Am 7. Juli 2026 wurde die Versicherungsbranche an einen unbequemen Grundsatz erinnert. Für eine Datenpanne braucht es keinen Hacker. Bei der uniVersa hatte ein Web-Crawler von OpenAI über einen Server, der dem automatisierten Datenaustausch mit Vertriebspartnern diente, für einige Stunden Zugriff auf Kundendaten – Namen, Anschriften, Vertragsdaten, teils Bankverbindungen; Gesundheits-, Login- und Kreditkartendaten waren nach Unternehmensangaben nicht betroffen. Ursache war kein Angriff, sondern eine temporär fehlende Sicherheitseinstellung nach einer IT-Umstellung.
Die uniVersa reagierte schnell. Zugriff gesperrt, IT-Forensik beauftragt, Behörden informiert, Betroffene angeschrieben – und OpenAI bestätigte, die Daten weder für KI-Training genutzt zu haben noch künftig zu nutzen. Gerade weil der Vorfall professionell gemanagt wurde, taugt er als Lehrstück für die gesamte Branche. Denn betroffen war ausgerechnet die Schnittstelle zum Vertrieb.
Im Ernstfall die Kontrolle behalten
Warum der Vorfall jeden Vermittlerbetrieb betrifft
Versicherungsmakler und -vermittler verarbeiten dieselben sensiblen Datenkategorien wie Versicherer – und sie sind dabei datenschutzrechtlich in aller Regel eigene Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO, nicht bloße Hilfspersonen der Versicherer. Die Pflichten aus der DSGVO treffen also den Vermittlerbetrieb selbst, vom Einzelmakler bis zum Pool. Zugleich wächst die Angriffsfläche. Maklerverwaltungsprogramme, Vergleichsrechner, Datenschnittstellen zu Versicherern, Kundenportale und Cloud-Speicher tauschen permanent Daten aus. Mit KI-Crawlern ist zudem eine neue Risikoklasse entstanden. Automatisierte Bots durchsuchen das offene Netz systematisch – was auch nur für Stunden ungeschützt erreichbar ist, muss als gefunden gelten.
Pflicht 1. Schutzmaßnahmen regelmäßig prüfen (Art. 32 DSGVO)
Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen nach dem Stand der Technik – und ausdrücklich auch ein Verfahren zur regelmäßigen Überprüfung ihrer Wirksamkeit (Art. 32 Abs. 1 lit. d DSGVO). Genau daran scheitert es in der Praxis am häufigsten. Nach IT-Umstellungen, Updates oder Dienstleisterwechseln unterbleibt die Kontrolle der Konfiguration. Zugriffsschutz, Verschlüsselung, Rechtekonzepte und Schnittstellen-Checks gehören deshalb in einen festen Prüfturnus – eine robots.txt, die Crawler höflich bittet, draußen zu bleiben, ist kein Sicherheitskonzept.
Pflicht 2. 72 Stunden – die Meldefrist läuft ab Kenntnis
Kommt es zur Panne, läuft die Uhr. Art. 33 DSGVO verlangt die Meldung an die Aufsichtsbehörde binnen 72 Stunden ab Kenntnis, es sei denn, ein Risiko für die Betroffenen ist unwahrscheinlich. Bei voraussichtlich hohem Risiko sind zusätzlich die Betroffenen selbst unverzüglich zu benachrichtigen (Art. 34 DSGVO). Auch nicht meldepflichtige Vorfälle müssen intern dokumentiert werden. Wer erst tagelang klärt, wer überhaupt zuständig ist, hat die Frist bereits verloren – ein vorbereiteter Meldeprozess mit klaren Zuständigkeiten gehört daher in jeden Vermittlerbetrieb.
Pflicht 3. Rollen und Schnittstellen vertraglich klären
Der Vorfall lenkt den Blick auf die Datenflüsse zwischen Versicherern, Pools und Vermittlern. Wer ist an welcher Stelle Verantwortlicher, wo liegt Auftragsverarbeitung (Art. 28 DSGVO), wo womöglich gemeinsame Verantwortlichkeit (Art. 26 DSGVO)? Diese Rollenverteilung entscheidet darüber, wen im Ernstfall Melde-, Informations- und Haftungspflichten treffen. Vermittler sollten ein aktuelles Verzeichnis führen, welche Kundendaten über welche Schnittstellen und Dienstleister laufen – und die Vertragsgrundlagen dieser Datenflüsse kennen.
Haftung. Schon der Kontrollverlust kann Geld kosten
Die Haftungsrisiken sind real. Nach der Leitentscheidung des Bundesgerichtshofs zum Facebook-Scraping (Urteil vom 18.11.2024, Az. VI ZR 10/24) kann bereits der bloße, auch nur kurzzeitige Verlust der Kontrolle über die eigenen Daten ein immaterieller Schaden im Sinne von Art. 82 DSGVO sein – ein konkreter Missbrauch muss nicht nachgewiesen werden. Datenpannen können damit auch für mittelständische Vermittlerbetriebe eine Vielzahl von Forderungen auslösen; hinzu kommen mögliche Bußgelder nach Art. 83 DSGVO und aufsichtsbehördliche Verfahren. Ob die eigene Cyber- oder Vermögensschadenhaftpflichtversicherung solche Drittansprüche, Anwalts- und Krisenkosten deckt, sollte nicht erst im Ernstfall geklärt werden.
Was Vermittler jetzt konkret tun sollten
Erstellen Sie ein Inventar Ihrer Schnittstellen und Dienstleister, prüfen Sie die technischen Schutzmaßnahmen nach jeder IT-Änderung, hinterlegen Sie einen 72-Stunden-Meldeprozess mit klaren Zuständigkeiten, klären Sie die datenschutzrechtlichen Rollen in Ihren Vertriebsverbindungen, prüfen Sie Ihren Versicherungsschutz für Datenschutzverletzungen – und schulen Sie Ihr Team. Die Grundlagen haben wir in unserem Beitrag zu den Datenschutzpflichten der Versicherungsvermittler zusammengestellt.
Datenschutz im Vertrieb ist Schnittstellenrecht – wir unterstützen Sie
Datenschutz im Versicherungsvertrieb ist Schnittstellenrecht. DSGVO, Vertriebsrecht und Versicherungsdeckung greifen ineinander. Wirth Rechtsanwälte aus Berlin beraten Vermittler, Maklerpools und Vertriebe bundesweit genau an dieser Schnittstelle – von der Prüfung der Datenflüsse und Verträge über den Ernstfall-Prozess bis zur Abwehr von Haftungsansprüchen und zur Auseinandersetzung mit dem eigenen Versicherer über die Deckung. Je früher die Strukturen stehen, desto kleiner bleibt der Schaden, wenn es doch einmal passiert.
Fazit
Der Vorfall bei der uniVersa zeigt, dass eine einzige fehlende Sicherheitseinstellung genügt – und die Datenpanne ist da. Wer seine Schnittstellen kennt, Schutzmaßnahmen regelmäßig prüft und den Meldeprozess vorbereitet hat, begrenzt Haftung und behält im Ernstfall die Kontrolle.
Im Ernstfall die Kontrolle behalten
Häufige Fragen (FAQ)
Ab Kenntnis der Datenschutzverletzung im Unternehmen – nicht erst, wenn die interne Zuständigkeit geklärt oder das Ausmaß vollständig ermittelt ist. Notfalls ist zunächst eine vorläufige Meldung mit Nachreichung der Details möglich.
Nein. Die Meldung entfällt nur, wenn ein Risiko für die Betroffenen unwahrscheinlich ist. Dokumentiert werden muss aber jeder Vorfall – auch der nicht gemeldete. Bei hohem Risiko sind zusätzlich die Betroffenen zu benachrichtigen.
In aller Regel nicht. Makler sind für die Daten ihrer Kunden regelmäßig eigenständige Verantwortliche. Die genaue Rolle – Verantwortlicher, Auftragsverarbeiter oder gemeinsame Verantwortlichkeit – ist aber je Datenfluss zu prüfen und vertraglich abzubilden.
Ja. Nach dem BGH (Urteil vom 18.11.2024, Az. VI ZR 10/24) kann schon der Kontrollverlust über die Daten ein ersatzfähiger immaterieller Schaden sein. Die Beträge im Einzelfall sind meist moderat – bei vielen Betroffenen summieren sie sich jedoch erheblich.
