Sicherheit und Aufsichtsrecht – transparent dokumentiert.
Für Versicherer ist die Prüfung und Bewertung von Schadenakten nach unserer Einschätzung im Regelfall keine Auslagerung nach § 32 VAG. Unsere technisch-organisatorischen Maßnahmen (TOM) und unsere aufsichtsrechtliche Einordnung legen wir hier offen – die vollständige Dokumentation erhalten Sie auf Anfrage.
Im Überblick
Die Ausgangslage
Ein externer Dienstleister prüft Schadenakten – drei Fragen entscheiden.
Aufsichtsrecht
Ist die Beauftragung mit der Prüfung und Bewertung von Schadenakten eine Auslagerung im Sinne des § 32 VAG – und wenn ja, mit welchen Pflichten?
Datenschutz
Schadenakten enthalten teils besondere Kategorien personenbezogener Daten – ihre Verarbeitung muss lückenlos abgesichert sein.
Kontrolle
Der Versicherer soll zu jedem Zeitpunkt die Datenhoheit behalten – weisungsgebunden, dokumentiert und widerrufbar.
Für anspruchsvolle Projekte in einem hochregulierten Umfeld ist DEPLAW konkurrenzlos. Die Plattform vereint Automatisierungstiefe mit der nötigen Compliance-Sicherheit — keine Insellösung, sondern eine durchdachte Gesamtarchitektur.
Josephine Hillmann · Beirat, Jusperta GmbH
Aufsichtsrecht
DORA statt VAIT: ein neuer Rahmen für IKT-Drittdienstleister.
Unsere Kunden sind ganz überwiegend Versicherungsgesellschaften, die der Aufsicht der BaFin unterliegen. Bis Januar 2025 richtete sich die Prüfung externer IT-Dienstleister an den BaFin-Rundschreiben zu den aufsichtsrechtlichen Anforderungen an die IT – für Versicherungsunternehmen den sogenannten VAIT. Mit der unmittelbaren Anwendbarkeit der EU-Verordnung 2022/2554 (DORA, Digital Operational Resilience Act) ab dem 17. Januar 2025 hat die BaFin ihre VAIT-Rundschreiben mit Ablauf des 16. Januar 2025 aufgehoben. Prüfungen von DEPLAW als IKT-Drittdienstleister erfolgen seither auf Grundlage der Art. 28 bis 30 DORA. Darauf richten wir unsere Nachweisführung aus:
- Vertragliche Mindestinhalte
- Die nach Art. 30 DORA vorgesehenen Vertragsinhalte – u. a. Leistungsbeschreibung, Standort der Datenverarbeitung, Informations- und Prüfungsrechte – sind Bestandteil unseres Auftragsverarbeitungsvertrags.
- Informations- und Prüfungsrechte
- Versicherer und die zuständige Aufsicht erhalten die vertraglich vorgesehenen Informations- und Prüfungsrechte gegenüber der LDT als IKT-Drittdienstleister.
- Ausstiegsszenarien
- Für kritische Leistungen sind Ausstiegs- und Wechselszenarien beschrieben, wie es DORA für IKT-Drittdienstleistungsverträge verlangt.
- TOM-Dokumentation nach Art. 32 DSGVO
- Unsere verbindliche Darstellung der technisch-organisatorischen Maßnahmen steht Ihrer Rechts- und Compliance-Abteilung im Rahmen eines NDA zur Verfügung.
- Datenschutz-Folgenabschätzung für die KI-Verarbeitung
- Für die KI-gestützte Erfolgsaussichten- und Regressprüfung liegt eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO vor, geführt in Ergänzung zu unserem Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO.
§ 32 VAG
Warum die Prüfung und Bewertung von Schadenakten im Regelfall keine Auslagerung ist.
Wir vertreten eine klare Rechtsauffassung dazu, ob die Beauftragung mit der Prüfung und Bewertung von Schadenakten – ob im Rahmen der Erfolgsaussichten- oder der Regressprüfung – eine ausgliederungskontrollpflichtige Auslagerung gem. § 32 VAG darstellt. Vier Punkte tragen unsere Einschätzung:
Kein Bezug zum originären Versicherungsgeschäft
Die Prüfung und Bewertung von Schadenakten setzt erst nach Abschluss der eigentlichen Schadenregulierung an – sie ist dieser nachgelagert, nicht unmittelbar auf die Durchführung des Versicherungsgeschäfts bezogen. Damit fehlt bereits der Sachzusammenhang, den § 32 VAG voraussetzt.
Rechtsberatung ist keine Auslagerung
Die Beauftragung eines Rechtsdienstleisters mit der Durchsetzung von Ansprüchen holt rechtliche Expertise in das Versicherungsunternehmen – funktional ein „Mehr", keine Abgabe einer Kernfunktion. Das gilt nach überwiegender Kommentarliteratur auch bei laufenden Schadensfällen.
Das Volumen ändert daran nichts
Auch die großvolumige, systematische Prüfung geschlossener Schadenakten verändert diese Einschätzung nicht. Der Versicherer behält zu jedem Zeitpunkt die Kontrolle über Art, Umfang und Inhalt der Prüfung im Rahmen der erteilten Mandate.
Hilfsweise: jedenfalls aufsichtsfrei
Selbst wer eine Auslagerung annimmt, landet nach teleologischer Auslegung bei einer aufsichtsfreien Tätigkeit: Die KI-gestützte Prüfung erschließt zusätzliches Anspruchs- und Regresspotenzial, statt Risiken für die Wirtschafts- und Ertragslage des Versicherers zu begründen.
Fundiert, nicht beliebig: Diese Einschätzung stützt sich auf herrschende Kommentarliteratur und unsere eigene Vertragsgestaltung – sie ersetzt keine auf Ihr Haus zugeschnittene Rechtsberatung. Die vollständige, mit Fundstellen versehene Analyse stellen wir Ihrer Rechts- und Compliance-Abteilung im Rahmen eines NDA gerne zur Verfügung.
Datenschutz & Datensicherheit
Technisch-organisatorische Maßnahmen im Überblick.
Die folgende Übersicht fasst unsere verbindliche TOM-Dokumentation gem. Art. 32 DSGVO abstrahiert zusammen. Die vollständige, unterschriebene Fassung mit allen Einzelmaßnahmen stellen wir im Rahmen eines NDA zur Verfügung.
Sämtliche Datenverarbeitung findet in der Europäischen Union statt, mit Schwerpunkt auf Deutschland, den Niederlanden und Frankreich. Es gibt keine Verarbeitung in Drittstaaten und keine Abhängigkeit von außereuropäischen Cloud-Anbietern.
Bei der Verarbeitung personenbezogener Daten aus Schadenakten kommen ausschließlich selbst betriebene LLM-Ressourcen zum Einsatz. Externe Anbieter wie ChatGPT oder Gemini sind ausnahmslos ausgeschlossen; die Daten werden zudem nicht zum Training eigener Modelle genutzt.
Mehrstufige Authentifizierung inkl. 2-Faktor-Authentifizierung für die Fall- und Sachbearbeitung, ein abgestuftes Berechtigungskonzept sowie Verschlüsselung nach Stand der Technik. Die Plattform wurde von der TÜV Rheinland i-sec GmbH mit positivem Ergebnis penetrationsgetestet.
Daten aus der Prüfung und Bewertung von Schadenakten werden organisatorisch auf einem gesonderten Tenant gespeichert, mit einem eigenen Berechtigungskonzept, das die getrennte Verarbeitung gegenüber anderen Mandanten sicherstellt.
Vollständiges Backup- und Recoverysystem mit täglicher Sicherung, ein erprobtes Notfall- und Wiederanlaufverfahren sowie ein Ausweichrechenzentrum mit verkürzter Anlaufzeit.
Soweit keine originäre Anspruchsprüfung und -durchsetzung betroffen ist, erfolgt die Verarbeitung im Rahmen eines AVV gem. Art. 28 DSGVO. Eingesetzte Subdienstleister sind ausnahmslos in der EU ansässig und ebenfalls vertraglich zur Einhaltung datenschutzrechtlicher Vorgaben verpflichtet.
Ein benannter Informationssicherheitsbeauftragter verantwortet unser Informationssicherheits-Managementsystem, ausgerichtet an ISO/IEC 27001:2022 – mit dokumentiertem Risikomanagement und jährlicher Managementbewertung durch die Geschäftsführung.
Alle Mitarbeitenden sind zur Vertraulichkeit verpflichtet und durchlaufen wiederkehrende Schulungen zu Informationssicherheit und Datenschutz mit Erfolgskontrolle. Dienstleister werden vor Beauftragung sicherheits- und datenschutzrechtlich geprüft und vertraglich gebunden.
Neue Geschäftspartner, Lieferanten und Auftraggeber werden vor Vertragsschluss gegen die konsolidierten EU- und UN-Sanktionslisten geprüft. Eine Null-Toleranz-Richtlinie gegenüber Korruption sowie ein anonymer Meldeweg für Verstöße runden unsere Compliance-Organisation ab.
Häufige Fragen
Was Rechts- und Compliance-Abteilungen vorab klären.
Nach unserer Rechtsauffassung im Regelfall nicht: Sie ist der eigentlichen Schadenbearbeitung nachgelagert und nicht unmittelbar auf die Durchführung des Versicherungsgeschäfts bezogen. Selbst wer das anders beurteilt, landet nach überwiegender Kommentarliteratur bei einer jedenfalls aufsichtsfreien Tätigkeit. Details dazu finden Sie im Abschnitt „Aufsichtsrecht" unten.
Diese Einschätzung ist unsere fundierte, auf herrschender Kommentarliteratur gestützte Rechtsauffassung – wie jede rechtliche Bewertung ersetzt sie keine auf Ihr Haus zugeschnittene Rechtsberatung im Einzelfall. Wir spiegeln sie gerne gemeinsam mit Ihrer Rechts- und Compliance-Abteilung gegen Ihre konkrete Vertragsgestaltung und stellen dafür die vollständige, mit Fundstellen versehene Analyse zur Verfügung.
Ausschließlich in der Europäischen Union, mit Schwerpunkt auf Deutschland, den Niederlanden und Frankreich. Es findet keine Verarbeitung in Drittstaaten statt.
Nein. Bei der Prüfung und Bewertung von Schadenakten kommen ausschließlich selbst betriebene LLM-Ressourcen zum Einsatz – Anbieter wie ChatGPT oder Gemini sind für die Verarbeitung personenbezogener Daten ausgeschlossen. Die Daten verlassen zu keinem Zeitpunkt die selbst betriebenen bzw. angemieteten Server.
Ja. Soweit keine originäre Tätigkeit der Anspruchsprüfung und -durchsetzung betroffen ist, erfolgt die Verarbeitung im Rahmen eines AVV gem. Art. 28 DSGVO – auch gegenüber eingesetzten Subdienstleistern, die ausnahmslos in der EU ansässig sind.
Die Daten werden organisatorisch auf einem gesonderten Tenant gespeichert, mit einem eigenen Berechtigungskonzept für die getrennte Verarbeitung gegenüber anderen Mandanten.
Ja. Die vollständige, unterschriebene Übersicht der technisch-organisatorischen Maßnahmen sowie die ausführliche, mit Fundstellen versehene aufsichtsrechtliche Einschätzung stellen wir im Rahmen eines NDA gerne zur Verfügung.
Mit der unmittelbaren Anwendbarkeit der Verordnung (EU) 2022/2554 (DORA) ab dem 17. Januar 2025 hat die BaFin ihre Rundschreiben zu den aufsichtsrechtlichen IT-Anforderungen – für Versicherungsunternehmen die VAIT – mit Ablauf des 16. Januar 2025 aufgehoben. Prüfungen von DEPLAW als IKT-Drittdienstleister erfolgen seither auf Grundlage der Art. 28 bis 30 DORA, in Verbindung mit den fortgeltenden Auslagerungsanforderungen des § 32 VAG.
Ja. Wir stellen die für Einführungs- und Risikoprüfungen üblichen Nachweise bereit – TOM-Dokumentation, Verzeichnis von Verarbeitungstätigkeiten, Zertifikate der Hosting-Infrastruktur und Penetrationstest-Berichte – und beantworten Sicherheitsfragebögen mit einem festen Ansprechpartner.
Für kritische Leistungen sind Ausstiegs- und Wechselszenarien beschrieben, wie es Art. 28 DORA für Verträge mit IKT-Drittdienstleistern vorsieht – Ihre Datenhoheit bleibt dabei jederzeit gewahrt.
Sprechen Sie mit uns über Ihre Compliance-Anforderungen.
Wir stellen die vollständige TOM-Dokumentation und unsere aufsichtsrechtliche Einschätzung im Rahmen eines NDA zur Verfügung.
Demo für Versicherer vereinbaren