Verarbeitungsverzeichnis für Makler: Muster & Anleitung

Fragt eine Datenschutz-Aufsichtsbehörde in Ihrem Büro nach, kommt fast immer derselbe erste Satz: „Legen Sie uns bitte Ihr Verzeichnis von Verarbeitungstätigkeiten vor.“ Wer an dieser Stelle eine leere Generator-Tabelle zieht, in der als Zweck nur „Kundendaten“ steht, wirkt weniger organisiert, als er ist. Für ein Maklerbüro sieht das echte Verzeichnis anders aus, weil Sie Gesundheitsdaten erfassen, Anträge an Versicherer weiterleiten und mit Pool, Vergleichsrechnern und Ihrem Verwaltungsprogramm arbeiten. Dieser Ratgeber füllt genau diese Tätigkeiten vor, sodass Sie nur noch an Ihr Büro anpassen müssen.

Was ein Verarbeitungsverzeichnis ist und warum es für Sie Pflicht ist

Das Verzeichnis von Verarbeitungstätigkeiten (kurz VVT) ist in Art. 30 DSGVO geregelt. Es ist eine strukturierte Übersicht darüber, welche personenbezogenen Daten Sie zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange verarbeiten und an wen Sie sie weitergeben. Als Verantwortlicher müssen Sie es führen und der Aufsichtsbehörde auf Verlangen vorlegen (Art. 30 Abs. 4 DSGVO). Eine feste Form gibt es nicht, üblich ist eine Tabelle in Word oder Excel.

Viele Makler hoffen auf die Ausnahme in Art. 30 Abs. 5 DSGVO, nach der Unternehmen mit weniger als 250 Beschäftigten unter bestimmten Bedingungen kein Verzeichnis führen müssen. Diese Ausnahme greift bei Ihnen in aller Regel nicht. Sie entfällt nämlich, sobald die Verarbeitung nicht nur gelegentlich erfolgt oder besondere Kategorien von Daten nach Art. 9 DSGVO betroffen sind. Gesundheitsangaben aus Anträgen zur privaten Kranken-, Berufsunfähigkeits- oder Pflegeversicherung sind genau solche besonderen Daten, und Sie verarbeiten sie fortlaufend. Damit ist das Verzeichnis auch für das Ein-Personen-Büro Pflicht. Den vollständigen Wortlaut finden Sie über gesetze-im-internet.de sowie in aufbereiteter Form auf dsgvo-gesetz.de. Grundlegendes zum Rahmen lesen Sie in unserem Beitrag DSGVO für Makler: die Grundlagen.

Die acht typischen Verarbeitungstätigkeiten eines Maklers

Ein generischer Generator kennt Ihr Tagesgeschäft nicht. Diese acht Tätigkeiten decken den Alltag der meisten Versicherungs- und Immobilienmakler ab und bilden das Grundgerüst Ihres Verzeichnisses:

• Anfrage- und Angebotserstellung, inklusive Risikoerfassung und Tarifvergleich über Vergleichsrechner
• Vertragsvermittlung und Antragstellung an den jeweiligen Versicherer
• Bestands- und Vertragsverwaltung mit laufender Betreuung Ihrer Kunden
• Schaden- und Leistungsbearbeitung samt Korrespondenz mit dem Versicherer
• Beratungsdokumentation und Erfüllung der Informationspflichten nach § 61 VVG
• Weiterleitung an einen Maklerpool und Datenaustausch mit Versicherern über GDV- und BiPRO-Schnittstellen
• Buchhaltung und Courtageabrechnung, oft mit Steuerberater und Rechenzentrum
• Kundenkommunikation und Bestandsmarketing, etwa Newsletter oder Erinnerungen zu Ablaufterminen

Jede dieser Zeilen wird im Verzeichnis zu einer eigenen Verarbeitungstätigkeit mit eigener Rechtsgrundlage und eigener Löschlogik.

Spalte für Spalte: So füllen Sie jede Tätigkeit aus

Art. 30 Abs. 1 DSGVO nennt die Pflichtangaben zu jeder Tätigkeit. Die Rechtsgrundlage gehört streng genommen nicht zum Wortlaut der Norm, die Datenschutzkonferenz der Aufsichtsbehörden empfiehlt aber, sie ebenfalls festzuhalten. Legen Sie Ihre Tabelle daher mit diesen Spalten an:

• Bezeichnung und Zweck der Verarbeitung
• Rechtsgrundlage nach Art. 6 DSGVO, bei Gesundheitsdaten zusätzlich Art. 9 (empfohlene Ergänzung, nicht direkt aus Art. 30 Abs. 1)
• Kategorien betroffener Personen (etwa Interessenten, Kunden, versicherte Personen)
• Kategorien der Daten (Stammdaten, Vertragsdaten, Gesundheitsdaten, Bankverbindung)
• Kategorien der Empfänger, an die Sie Daten weitergeben
• Übermittlung in ein Drittland und die dafür genutzten Garantien, falls einschlägig
• Vorgesehene Löschfristen je Datenkategorie
• Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO

So sieht eine ausgefüllte Zeile am Beispiel des Angebots aus:

Spalte	Beispiel: Angebots- und Tarifvergleich
Zweck	Ermittlung passender Tarife auf Anfrage des Interessenten
Rechtsgrundlage	Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme)
Betroffene Personen	Interessenten, mitzuversichernde Personen
Datenkategorien	Kontaktdaten, Angaben zum Risiko, ggf. Vorschäden
Empfänger	Vergleichsrechner-Anbieter als Auftragsverarbeiter
Drittland	keines, sofern Verarbeitung in der EU
Löschfrist	Löschung bei Interessenten ohne Abschluss nach festgelegter Frist
TOM	Zugriffsbeschränkung, Verschlüsselung, Passwortschutz

Die Rechtsgrundlage wechselt je Tätigkeit. Die Vermittlung selbst stützen Sie auf Art. 6 Abs. 1 lit. b DSGVO, die Aufbewahrung von Belegen auf lit. c wegen gesetzlicher Pflichten, reines Bestandsmarketing meist auf lit. f (berechtigtes Interesse) oder eine Einwilligung nach lit. a.

Gesundheitsdaten und Art. 9 korrekt eintragen

Gesundheitsangaben gehören zu den besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung ist nach Art. 9 Abs. 1 DSGVO zunächst untersagt und nur zulässig, wenn eine Ausnahme aus Art. 9 Abs. 2 greift. Im Maklergeschäft ist das in der Regel die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die Sie im Rahmen der Antragsaufnahme einholen.

Für Ihr Verzeichnis bedeutet das dreierlei. Erstens tragen Sie bei den betroffenen Tätigkeiten, also vor allem Angebot, Antrag und Schaden in den Kranken- und Personensparten, neben Art. 6 auch Art. 9 Abs. 2 lit. a als Rechtsgrundlage ein. Zweitens markieren Sie die Datenkategorie ausdrücklich als „Gesundheitsdaten (Art. 9)“, damit der erhöhte Schutzbedarf sichtbar wird. Drittens beschreiben Sie in der TOM-Spalte, wie Sie diese Daten besonders sichern, etwa durch getrennte Ablage und strengere Zugriffsrechte. Diese Einträge sind auch der Beleg dafür, warum die 250-Beschäftigten-Ausnahme bei Ihnen nicht gilt.

Empfänger richtig benennen: Versicherer, Pool, MVP-Anbieter

Die Empfängerspalte ist der Punkt, an dem sich ein maklerspezifisches Verzeichnis von einer Standardvorlage unterscheidet. Sie geben Daten an ganz unterschiedliche Stellen weiter, und deren Rolle ist nicht gleich:

• Versicherer: Sobald Sie einen Antrag einreichen, wird der Versicherer eigenständig Verantwortlicher für seinen Vertrag. Hier liegt keine Auftragsverarbeitung vor, Sie führen ihn als Empfängerkategorie.
• Maklerpool: Je nach Vertragskonstruktion ist der Pool (etwa Fonds Finanz, blau direkt oder JDC) Auftragsverarbeiter oder eigenständig verantwortlich. Prüfen Sie das anhand Ihres Poolvertrags und schließen Sie dort, wo eine Auftragsverarbeitung vorliegt, einen AVV. Wie das geht, steht im Beitrag Auftragsverarbeitung und AVV für Makler.
• MVP-Anbieter: Ihr Maklerverwaltungsprogramm (etwa Assfinet oder keasy) verarbeitet Ihre Kundendaten als Auftragsverarbeiter, meist als Cloud-Lösung. Ein AVV nach Art. 28 DSGVO ist Pflicht.
• Vergleichs- und Tarifrechner: Anbieter wie Morgen und Morgen oder Softfair sind in der Regel Auftragsverarbeiter.
• Steuerberater und Rechenzentrum: Für Buchhaltung und Courtageabrechnung, oft über DATEV.

Nennen Sie in der Spalte die Kategorie und ergänzen Sie konkret Ihre Anbieter, das erleichtert später jede Prüfung. Prüfen Sie außerdem, ob eine Verarbeitung außerhalb der EU stattfindet, etwa bei Cloud-Diensten. In diesem Fall tragen Sie die Übermittlung ins Drittland und die genutzten Garantien nach Art. 30 Abs. 1 lit. e DSGVO ein.

Löschfristen im Verzeichnis hinterlegen

Löschfristen gehören nach Art. 30 Abs. 1 lit. f DSGVO ins Verzeichnis und setzen den Grundsatz der Speicherbegrenzung aus Art. 5 Abs. 1 lit. e DSGVO um. Statt einer pauschalen Angabe legen Sie die Frist je Datenkategorie fest, denn sie ergeben sich aus verschiedenen Vorschriften:

• Buchungsbelege und steuerlich relevante Unterlagen unterliegen den Aufbewahrungsfristen aus § 147 AO und § 257 HGB.
• Beratungsprotokolle und Dokumentation nach § 61 VVG bewahren viele Makler so lange auf, wie Haftungsansprüche geltend gemacht werden können, orientiert an den Verjährungsfristen des BGB.
• Daten reiner Interessenten ohne Abschluss löschen Sie deutlich früher, sobald der Zweck entfallen ist.

Nennen Sie im Verzeichnis pro Zeile eine konkrete Frist oder ein nachvollziehbares Kriterium für die Löschung. Die genauen Zeiträume sind teils umstritten und hängen vom Einzelfall ab. Eine ausführliche Herleitung mit den einzelnen Fristen finden Sie in unserem Beitrag Kundendaten aufbewahren und löschen. Im Zweifel klären Sie die passende Frist mit einem Datenschutzbeauftragten oder einer fachkundigen Beratung.

Ihre Vorlage selbst anlegen (Checkliste)

Sie brauchen keine fremde Vorlage aus dem Internet. Übernehmen Sie die Spaltenstruktur und die Beispielzeile aus diesem Beitrag in eine eigene Tabelle in Word oder Excel und arbeiten Sie die acht Tätigkeiten ab. Ein sauberes Grundgerüst stellen zusätzlich mehrere Datenschutz-Aufsichtsbehörden auf ihren Internetseiten bereit. So gehen Sie vor:

• Legen Sie eine Tabelle mit den Pflichtangaben aus Art. 30 Abs. 1 DSGVO plus der empfohlenen Spalte Rechtsgrundlage an.
• Tragen Sie oben Ihre Verantwortlichen-Angaben ein: Name, Anschrift, Kontakt und, falls vorhanden, den Datenschutzbeauftragten.
• Erstellen Sie für jede der acht typischen Tätigkeiten eine eigene Zeile.
• Setzen Sie bei Kranken-, Berufsunfähigkeits- und weiteren Personensparten Art. 9 Abs. 2 lit. a DSGVO als zusätzliche Rechtsgrundlage.
• Führen Sie Ihre konkreten Empfänger auf: Versicherer, Pool, MVP-Anbieter, Vergleichsrechner, Steuerberater.
• Vermerken Sie zu jeder Tätigkeit eine Löschfrist oder ein Löschkriterium.
• Beschreiben Sie Ihre TOM knapp und verweisen Sie auf Ihre ausführliche TOM-Dokumentation.
• Datieren Sie das Verzeichnis und tragen Sie ein Datum für die nächste Prüfung ein, denn es ist ein lebendes Dokument.

Mit dieser Struktur haben Sie ein Verzeichnis, das Ihr tatsächliches Geschäft abbildet und einer Nachfrage der Aufsichtsbehörde standhält. Bei besonderen Konstellationen, etwa gemeinsamer Verantwortlichkeit mit einem Pool oder umfangreichen Cloud-Diensten außerhalb der EU, lohnt sich vor der Fertigstellung ein Blick durch einen Datenschutzbeauftragten oder eine fachkundige Beratung.