Sicherheit und Aufsichtsrecht – transparent dokumentiert.
Für Versicherer ist die KI-Regressprüfung nach unserer Einschätzung im Regelfall keine Auslagerung nach § 32 VAG. Unsere technisch-organisatorischen Maßnahmen (TOM) und unsere aufsichtsrechtliche Einordnung legen wir hier offen – die vollständige Dokumentation erhalten Sie auf Anfrage.
Im Überblick
Die Ausgangslage
Ein externer Dienstleister prüft Schadenakten – drei Fragen entscheiden.
Aufsichtsrecht
Ist die Beauftragung mit der Regressprüfung eine Auslagerung im Sinne des § 32 VAG – und wenn ja, mit welchen Pflichten?
Datenschutz
Schadenakten enthalten teils besondere Kategorien personenbezogener Daten – ihre Verarbeitung muss lückenlos abgesichert sein.
Kontrolle
Der Versicherer soll zu jedem Zeitpunkt die Datenhoheit behalten – weisungsgebunden, dokumentiert und widerrufbar.
Aufsichtsrecht
Warum die Regressprüfung im Regelfall keine Auslagerung nach § 32 VAG ist.
Wir haben unsere eigene Rechtsauffassung dazu zusammengefasst, ob die Beauftragung mit der Prüfung geschlossener Schadenakten auf Regresspotenzial eine ausgliederungskontrollpflichtige Auslagerung gem. § 32 VAG darstellt. Vier Punkte tragen unsere Einschätzung:
Kein Bezug zum originären Versicherungsgeschäft
Die Regressverfolgung setzt erst nach Abschluss der eigentlichen Schadenregulierung an – sie ist dieser nachgelagert, nicht unmittelbar auf die Durchführung des Versicherungsgeschäfts bezogen. Damit fehlt bereits der Sachzusammenhang, den § 32 VAG voraussetzt.
Rechtsberatung ist keine Auslagerung
Die Beauftragung eines Rechtsdienstleisters mit der Durchsetzung von Ansprüchen holt rechtliche Expertise in das Versicherungsunternehmen – funktional ein „Mehr", keine Abgabe einer Kernfunktion. Das gilt nach überwiegender Kommentarliteratur auch bei laufenden Schadensfällen.
Das Volumen ändert daran nichts
Auch die großvolumige, systematische Prüfung geschlossener Schadenakten verändert diese Einschätzung nicht. Der Versicherer behält zu jedem Zeitpunkt die Kontrolle über Art, Umfang und Inhalt der Prüfung im Rahmen der erteilten Mandate.
Hilfsweise: jedenfalls aufsichtsfrei
Selbst wer eine Auslagerung annimmt, landet nach teleologischer Auslegung bei einer aufsichtsfreien Tätigkeit: Die KI-Prüfung erschließt zusätzliches Regresspotenzial, statt Risiken für die Wirtschafts- und Ertragslage des Versicherers zu begründen.
Hinweis: Diese Zusammenfassung stellt unsere eigene Rechtsauffassung dar und ist keine Rechtsberatung. Die vollständige, mit Fundstellen versehene Einschätzung stellen wir Ihrer Rechts- und Compliance-Abteilung im Rahmen eines NDA gerne zur Verfügung.
Datenschutz & Datensicherheit
Technisch-organisatorische Maßnahmen im Überblick.
Die folgende Übersicht fasst unsere verbindliche TOM-Dokumentation gem. Art. 32 DSGVO abstrahiert zusammen. Die vollständige, unterschriebene Fassung mit allen Einzelmaßnahmen stellen wir im Rahmen eines NDA zur Verfügung.
Sämtliche Datenverarbeitung findet in der Europäischen Union statt, mit Schwerpunkt auf Deutschland, den Niederlanden und Frankreich. Es gibt keine Verarbeitung in Drittstaaten und keine Abhängigkeit von außereuropäischen Cloud-Anbietern.
Bei der Verarbeitung personenbezogener Daten aus Schadenakten kommen ausschließlich selbst betriebene LLM-Ressourcen zum Einsatz. Externe Anbieter wie ChatGPT oder Gemini sind ausnahmslos ausgeschlossen; die Daten werden zudem nicht zum Training eigener Modelle genutzt.
Mehrstufige Authentifizierung inkl. 2-Faktor-Authentifizierung für die Fall- und Sachbearbeitung, ein abgestuftes Berechtigungskonzept sowie Verschlüsselung nach Stand der Technik. Die Plattform wurde von der TÜV Rheinland i-sec GmbH mit positivem Ergebnis penetrationsgetestet.
Daten aus der Regressprüfung werden organisatorisch auf einem gesonderten Tenant gespeichert, mit einem eigenen Berechtigungskonzept, das die getrennte Verarbeitung gegenüber anderen Mandanten sicherstellt.
Vollständiges Backup- und Recoverysystem mit täglicher Sicherung, ein erprobtes Notfall- und Wiederanlaufverfahren sowie ein Ausweichrechenzentrum mit verkürzter Anlaufzeit.
Soweit keine originäre Anspruchsprüfung und -durchsetzung betroffen ist, erfolgt die Verarbeitung im Rahmen eines AVV gem. Art. 28 DSGVO. Eingesetzte Subdienstleister sind ausnahmslos in der EU ansässig und ebenfalls vertraglich zur Einhaltung datenschutzrechtlicher Vorgaben verpflichtet.
Häufige Fragen
Was Rechts- und Compliance-Abteilungen vorab klären.
Nach unserer Rechtsauffassung im Regelfall nicht: Die Regressprüfung ist der eigentlichen Schadenbearbeitung nachgelagert und nicht unmittelbar auf die Durchführung des Versicherungsgeschäfts bezogen. Selbst wer das anders beurteilt, landet nach überwiegender Kommentarliteratur bei einer jedenfalls aufsichtsfreien Tätigkeit. Details dazu finden Sie im Abschnitt „Aufsichtsrecht" unten.
Nein. Die hier zusammengefasste Einschätzung ist unsere eigene Rechtsauffassung und keine Rechtsberatung für Ihr Haus. Wir empfehlen, sie mit Ihrer Rechts- und Compliance-Abteilung gegen Ihre konkrete Vertragsgestaltung zu spiegeln – die vollständige, mit Fundstellen versehene Einschätzung stellen wir dafür gerne zur Verfügung.
Ausschließlich in der Europäischen Union, mit Schwerpunkt auf Deutschland, den Niederlanden und Frankreich. Es findet keine Verarbeitung in Drittstaaten statt.
Nein. Bei der Regressprüfung kommen ausschließlich selbst betriebene LLM-Ressourcen zum Einsatz – Anbieter wie ChatGPT oder Gemini sind für die Verarbeitung personenbezogener Daten ausgeschlossen. Die Daten verlassen zu keinem Zeitpunkt die selbst betriebenen bzw. angemieteten Server.
Ja. Soweit keine originäre Tätigkeit der Anspruchsprüfung und -durchsetzung betroffen ist, erfolgt die Verarbeitung im Rahmen eines AVV gem. Art. 28 DSGVO – auch gegenüber eingesetzten Subdienstleistern, die ausnahmslos in der EU ansässig sind.
Die Daten werden organisatorisch auf einem gesonderten Tenant gespeichert, mit einem eigenen Berechtigungskonzept für die getrennte Verarbeitung gegenüber anderen Mandanten.
Ja. Die vollständige, unterschriebene Übersicht der technisch-organisatorischen Maßnahmen sowie die ausführliche, mit Fundstellen versehene aufsichtsrechtliche Einschätzung stellen wir im Rahmen eines NDA gerne zur Verfügung.
Sprechen Sie mit uns über Ihre Compliance-Anforderungen.
Wir stellen die vollständige TOM-Dokumentation und unsere aufsichtsrechtliche Einschätzung im Rahmen eines NDA zur Verfügung.
Demo für Versicherer vereinbaren