Langfassung auf Ihrer Website ein. Beim Erfassen von Gesundheitsdaten holen Sie die ausdrückliche Einwilligung dokumentiert ein, idealerweise mit Datum und konkretem Zweck.
Die gesetzlichen Höchstgrenzen aus Art. 83 DSGVO klingen dramatisch: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes im unteren Rahmen, bis zu 20 Millionen Euro oder 4 Prozent im oberen. Für ein kleines Maklerbüro ist das nicht der realistische Maßstab. Verfahren beginnen fast immer mit einer Beschwerde eines Kunden oder einer Anfrage der Aufsichtsbehörde, und viele enden zunächst mit einer Aufforderung zur Nachbesserung oder einer Verwarnung.
Das häufigere und oft unterschätzte Risiko liegt woanders:
Der ehrliche Blick: Für die meisten kleinen Büros ist nicht die Millionenstrafe die Gefahr, sondern der Aufwand eines Beschwerdeverfahrens, mögliche Schadensersatzforderungen und der Vertrauensverlust beim Kunden. Genau das vermeiden Sie mit den acht Dokumenten oben.
Setzen Sie sich kein Ziel „alles perfekt“, sondern arbeiten Sie in dieser Reihenfolge:
Die Gesetzestexte lesen Sie bei Bedarf direkt nach: die DSGVO unter dsgvo-gesetz.de, das Bundesdatenschutzgesetz unter gesetze-im-internet.de. Bei kniffligen Einzelfällen, etwa der Frage nach dem Datenschutzbeauftragten oder einer konkreten Datenpanne, holen Sie fachliche Beratung oder die Einschätzung Ihrer zuständigen Aufsichtsbehörde ein. Der Rest ist Handwerk, das Sie selbst erledigen können.
Dieser Beitrag ist ein allgemeiner Ratgeber und ersetzt keine individuelle Rechts- oder Steuerberatung.
Weiterlesen