Datenschutzregeln, die bestimmen, wie Versicherer Kundendaten nutzen dürfen

# Datenschutzregeln, die bestimmen, wie Versicherer Kundendaten nutzen dürfen

Das Underwriting-Team eines Lebensversicherers will die Fitbit-Schrittzahl eines Antragstellers zur Preisbildung nutzen. Ein Krankenversicherer will Kreditscores einkaufen, um das Schadenrisiko zu prognostizieren. Beides ist in manchen Rechtsräumen legal, in anderen eingeschränkt und in einigen ausdrücklich verboten. Der Unterschied liegt nicht in den Daten selbst. ErErThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → liegt im regulatorischen Rahmen darum herum, und wer diesen Rahmen falsch einschätzt, riskiert Bußgelder, unwirksame Verträge oder aufsichtsrechtliche Verbote eines ganzen Underwriting-Modells.

Diese Lektion geht die drei Regulierungsebenen durch, die die Datennutzung in der Versicherung bestimmen (GDPR, HIPAA und die US-Versicherungsgesetze der Einzelstaaten), und zeigt anschließend die praktischen Prüfungen, die ein Data- oder Compliance-Team durchführt, bevor eine neue Datenquelle in Produktion geht.

Warum Versicherung ein Sonderfall der Datenregulierung ist

Versicherung lebt von Diskriminierung im statistischen Sinn: unterschiedliche Preise für unterschiedliche Menschen, abhängig vom Risiko. Das ist das Geschäftsmodell. Aber die Gesetze in den meisten entwickelten Märkten sagen, dass Versicherer entlang bestimmter Achsen nicht diskriminieren dürfen (Ethnie, in den meisten Fällen Genetik, teils Gesundheitszustand), selbst wenn diese Daten die Preisgenauigkeit verbessern würden.

Jede neue Datenquelle, die ein Versicherer nutzen will (Wearables, Kreditdaten, Social Media, Geolokalisierung), muss also zwei Tests bestehen:

1. Ist es überhaupt legal, diese Daten zu erheben und zu verarbeiten? (Datenschutzrecht)

2. Ist es legal, sie für diesen konkreten Zweck zu nutzen, also für Preisbildung oder Underwriting? (Versicherungsrecht)

Ein Datenpunkt kann Test 1 bestehen und Test 2 nicht, oder umgekehrt. Genau darum führen Versicherer getrennte Prüfungen für Datenschutz und Underwriting-Fairness durch.

GDPR: die europäische Grundlinie

GDPR (Datenschutz-Grundverordnung, EU-Recht, wirksam seit 2018) setzt die Grundregeln für jedes Unternehmen, das personenbezogene Daten von EU-Bürgern verarbeitet, Versicherer eingeschlossen. Die für das Underwriting wichtigsten Mechanismen:

• Erfordernis einer Rechtsgrundlage. Versicherer brauchen eine rechtliche Begründung (Einwilligung, Vertragserforderlichkeit oder berechtigtes Interesse), um personenbezogene Daten zu verarbeiten. Gesundheitsdaten stuft die GDPR als „besondere Kategorie" ein, für die eine ausdrückliche Einwilligung oder eine spezifische gesetzliche Ausnahme nötig ist, nicht nur ein Klick auf allgemeine Nutzungsbedingungen.
• Artikel 22: automatisierte Entscheidungsfindung. Wird eine Preis- oder Schadenentscheidung „ausschließlich automatisiert" getroffen und hat rechtliche oder ähnlich erhebliche Wirkung, hat der Kunde Anspruch auf menschliche Prüfung und eine Erklärung. Das schränkt vollautomatische Underwriting-Algorithmen in Europa unmittelbar ein.
• Datenminimierung. Versicherer dürfen nur Daten erheben, die für den angegebenen Zweck erforderlich sind. Die komplette Social-Media-Historie eines Kunden auszulesen, um eine Krankenversicherung zu bepreisen, würde diesen Test voraussichtlich nicht bestehen.

Zur Durchsetzung berufen sind die nationalen Datenschutzbehörden (DPAs), etwa die französische CNIL oder der deutsche BfDI. Bußgelder kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen bei den schwersten Verstößen 4 % des weltweiten Jahresumsatzes erreichen.

Praktische Folge: Ein europäischer Versicherer, der Schrittzahldaten aus einer Gesundheits-App nutzen will, muss eine ausdrückliche, zweckgebundene Einwilligung einholen, erklären, wie die Daten den Preis beeinflussen, und dem Kunden ermöglichen, sich dagegen zu entscheiden, ohne das Basisprodukt zu verlieren.

HIPAA: US-Gesundheitsdaten, enger als viele denken

HIPAA (Health Insurance Portability and Accountability Act, 1996, US-Bundesrecht) wird häufig missverstanden. Es reguliert nicht pauschal „Gesundheitsdaten". Es reguliert Protected Health Information (PHI), die bei bestimmten „covered entities" liegt: Krankenversicherungen, Leistungserbringer im Gesundheitswesen und deren Business Associates.

Zentrale Konsequenz für Versicherer:

• Die Schadendaten eines Krankenversicherers (Diagnosen, Behandlungen, Abrechnungen) sind PHI und streng reguliert: Eine Weitergabe für Marketing- oder Underwriting-Zwecke außerhalb des Krankenversicherungsplans selbst erfordert in der Regel eine Autorisierung.
• Daten aus einer Consumer-Gesundheits-App (Fitbit, Apple Health, MyFitnessPal) fallen dagegen meist nicht unter HIPAA, sofern die App selbst keine covered entity ist. Diese Daten liegen in einer regulatorischen Grauzone und unterstehen stattdessen der Federal Trade Commission (FTC) nach allgemeinem Verbraucherschutzrecht sowie den Datenschutzgesetzen der Einzelstaaten.

Genau deshalb ist das Schrittzahl-Beispiel vom Anfang interessant: Derselbe Datenpunkt (Schritte pro Tag) kann HIPAA-geschützt sein, wenn ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → über das Wellness-Programm eines Krankenversicherungsplans läuft, oder auf Bundesebene praktisch unreguliert, wenn ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → aus einer Wearable-App kommt, zu deren Daten der Versicherer über einen Drittanbieter-Broker Zugang gekauft hat.

Eine verständliche Aufschlüsselung liefert die HIPAA-Leitfadenseite des HHS als primäre Quelle.

US-Versicherungsgesetze der Einzelstaaten: die Underwriting-spezifische Ebene

Weil es in den USA keine einheitliche Bundesaufsicht für Versicherungen gibt (Versicherung wird nach dem McCarran-Ferguson Act von 1945 einzelstaatlich reguliert), legt jede Versicherungsaufsicht eines Staates eigene Regeln fest, welche Faktoren Versicherer im Underwriting und in der Preisbildung nutzen dürfen.

Zwei Mechanismen sind am wichtigsten:

• Unfair-Discrimination-Statuten. Die meisten Staaten verbieten eine Tarifierung nach Ethnie und schränken zunehmend kreditbasierte Versicherungsscores, genetische Informationen (bundesweit verstärkt durch GINA, den Genetic Information Nondiscrimination Act von 2008) und in einigen Staaten das Geschlecht ein.
• NAIC-Modellgesetze. Die National Association of Insurance Commissioners (NAIC) entwirft Modellgesetze, die die Staaten ganz oder teilweise übernehmen. Das NAIC Model Bulletin von 2023 zum Einsatz von KI verlangt ausdrücklich, dass Versicherer, die Algorithmen oder Drittanbieterdaten nutzen (einschließlich alternativer Daten wie Wearables oder Social Media), ihre Modelle gegenüber der Aufsicht erklären und rechtfertigen kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen und auf Disparate Impact bei geschützten Gruppen testen.
• Verbote einzelner Staaten. Colorados SB21-169 (wirksam ab 2023) ist das konkreteste Beispiel: Das Gesetz verlangt, dass Versicherer jede externe Datenquelle oder jeden Algorithmus im Underwriting auf unfaire Diskriminierung aufgrund der Ethnie testen, und ermächtigt die staatliche Versicherungsaufsicht, Korrekturmaßnahmen zu verlangen. Kalifornien schränkt Credit Scoring in der Kfz- und Sachversicherung generell deutlich stärker ein als die meisten anderen Staaten.

Praktische Folge: Ein Kreditscore kann in Texas ein völlig legaler Tarifierungsfaktor für die Kfz-Versicherung sein, in Kalifornien eingeschränkt und in Massachusetts für bestimmte Sparten vollständig verboten. Ein landesweit tätiger Versicherer braucht eine Rules Engine je Bundesstaat, nicht eine nationale Richtlinie.

Die praktischen Prüfungen eines Data-Teams

Bevor eine neue Datenquelle in einem Underwriting-Modell live geht, arbeitet eine ausgereifte Data-Governance-Funktion im Versicherungsbereich eine Checkliste wie diese ab:

1. Data Lineage und Consent-Audit

Woher kommen diese Daten? Wurde eine Einwilligung erfasst, und deckt sie diesen konkreten Use Case ab (Preisbildung, nicht nur Leistungserbringung)?

2. Test der Zweckbindung

Wurden die Daten für diesen Zweck erhoben oder für einen anderen? Gesundheits-App-Daten, die für ein Wellness-Bonusprogramm erhoben wurden, stillschweigend zur Anpassung der Lebensversicherungspreise zu nutzen, verstößt typischerweise gegen den Zweckbindungsgrundsatz der GDPR und gegen viele Offenlegungsregeln einzelner US-Staaten.

3. Disparate-Impact-Testing

Selbst eine „neutrale" Variable (Postleitzahl, Kreditscore, App-Nutzungsmuster) kann als Proxy für Ethnie oder Einkommen wirken. Aufsichtsbehörden verlangen von Versicherern zunehmend statistische Tests der Tarifierungsfaktoren darauf. Eine vereinfachte Version dieser Prüfung:

# Simplified disparate impact ratio check
# Rule of thumb from EEOC's "four-fifths rule", adapted for insurance rate testing

approval_rate_group_a = approved_a / applicants_a   # z. B. Mehrheitsgruppe
approval_rate_group_b = approved_b / applicants_b   # z. B. geschützte Gruppe

impact_ratio = approval_rate_group_b / approval_rate_group_a

if impact_ratio < 0.80:
    print("Potential disparate impact: flag for fairness review")

Das ist ein erstes Screening, keine rechtliche Bewertung. Echte Audits nutzen strengere statistische Modelle und juristische Prüfung.

4. Explainability-Check

Lässt sich die Underwriting-Entscheidung der Aufsicht und dem Kunden in einfacher Sprache erklären? Nach GDPR Artikel 22 und dem KI-Bulletin der NAIC ist „das Modell hat das so gesagt" keine akzeptable Antwort.

5. Audit von Vendoren und Drittanbieterdaten

Wo Datenbroker Kreditscores, Wearable-Daten oder Social-Daten liefern, müssen Versicherer die Einwilligungs- und Erhebungspraxis des Anbieters selbst prüfen. Der Versicherer haftet in der Regel weiterhin, auch wenn der Verstoß weiter oben in der Kette entstanden ist.

Wichtigste Erkenntnisse

• Zweistufiger Test: Jede neue Datenquelle im Underwriting muss sowohl das Datenschutzrecht (GDPR, HIPAA, einzelstaatliche Datenschutzgesetze) als auch das versicherungsspezifische Recht gegen unfaire Diskriminierung bestehen. Eines zu bestehen heißt nicht, beides zu bestehen.
• HIPAA ist enger als angenommen: Es erfasst Krankenversicherungen und Leistungserbringer, aber nicht die meisten Daten aus Consumer-Wearables oder Fitness-Apps, die stattdessen unter die Aufsicht der FTC und unter einzelstaatliches Recht fallen.
• Die GDPR gibt EU-Kunden ein Recht auf Erklärung bei automatisierten Underwriting-Entscheidungen (Artikel 22) und drängt Versicherer zu erklärbaren Modellen statt reiner Black-Box-KI.
• Die US-Versicherungsregulierung ist einzelstaatlich: Dieselbe Variable (Kreditscore, Postleitzahl) kann in einem Staat ein legaler Tarifierungsfaktor und in einem anderen verboten sein, getrieben von NAIC-Modellgesetzen und Gesetzen wie Colorados SB21-169.
• Governance ist ein Prozess, keine einmalige Freigabe: Lineage-Prüfungen, Zweckbindungsprüfung, Disparate-Impact-Testing, Explainability-Review und Vendor-Audits müssen jedes Mal laufen, wenn eine neue Datenquelle oder ein Modell-Update Preisbildung oder Underwriting berührt.