Ein Datenschutz-Audit vor einem Market Conduct Exam durchführen

# Ein Datenschutz-Audit vor einem Market Conduct Exam durchführen

Das Marketingteam eines Regionalversicherers zog eine Liste „Kunden mit hoher Storno-Wahrscheinlichkeit" aus der Schadendatenbank, verknüpfte sie mit Kreditscore-Daten, die von einem Drittanbieter eingekauft wurden, und versandte eine E-Mail mit einem Retention-Angebot. Niemand hat es beanstandet. Sechs Monate später stellte ein Market Conduct Examiner eine einfache Frage: „Zeigen Sie mir Ihre Autorisierung für die Nutzung von Schadendaten in einer Marketingkampagne." Niemand konnte das. Diese einzige Lücke löste eine spartenübergreifende Prüfung der Datennutzung aus, die vier Monate dauerte und mehr an Anwaltsstunden kostete, als die Retention-Kampagne jemals an gehaltenen Prämien eingebracht hat.

Market Conduct Exams (staatliche oder nationale Prüfungen, wie Versicherer mit Versicherungsnehmern umgehen, inklusive Schadenbearbeitung, Underwriting und Vertriebspraktiken) umfassen immer häufiger auch eine Datenspur. Examiner fragen nicht nur „wurde der Kunde faires behandelt". Sie fragen „woher kommt dieser Datenpunkt, wer hat seine Nutzung genehmigt, und kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen Sie das belegen".

Diese Lektion baut die Checkliste, die Sie abarbeiten sollten, bevor sie es tun.

Warum Datenschutz heute Teil von Market Conduct ist

Market Conduct Exams haben sich historisch auf Schadenfristen und Beschwerdebearbeitung konzentriert. Das hat sich geändert. Regulierer wie die NAIC (National Association of Insurance Commissioners, die Modellgesetze über die US-Bundesstaaten hinweg koordiniert) haben das Insurance Data Security Model Law vorangetrieben, das mit Stand 2024 in irgendeiner Form von über 20 US-Bundesstaaten übernommen wurde (Schätzung, aktuellen NAIC Adoption Tracker prüfen) und Versicherer verpflichtet, Informationssicherheitsprogramme zu betreiben und Datenschutzverletzungen zu melden.

In Europa regelt die DSGVO (Datenschutz-Grundverordnung) jede Verarbeitung von Daten von EU-Bürgern durch Versicherer, mit Bußgeldern von bis zu 4 % des globalen Jahresumsatzes bei schweren Verstößen. Das Vereinigte KKDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önigreich betreibt ein paralleles Regime, durchgesetzt vom ICO (Information Commissioner's Office) und der FCA (Financial Conduct Authority), die Datennutzung in ihren Conduct Reviews ausdrücklich prüft.

Der gemeinsame Faden: Examiner nehmen heute Stichproben von Datenflüssen, nicht nur von Ergebnissen. Sie wollen ein System sehen, in dem sich jede Nutzung personenbezogener Daten auf eine Rechtsgrundlage und einen dokumentierten Zweck zurückführen lässt.

Die vier Systeme, die Examiner prüfen

1. Bestandsführungssysteme

Das ist das führende System für Versicherungsnehmerdaten: Name, Adresse, Gesundheitsangaben, Begünstigte, Zahlungsdaten.

Zu prüfen:

• Purpose Mapping: Gibt es für jedes bei Angebot oder Abschluss erhobene Datenfeld einen dokumentierten Grund mit Bezug zu Underwriting, Pricing oder Servicing?
• Aufbewahrungsgrenzen: Werden Datensätze gemäß Ihrem Löschkonzept gelöscht oder archiviert, oder liegen sie unbefristet „für alle Fälle" herum? Der Grundsatz der Speicherbegrenzung der DSGVO und viele US-Landesgesetze erwarten definierte Aufbewahrungsfristen.
• Access Logs: Wer im Unternehmen kann vollständige Versicherungsnehmerdatensätze abfragen, und ist der Zugriff rollenbasiert und nicht für alle Mitarbeitenden offen?

2. Schadensysteme

Schadendaten sind der reichhaltigste und sensibelste Pool: medizinische Unterlagen, Unfalldetails, Indikatoren für finanzielle Notlagen, bei Betrugsuntersuchungen manchmal auch Vorstrafen.

Zu prüfen:

• Trennung von Schadendaten zwischen Geschäftsbereichen: Kann ein Kfz-Schadenregulierer den separaten Lebensversicherungsschaden eines Versicherungsnehmers sehen? Wenn ja, ist dieser Zugriff begründet?
• Datenweitergabe an Dritte: Schadendaten fließen häufig an Rückversicherer, medizinische Gutachterdienstleister oder Betrugsdatenbanken wie das US-NICB (National Insurance Crime Bureau). Gibt es für jeden Empfänger einen Auftragsverarbeitungsvertrag?
• Umgang mit besonderen Datenkategorien: Nach DSGVO sind Gesundheits- und biometrische Daten „besondere Kategorien" und benötigen eine ausdrückliche Einwilligung oder eine andere enge Rechtsgrundlage, nicht bloß allgemeine Vertragsbedingungen.

3. Marketingsysteme

Hier spielt das Eingangsbeispiel, und hier graben Examiner immer tiefer, weil Marketingteams oft auf Schaden- und Bestandsdaten zugreifen, ohne den Umfang der Einwilligung erneut zu prüfen.

Zu prüfen:

• Consent Trail: Erfasst die Marketingdatenbank, wozu der Kunde tatsächlich zugestimmt hat, und wann? Ein Opt-in von 2019 deckt keinen Use Case von 2026, wenn sich die Praktiken geändert haben.
• Systemübergreifende Datenverknüpfung: Hat Marketing Schadenhistorie, Kreditdaten oder Telematik (nutzungsbasierte Fahrdaten) ohne neue Rechtsgrundlage zu einem einzigen Profil zusammengeführt?
• Opt-out-Mechanik: Kann ein Kunde die Marketingnutzung tatsächlich stoppen, und wird dieses Opt-out innerhalb eines vertretbaren Zeitraums über alle Systeme hinweg weitergegeben (häufig werden 30 Tage als praktikabler Benchmark genannt, die exakten Anforderungen variieren jedoch je nach Gesetz)?

4. Datenflüsse zu Dienstleistern und Dritten

Versicherer halten Daten selten allein. Telematikanbieter, Schadenregulierer, Kreditauskunfteien und Cloud-Hoster berühren alle Versicherungsnehmerdaten.

Zu prüfen:

• Auftragsverarbeitungsverträge (AVV) für jeden Dienstleister, der personenbezogene Daten berührt, mit Angabe von Zweck und Löschpflichten.
• Sichtbarkeit von Sub-Prozessoren: Nutzt Ihr Telematikanbieter eine vierte Partei für Datenanalysen, und wissen Sie davon?
• Mechanismen für Drittlandtransfers: Wenn Daten aus der EU zu einem US-Cloud-Anbieter wandern, gibt es einen gültigen Transfermechanismus wie Standardvertragsklauseln?

Ein einfacher Ansatz zur Audit-Bewertung

Bewerten Sie vor der Prüfung jedes System auf einer einfachen Skala von 1 bis 4 über vier Dimensionen: Zweckdokumentation, Gültigkeit der Einwilligung, Zugriffskontrolle, Einhaltung der Aufbewahrungsfristen. Das ist keine regulatorische Anforderung, sondern ein praktisches Triage-Werkzeug.

System            Purpose  Consent  Access  Retention  Avg
Policy Admin         3        4       2         3      3.0
Claims                4        3       3         4      3.5
Marketing             2        1       3         2      2.0
Vendor/Telematics     2        2       2         1      1.75

Marketing und Dienstleister-Datenflüsse schneiden hier am schlechtesten ab, was dem realen Muster entspricht: Die meisten Enforcement-MaMaEinsatz von Software, um wiederkehrende Marketingaufgaben und Kampagnen zu automatisieren und Personalisierung in großem Maßstab über Kanäle wie E-Mail, Web und Social zu ermöglichen.Vollständige Definition ansehen →ßnahmen und Prüfungsfeststellungen häufen sich genau in diesen beiden Bereichen, weil es um zweckentfremdete Daten und externe Parteien geht. Setzen Sie die Behebung dort zuerst an.

Wie „gut" aussieht: ein Verzeichnis der Datennutzung

Das nützlichste einzelne Dokument, das Sie in eine Prüfung mitbringen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen, ist ein Verzeichnis der Datennutzung: ein laufend geführtes Dokument, das jede Datenquelle, ihren Zweck, ihre Rechtsgrundlage, die Zugriffsberechtigten und ihre Aufbewahrungsfrist auflistet. Examiner fragen durchgängig nach etwas in dieser Art, und Versicherer ohne ein solches Verzeichnis versuchen es unter Zeitdruck hektisch zu rekonstruieren.

Eine minimale Vorlage:

| Datenelement | Quellsystem | Zweck | Rechtsgrundlage | Aufbewahrung | Owner |

|---|---|---|---|---|---|

| Telematik-Fahrscore | Mobile-App-Anbieter | Nutzungsbasiertes Pricing | Vertragserfüllung | 7 Jahre nach Vertragsende | Underwriting |

| Medizinische Schadenunterlagen | Schadensystem | Schadenregulierung | Ausdrückliche Einwilligung | Gemäß Landesvorgabe | Claims Ops |

Als praktische Einführung in die Pflichten zum Data Mapping unter der DSGVO ist der Leitfaden des ICO zur Dokumentation eine solide kostenlose Referenz, und ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → lässt sich direkt auf die Vorbereitung von US-Market-Conduct-Prüfungen übertragen, auch wenn ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → UK-spezifisch ist.

Das Audit durchführen: eine praktische Reihenfolge

1. Zuerst inventarisieren: Listen Sie jedes System auf, das personenbezogene Daten hält, bevor Sie Kontrollen bewerten. Sie kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen nicht auditieren, was Sie nicht gemappt haben.

2. Datenverantwortliche befragen, nicht nur die IT: Der Schadenleiter weiß besser, wie Daten tatsächlich fließen, als ein Systemdiagramm.

3. Echte Datensätze als Stichprobe ziehen: Nehmen Sie 20 bis 30 Versicherungsnehmerakten und verfolgen Sie jede durch die Systeme. Passt der Marketingdatensatz zu dem, was der Kunde beim Abschluss tatsächlich eingewilligt hat?

4. Das Opt-out testen: Stellen Sie eine echte (interne) Test-Opt-out-Anfrage und messen Sie, wie lange es dauert, bis sie über Schaden, Marketing und Dienstleister-Extrakte hinweg durchgereicht ist.

5. Lücken mit Behebungsterminen dokumentieren: Examiner reagieren deutlich besser auf „hier ist die Lücke und unser Termin zur Behebung" als auf Schweigen.

🎬 [VIDEO: „GDPR for Insurance: Data Mapping Basics" - youtube.com - nach versicherungsspezifischen Erklärvideos zum DSGVO-Data-Mapping von Compliance-Trainingskanälen suchen, nützlich zur Visualisierung, wie Daten über Bestands-, Schaden- und Marketingsysteme fließen]

Key Takeaways

• Market Conduct Exams verfolgen inzwischen routinemäßig die Datennutzung, nicht nur Kundenergebnisse: Seien Sie bereit, für jedes Datenfeld Zweck, Einwilligung und Zugriffsspuren zu zeigen.
• Die vier zuerst zu auditierenden Systeme sind Bestandsführung, Schaden, Marketing und Dienstleister-/Drittanbieter-Datenflüsse, in etwa in dieser Reihenfolge steigender Risikoexposition.
• Marketing- und Dienstleister-Datenflüsse sind die häufigsten Schwachstellen, weil es dort um zweckentfremdete oder extern bezogene Daten ohne neue Rechtsgrundlage geht.
• Bauen und pflegen Sie ein Verzeichnis der Datennutzung, bevor eine Prüfung angekündigt wird; eines unter Fristdruck zu rekonstruieren, ist deutlich teurer.
• Enforcement-Regime, die Sie namentlich kennen sollten: das Insurance Data Security Model Law der NAIC (US-Bundesstaatenebene), die DSGVO (EU) und die Kombination ICO/FCA (UK), jedes mit unterschiedlichen, aber überlappenden Erwartungen an Einwilligung, Aufbewahrung und Meldung von Datenschutzverletzungen.