Kundendaten an Dienstleister geben: Datenschutz-Checkliste für Versicherungsvermittler
Wenn ein Dienstleister Kundendaten für Sie bearbeitet, bleiben Sie verantwortlich. Diese Seite ordnet, was Art. 9 DSG verlangt, welche Felder eine Einladung überhaupt braucht, was in den Vertrag gehört und welche zehn Fragen Sie vorab stellen.
Für Broker, die Kundendaten an einen Dienstleister übergeben wollen: ein Einladungsdienst, ein Sekretariat, ein Softwareanbieter. Im Sinne des Gesetzes sind Sie dabei der Verantwortliche, der Dienstleister der Auftragsbearbeiter (Art. 5 lit. j und k DSG). Den Vertrag dazu nenne ich hier nach diesem Begriff Auftragsbearbeitungsvertrag. Im EU-Umfeld heisst er Auftragsverarbeitungsvertrag (AVV).
Warum das Sie persönlich angeht
Der EDÖB schreibt: «Wenn Sie die Bearbeitung von Personendaten einem Auftragsbearbeiter (z.B. Cloud-Anbieter, Webhoster, Versandunternehmen, Call-Center, Treuhandunternehmen oder IT-Supportunternehmen) übertragen, bleiben Sie für den Datenschutz verantwortlich.» Sie sind verpflichtet, ihn «sorgfältig auszuwählen, ihn angemessen zu instruieren und soweit als nötig zu überwachen».
Art. 61 lit. b DSG droht privaten Personen auf Antrag eine Busse bis zu CHF 250'000 an, wenn sie vorsätzlich «die Datenbearbeitung einem Auftragsbearbeiter übergeben, ohne dass die Voraussetzungen nach Artikel 9 Absätze 1 und 2 erfüllt sind». Für die Bekanntgabe ins Ausland gilt nach lit. a Entsprechendes.
Art. 9 DSG als Prüfliste
Die ersten fünf Punkte stehen in Art. 9 DSG, die übrigen ergeben sich aus den angegebenen Stellen. Halten Sie zu jedem Punkt fest, wie Sie ihn geprüft haben.
- Vertrag: Die Übertragung ist vertraglich geregelt. Der EDÖB spricht davon, sich zu vergewissern und «vertraglich abzusichern».
- Nur wie Sie selbst: Die Daten werden so bearbeitet, wie Sie es selbst dürften (Abs. 1 lit. a). Der Zweck und der Weg der Weisungen sind festgelegt. Der Dienstleister darf laut EDÖB grundsätzlich «keine Personendaten für eigene Zwecke bearbeiten».
- Keine Geheimhaltungspflicht dagegen: Keine gesetzliche oder vertragliche Pflicht verbietet die Übertragung (Abs. 1 lit. b). Lesen Sie Ihr Mandat und Ihre Verträge mit Versicherern daraufhin durch.
- Datensicherheit: Sie haben sich vergewissert, dass der Dienstleister sie gewährleisten kann (Abs. 2). Die Mindestanforderungen stehen in Art. 1 bis 5 DSV, die Massnahmen im Einzelnen in Art. 3 DSV. Als Mittel zur Prüfung nennt der EDÖB «Audits und Zertifizierungen».
- Dritte nur mit Genehmigung: Unterauftragnehmer nur mit Ihrer vorgängigen Genehmigung (Abs. 3). Sie kann spezifisch oder allgemein sein. Bei einer allgemeinen müssen Sie über Änderungen informiert werden und können widersprechen (Art. 7 DSV).
- Ausland: Sie wissen, in welchen Staaten die Daten liegen. Entweder steht der Staat in Anhang 1 DSV (Übersicht beim Bundesamt für Justiz), oder es braucht Garantien nach Art. 16 Abs. 2 DSG oder eine Ausnahme nach Art. 17 DSG. Die USA stehen in Anhang 1 nur für Organisationen, die nach dem Datenschutzrahmen zwischen der Schweiz und den USA zertifiziert sind.
- Vorfälle: Der Dienstleister meldet Ihnen eine Verletzung der Datensicherheit «so rasch als möglich» (Art. 24 Abs. 3 DSG).
- Rechte Ihrer Kunden: Sie bleiben für Auskünfte verantwortlich. Der EDÖB empfiehlt Vereinbarungen, damit ausgelagerte Daten gelöscht, korrigiert und gefunden werden können.
- Ihre Kontrolle: Art. 188 Abs. 2 lit. f AVO verlangt von Vermittlern die «Verankerung geeigneter Kontrollmechanismen, auch in Bezug auf beigezogene Dritte», angemessen zu Grösse und Risiko.
Was in den Auftragsbearbeitungsvertrag gehört
Meine Zusammenstellung aus den Quellen auf dieser Seite, kein Mustervertrag. Die Formulierung klären Sie mit Ihrem Anwalt.
| Punkt | Stützt sich auf |
|---|---|
| Zweck, Datenkategorien, Weg der Weisungen | Art. 9 Abs. 1 lit. a DSG, EDÖB |
| Keine Bearbeitung für eigene Zwecke | EDÖB |
| Datensicherheit | Art. 9 Abs. 2 DSG, Art. 3 DSV |
| Unterauftragnehmer | Art. 9 Abs. 3 DSG, Art. 7 DSV |
| Bekanntgabe ins Ausland | Art. 16 DSG |
| Meldung von Verletzungen der Datensicherheit | Art. 24 Abs. 3 DSG |
| Auskunft, Berichtigung, Löschung | EDÖB |
| Vertragsende: Rückgabe und Löschung | Mein Vorschlag, siehe Frage 10 |
| Ihre Kontrolle über den Dienstleister | Art. 188 Abs. 2 lit. f AVO |
Welche Felder ein Einladungsdienst braucht
Personendaten müssen verhältnismässig bearbeitet werden (Art. 6 Abs. 2 DSG). Für eine Einladung heisst das aus meiner Sicht: nur, was die Einladung braucht. Die Tabelle ist meine Einschätzung, keine amtliche Liste. Fragen Sie bei jedem anderen Dienst dasselbe: Wozu genau brauchen Sie dieses Feld?
| Feld | Nötig? | Warum |
|---|---|---|
| Name, Anrede, Sprache, Firma | Ja | Die Einladung muss korrekt beginnen. |
| E-Mail, Telefon, Postadresse | Ja | Sie muss ankommen. |
| Ablaufdatum | Ja | Es bestimmt den Zeitpunkt. |
| Sparte als Kategorie | Ja | Sie nennt den Anlass. |
| Prämie, Versicherungssumme | Nein | Für einen Termin belanglos. |
| Policennummer, Versicherer | Nein | Für einen Termin belanglos. |
| Schadenangaben | Nein | Für einen Termin belanglos, und sie können heikel sein. |
| Geburtsdatum, AHV-Nummer | Nein | Für einen Termin belanglos. |
| Kranken, Unfall, Leben, 3a, Vorsorge | Nein | Daraus können Gesundheitsdaten hervorgehen. Sie gelten als besonders schützenswert (Art. 5 lit. c DSG). |
| Notiz- und Bemerkungsfelder | Nein | Freitext kann Angaben zu Krankheit, Scheidung oder Todesfall enthalten. |
Prüfen Sie deshalb vor jedem Export die Spaltenliste, nicht nur die Zeilen.
Die Vorlage dazu steht im Erneuerungskalender.
Was das für Ihr Informationsblatt heisst
- Art. 45 Abs. 1 lit. e VAG: Sie informieren über die Bearbeitung der Personendaten, «insbesondere über das Ziel und den Umfang der Bearbeitung und über die Empfängerin oder den Empfänger der Daten sowie deren Aufbewahrung».
- Art. 190c AVO: Ändert sich etwas daran, informieren Sie die Kunden «beim nächsten Kundenkontakt». Ein neuer Dienstleister kann eine solche Änderung sein.
- Art. 19 DSG: Hier genügen ausdrücklich auch «Kategorien von Empfängerinnen und Empfängern». Art. 45 VAG nennt diese Möglichkeit nicht. Ob eine Kategorie auch dort genügt, sagt der Text nicht. Klären Sie das, oder nennen Sie den Dienstleister.
- Ausland: Gehen Daten ins Ausland, nennen Sie auch den Staat und gegebenenfalls die Garantien oder die Ausnahme nach Art. 17 DSG (Art. 19 Abs. 4 DSG).
- Strafbestimmungen: Art. 60 DSG (auf Antrag, bis CHF 250'000, vorsätzliches Unterlassen) und Art. 86 VAG (bis CHF 100'000 bei Vorsatz, bis CHF 50'000 bei Fahrlässigkeit).
Die ganze Prüfung steht in der Checkliste zu Art. 45 VAG.
Führen Sie ein Verzeichnis der Bearbeitungstätigkeiten, gehört die Kategorie der Empfänger hinein (Art. 12 Abs. 2 lit. d DSG), bei einer Bekanntgabe ins Ausland auch der Staat (lit. g). Unternehmen unter 250 Mitarbeitenden sind davon befreit, ausser sie bearbeiten besonders schützenswerte Personendaten in grossem Umfang oder betreiben Profiling mit hohem Risiko (Art. 24 DSV). Ob das auf Ihren Bestand zutrifft, klären Sie selbst.
Zehn Fragen an jeden Dienstleister
Die zehn Fragen als Textdatei herunterladen (ohne Formular, ohne E-Mail-Abfrage)
Schicken Sie die Fragen vor dem ersten Export und lassen Sie sich die Antworten schriftlich geben. Eine brauchbare Antwort nennt Namen, Staaten und Fristen. «Wir nehmen Datenschutz ernst» beantwortet keine davon.
- Felder: Welche Felder brauchen Sie genau, und was geschieht, wenn mehr ankommt?
- Zweck: Wofür verwenden Sie die Daten? Nutzen Sie sie auch für eigene Zwecke?
- Orte: In welchen Staaten werden sie gespeichert und bearbeitet, und auf welcher Grundlage nach Art. 16 DSG?
- Unterauftragnehmer: Wer sind sie, was erhalten sie, und wie erfahre ich vorab von einem Wechsel?
- KI: Läuft KI mit? Welches Modell, bei welchem Anbieter, in welchem Staat, mit welchen Feldern?
- Training und Aufbewahrung: Wird mit meinen Daten trainiert? Wie lange bleiben Eingaben beim Anbieter des Modells?
- Zugriff und Sicherheit: Wer hat Zugriff? Wie sind Konten, Geräte und Übertragung geschützt? Welche Massnahmen nach Art. 3 DSV können Sie darlegen?
- Vorfälle: Wie rasch und an wen melden Sie einen Vorfall?
- Rechte der Kunden: Wie unterstützen Sie mich bei Auskunft, Berichtigung, Löschung und Abmeldungen?
- Ende: Was erhalte ich zurück, was wird bis wann gelöscht, auch in Sicherungen und bei Unterauftragnehmern, und wer bestätigt das?
Zu Frage 5 und 6: Der EDÖB hält fest, dass das Datenschutzgesetz «auf den Einsatz von KI-gestützten Datenbearbeitungen direkt anwendbar» ist, und verlangt, «den Zweck, die Funktionsweise und die Datenquellen der auf KI beruhenden Bearbeitungen transparent» zu machen.
Zu Frage 8: Die FINMA nennt für Cyber-Attacken mit wesentlicher Bedeutung eine Mitteilung «innerhalb von 24 Stunden nach Feststellung» und die eigentliche Meldung innerhalb von 72 Stunden. Fragen Sie deshalb, ob der Dienstleister Sie rechtzeitig informiert, damit Sie Ihre eigenen Fristen einhalten können.
Die Übergabe des Exports
Art. 3 Abs. 2 lit. c DSV verlangt Massnahmen, damit Unbefugte Personendaten bei der Bekanntgabe nicht lesen oder verändern können. In der Praxis, als mein Vorschlag:
- Kein Export als offener E-Mail-Anhang. Vereinbaren Sie einen verschlüsselten Weg.
- Zuerst ein Test mit wenigen Zeilen, damit Spalten und Format stimmen.
- Vor dem Versand die Spaltenliste prüfen, vor allem Notizfelder und ausgeschlossene Sparten.
- Lokale Kopien und Downloads danach löschen.
- Datum, Anzahl Zeilen und Empfänger festhalten.
Weiterlesen
- Art. 45 VAG: Informationspflicht prüfen
- Art. 35a VVG: Kündigungsfristen und Erneuerungskalender 2027
- Datenschutzerklärung dieser Website
Quellen
Alle am 01.11.2026 geöffnet. Massgebend bleibt die jeweils aktuelle Fassung des Gesetzes.
- Datenschutzgesetz (DSG, SR 235.1), Art. 5, 6, 9, 12, 16, 17, 19, 24, 60 und 61, Fassung vom 07.07.2025
- Datenschutzverordnung (DSV, SR 235.11), Art. 1 bis 5, 7 und 24, Anhang 1, Fassung vom 01.12.2025
- EDÖB: Outsourcing (Auftragsdatenbearbeitung), ohne Datum auf der Seite
- EDÖB: Geltendes Datenschutzgesetz ist auf KI direkt anwendbar, Update vom 08.05.2025
- Bundesamt für Justiz: Staaten mit angemessenem Datenschutz, Übersicht zu Anhang 1 DSV
- Versicherungsaufsichtsgesetz (VAG, SR 961.01), Art. 45 und 86, Fassung vom 01.09.2024
- Aufsichtsverordnung (AVO, SR 961.011), Art. 188 und 190c, Fassung vom 26.02.2026
- FINMA: Pflichten für Versicherungsvermittler, ohne Datum auf der Seite
So entstand diese Seite
Erneuerungstermin ist ein Einzelunternehmen. Ich bin weder Anwalt noch Versicherungsberater, und ich habe noch keine Kunden. Diese Seite stützt sich darum auf die verlinkten Texte, nicht auf Erfahrung aus Mandaten. Ausgearbeitet wurde sie grösstenteils mit KI. Sie ist keine Rechts- und keine Versicherungsberatung. Einen Fehler gefunden? Schreiben Sie mir: patrice@erneuerungstermin.ch.