DSGVO für Versicherungsmakler: Das musst du wissen

Als Versicherungsmakler verarbeitest du aufgrund deiner Tätigkeit regelmäßig hochsensible Gesundheitsdaten und stehst damit datenschutzrechtlich unter besonders strenger Beobachtung. Als eigenständig Verantwortlicher im Sinne der DSGVO trägst du die volle Rechenschaftspflicht für nahezu jeden Aspekt der Datenverarbeitung in deinem Betrieb.

Bist du als Versicherungsmakler eigenständig für den Datenschutz verantwortlich?

Ja. Als Versicherungsmakler bist du bei der Ausübung deiner gewerblichen Tätigkeit im Regelfall eigenständig Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO, weil du selbst über Zwecke und Mittel der Datenverarbeitung entscheidest. Das unterscheidet dich grundlegend von einem Auftragsverarbeiter, der nur weisungsgebunden im Auftrag eines Dritten handelt.

Diese Einordnung hat weitreichende Konsequenzen: Als Verantwortlicher trägst du die volle Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO und musst sämtliche acht DSGVO-Grundprinzipien selbst gewährleisten: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit.

Welche Rechtsgrundlage brauchst du für die Datenverarbeitung?

Für deine alltägliche Maklertätigkeit dient in erster Linie der Maklervertrag selbst als Rechtsgrundlage gemäß Art. 6 Abs. 1 lit. b) DSGVO, also die Vertragserfüllung. Für sensible Datenkategorien wie Gesundheitsdaten reicht diese vertragliche Grundlage jedoch ausdrücklich nicht aus. Hier brauchst du zusätzlich eine explizite Einwilligung gemäß Art. 6 Abs. 1 lit. a) DSGVO in Verbindung mit Art. 9 Abs. 2 lit. a) DSGVO.

Gesundheitsdaten fallen unter die besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO, zu denen neben Gesundheitsdaten auch Angaben zu ethnischer Herkunft, politischen Meinungen, religiösen Überzeugungen, Gewerkschaftszugehörigkeit, genetischen und biometrischen Daten sowie zum Sexualleben zählen. Ihre Verarbeitung ist im Regelfall verboten, es sei denn, einer der in Art. 9 Abs. 2 DSGVO abschließend aufgezählten Ausnahmetatbestände greift. Für dich als Makler ist praktisch ausschließlich die ausdrückliche Einwilligung der betroffenen Person relevant, und diese muss sich explizit und gesondert auf die Gesundheitsdaten beziehen. Eine allgemeine Einwilligung zur "Datenverarbeitung" reicht rechtlich nicht aus.

Neben der DSGVO-Einwilligung brauchen Versicherer für Kranken-, Lebens- und Unfallversicherungen zusätzlich eine Entbindung von der ärztlichen Schweigepflicht nach § 203 StGB, damit Ärzte oder andere Dritte Gesundheitsinformationen überhaupt an den Versicherer und in der Folge an dich als Makler weitergeben dürfen. Diese Schweigepflichtentbindung ist rechtlich von der DSGVO-Einwilligung zu unterscheiden, wird in der Praxis aber meist in einem gemeinsamen Formular gebündelt abgefragt.

Jetzt kostenlosen Beraterzugang sichern

Starte in wenigen Minuten, ganz ohne Risiko oder Verpflichtung.

• Einfach kostenlos registrieren
• Dauerhaft keine monatliche Grundgebühr
• Kein Zahlungsmittel hinterlegen
• Jederzeit auf einen größeren Tarif upgraden

Jetzt kostenlosen Beraterzugang sichern

Welche Informationspflichten hast du gegenüber deinen Kunden?

Du musst deine Kunden proaktiv und transparent über die Datenverarbeitung informieren, idealerweise bereits vor der eigentlichen Datenerhebung, etwa in der Terminbestätigungs-E-Mail oder durch einen kurzen Hinweis zu Beginn des Beratungsgesprächs mit Verweis auf die vollständige Datenschutzinformation.

Der AfW (Bundesverband Finanzdienstleistung) stellt seit 2025 ein kostenloses, branchenweit anerkanntes Musterformular für die Einwilligungserklärung zur Datenverarbeitung und Schweigepflichtentbindung sowie ein separates Muster für die Datenschutzinformation nach § 13 DSGVO zur Verfügung, das als aktueller Branchenstandard gilt. Diese Datenschutzinformationen musst du übrigens allen betroffenen Personen aushändigen, nicht nur dem Versicherungsnehmer selbst, sondern auch mitversicherten Personen und abweichenden Beitragszahlern.

Diese Bestandteile gehören zwingend in deine Einwilligungserklärung:

• Name und Kontaktdaten des Verantwortlichen (du als Makler) und gegebenenfalls des Datenschutzbeauftragten
• Konkrete Benennung von Kunde und gegebenenfalls abweichender versicherter Person
• Explizite Rechtsgrundlage, also Art. 6 Abs. 1 lit. a/b DSGVO für allgemeine Daten und Art. 9 Abs. 2 lit. a DSGVO für Gesundheitsdaten
• Gesonderter, ausdrücklicher Passus zur Einwilligung in die Verarbeitung von Gesundheitsdaten, biometrischen und genetischen Daten
• Klarstellung zur Weitergabe an Versicherer, Maklerpools, zwischengeschaltete Makler und Dienstleistungsgesellschaften
• Hinweis auf die Schweigepflichtentbindung nach § 203 StGB für Kranken-, Lebens- und Unfallversicherungen
• Geltungsdauer: Die Einwilligung gilt unabhängig vom konkreten Versicherungsantrag und bleibt auch bestehen, wenn kein Vertrag zustande kommt

Welche Rechte haben deine Kunden bei ihren Daten?

Deine Kunden haben umfassende Rechte auf Auskunft, Berichtigung und Löschung ihrer Daten, denen du unverzüglich nachkommen musst. Ein wichtiges BGH-Urteil vom Juni 2021 (Az. VI ZR 576/19) konkretisiert den Umfang des Auskunftsanspruchs erheblich und gilt in der Fachliteratur als zentrale Leitentscheidung zur Reichweite von Kundenanfragen.

Deine Kunden müssen außerdem aktiv über jede Datenweitergabe informiert werden, insbesondere über die Weitergabe innerhalb von Maklerpools, an externe Dienstleister oder an einen vertretenden Versicherungsmakler bei Urlaubs- oder Krankheitsvertretung.

Wie lange musst du Kundendaten aufbewahren?

Hier entsteht in der Praxis die größte Rechtsunsicherheit, weil DSGVO-Löschpflicht und handels- beziehungsweise gewerberechtliche Aufbewahrungspflichten gegenläufig wirken. Im Regelfall gilt: Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den ursprünglichen Zweck erforderlich ist (Art. 5 DSGVO), und müssen nach Zweckerfüllung gelöscht werden (Art. 17 DSGVO).

Es bestehen jedoch wichtige gesetzliche Ausnahmen, wenn die weitere Speicherung zur Erfüllung rechtlicher Pflichten (Art. 17 Abs. 3b DSGVO) oder zur Verteidigung von Rechtsansprüchen (Art. 17 Abs. 3e DSGVO) erforderlich ist. Diese Fristen solltest du für deine Maklerunterlagen kennen:

Für die Praxis besonders relevant: Nach einem Maklerwechsel darf dein Ex-Kunde zwar im Regelfall Löschung verlangen, du als ursprünglicher Makler darfst diese aber für mindestens sechs Jahre verweigern, solange die Unterlagen für Dokumentations- oder Haftungszwecke noch relevant sind.

Gesetzliche Aufbewahrungsfristen haben damit klaren Vorrang vor dem DSGVO-Löschanspruch.

Brauchst du einen Auftragsverarbeitungsvertrag mit deinem Maklerpool?

Das ist ein besonders kontrovers diskutierter Bereich. Die überwiegende aktuelle Rechtsauffassung, etwa von der Kanzlei Michaelis, lautet: In den allermeisten Fällen musst du keinen AVV mit deinem Maklerpool schließen, weil zwischen dir und dem Pool in der Regel getrennte, eigenständige Verantwortlichkeiten bestehen und keine strenge Weisungsgebundenheit im Sinne von Art. 28 DSGVO vorliegt.

Das zentrale Abgrenzungskriterium ist die Weisungsgebundenheit: Nur wenn der Pool ausschließlich nach strikten Vorgaben von dir handelt und keine eigenen Entscheidungen über Zwecke und Mittel trifft, liegt echte Auftragsverarbeitung vor. In der Praxis wird diese Frage jedoch nicht einheitlich beurteilt, ältere Stellungnahmen vertraten explizit die gegenteilige Position und forderten den AVV-Abschluss oder eine Vereinbarung zur gemeinsamen Verantwortlichkeit. Kläre daher im Einzelfall mit deinem jeweiligen Pool, welches Verantwortlichkeitsmodell vertraglich zugrunde gelegt wird, und dokumentiere das.

Unabhängig von der Pool-Frage besteht für praktisch jeden anderen externen Dienstleister, der Kundendaten in deinem Auftrag verarbeitet, etwa CRM-Anbieter, Cloud-Hosting, E-Mail-Marketing-Tools oder externe Callcenter, regelmäßig eine AVV-Pflicht nach Art. 28 DSGVO.

Musst du einen Datenschutzbeauftragten bestellen?

Die reine Ausübung des Maklerberufs löst noch keine Pflicht zur Bestellung eines Datenschutzbeauftragten aus. Eine Bestellpflicht entsteht jedoch, wenn die Kerntätigkeit deines Unternehmens in der umfangreichen Verarbeitung besonderer Datenkategorien wie Gesundheitsdaten besteht, und genau diese Voraussetzung ist bei vielen PKV- oder BKV-fokussierten Maklerbüros durchaus erfüllt, weil Gesundheitsdaten hier nicht nur Nebenprodukt, sondern Kern des Geschäftsmodells sind.

Zusätzlich sieht § 38 BDSG eine Benennungspflicht im Regelfall bereits ab 20 Personen vor, die ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind.

Was gehört in dein Verzeichnis von Verarbeitungstätigkeiten?

Nahezu jedes Maklerbüro braucht unabhängig von der Betriebsgröße ein Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO. Dieses Verzeichnis kannst du schriftlich oder elektronisch führen, es muss aber folgende Pflichtangaben enthalten:

• Name und Kontaktdaten des Verantwortlichen sowie gegebenenfalls des Datenschutzbeauftragten
• Zwecke der jeweiligen Verarbeitung
• Beschreibung der Kategorien betroffener Personen und personenbezogener Daten
• Angabe, ob Daten in ein Drittland übermittelt werden
• Löschfristen für die jeweiligen Datenkategorien
• Beschreibung der getroffenen technischen und organisatorischen Maßnahmen (TOMs)

Welche technischen und organisatorischen Maßnahmen musst du umsetzen?

Du bist verpflichtet, angemessene Schutzmaßnahmen zu treffen, damit personenbezogene Daten weder verloren gehen noch unbefugten Dritten zugänglich werden. Der Datenminimierungsgrundsatz verlangt dabei, bei deinen Kunden nur so viele Daten zu erheben, wie zur Erfüllung vorvertraglicher und vertraglicher Maßnahmen tatsächlich notwendig ist.

Auf Ebene der Versicherer wird zusätzlich gefordert, digitale Archive zu verschlüsseln und den HTTPS-Standard konsequent umzusetzen sowie die Datenschutzbehörde und betroffene Personen im Falle eines Datenlecks binnen 72 Stunden zu informieren. Diese Pflicht ist aufgrund der engen Datenweitergabe zwischen Versicherer und Makler auch für dein Maklerbüro faktisch relevant.

Welche Bußgelder drohen bei einem DSGVO-Verstoß?

Der DSGVO-Bußgeldrahmen ist zweistufig ausgestaltet und kann existenzbedrohende Höhen erreichen. Bei Verstößen gegen Kernpflichten nach Art. 83 Abs. 2 DSGVO, etwa fehlende Rechtsgrundlage oder missachtete Betroffenenrechte, drohen Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, wobei der jeweils höhere Wert gilt.

Bei anderen Verstößen nach Art. 83 Abs. 3 DSGVO, etwa Dokumentations- oder Meldepflichtverstöße, beträgt der Rahmen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Zur Bemessung der konkreten Höhe berücksichtigen Aufsichtsbehörden Art, Schwere und Dauer des Verstoßes sowie ob vorsätzliches oder lediglich fahrlässiges Handeln vorliegt, vorsätzliche Verstöße werden deutlich härter sanktioniert.

Als konkretes Präzedenzbeispiel aus der Versicherungsbranche verhängte die spanische Datenschutzbehörde (AEPD) gegen den Versicherer AXA ein Bußgeld in Höhe von 200.000 Euro.

Kannst du dich gegen DSGVO-Bußgelder versichern?

In vielen Fällen ja: Viele Datenschutz-Haftpflicht- beziehungsweise Cyberversicherungen decken DSGVO-Bußgelder im Regelfall mit ab, solange dem keine gesetzlichen Versicherungsverbote entgegenstehen.

Entscheidend ist dabei die Unterscheidung zwischen fahrlässigem und vorsätzlichem Handeln: Fahrlässig begangene Verstöße sind in aller Regel über entsprechende Policen versicherbar, während vorsätzliche Datenschutzverstöße häufig explizit vom Versicherungsschutz ausgenommen sind oder nur eingeschränkt gedeckt werden. Für dein eigenes Maklerbüro ist damit auch eine eigene Cyber- beziehungsweise Datenschutzhaftpflichtversicherung ein relevantes Absicherungsinstrument.

Wie unterstützt dich unsere Kunden-App bei der DSGVO-Konformität?

Wir bei Vinlivt wissen, wie sensibel die Daten sind, mit denen du als PKV- oder BKV-Makler täglich arbeitest. Deshalb haben wir zentrale Bausteine deiner DSGVO-Pflichten direkt in unsere Kunden-App eingebaut.

Über unsere App kannst du das digitale Maklermandat, die Vollmacht und die Datenschutzeinwilligung deines Kunden per Klick abschließen, inklusive automatischer Vertragsunterlagenerstellung. Das erleichtert dir genau den Schritt, den dieser Report als besonders sensibel einordnet: die dokumentierte, nachvollziehbare Einwilligung deines Kunden in die Verarbeitung seiner Daten.

Unser App-Messenger für Chat, Push-Nachrichten und Videobotschaften ist vollständig DSGVO-konform, sodass du mit deinen Kunden kommunizieren kannst, ohne bei jeder Nachricht selbst über den Datenschutz nachdenken zu müssen.

Wichtig für deine eigene Einordnung: Diese Funktionen nehmen dir organisatorischen Aufwand ab, ersetzen aber nicht deine eigene Verantwortung als eigenständig Verantwortlicher nach Art. 4 Nr. 7 DSGVO. Dein Verzeichnis von Verarbeitungstätigkeiten, deine AVVs mit weiteren Dienstleistern und dein Löschkonzept bleiben weiterhin deine Aufgabe.

Wie setzt du DSGVO-Konformität in deinem Maklerbüro praktisch um?

Aus der Gesamtrecherche ergibt sich eine priorisierte Handlungsliste, die speziell auf dein Geschäftsmodell mit intensiver Gesundheitsdatenverarbeitung zugeschnitten ist.

FAQ

Bist du als Makler für den Datenschutz deiner Kunden verantwortlich?

Ja. Du giltst als eigenständig Verantwortlicher nach Art. 4 Nr. 7 DSGVO und trägst die volle Rechenschaftspflicht für die Datenverarbeitung in deinem Betrieb.

Reicht der Maklervertrag als Rechtsgrundlage für Gesundheitsdaten?

Nein. Für Gesundheitsdaten brauchst du zusätzlich eine explizite, gesonderte Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

Wie lange musst du Vertragsunterlagen deiner Kunden aufbewahren?

Im Regelfall sechs Jahre nach § 257 HGB, für unternehmensbezogene Belege sogar zehn Jahre nach § 257 HGB und § 147 AO.

Musst du mit deinem Maklerpool einen AVV abschließen?

In den meisten Fällen nicht, weil zwischen Makler und Pool meist getrennte Verantwortlichkeiten bestehen. Kläre das aber individuell mit deinem Pool.

Welche Bußgelder drohen bei einem DSGVO-Verstoß?

Bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes bei Kernpflichtverstößen, bis zu 10 Millionen Euro oder 2 Prozent bei anderen Verstößen.

Kann eine Cyberversicherung DSGVO-Bußgelder abdecken?

Fahrlässig begangene Verstöße lassen sich in der Regel versichern, vorsätzliche Verstöße sind dagegen häufig vom Versicherungsschutz ausgeschlossen.