Für Makler, einfach erklärt

DSGVO im Maklerbüro: Ihre Datenschutzpflichten im Überblick

Kaum ein Berufsstand sammelt so sensible Daten wie der Versicherungsmakler: Einkommen, Familienverhältnisse, Vermögen und, gerade bei Personenversicherungen wie der Kranken-, Lebens-, Berufsunfähigkeits- oder Pflegeversicherung, Gesundheitsdaten. Wer mit solchen Daten arbeitet, ist datenschutzrechtlich kein blosses Anhängsel des Versicherers, sondern selbst voll verantwortlich. Dieser Beitrag erklärt in Klartext, warum Sie „Verantwortlicher" sind, auf welcher Grundlage Sie Daten verarbeiten dürfen, was bei Gesundheitsdaten besonders streng ist, welche Organisationspflichten Sie treffen, welche Rechte Ihre Kunden haben und was bei Verstössen droht.

23. Juni 2026 Lesezeit ca. 13 Minuten Deutschland Fachlich überprüft: 19. Oktober 2026

Das Wichtigste vorab

Der Makler ist datenschutzrechtlich Verantwortlicher (Art. 4 Nr. 7 DSGVO), nicht bloss Datenverarbeiter eines Versicherers: Er entscheidet selbst über Zwecke und Mittel und braucht für jede Verarbeitung eine eigene Rechtsgrundlage.
Vertrag, gesetzliche Pflicht, berechtigtes Interesse und Einwilligung haben unterschiedliche Voraussetzungen. Werbung braucht zusätzlich die Prüfung nach § 7 UWG. Für Gesundheitsdaten ist auch Art. 9 DSGVO zu beachten.
Weil er sensible Daten verarbeitet, treffen den Makler praktisch alle Organisationspflichten: Verarbeitungsverzeichnis, Informationspflichten, technische Sicherheit, unter Umständen ein Datenschutzbeauftragter und eine Folgenabschätzung.
Bindet er Dienstleister oder einen Maklerpool ein, ist im Einzelfall ein Auftragsverarbeitungsvertrag nötig. Eine meldepflichtige Datenpanne muss er unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Aufsichtsbehörde melden; nur bei voraussichtlich fehlendem Risiko entfällt diese Meldung. Seine Kunden haben Rechte auf Auskunft, Berichtigung, Löschung und Widerspruch.
Eine Deckung von DSGVO-Geldbussen darf nicht vorausgesetzt werden. Zu prüfen sind die konkrete Police, der Adressat, der Verschuldensgrad, der Sanktionszweck und zwingendes Recht. Zivilrechtliche Ansprüche nach Art. 82 DSGVO können bedingungsabhängig gedeckt sein.

Dieser Beitrag eröffnet das Thema Datenschutz im Maklerbüro und gibt den Überblick. Er ergänzt die Beiträge zur Berufshaftung, denn der Datenschutz ist eine eigene, scharf sanktionierte Pflichtenschicht neben der Beratungshaftung: Wie der Makler für Beratungsfehler einsteht, lesen Sie in Wann der Versicherungsmakler haftet; den Rahmen Ihrer Zulassung in Ihre § 34d-Erlaubnis im Überblick.

Sie sind „Verantwortlicher", nicht bloss Datenverarbeiter

Am Anfang steht eine Weichenstellung, die fast alles Weitere bestimmt. Das Datenschutzrecht unterscheidet zwei Rollen. Verantwortlicher ist, wer über Zweck und Mittel der Datenverarbeitung entscheidet, also das Sagen darüber hat, warum und wie Daten verarbeitet werden. Auftragsverarbeiter ist dagegen nur, wer Daten streng weisungsgebunden für die fremden Zwecke eines anderen verarbeitet, ein reiner Erfüllungsgehilfe also. Der Makler gehört eindeutig in die erste Gruppe: Er entscheidet selbst, wie er den Bedarf erhebt, welche Risiken er erfasst, welche Angebote er vergleicht, welche Software er nutzt und wie lange er die Unterlagen aufbewahrt.¹

Das ist kein Formalismus, sondern hat handfeste Folgen. Wer Verantwortlicher ist, kann sich für nichts auf einen anderen herausreden: Er braucht für jede Verarbeitung eine eigene Rechtsgrundlage, er muss die Datenschutzgrundsätze einhalten und ihre Einhaltung nachweisen können. Die Aufsichtsbehörden ordnen eigenständig tätige Fachleute, etwa Steuerberater, Rechtsanwälte oder Wirtschaftsprüfer, ausdrücklich als eigene Verantwortliche ein, nicht als blosse Auftragsverarbeiter ihrer Mandanten. Der unabhängig agierende Makler steht dem gleich. Auch der Europäische Gerichtshof legt den Begriff des Verantwortlichen weit aus: Wer im Eigeninteresse tatsächlich die Zwecke und wesentlichen Mittel der Verarbeitung mitbestimmt, kann Verantwortlicher sein.¹

Der Versicherer ist ein eigener Verantwortlicher, nicht Ihr „Chef" in Datenfragen. Wenn Sie einen Antrag an den Versicherer weiterreichen, ist das keine Auftragsverarbeitung, sondern eine Übermittlung zwischen zwei getrennten Verantwortlichen. Jeder von beiden verantwortet seinen eigenen Teil. Für die Übermittlung selbst brauchen Sie wiederum eine taugliche Grundlage, bei Gesundheitsdaten regelmässig die Einwilligung des Kunden.¹

Auf welcher Grundlage Sie Daten verarbeiten dürfen

Im Datenschutzrecht gilt ein einfacher, aber strenger Grundsatz: Jede Verarbeitung personenbezogener Daten ist verboten, es sei denn, eine Rechtsgrundlage erlaubt sie. Für den Makler sind vier Erlaubnisgründe wichtig.²

Der Vertrag. Verarbeitungen, die objektiv zur Durchführung des Maklervertrags oder auf Anfrage des Kunden zu seiner Anbahnung erforderlich sind, können auf Art. 6 Abs. 1 lit. b DSGVO beruhen. Das kann Bedarfsermittlung, Beratung, Vermittlung und laufende Betreuung umfassen. Für diese Grundlage ist keine gesonderte Einwilligung nötig; besondere Datenkategorien verlangen zusätzlich eine Ausnahme nach Art. 9 DSGVO.
Die gesetzliche Pflicht. Was Sie von Gesetzes wegen tun müssen, vor allem die handels- und steuerrechtliche Aufbewahrung von Unterlagen, ist über die rechtliche Verpflichtung gedeckt (lit. c). Die Fristen reichen je nach Unterlage von sechs über acht bis zu zehn Jahren.
Das berechtigte Interesse. Art. 6 Abs. 1 lit. f DSGVO verlangt eine Abwägung. Bei Werbung sind zusätzlich die Kanalregeln des § 7 UWG zu prüfen. Telefonwerbung gegenüber Verbrauchern benötigt grundsätzlich vorherige ausdrückliche Einwilligung, gegenüber anderen Marktteilnehmern zumindest mutmassliche Einwilligung. Elektronische Post verlangt grundsätzlich Einwilligung; die Bestandskundenausnahme des § 7 Abs. 3 UWG setzt sämtliche dort genannten Voraussetzungen voraus.
Die Einwilligung. Wo keine der anderen Grundlagen passt, bleibt die Einwilligung des Kunden (lit. a). Sie muss freiwillig, informiert und für bestimmte Zwecke erteilt sein und ist jederzeit widerrufbar. Wer alles vorsichtshalber auf eine Einwilligung stützt, macht sich abhängig vom Widerruf, deshalb ist sie nur die letzte Wahl, nicht die erste.

Darüber hinaus gelten immer die Grundsätze: nur für festgelegte Zwecke verarbeiten (Zweckbindung), nur so viele Daten wie nötig (Datenminimierung), nicht länger speichern als erforderlich (Speicherbegrenzung) und das alles dokumentieren können (Rechenschaftspflicht).²

Gesundheitsdaten: die schärfste Regel im Maklerbüro

Jetzt zum heikelsten Punkt. Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten, und ihre Verarbeitung ist nicht nur erlaubnispflichtig, sondern grundsätzlich verboten (Art. 9 Abs. 1 DSGVO). Das betrifft den Makler unmittelbar, denn bei Personenversicherungen, etwa der Kranken-, Lebens-, Berufsunfähigkeits- oder Pflegeversicherung, fliessen Gesundheitsangaben. Ohne eine taugliche Ausnahme dürfen Sie diese Daten gar nicht erst verarbeiten.³

Für die gewöhnliche Vermittlung von Personenversicherungen ist regelmässig die ausdrückliche Einwilligung des Kunden erforderlich (Art. 9 Abs. 2 lit. a DSGVO). Andere Ausnahmen, etwa die erforderliche Geltendmachung oder Verteidigung von Rechtsansprüchen nach Art. 9 Abs. 2 lit. f DSGVO, sind gesondert zu prüfen. „Ausdrücklich" heisst: Sie geht über eine normale Einwilligung hinaus, muss sich klar auf die Gesundheitsdaten und auf bestimmte Zwecke beziehen und wird in der Praxis mit einer Schweigepflichtentbindung verbunden, damit der Versicherer beim Antrag überhaupt prüfen darf. Stützen Sie die Verarbeitung auf einen Tatbestand des § 22 Abs. 1 BDSG, sind die besonderen Schutzmassnahmen des Absatzes 2 vorzusehen. Angemessene Datensicherheit nach Art. 32 DSGVO bleibt unabhängig von der jeweiligen Rechtsgrundlage erforderlich.³

Versicherungsmakler sind in § 203 Abs. 1 StGB nicht ausdrücklich genannt. Der BGH hat einen selbständigen Versicherungsvertreter bei privaten Personenversicherungen erfasst; die Entscheidung darf nicht ohne Prüfung der konkreten Rolle auf jeden Makler übertragen werden. Unabhängig davon gelten vertragliche und datenschutzrechtliche Vertraulichkeitspflichten.³

Ihre Organisationspflichten

Weil der Makler regelmässig sensible Daten verarbeitet, greifen bei ihm fast alle Pflichten, von denen kleine Betriebe sich sonst befreit glauben. Die wichtigsten:

Das Verzeichnis von Verarbeitungstätigkeiten. Sie müssen schriftlich (ein elektronisches Dokument genügt) festhalten, welche Daten Sie zu welchen Zwecken verarbeiten, an wen sie gehen und wann sie gelöscht werden (Art. 30 DSGVO). Die oft zitierte Ausnahme für Betriebe unter 250 Beschäftigten hilft dem Makler nicht: Sie entfällt, sobald besondere Kategorien wie Gesundheitsdaten verarbeitet werden. Das Verzeichnis ist also für nahezu jedes Maklerbüro Pflicht.
Die Informationspflichten. Sie müssen den Kunden transparent informieren, wer Sie sind, wozu Sie seine Daten nutzen, auf welcher Grundlage, wie lange Sie speichern und welche Rechte er hat, und zwar bei der Erhebung beim Kunden sofort (Art. 13), bei Daten aus anderer Quelle innerhalb einer Frist (Art. 14). In der Praxis erfüllt das eine saubere Datenschutzerklärung und ein Hinweisblatt.⁴

Hinzu kommen drei Pflichten, die je nach Bürogrösse und Risiko unterschiedlich schwer wiegen:

Datensicherheit. Sie müssen technische und organisatorische Massnahmen treffen, die zum Risiko passen (Art. 32 DSGVO): Zugriffsschutz, Verschlüsselung, Datensicherungen, klare Berechtigungen. Was angemessen ist, richtet sich nach dem Stand der Technik und der Sensibilität der Daten, bei Gesundheitsdaten also eher streng.
Datenschutzbeauftragter. Einen Datenschutzbeauftragten müssen Sie benennen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung beschäftigt sind (§ 38 Abs. 1 Satz 1 BDSG). Unabhängig von dieser Zahl gilt die Benennungspflicht auch in den Fällen des § 38 Abs. 1 Satz 2 BDSG, insbesondere bei Verarbeitungen mit Pflicht zur Datenschutz-Folgenabschätzung. Zusätzlich sind die Kriterien des Art. 37 DSGVO zu prüfen, darunter die umfangreiche Verarbeitung von Gesundheitsdaten als Kerntätigkeit. Ob ein kleines Maklerbüro diese Schwelle erreicht, ist im Einzelfall zu prüfen.
Datenschutz-Folgenabschätzung. Hat eine geplante Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen, müssen Sie vorab prüfen und dokumentieren, wie Sie dieses Risiko beherrschen (Art. 35 DSGVO). Die umfangreiche Verarbeitung von Gesundheitsdaten erfordert bereits nach Art. 35 Abs. 3 lit. b DSGVO eine Folgenabschätzung. Daneben veröffentlichen die Aufsichtsbehörden Listen nach Absatz 4.⁵
Vorherige Konsultation. Zeigt die Folgenabschätzung trotz geplanter Schutzmassnahmen weiterhin ein hohes Restrisiko, ist vor Beginn der Verarbeitung die zuständige Aufsichtsbehörde zu konsultieren, Art. 36 DSGVO. Eine interne Freigabe der Folgenabschätzung ersetzt diesen Schritt nicht. Ein eingesetzter Auftragsverarbeiter muss den Verantwortlichen dabei nach Art. 28 Abs. 3 lit. f unter Berücksichtigung der Verarbeitung und seiner verfügbaren Informationen unterstützen.

Wenn Daten in falsche Hände geraten: die Datenpanne

Auch im sorgfältigsten Büro kann etwas schiefgehen: eine E-Mail mit Gesundheitsdaten an den falschen Empfänger, ein verlorener Laptop, ein Hackerangriff. Solche Vorfälle nennt das Gesetz Verletzung des Schutzes personenbezogener Daten, kurz Datenpanne, und knüpft daran enge Fristen.⁶

Die Grundregel: Eine Datenpanne müssen Sie der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden melden, nachdem Sie davon erfahren haben (Art. 33 DSGVO). Nur wenn die Panne voraussichtlich nicht zu einem Risiko für die Betroffenen führt, dürfen Sie auf die Meldung verzichten. Hat der Vorfall sogar ein hohes Risiko zur Folge, etwa weil Gesundheitsdaten offengelegt wurden, müssen Sie zusätzlich die betroffenen Kunden benachrichtigen (Art. 34 DSGVO). Und unabhängig davon, ob Sie melden müssen oder nicht, gilt: Jede Datenpanne ist intern zu dokumentieren, mit Vorfall, Auswirkungen und Gegenmassnahmen.⁶

72 Stunden sind kürzer, als man denkt. Die Uhr läuft ab dem Moment, in dem Ihnen die Panne bekannt wird, nicht erst, wenn Sie alle Einzelheiten kennen. Deshalb gehört zu einem ordentlichen Maklerbüro ein schlanker Notfallplan: Wer wird informiert, wer prüft das Risiko, wer meldet. Wer erst im Ernstfall anfängt zu überlegen, verpasst die Frist. Wie Sie eine Datenpanne bewerten, fristgerecht melden und einen Notfallplan aufsetzen, vertieft Die Datenpanne im Maklerbüro.

Dienstleister und Maklerpools: wann ein Vertrag nötig ist

Kaum ein Makler arbeitet allein. Maklerverwaltungsprogramme, Cloud-Speicher, ein IT-Dienstleister, ein Vergleichsportal, ein Maklerpool: Überall fliessen Kundendaten zu Dritten. Hier kommt es darauf an, in welcher Rolle der Dritte handelt.⁷

Verarbeitet der Dritte die Daten weisungsgebunden für Sie, also als verlängerter Arm Ihres Büros (typisch: Cloud-Speicher ohne eigenen inhaltlichen Zugriff, IT-Fernwartung, ein externer Schreibdienst), liegt eine Auftragsverarbeitung vor. Dann ist ein Auftragsverarbeitungsvertrag mit gesetzlich vorgeschriebenem Inhalt zwingend (Art. 28 DSGVO). Fehlt er, ist das ein eigener Verstoss, der mit Bussgeld bedroht ist.⁷

Die Rolle ist für jeden Verarbeitungsvorgang nach tatsächlicher Zweck- und Mittelentscheidung sowie Weisungsbindung zu bestimmen. Ein Pool kann je Vorgang eigener Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortlicher sein; eine pauschale Mehrheitsbehauptung benötigt einen belastbaren Beleg und ersetzt diese Prüfung nicht. Eine vertiefte Einordnung finden Sie in Auftragsverarbeitung im Maklerbüro.⁷

Die Rechte Ihrer Kunden

Als Verantwortlicher müssen Sie den Kunden ihre Datenschutzrechte tatsächlich gewähren, und zwar grundsätzlich kostenlos und binnen eines Monats (um bis zu zwei weitere Monate verlängerbar, soweit Komplexität oder Anzahl der Anträge dies erfordern). Über die Verlängerung und ihre Gründe müssen Sie den Kunden innerhalb des ersten Monats informieren. Die wichtigsten Rechte:⁸

Auskunft (Art. 15): Der Kunde kann erfahren, ob und welche Daten Sie über ihn verarbeiten, und eine Kopie verlangen.
Berichtigung (Art. 16): Unrichtige Daten sind zu korrigieren, unvollständige zu ergänzen.
Löschung (Art. 17), das „Recht auf Vergessenwerden", und Einschränkung (Art. 18) sind eigenständige Rechte mit eigenen Voraussetzungen. Eine Einschränkung tritt nicht automatisch ein, nur weil eine Löschung ausgeschlossen ist.
Empfänger informieren. Wurden Daten bereits an Empfänger wie Versicherer offengelegt, reicht eine Korrektur nur im eigenen System nicht immer aus. Art. 19 DSGVO verlangt grundsätzlich auch die Mitteilung der Berichtigung, Löschung nach Art. 17 Abs. 1 oder Einschränkung nach Art. 18 an diese Empfänger. Ausnahmen gelten bei Unmöglichkeit oder unverhältnismässigem Aufwand. Auf Verlangen ist die betroffene Person über die Empfänger zu unterrichten.
Datenübertragbarkeit (Art. 20): Das Recht gilt für vom Kunden bereitgestellte Daten, wenn sie automatisiert und auf Einwilligung oder Vertrag gestützt verarbeitet werden. Rechte und Freiheiten anderer bleiben geschützt.
Widerspruch (Art. 21): Gegen Verarbeitungen aus berechtigtem Interesse kann der Kunde aus Gründen seiner besonderen Situation widersprechen, gegen Werbung sogar jederzeit und ohne jede Begründung. Das Werbewiderspruchsrecht ist absolut.

Besonders praxisrelevant ist die Spannung zwischen Löschung und Aufbewahrung. Soweit eine gesetzliche Aufbewahrungspflicht besteht, kann die Löschung nach Art. 17 Abs. 3 DSGVO ausgeschlossen sein. Eine Einschränkung nach Art. 18 tritt dadurch nicht automatisch ein. Zugriffe und weitere Verwendungszwecke sind dennoch auf das für die Aufbewahrung Erforderliche zu begrenzen und im Löschkonzept abzubilden.⁸

Aufbewahrung für Rechtsansprüche braucht einen dokumentierten Zweck. Beratungsunterlagen dürfen auf einer tragfähigen Rechtsgrundlage so lange gespeichert werden, wie dies für konkrete Rechtsansprüche erforderlich ist. Art. 17 Abs. 3 lit. e DSGVO nimmt die Löschung insoweit aus, ersetzt aber weder die Rechtsgrundlage noch ein Löschkonzept. Wie lange mögliche Ansprüche laufen, lesen Sie in Wie lange haftet der Versicherungsmakler? Die Verjährung.⁸

Was bei Verstössen droht: Bussgeld, Schadenersatz, Versicherung

Der Datenschutz ist deshalb so ernst zu nehmen, weil er scharf bewehrt ist. Zwei Hebel kann es treffen.⁹

Erstens das Bussgeld der Aufsichtsbehörde. Der Rahmen ist gestaffelt: bis zu 10 Millionen Euro oder 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs bei den in Art. 83 Abs. 4 genannten Pflichten (etwa fehlendes Verzeichnis oder fehlender Auftragsverarbeitungsvertrag) und bis zu 20 Millionen Euro oder 4 Prozent bei den in Art. 83 Abs. 5 genannten Verstössen, etwa gegen Grundsätze und Betroffenenrechte (Art. 83 DSGVO); massgeblich ist jeweils der höhere Betrag. Zuständig ist die Datenschutzaufsicht Ihres Bundeslandes.⁹

Zweitens der Schadenersatz des betroffenen Kunden (Art. 82 DSGVO). Ein blosser Verstoss genügt dafür nicht; jede betroffene Person muss einen eigenen konkreten Schaden und dessen Zusammenhang mit dem Verstoss darlegen. Der Europäische Gerichtshof verlangt keine Erheblichkeitsschwelle für immaterielle Schäden. Der Bundesgerichtshof hat in VI ZR 10/24 für den dortigen Sachverhalt eine Grössenordnung von rund 100 Euro erörtert. Das ist kein fester Betrag pro Person; Schaden, Kausalität und Höhe sind in jedem Fall gesondert zu bestimmen.⁹

Eine Deckung von DSGVO-Geldbussen darf nicht vorausgesetzt werden. Zu prüfen sind die konkrete Police, der Adressat, der Verschuldensgrad, der Sanktionszweck und zwingendes Recht. Zivilrechtliche Ansprüche nach Art. 82 DSGVO können bedingungsabhängig gedeckt sein.⁹

Sonderfall: wenn Sie Ihren Bestand verkaufen

Ein eigenes Datenschutzthema ist die Bestandsübertragung. Verkaufen Sie Ihren Maklerbestand im Wege des sogenannten Asset Deals, werden die Kundendaten an den Erwerber übermittelt, denn die Person des Verantwortlichen wechselt. Nach Auffassung der Aufsichtsbehörden dürfen Gesundheitsdaten dabei nur mit ausdrücklicher Einwilligung der Kunden übergehen; für gewöhnliche Vertragsdaten kommt es auf das Stadium an. Verantwortlich für die Übermittlung bleibt zunächst der Veräusserer. Das ist einer der häufigsten Stolpersteine beim Maklerverkauf, vertieft in Maklerbestand übertragen: Zustimmung und Datenschutz und Asset Deal oder Share Deal beim Maklerverkauf.¹⁰

Was das praktisch heisst

Der Datenschutz wirkt sperrig, lässt sich aber auf wenige Hebel herunterbrechen. Erstens: sich als Verantwortlichen begreifen und für jede Verarbeitung wissen, worauf sie sich stützt, der Vertrag trägt das meiste, Gesundheitsdaten brauchen zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO, bei der gewöhnlichen Vermittlung regelmässig die ausdrückliche Einwilligung. Zweitens: die Hausaufgaben erledigen, ein Verarbeitungsverzeichnis, eine saubere Datenschutzerklärung, angemessene Datensicherheit und einen Notfallplan für die 72-Stunden-Frist. Drittens: bei Dienstleistern und Pools die Rolle klären und nicht blind Verträge unterschreiben, und beim Verkauf die Datenübertragung früh mitdenken. Wer diese Dinge ordnet, macht aus einer gefürchteten Bürokratie ein beherrschbares Stück Berufssorgfalt, und schützt sich zugleich vor Bussgeld und Schadenersatz.

Martin Seeland

Rechtsanwalt, Seeland Legal. Die Kanzlei berät Versicherungsmakler zu Datenschutz- und Haftungsfragen, prüft Verarbeitungsprozesse und Verträge mit Dienstleistern und Pools und begleitet die Datenübertragung beim Bestandsverkauf. Mehr zur Kanzlei und zur Beratung im Maklermarkt.

Dieser Beitrag gibt einen allgemeinen Überblick mit Stand 18. Oktober 2026 und ersetzt keine Beratung im Einzelfall. Ob im konkreten Fall eine bestimmte Rechtsgrundlage trägt, ob eine Pflicht zur Benennung eines Datenschutzbeauftragten oder zu einer Folgenabschätzung besteht, wie ein Dienstleister oder Maklerpool datenschutzrechtlich einzuordnen ist und ob die Versicherung eintritt, hängt vom Sachverhalt, von der Bürogrösse und vom jeweiligen Vertrag ab und gehört anwaltlich geprüft. Die Reichweite der einzelnen Gerichtsentscheidung ist zu beachten; Aufsichtspraxis und Rechtsprechung entwickeln sich fort.

Häufige Fragen

Kurz beantwortet

Ist ein Versicherungsmakler datenschutzrechtlich Verantwortlicher?

Ja. Der Makler entscheidet selbst über Zweck und Mittel der Verarbeitung seiner Kundendaten, also über Beratung, Risikoerfassung, Vergleich, Vermittlung und Dokumentation, und ist damit Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO, nicht bloss weisungsgebundener Datenverarbeiter eines Versicherers. Das bedeutet: Er braucht für jede Verarbeitung eine eigene Rechtsgrundlage und trägt die volle Verantwortung für Organisation, Sicherheit und die Rechte seiner Kunden. Der Versicherer ist ein eigener, getrennter Verantwortlicher; die Weitergabe von Daten an ihn ist eine Übermittlung zwischen zwei Verantwortlichen.

Auf welcher Rechtsgrundlage darf der Makler Kundendaten verarbeiten?

Erforderliche Verarbeitungen zur Durchführung oder auf Anfrage zur Anbahnung des Maklervertrags können unter Art. 6 Abs. 1 lit. b DSGVO fallen. Gesetzliche Pflichten können lit. c tragen. Andere Verarbeitungen benötigen eine passende Grundlage, etwa berechtigte Interessen nach Abwägung oder Einwilligung. Werbung verlangt zusätzlich eine Prüfung nach § 7 UWG; eine DSGVO-Interessenabwägung ersetzt eine nötige Werbeeinwilligung nicht. Gesundheitsdaten brauchen ausserdem eine Ausnahme nach Art. 9 Abs. 2 DSGVO, im Makleralltag insbesondere ausdrückliche Einwilligung.

Braucht ein Maklerbüro einen Datenschutzbeauftragten?

Nicht automatisch. Eine Pflicht besteht ab der 20-Personen-Schwelle des § 38 Abs. 1 Satz 1 BDSG. Unabhängig davon ist ein Datenschutzbeauftragter auch in den Fällen des § 38 Abs. 1 Satz 2 BDSG zu benennen, insbesondere bei Verarbeitungen mit Pflicht zur Datenschutz-Folgenabschätzung. Zusätzlich sind die Kriterien des Art. 37 DSGVO zu prüfen, etwa eine umfangreiche Verarbeitung von Gesundheitsdaten als Kerntätigkeit. Auch ohne benannten Datenschutzbeauftragten bleiben die übrigen Datenschutzpflichten bestehen.

Muss der Makler Kundendaten löschen, wenn der Kunde es verlangt?

Nicht immer. Eine gesetzliche Aufbewahrungspflicht kann die Löschung nach Art. 17 Abs. 3 DSGVO ausschliessen; die Frist hängt von der konkreten Unterlagenart ab. Eine Einschränkung nach Art. 18 tritt nicht automatisch ein. Zugriffe und Zwecke müssen dennoch auf das für die Aufbewahrung Erforderliche begrenzt werden. Gegen Direktwerbung kann der Kunde jederzeit und ohne Begründung widersprechen.

Wie hoch sind die Bussgelder bei Datenschutzverstössen?

Der Rahmen reicht bis zu 10 Millionen Euro oder 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, bei Verstössen nach Art. 83 Abs. 5 bis zu 20 Millionen Euro oder 4 Prozent (Art. 83 DSGVO); massgeblich ist der höhere Betrag. Schadenersatz nach Art. 82 verlangt einen eigenen Schaden und Kausalität. Die rund 100 Euro aus BGH VI ZR 10/24 sind eine fallbezogene Orientierung, kein Tarif. Eine Deckung von DSGVO-Geldbussen darf nicht vorausgesetzt werden; Art.-82-Ansprüche können nur abhängig vom konkreten Bedingungswortlaut gedeckt sein.

Quellen

Belege und Fundstellen

Rolle als Verantwortlicher: Verantwortlicher ist, wer allein oder gemeinsam über die Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO, Verordnung (EU) 2016/679); Auftragsverarbeiter ist nur, wer weisungsgebunden im Auftrag für fremde Zwecke verarbeitet (Art. 4 Nr. 8 DSGVO). Eigenständig tätige Fachleute, die fremde Fachleistungen erbringen, sind nach den Aufsichtsbehörden eigene Verantwortliche, nicht Auftragsverarbeiter, mit Regelbeispielen Berufsgeheimnisträger (Steuerberater, Rechtsanwälte, externe Betriebsärzte, Wirtschaftsprüfer), Inkassobüros, Banken, Postdienste (Datenschutzkonferenz, Kurzpapier Nr. 13 „Auftragsverarbeitung, Art. 28 DS-GVO", Stand 17.12.2018, Anhang B; der Versicherungsmakler ist dort nicht ausdrücklich genannt, ihm aber als eigenverantwortlich tätigem Berufsträger vergleichbar). Zum weiten Verständnis des Verantwortlichenbegriffs Europäischer Gerichtshof, Urteil vom 05.12.2023, C-683/21 (NVSC), ECLI:EU:C:2023:949. Der Versicherer ist eigener Verantwortlicher; die Weitergabe Makler an Versicherer ist Übermittlung zwischen zwei Verantwortlichen (dejure.org; datenschutzkonferenz-online.de).
Rechtsgrundlagen und Grundsätze: zulässig ist die Verarbeitung u. a. zur Erfüllung eines Vertrags oder für vorvertragliche Massnahmen (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung einer rechtlichen Verpflichtung (lit. c), zur Wahrung berechtigter Interessen nach Abwägung (lit. f; zur Direktwerbung Erwägungsgrund 47) sowie auf Grundlage einer Einwilligung (lit. a, jederzeit widerruflich nach Art. 7 Abs. 3). Konkrete Aufbewahrungspflichten als rechtliche Verpflichtung: § 257 Abs. 1, Abs. 4 HGB und § 147 Abs. 1, Abs. 3 AO (zehn Jahre für Bücher und Abschlüsse, sechs Jahre für Handels- und Geschäftsbriefe; grundsätzlich acht Jahre für Buchungsbelege, vorbehaltlich gesetzlicher Sonderregeln). Grundsätze der Verarbeitung einschliesslich Rechenschaftspflicht: Art. 5 Abs. 1 und Abs. 2 DSGVO (dejure.org, gesetze-im-internet.de).
Gesundheitsdaten und Verschwiegenheit: Art. 9 Abs. 1 DSGVO untersagt die Verarbeitung besonderer Kategorien grundsätzlich; eine ausdrückliche Einwilligung nach Abs. 2 lit. a kann eine Ausnahme tragen. § 203 Abs. 1 StGB nennt Versicherungsmakler nicht ausdrücklich. BGH, Urteil vom 10. Februar 2010, VIII ZR 53/09, betrifft einen selbständigen Versicherungsvertreter bei privaten Personenversicherungen. Die Übertragung auf Makler ist anhand der konkreten Rolle zu prüfen. Vertragliche Verschwiegenheit sowie Integrität und Vertraulichkeit nach Art. 5 Abs. 1 lit. f DSGVO bleiben zu beachten. Weitere Ausnahmen sind gesondert zu prüfen, insbesondere Art. 9 Abs. 2 lit. f DSGVO für die erforderliche Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Die besonderen Massnahmen nach § 22 Abs. 2 BDSG beziehen sich auf Fälle des Absatzes 1; Art. 32 DSGVO bleibt unabhängig davon zu beachten.
Verzeichnis und Information: Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten mit den in Art. 30 Abs. 1 lit. a bis g DSGVO genannten Angaben, schriftlich oder elektronisch (Art. 30 Abs. 3); die Ausnahme für Stellen mit weniger als 250 Beschäftigten (Art. 30 Abs. 5) entfällt u. a., wenn besondere Kategorien nach Art. 9 Abs. 1 verarbeitet werden, was beim Makler regelmässig der Fall ist. Informationspflichten bei Erhebung beim Kunden (Art. 13 DSGVO) und bei Daten aus anderer Quelle (Art. 14 DSGVO). Alle dejure.org.
Datensicherheit, Datenschutzbeauftragter, Folgenabschätzung: angemessene technische und organisatorische Massnahmen (Art. 32 DSGVO). Pflicht zur Benennung eines Datenschutzbeauftragten ab der 20-Personen-Schwelle (§ 38 Abs. 1 Satz 1 BDSG), unabhängig davon in den Fällen des § 38 Abs. 1 Satz 2 BDSG, insbesondere bei Verarbeitungen mit Pflicht zur Datenschutz-Folgenabschätzung, sowie nach Art. 37 Abs. 1 lit. c DSGVO bei umfangreicher Verarbeitung besonderer Kategorien als Kerntätigkeit. Ob ein einzelner Makler oder eine kleine GmbH bereits „umfangreich" verarbeitet, ist anhand des Einzelfalls zu prüfen; Erwägungsgrund 91 nennt die Verarbeitung durch einen einzelnen Arzt oder Rechtsanwalt als nicht umfangreich. Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko (Art. 35 Abs. 1, Abs. 3 lit. b DSGVO); die Aufsichtsbehörden veröffentlichen Muss-Listen (Art. 35 Abs. 4). Alle dejure.org, gesetze-im-internet.de.
Datenpanne: Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko (Art. 33 Abs. 1 DSGVO), mit Mindestinhalt der Meldung (Art. 33 Abs. 3); Pflicht zur internen Dokumentation aller Verletzungen unabhängig von der Meldepflicht (Art. 33 Abs. 5); zusätzliche Benachrichtigung der betroffenen Personen bei voraussichtlich hohem Risiko (Art. 34 Abs. 1 DSGVO). Alle dejure.org.
Die Rolle ist für jeden Verarbeitungsvorgang nach tatsächlicher Zweck- und Mittelentscheidung sowie Weisungsbindung zu bestimmen. Ein Pool kann je Vorgang eigener Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortlicher sein; eine pauschale Mehrheitsbehauptung benötigt einen belastbaren Beleg und ersetzt diese Prüfung nicht. Ein erforderlicher AVV muss Art. 28 Abs. 3 DSGVO entsprechen; bei gemeinsamer Verantwortlichkeit gilt Art. 26. Ein Verstoss gegen Art. 28 kann unter Art. 83 Abs. 4 lit. a DSGVO fallen. EDSA, Leitlinien 07/2020, und DSK, Kurzpapier Nr. 13, erläutern die Abgrenzung.
Betroffenenrechte und Aufbewahrung: Auskunft mit Recht auf Kopie (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21; gegen Direktwerbung bedingungslos, Art. 21 Abs. 2 und Abs. 3); Bearbeitung grundsätzlich unverzüglich, spätestens binnen eines Monats, um bis zu zwei weitere Monate verlängerbar, soweit Komplexität oder Anzahl der Anträge dies erfordern; die Verlängerung und ihre Gründe sind innerhalb des ersten Monats mitzuteilen (Art. 12 Abs. 3), grundsätzlich unentgeltlich (Art. 12 Abs. 5). Eine rechtliche Aufbewahrungspflicht kann die Löschung nach Art. 17 Abs. 3 lit. b DSGVO ausschliessen; eine Einschränkung nach Art. 18 folgt daraus nicht automatisch. Die Aufbewahrungsfristen aus § 257 HGB und § 147 AO richten sich nach der Unterlagenart. Art. 17 Abs. 3 lit. e DSGVO nimmt erforderliche Daten für Rechtsansprüche von der Löschung aus, ersetzt aber keine Rechtsgrundlage für die Speicherung. Alle dejure.org, gesetze-im-internet.de.
Bussgeld, Schadenersatz, Versicherbarkeit: Bussgeldrahmen bis 10 Mio. Euro oder 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs (Art. 83 Abs. 4 DSGVO) bzw. bis 20 Mio. Euro oder 4 Prozent bei Verstössen nach Art. 83 Abs. 5 DSGVO, jeweils der höhere Betrag; zuständig ist die Datenschutzaufsicht des Landes (§ 40 BDSG). Schadenersatz für materiellen und immateriellen Schaden (Art. 82 Abs. 1 DSGVO), Exkulpation möglich (Abs. 3). Erforderlich sind Verstoss, konkreter Schaden und Kausalität; keine Erheblichkeitsschwelle für immaterielle Schäden: Europäischer Gerichtshof, Urteil vom 04.05.2023, C-300/21 (Österreichische Post). Der BGH hat in VI ZR 10/24 für den dortigen Sachverhalt bei blossem Kontrollverlust eine Grössenordnung von rund 100 Euro erörtert; dies ist kein fester Betrag pro Person. Eine Deckung von DSGVO-Geldbussen darf nicht vorausgesetzt werden. Art.-82-Ansprüche können abhängig von der konkreten Police gedeckt sein; Adressat, Verschuldensgrad, Sanktionszweck und zwingendes Recht bleiben zu prüfen.
Datenübertragung beim Bestandsverkauf: Nach Auffassung der Aufsichtsbehörden liegt beim Asset Deal (Bestandsübertragung) anders als beim Share Deal eine echte Übermittlung personenbezogener Daten an den Erwerber vor, weil die Person des Verantwortlichen wechselt; Gesundheitsdaten dürfen nur mit informierter und ausdrücklicher Einwilligung übermittelt werden, während für gewöhnliche Vertragsdaten nach dem Vertragsstadium zu differenzieren ist; verantwortlich für die Übermittlung bleibt der Veräusserer, und der Erwerber muss die Betroffenen nach Art. 14 DSGVO informieren (Beschluss der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 11.09.2024 zum Umgang mit personenbezogenen Daten bei Unternehmenstransaktionen, Abschnitte II und V; datenschutzkonferenz-online.de).

Verwandte Beiträge

Weiterlesen

Auftragsverarbeitung im Maklerbüro: Dienstleister, Pool und der AVV

Gesundheitsdaten im Maklerbüro: Einwilligung und Schweigepflichtentbindung

DSGVO-Bussgeld und Schadenersatz: Was Maklern droht

Die Datenpanne im Maklerbüro: 72 Stunden, Meldung und Notfallplan

Ihr Maklerunternehmen persönlich begleiten.

Schildern Sie mir Ihre Ausgangslage. Im kostenlosen Erstgespräch besprechen wir, welche Begleitung für Sie passt. Die fachliche Prüfung und Gestaltung erfolgen im vereinbarten Mandat.

Ihr Vorhaben besprechen Persönliche Beratung für Maklerunternehmen

Umfang und Honorar vereinbaren wir vor der Beauftragung.