Für Makler, einfach erklärt

Gesundheitsdaten im Maklerbüro: Einwilligung und Schweigepflichtentbindung

Bei der Vermittlung von Kranken-, Berufsunfähigkeits-, Lebens- oder Pflegeversicherungen können besonders geschützte Gesundheitsdaten anfallen. Dieser Beitrag erklärt die ausdrückliche Datenschutz-Einwilligung, die davon getrennte Schweigepflichtentbindung, die Wahlrechte nach § 213 VVG und den Schutz sensibler Informationen im Maklerbüro. Auch die ungeklärte Reichweite des § 203 StGB für Makler wird eingeordnet.

23. Juni 2026 Lesezeit ca. 7 Minuten Deutschland Fachlich überprüft: 19. Oktober 2026

Das Wichtigste vorab

Gesundheitsdaten sind eine besondere Kategorie personenbezogener Daten; ihre Verarbeitung ist nach Art. 9 DSGVO grundsätzlich verboten. Ohne taugliche Ausnahme ist schon das Erheben und Speichern unzulässig, der Vertrag allein genügt nicht.
Für die Vermittlung privater Personenversicherungen kann die ausdrückliche Einwilligung eine Ausnahme tragen (Art. 9 Abs. 2 lit. a DSGVO). Andere Zwecke, etwa erforderliche Rechtsverteidigung, sind gesondert nach Art. 9 Abs. 2 zu prüfen. Sie muss aktiv, auf die Gesundheitsdaten bezogen, freiwillig, verständlich, nachweisbar und jederzeit widerrufbar sein. Vorangekreuzte Kästchen genügen nicht.
Vorab erteilte Einwilligungen sind nach § 213 VVG möglich. Vor jeder Erhebung sind Information und Widerspruchsmöglichkeit nötig; Einzeleinwilligungen können jederzeit verlangt werden. Unbegrenzte Schweigepflichtentbindungen bleiben rechtlich problematisch.
Versicherungsmakler sind in § 203 Abs. 1 StGB nicht ausdrücklich genannt. Der BGH hat einen selbständigen Versicherungsvertreter bei privaten Personenversicherungen erfasst; die Entscheidung darf nicht ohne Prüfung der konkreten Rolle auf jeden Makler übertragen werden. Unabhängig davon gelten vertragliche und datenschutzrechtliche Vertraulichkeitspflichten.
Gesundheitsdaten brauchen risikogerechte Schutzmassnahmen nach Art. 5 und 32 DSGVO, begrenzte Zugriffe, klare Weisungen sowie begründete Aufbewahrung und Löschung.

Dieser Beitrag vertieft ein Thema aus dem Überblick DSGVO im Maklerbüro: den Umgang mit Gesundheitsdaten. Gesundheitsdaten unterliegen den besonderen Anforderungen des Art. 9 DSGVO. Entscheidend sind Zweck, Rechtsgrundlage und Schutz der jeweiligen Verarbeitung.

Warum Gesundheitsdaten besonders geschützt sind

Das Datenschutzrecht teilt personenbezogene Daten nicht alle gleich. Eine Gruppe gilt als besonders schutzbedürftig, die besonderen Kategorien, und dazu gehören Gesundheitsdaten. Für sie gilt eine Umkehrung der Grundregel: Während normale Daten verarbeitet werden dürfen, sobald eine Rechtsgrundlage greift, ist die Verarbeitung von Gesundheitsdaten grundsätzlich verboten (Art. 9 Abs. 1 DSGVO). Erlaubt ist sie nur, wenn eine der eng gefassten Ausnahmen greift. Das Verbot wirkt umfassend: Weil schon das Erheben und Speichern eine Verarbeitung ist, dürfen Sie solche Daten ohne taugliche Ausnahme nicht einmal aufnehmen.¹

Was zählt als Gesundheitsdatum? Der Begriff ist weit. Erfasst sind alle Angaben zum früheren, gegenwärtigen oder künftigen körperlichen oder geistigen Gesundheitszustand, also Krankheiten, Diagnosen, Behinderungen, Krankheitsrisiken, Vorerkrankungen, Medikamente und Behandlungen, unabhängig davon, woher die Information stammt. Im Makleralltag fällt das laufend an: bei der Risikovoranfrage, beim Ausfüllen der Gesundheitsfragen, bei der Antragsaufnahme für eine Kranken-, Berufsunfähigkeits-, Lebens- oder Pflegeversicherung. Ein Anlass ist die vorvertragliche Anzeigepflicht: Der Kunde muss die ihm bekannten gefahrerheblichen Umstände, nach denen der Versicherer in Textform fragt, wahrheitsgemäss angeben (§ 19 VVG), und über Sie als Makler laufen diese Angaben.¹

Die ausdrückliche Einwilligung

Für die Vermittlung privater Personenversicherungen kann die ausdrückliche Einwilligung des Kunden eine Ausnahme tragen (Art. 9 Abs. 2 lit. a DSGVO). Für jeden Verarbeitungszweck ist die passende Ausnahme gesondert zu bestimmen; etwa die erforderliche Rechtsverteidigung kann unter Art. 9 Abs. 2 lit. f DSGVO fallen. Die Einwilligung muss dabei mehr leisten als bei gewöhnlichen Daten, sie muss ausdrücklich sein. Das bedeutet eine aktive, eindeutige Erklärung, die sich klar auf die Gesundheitsdaten und auf bestimmte Zwecke bezieht.²

Damit eine solche Einwilligung wirksam ist, müssen mehrere Bedingungen zusammenkommen:

Aktiv und unmissverständlich. Ein vorangekreuztes Kästchen, Stillschweigen oder blosse Untätigkeit genügen nicht. Es braucht eine bestätigende Handlung des Kunden.
Informiert und zweckbestimmt. Der Kunde muss wissen, welche Daten wofür und an wen (etwa an welche Versicherer) verarbeitet werden.
Freiwillig. Die Einwilligung darf nicht mit Leistungen gekoppelt werden, die sie nicht erfordern (Kopplungsverbot); sie muss eine echte Wahl lassen.
Abgegrenzt und verständlich. Steckt sie in einem längeren Text, muss sie klar hervorgehoben und in einfacher Sprache abgefasst sein.
Nachweisbar und widerrufbar. Sie müssen die Einwilligung belegen können, und der Kunde kann sie jederzeit so einfach widerrufen, wie er sie erteilt hat. Ab dem Widerruf darf die Verarbeitung nicht mehr auf diese Einwilligung gestützt werden. Andere Rechtsgrundlagen und erforderliche Aufbewahrungspflichten sind gesondert zu prüfen; ohne notwendige Daten kann die gewünschte Leistung unmöglich werden.

Praktisch heisst das: kein Sammelhäkchen für alles. Eine Einwilligung, die pauschal „die Verarbeitung meiner Daten" abdeckt, trägt die Gesundheitsdaten nicht. Sie brauchen eine eigene, hervorgehobene und auf die Gesundheitsangaben bezogene Erklärung, idealerweise getrennt von den übrigen Vertragsunterlagen. Und Sie müssen den Widerruf genauso leicht möglich machen wie die Erteilung.

Schweigepflichtentbindung: Reichweite und Wahlrechte beachten

Neben der Datenschutz-Einwilligung steht ein zweites Instrument, das oft verwechselt wird: die Schweigepflichtentbindung. Sie ist nötig, weil der Versicherer zur Risikoprüfung häufig Auskünfte bei Dritten einholen will, etwa bei Ärzten, Krankenhäusern, Krankenkassen oder Vorversicherern. Diese Stellen unterliegen selbst einer Schweigepflicht und dürfen nur Auskunft geben, wenn der Kunde sie davon entbindet. Datenschutz-Einwilligung und Schweigepflichtentbindung sind dabei zwei verschiedene Erklärungen: Die eine erlaubt dem Makler und Versicherer die Verarbeitung, die andere erlaubt der dritten Stelle die Offenbarung.³

Eine Schweigepflichtentbindung muss in Reichweite und Verfahren angemessen begrenzt sein. Sehr weite Erklärungen ohne zumutbare Alternative können das Recht auf informationelle Selbstbestimmung verletzen und unwirksam sein. Daraus folgt jedoch kein generelles Verbot jeder vorab erteilten Einwilligung. Datenschutz-Einwilligung und Schweigepflichtentbindung sind getrennte Erklärungen.³

§ 213 VVG begrenzt die Erhebung von Gesundheitsdaten durch den Versicherer bei den dort genannten Dritten auf erforderliche Informationen und verlangt die Einwilligung. Nach Abs. 2 kann sie vor der Vertragserklärung erteilt werden. Vor der jeweiligen Erhebung ist zu unterrichten und ein Widerspruchsrecht einzuräumen. Nach Abs. 3 kann die betroffene Person jederzeit verlangen, dass nur nach Einzeleinwilligung erhoben wird. Abs. 4 verlangt den Hinweis auf diese Rechte. Vorabinformation mit Widerspruchsmöglichkeit und Einzeleinwilligung sind deshalb zu unterscheiden.³

Für Sie als Makler ist das ein doppelter Punkt. Erstens: Prüfen Sie jedes verwendete Formular darauf, ob es die Vorabeinwilligung mit Information und Widerspruch vor der einzelnen Erhebung sowie das jederzeitige Wahlrecht für Einzeleinwilligungen nach § 213 Abs. 2 und 3 VVG korrekt abbildet. Eine Branchenbezeichnung ersetzt diese Prüfung nicht. Zweitens: Erklären Sie dem Kunden den Unterschied. Verweigert oder widerruft er eine notwendige Erklärung, darf die Verarbeitung nicht auf diese Einwilligung gestützt werden; ohne die benötigten Daten kann der Versicherer den Antrag oder die Leistung unter Umständen nicht prüfen.

Trifft den Makler die Schweigepflicht nach § 203 StGB?

Versicherungsmakler sind in § 203 Abs. 1 StGB nicht ausdrücklich genannt. Der BGH hat einen selbständigen Versicherungsvertreter bei privaten Personenversicherungen erfasst; die Entscheidung darf nicht ohne Prüfung der konkreten Rolle auf jeden Makler übertragen werden. Unabhängig davon gelten vertragliche und datenschutzrechtliche Vertraulichkeitspflichten.⁴

Die Übertragbarkeit der Rechtsprechung zum selbständigen Versicherungsvertreter auf den Versicherungsmakler ist anhand der konkreten Rolle zu prüfen. Unabhängig davon sind die vertraglichen Verschwiegenheitspflichten und Art. 5 Abs. 1 lit. f DSGVO zu beachten. Eine unzulässige Weitergabe kann auch ohne eine abschliessende Einordnung unter § 203 StGB zivil- und datenschutzrechtliche Folgen haben.⁴

Was Sie praktisch tun müssen

Gesundheitsdaten verlangen einen risikogerechten Schutz nach Art. 5 und 32 DSGVO. § 22 Abs. 2 BDSG ist unmittelbar bei einer Verarbeitung auf Grundlage des § 22 Abs. 1 BDSG einschlägig. Bei ausdrücklicher Einwilligung können die dort genannten Massnahmen Orientierung für den Schutz bieten:⁵

Zugriff beschränken. Nur wer die Daten wirklich braucht, darf sie sehen; der Zugang ist technisch und organisatorisch zu begrenzen.
Verschlüsseln und pseudonymisieren. Planen Sie geeignete Verschlüsselung für Speicherung und Übertragung und, soweit zweckmässig, Pseudonymisierung ein. Die konkrete Auswahl richtet sich nach Zweck und Risiko.
Zur Verschwiegenheit verpflichten. Mitarbeiter und Hilfskräfte sind ausdrücklich auf Vertraulichkeit zu verpflichten, und die Systeme müssen Vertraulichkeit und Integrität gewährleisten.

Dazu kommen zwei Selbstverständlichkeiten mit besonderem Gewicht. Erstens die Datenminimierung: Erheben Sie nur die Gesundheitsangaben, die für den konkreten Zweck wirklich nötig sind, nicht vorsorglich mehr. Zweitens die getrennte, geschützte Ablage und ein Löschkonzept, das die Daten entfernt, sobald der Zweck entfällt und keine Aufbewahrungspflicht entgegensteht. Und behalten Sie im Blick: Wenn Sie die Angaben an den Versicherer weiterreichen, ist das eine Übermittlung zwischen zwei Verantwortlichen, für die ihrerseits eine taugliche Grundlage (regelmässig die Einwilligung) vorliegen muss.⁵

Vorsicht bei Dienstleistern. Soweit Cloud-, Software- oder andere Dienstleister Gesundheitsdaten weisungsgebunden für Ihr Büro verarbeiten, sind die Regeln der Auftragsverarbeitung zu beachten. Schutzmassnahmen, Datenort und etwaige Drittlandübermittlungen sind gesondert zu prüfen. Was dabei vertraglich nötig ist, lesen Sie in Auftragsverarbeitung im Maklerbüro: Dienstleister, Pool und der AVV.

Was das praktisch heisst

Fehler beim Umgang mit Gesundheitsdaten können Bussgelder, Schadenersatzansprüche und Vertrauensverlust auslösen. Drei Schritte helfen bei der Vorsorge. Erstens: für jeden Zweck eine passende Ausnahme nach Art. 9 Abs. 2 DSGVO bestimmen. Wird die Verarbeitung auf eine ausdrückliche Einwilligung gestützt, muss diese klar, zweckbezogen, nachweisbar und widerrufbar sein. Zweitens: bei der Schweigepflichtentbindung auf klare Erklärungen und die vorgesehenen Wahlmöglichkeiten achten. Drittens: die Daten technisch schützen und sparsam behandeln, nur das Nötige erheben, sicher ablegen und nach Prüfung der Aufbewahrungspflichten rechtzeitig löschen.

Martin Seeland

Rechtsanwalt, Seeland Legal. Die Kanzlei berät Versicherungsmakler zu Datenschutz- und Haftungsfragen, prüft Einwilligungs- und Schweigepflichtentbindungstexte, ordnet den Umgang mit Gesundheitsdaten ein und begleitet Verträge mit Dienstleistern. Mehr zur Kanzlei und zur Beratung im Maklermarkt.

Dieser Beitrag gibt einen allgemeinen Überblick mit Stand 18. Oktober 2026 und ersetzt keine Beratung im Einzelfall. Ob eine Einwilligung oder Schweigepflichtentbindung im konkreten Fall wirksam ist, welche Schutzmassnahmen angemessen sind und ob den Makler im Einzelfall eine strafbewehrte Schweigepflicht trifft, hängt vom Sachverhalt, von den verwendeten Formulierungen und vom jeweiligen Versicherungszweig ab und gehört anwaltlich geprüft. Die Anwendbarkeit des § 203 StGB auf den Makler ist anhand der konkreten Rolle zu prüfen. Die Übertragbarkeit der genannten Entscheidungen hängt von ihrem Gegenstand und der konkreten Gestaltung ab.

Häufige Fragen

Kurz beantwortet

Darf ein Makler Gesundheitsdaten überhaupt verarbeiten?

Ja, aber nur unter engen Voraussetzungen. Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten, deren Verarbeitung Art. 9 DSGVO grundsätzlich verbietet. Schon das Erheben und Speichern ist ohne eine taugliche Ausnahme unzulässig; eine normale Rechtsgrundlage wie der Vertrag genügt nicht. Für die Vermittlung privater Personenversicherungen kann die ausdrückliche Einwilligung des Kunden eine Ausnahme tragen. Andere Zwecke, etwa erforderliche Rechtsverteidigung, verlangen eine gesonderte Prüfung der passenden Ausnahme nach Art. 9 Abs. 2. Betroffen sind alle Angaben zu Vorerkrankungen, Diagnosen, Medikamenten und Risikovoranfragen, wie sie bei Kranken-, Berufsunfähigkeits-, Lebens-, Pflege- und Unfallversicherungen anfallen.

Was ist eine ausdrückliche Einwilligung?

Eine ausdrückliche Einwilligung muss aktiv und unmissverständlich, auf Gesundheitsdaten und bestimmte Zwecke bezogen, freiwillig, verständlich und nachweisbar sein. Ein vorangekreuztes Kästchen oder eine versteckte Klausel genügt nicht. Ein Widerruf muss so einfach wie die Erteilung sein. Ab dem Widerruf darf die Verarbeitung nicht mehr auf diese Einwilligung gestützt werden; andere Rechtsgrundlagen und Aufbewahrungspflichten sind gesondert zu prüfen. Ohne notwendige Daten kann die gewünschte Leistung unmöglich werden.

Ist eine pauschale Schweigepflichtentbindung wirksam?

Nicht jede vorab erteilte Einwilligung ist unwirksam. § 213 Abs. 2 VVG lässt sie zu, verlangt aber Information vor der jeweiligen Erhebung und eine Widerspruchsmöglichkeit. Nach Abs. 3 kann die betroffene Person jederzeit Einzeleinwilligungen verlangen. Sehr weite Schweigepflichtentbindungen ohne zumutbare Alternative können unwirksam sein. Datenschutz-Einwilligung und Entbindung von einer bestehenden Schweigepflicht sind getrennt zu prüfen.

Unterliegt der Makler der Schweigepflicht nach § 203 StGB?

Wie muss der Makler Gesundheitsdaten schützen?

Zugriffsbeschränkung, geeignete Verschlüsselung oder Pseudonymisierung, klare Weisungen und ein Schutzkonzept können nach Art. 5 und 32 DSGVO erforderlich sein. Die konkrete Auswahl richtet sich nach dem Risiko. § 22 Abs. 2 BDSG gilt unmittelbar bei Verarbeitung auf Grundlage seines Abs. 1. Erheben Sie nur die für den Zweck erforderlichen Gesundheitsangaben und begründen Sie Aufbewahrung und Löschung. Bei der Weitergabe zwischen Makler und Versicherer sind die jeweilige Verantwortlichkeit und Rechtsgrundlage gesondert zu prüfen.

Quellen

Belege und Fundstellen

Gesundheitsdaten als besondere Kategorie: Die Verarbeitung von Gesundheitsdaten ist grundsätzlich untersagt (Art. 9 Abs. 1 DSGVO, Verordnung (EU) 2016/679); das Verbot entfällt nur in den Fällen des Art. 9 Abs. 2. Da auch das Erheben und Speichern Verarbeitung ist (Art. 4 Nr. 2 DSGVO), ist ohne taugliche Ausnahme bereits die Aufnahme unzulässig; eine Grundlage allein nach Art. 6 genügt nicht. Legaldefinition Gesundheitsdaten Art. 4 Nr. 15 DSGVO; weites Verständnis nach Erwägungsgrund 35 (früherer, gegenwärtiger und künftiger Gesundheitszustand, Krankheiten, Vorerkrankungen, Behandlungen, unabhängig von der Herkunft); zur weiten Auslegung bereits EuGH, Urteil vom 06.11.2003, C-101/01 (Lindqvist), Rn. 50 f., ECLI:EU:C:2003:596. Ein Anlass der Datenerhebung ist die vorvertragliche Anzeigepflicht: Der Versicherungsnehmer muss die ihm bekannten, in Textform erfragten gefahrerheblichen Umstände anzeigen (§ 19 Abs. 1 VVG). Auch bei einer Ausnahme bleiben die Grundsätze des Art. 5 DSGVO (Zweckbindung, Datenminimierung, Speicherbegrenzung) anwendbar. Alle dejure.org, gesetze-im-internet.de.
Ausdrückliche Einwilligung: Tragende Ausnahme für den Makler ist die ausdrückliche Einwilligung für festgelegte Zwecke (Art. 9 Abs. 2 lit. a DSGVO); sie geht über die einfache Einwilligung des Art. 6 Abs. 1 lit. a hinaus. Anforderungen an die Einwilligung: freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben (Art. 4 Nr. 11 DSGVO); Nachweispflicht des Verantwortlichen (Art. 7 Abs. 1), hervorgehobene und verständliche Form bei Einbettung in andere Erklärungen (Art. 7 Abs. 2), jederzeitiger Widerruf so einfach wie die Erteilung mit vorherigem Hinweis (Art. 7 Abs. 3), Kopplungsverbot/Freiwilligkeit (Art. 7 Abs. 4); keine wirksame Einwilligung durch vorangekreuzte Kästchen, Stillschweigen oder Untätigkeit (Erwägungsgrund 32); Freiwilligkeit setzt echte Wahl voraus (Erwägungsgründe 42, 43). Zum Erfordernis einer aktiven, ausdrücklichen Erklärung bei besonderen Kategorien EDSA, Leitlinien 05/2020 zur Einwilligung, Version 1.1. Alle dejure.org, edpb.europa.eu.
Schweigepflichtentbindung und § 213 VVG: Art. 9 Abs. 2 lit. a DSGVO regelt die ausdrückliche Datenschutz-Einwilligung, eine Schweigepflichtentbindung betrifft dagegen die Offenbarungsbefugnis eines Geheimnisträgers. § 213 Abs. 1 VVG bestimmt Erforderlichkeit und Einwilligung bei der Erhebung durch den Versicherer bei den genannten Dritten. Abs. 2 erlaubt die Einwilligung vor der Vertragserklärung, mit Information und Widerspruchsmöglichkeit vor der einzelnen Erhebung. Abs. 3 gewährt das jederzeitige Verlangen nach Einzeleinwilligung; Abs. 4 regelt die Hinweispflicht. BVerfG, Beschluss vom 23. Oktober 2006, 1 BvR 2027/02, und BGH, Urteil vom 22. Februar 2017, IV ZR 289/14, betreffen die Grenzen weiter Ermächtigungen und rechtfertigen keine Aussage, nur Einzeleinwilligungen seien zulässig.
Gesundheitsdaten und Verschwiegenheit: Art. 9 Abs. 1 DSGVO untersagt die Verarbeitung besonderer Kategorien grundsätzlich; eine ausdrückliche Einwilligung nach Abs. 2 lit. a kann eine Ausnahme tragen. § 203 Abs. 1 StGB nennt Versicherungsmakler nicht ausdrücklich. BGH, Urteil vom 10. Februar 2010, VIII ZR 53/09, betrifft einen selbständigen Versicherungsvertreter bei privaten Personenversicherungen. Die Übertragung auf Makler ist anhand der konkreten Rolle zu prüfen. Vertragliche Verschwiegenheit sowie Integrität und Vertraulichkeit nach Art. 5 Abs. 1 lit. f DSGVO bleiben zu beachten.
Schutzmassnahmen: Art. 5 und 32 DSGVO bestimmen Datenminimierung, Speicherbegrenzung und risikogerechte Sicherheit. § 22 Abs. 2 BDSG knüpft unmittelbar an die Verarbeitung nach Abs. 1 an. Bei ausdrücklicher Einwilligung ist er keine pauschale zusätzliche Erlaubnisgrundlage. Für Beschäftigte des Verantwortlichen sind insbesondere Art. 29 und Art. 32 Abs. 4 DSGVO einschlägig; Art. 28 Abs. 3 lit. b betrifft befugte Personen des Auftragsverarbeiters. Übermittlungen zwischen eigenständig Verantwortlichen brauchen eine passende Rechtsgrundlage auch nach Art. 9 DSGVO.

Verwandte Beiträge

Weiterlesen

DSGVO im Maklerbüro: Ihre Datenschutzpflichten im Überblick

Auftragsverarbeitung im Maklerbüro: Dienstleister, Pool und der AVV

Maklerbestand übertragen: Zustimmung und Datenschutz

Ihr Maklerunternehmen persönlich begleiten.

Schildern Sie mir Ihre Ausgangslage. Im kostenlosen Erstgespräch besprechen wir, welche Begleitung für Sie passt. Die fachliche Prüfung und Gestaltung erfolgen im vereinbarten Mandat.

Ihr Vorhaben besprechen Persönliche Beratung für Maklerunternehmen

Umfang und Honorar vereinbaren wir vor der Beauftragung.