Wenige Tage vor Ablauf der DSGVO-Schonfrist hätten Versicherer an Versicherungsvermittler Zusatz-Verträge versandt, in denen die DSGVO-konforme Zusammenarbeit geregelt werden sollte. Allerdings würden die Versicherer die Agenten dabei in die Position der Datenverarbeiter drängen, obwohl die DSGVO die Vermittler vielmehr als Verantwortliche sieht, heißt es beim Interessensverband der österreichischen Versicherungsagenten IVVA.

Der Jurist und Versicherungsexperte Stephan Novotny sagte in einem vom IVVA veröffentlichten Gespräch: "Sicher ist, dass die Versicherungsvermittler und die Versicherungsunternehmen beide Verantwortliche sind, teilweise sogenannte gemeinsame Verantwortliche gemäß Art. 25 DSGVO". Ein Versicherungsvermittler sei kein Angestellter, sondern selbst Unternehmer. Als Angestellter wäre er an die Vorgaben des Unternehmens gebunden, als Unternehmer nicht.

Angriff auf bestehende Verträge
Viele große Versicherer hätten solche Verträge versandt. "Es ist möglicherweise ein Versuch, über diesen Weg eine Möglichkeit zu suchen, bestehende Verträge kündigen zu können", wird Novotny zitiert. Jedenfalls würden die Agenten mit einer Unterschrift ihre bestehenden Agenturverträge abändern "und sich zu wesentlich mehr verpflichten, als notwendig ist".

Nachdem Agenten selbstständige Unternehmer sind, würde die Unterschrift vermutlich Gültigkeit haben, es sei denn, der Inhalt wäre als sittenwidrig anzusehen, warnt Novotny vor voreiligen Handlungen. Unterschreibt ein Agent nicht, dürfe das keinen Grund für eine Kündigung des alten Vertrags darstellen.

Kündigung ohne Begründung
Auch der offenbar vielerorts angedrohte defakto-Ausschluss vom Geschäft – etwa weil man keinen Datenzugang mehr vom Versicherer bekommt – sei nicht rechtens. In einer schwierigen Situation ist man aber naturgemäß, wenn der alte Vertrag den Passus trägt, dass dieser ohne Begründung gekündigt werden kann.

Juristisch dürften viele dieser "Verarbeiter-Verträge" allein wegen der skizzierten Tätigkeiten auf wackeligen Beinen stehen: Manche der vorgelegten Vertragsentwürfe seien inhaltlich den Agenturverträgen sehr ähnlich. Darin werde aber als "Auftragsverarbeitung" eigentlich die Erfüllung eines Agenturvertrages angeführt. Jedoch können Tätigkeiten zur Errichtung, Änderung oder Beendigung eines Versicherungsvertrages nicht Inhalt eines Auftragsverarbeitungsvertrages sein, erinnert Novotny an die gesetzlichen Vorgaben. Die angeführten "Pflichten des Auftragsverarbeiters" (=Vermittlers) könnten daher gar nicht auf diese Tätigkeiten angewandt werden.

Vertrag unter gemeinsam Verantwortlichen nötig
Korrekter Weise wäre ein Vertrag zwischen den gemeinsam Verantwortlichen gemäß Art 25 DSGVO nötig, in dem Zwecke und Mittel der Verarbeitung festgelegt werden. Darin müsste festgehalten werden, wer von den beiden Verantwortlichen welche gesetzliche Verpflichtung übernimmt (beispielsweise hinsichtlich der Rechte der Betroffenen). "Diese Vereinbarung soll die interne Aufgabenverteilung zwischen Versicherungsunternehmen und Versicherungsvermittler regeln, entbindet aber beide nicht von Ihren Pflichten als Verantwortliche gegenüber dem Kunden, so dass nach außen hin beide dem Kunden haften", so Novotny.

Die DSGVO kenne den Begriff der Verantwortlichen und den Begriff des Auftragsverarbeiters. Der Auftragsverarbeiter entspricht dem früheren Dienstleister nach dem DSG 2000. Darunter fallen externe Buchhalter, Druckerei, EDV-Betreuer, Lohn-Verrechner, Cloud-Anbieter,  Newsletter–Versender undsoweiter. Der Wortlaut der DSGVO lege derzeit nahe, dass Versicherungsvermittler nicht Auftragsverarbeiter von Versicherungen sind. Ob dies die Rechtsprechung in Zukunft anders sieht, ist noch nicht abzuschätzen, so Novotny.

Nicht im Auftrag des Versicherers
Auftragsverarbeiter dürfen immer nur im Auftrag und auf Weisung und nur in diesem Umfang für den Verantwortlichen tätig werden. Wenn das Versicherungsunternehmen zum Beispiel den Vermittler ersucht, eine Schadensregulierung vorzunehmen, ist der Vermittler laut Novotny kein Auftragsverarbeiter. Der Vermittler verarbeitet nämlich in diesem Fall nicht weisungs- und vertraglich gebunden die Daten für den Verantwortlichen, sondern für den Kunden. "Es kann daher gedanklich kaum Spielraum geben, in dem ein Versicherungsvermittler als Auftragsverarbeiter für ein Versicherungsunternehmen tätig werden kann“, meint der Experte. Die Beschreibungen der Tätigkeiten in den vorliegenden Verträgen seien jedenfalls "sicherlich keine Auftragsverarbeitung". (eml)