KI mit Gesundheitsdaten in der privaten Versicherung

Warum die Schweigepflicht des § 203 StGB auch Ihr Haus trifft, welche Verträge dazugehören und wie Sie Ihren Anbieter prüfen. Kostenlos als PDF.

Kostenlos herunterladen

Auswahl aus über 5.000 Projekten in 25 Jahren Softwareentwicklung

Airbus Volkswagen Shell Renault Evonik Vattenfall Philips KPMG

Für die private Kranken-, Unfall- und Lebensversicherung gilt § 203 StGB ohne Kammer: Ihre Beschäftigten stehen im Täterkreis des § 203 Abs. 1 Nr. 7 StGB, eine berufsrechtliche Auslagerungsnorm wie in den Kammerberufen gibt es nicht. Die Leitplanken kommen aus anderen Rechtsgebieten - Strafrecht, Datenschutzrecht, Arbeitsrecht und, weil Ihr Haus beaufsichtigt ist, dem Aufsichtsrecht mit VAG und DORA. Und der Maßstab für die KI-Governance selbst kommt von der Aufsicht und aus der eigenen Branche.

Dieser Leitfaden ordnet sie ein, benennt die Art.-9-Ebene, die keine Vertragskette ersetzt, und hält daneben, was ein konkreter Bezugsweg liefern muss. Am Ende steht ein Prüfpfad mit fünfzehn Fragen, den Sie Ihrem Anbieter vorlegen können.

Was in dem Heft steht

Kapitel Inhalt
Die Antwort auf einer SeiteDie Kernaussage, die vier Aussagen, auf denen sie beruht, und die vier Schritte bis zum Betrieb. Wer nur diese Seite liest, hat die Antwort.
1. AusgangslageWarum die Prüfung eine vertragsrechtliche ist und keine technische - und warum die Lage selten „noch keine KI“ lautet.
2. Woran Sie stattdessen gemessen werden§ 203 Abs. 1 Nr. 7 StGB, Art. 9 DSGVO und die aufsichtsrechtliche Ebene aus VAG und DORA.
3. § 203 StGBAbsatz 1, 3 und 4, die Einordnung als Vorsatz- und Antragsdelikt und die offene Frage, wie streng die Erforderlichkeit zu lesen ist.
4. Vom Entschluss zum BetriebWie das Team an eine Oberfläche kommt, wie sich eigene Infrastruktur, begleiteter Betrieb und fertige Plattform unterscheiden - und woher die Modelle kommen, wenn Sie selbst betreiben.
5. Die VertragsketteVier Dokumente, vier Zwecke - und warum ein Auftragsverarbeitungsvertrag die Verschwiegenheitsverpflichtung nicht ersetzt.
6. Die BezugswegeWer die Inferenz betreibt, was die Vertragslinie trägt und was bei jedem Weg offen bleibt.
7. PrüfpfadDie Fragen an Ihren Anbieter, zum Abhaken und Vorlegen. Eine Fragenliste, keine Subsumtion.
8. Was wir nicht behauptenVier offengelegte Grenzen - darunter die gerichtlich ungeklärte Auslegung und die CLOUD-Act-Exposition.
9. FundstellenJede Rechtsaussage zum Nachschlagen; wo wir eine Auffassung wiedergeben statt geltendes Recht, steht es dabei.

Ein Befund vorweg

Für Unternehmen der privaten Kranken-, Unfall- und Lebensversicherung existiert keine berufsrechtliche Auslagerungsnorm. Die Kammerberufe haben eine - § 43e BRAO in der Anwaltschaft, § 26a BNotO im Notariat -, hier gibt es dazu keine Entsprechung.

Das ist keine Entwarnung, und es heißt nicht, dass gar kein Maßstab existierte - er kommt aus dem Aufsichts- und Datenschutzrecht und aus der Selbstbindung der Branche. Wo die Berufsnorm schweigt, ist der Weg ins Ausland nicht frei, sondern nur anders geregelt: Für Dienstleister außerhalb der EU gelten die Art. 44 ff. DSGVO mit Transfer-Instrument und Folgenabschätzung des Transfers, bei US-Anbietern kommt der CLOUD Act als eigener Abwägungspunkt hinzu. Und weil es um Gesundheitsdaten geht, steht Art. 9 DSGVO als eigenständige Ebene daneben. Die Prüfung fällt nicht weg - sie wechselt das Rechtsgebiet und wird im Haus verantwortet.

Häufige Fragen zum Leitfaden

Für wen ist dieser Leitfaden?

Für Compliance, Datenschutz und IT in Unternehmen der privaten Kranken-, Unfall- und Lebensversicherung - und für die Fachbereiche, die KI in Leistungsprüfung, Antragsprüfung und Gesundheitsservice einführen wollen. § 203 Abs. 1 Nr. 7 StGB knüpft an die Tätigkeit im Unternehmen an, nicht an einen Kammerberuf; die Verschwiegenheitspflicht läuft deshalb quer durch die Sachbearbeitung.

Was steht drin, das ich nicht bei einer Kammer bekomme?

Eine Kammer, die eine KI-Linie vorgibt, gibt es für Ihre Berufsgruppe nicht - einen Maßstab dagegen schon, nur von anderer Seite: die EIOPA-Opinion zu KI-Governance (EIOPA-BoS-25-360, 06.08.2025), das BaFin-Prinzipienpapier zu Algorithmen in Entscheidungsprozessen (2021), die BaFin-Orientierungshilfe zu IKT-Risiken beim KI-Einsatz (18.12.2025) und die GDV-Verhaltensregeln, die Ihr Haus bei Beitritt selbst binden. Das Heft ordnet sie ein, zeigt, welche Rechtsgebiete die Leitplanken setzen, wie ein konkreter Bezugsweg dagegen aussieht, wo die Verpflichtungskette in der Praxis reißt und welche fünfzehn Fragen Sie Ihrem Anbieter und dem eigenen Haus stellen sollten.

Löst der Leitfaden die Art.-9-Frage für Gesundheitsdaten?

Nein. Der Leitfaden benennt die Ebene und grenzt sie ab: Neben der § 203-Absicherung braucht die Verarbeitung von Gesundheitsdaten eine eigene Rechtsgrundlage aus Art. 9 Abs. 2 DSGVO und regelmäßig eine Datenschutz-Folgenabschätzung nach Art. 35. Er nennt dazu die deutschen Ausführungsnormen, an denen die Prüfung ansetzt - § 22 BDSG für nichtöffentliche Stellen und § 213 VVG für die Erhebung von Gesundheitsdaten bei Dritten. Welcher Tatbestand pro Prozess trägt, ist Einzelfall-Juristerei beim Verantwortlichen; eine pauschale Antwort wäre unseriös.

Gilt die anwaltliche Auslandsschranke auch für uns?

Nein. § 43e Abs. 4 BRAO ist anwaltliches Berufsrecht; für Unternehmen der privaten Kranken-, Unfall- und Lebensversicherung existiert keine entsprechende berufsrechtliche Auslandsnorm. Der Weg ins Ausland ist deshalb nicht frei, sondern anders geregelt: Die Grenzen setzen die Art. 44 ff. DSGVO für Drittlandtransfers, bei US-Anbietern kommt der CLOUD Act als eigener Prüfpunkt hinzu.

Bezugsweg für Ihr Haus besprechen

Dreißig Minuten, in denen wir Modell, Weg und Vertragsinstrument für Ihre Konstellation durchgehen - eigener Cloud-Tenant oder Managed Stack.

Gespräch vereinbaren