Im September publizierte der GDV erstmals eine Liste mit 165 Versicherern, die diesen sogenannten „Code of Conduct Datenschutz“ (CoC) bereits unterschrieben oder verbindlich angekündigt haben. Wie Gespräche mit PPI-Kunden zeigen, planen auch weitere Versicherungen, die noch nicht auf der Liste stehen, bereits ihren Beitritt zum 1. Januar 2014.

Nach ihrem CoC-Beitritt müssen die Versicherer die Auflagen innerhalb von zwei Jahren umgesetzt haben. Zudem dürfen sie nur noch mit Vertriebspartnern und Dienstleistern zusammenarbeiten, die die Anforderungen und Sicherheitsvorkehrungen des Bundesdatenschutzgesetzes (BDSG) gewährleisten.

Bei Regelverstößen gegen den Kodex werden die teilnehmenden Assekuranzen abgestraft. Dabei gelten zunächst die Vorschriften des Bundesdatenschutzgesetzes. Aber auch die Versicherer selbst werden ihre Wettbewerber künftig stärker beobachten und deutlich erkennbare Verstöße gegen den CoC öffentlich anprangern.

Erheblicher Aufwand

Die CoC-Einführung bringt einen großen organisatorischen Aufwand mit sich. Denn er berührt sämtliche Bereiche und Sparten der Versicherungsunternehmen. Es reicht nicht aus, einen Datenschutzbeauftragten abzustellen, der die Auflagen ausschließlich juristisch betrachtet und praxisferne Umsetzungen einfordert.

Da viele Aspekte der CoC-Umsetzung Auslegungssache sind, sind richtungsgebende Entscheidungen erforderlich. Teilweise müssen die Versicherer dabei auch Widersprüchlichkeiten auflösen. Bisherige Automatisierungen in Bestands- und Schadensprozessen müssen überprüft werden. Hinzu kommt die Vielzahl an Vertriebswegen und Schnittstellen zu Dienstleistern, Auftraggebern, Vermittlern und Rückversicherern. Aufgrund der Heterogenität der IT-Landschaft erfordert die CoC-Umsetzung zahlreiche Änderungen in den IT-Verfahren. Insbesondere im Onlinegeschäft, beim Löschen, Sperren und Aufbewahren sowie bei der Übergabe von Kundenbeständen und neuen Geschäftsfällen, die durch den CoC entstehen, macht sich die Datenschutz-Problematik bemerkbar.

CoC-Readiness-Check deckt Schwachstellen auf

PPI analysiert derzeit sechs Handlungsfelder in Versicherungen und entwickelt Lösungsvorschläge für die einzelnen Bereiche.

• Es wird eruiert, wo Personendaten entstehen und verwaltet werden und wofür der Kunde seine Einwilligung geben muss.
• Es werden Fragen zum Prozessmanagement geklärt, wie solche Abläufe kostenoptimal gestaltet werden können.
• Bisherige Automatisierungen und Eingriffsmöglichkeiten werden durchleuchtet und der Mechanismus transparent nach außen kommuniziert.
• Diskutiert werden das Zusammenspiel von Versicherern und Vermittlern sowie der Datenschutz im Customer Relationship Management (CRM).
• Vor allem die Schnittstellen zu Vorversicherern, Dienstleistern, Rückversicherern und dem Hinweis- und Informationssystem (HIS) des GDV werden untersucht.
• Für das Sperren, Löschen und Aufbewahren von personenbezogenen Daten erstellt PPI neue Prozesse und empfiehlt jährliche Überprüfungen.

Auf Kunden wirkt so ein unabhängiges Siegel vertrauenserweckend. Für die Versicherer kann dies zum entscheidenden Wettbewerbsvorteil werden.