EU Datenschutz-Grundverordnung und die daraus resultierenden Änderungen bei der Allianz Leben

Transkript

1 Datum: Herausgeber: L/K-MVZB-V Branche: Leben Sachgebiet: Leben 40 / bav 40.3 Information für Geschäftspartner EU Datenschutz-Grundverordnung und die daraus resultierenden Änderungen bei der Allianz Leben Zusammenfassung: Am wird die EU-Datenschutzgrundverordnung (DSGVO) wirksam. Die DSGVO regelt die Verarbeitung und den Schutz personenbezogener Daten. Die Regelungen gelten europaweit einheitlich und werden nur noch punktuell von den Datenschutzgesetzen der einzelnen EU-Mitgliedstaaten im Rahmen der von der DSGVO definierten Öffnungsklauseln ergänzt in Deutschland durch das ebenfalls ab geltende, neu gefasste Bundesdatenschutzgesetz (BDSG). Die neuen Regelungen sind hierbei auch von allen natürlichen und juristischen Personen zu beachten, die Versicherungs- und Finanzdienstleistungsprodukte vermitteln und Interessenten und Kunden dazu beraten. Dies bedeutet, die neuen Anforderungen gelten auch für: alle selbstständigen Vermittler und Untervermittler alle unmittelbar im Vertrieb tätigen angestellten Mitarbeiter der Vermittler. Mit dieser Information für Geschäftspartner informieren wir Sie über unsere internen Regelungen in der Geschäftsbeziehung zu Ihnen. Nicht Gegenstand der Information sind die von Ihnen selbst zu beachtenden datenschutzrechtlichen Vorgaben. Insbesondere gehen wir davon aus, dass Sie zur Weitergabe von Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (personenbezogene Daten), an uns durch eine Rechtsvorschrift oder von Ihren Interessenten und Kunden durch deren ausdrückliche Einwilligung berechtigt wurden. Seite 1 / 7

2 Die DSGVO definiert besondere Datenkategorien, in der Lebensversicherung insbesondere Gesundheitsdaten und genetische Daten, die besondere Anforderungen an die Rechtmäßigkeit der Verarbeitung erfüllen müssen. Seite 2 / 7

3 Inhaltsverzeichnis: 1. Konformitätserklärung Verarbeitung von Daten im eigenen Interesse Datenspeicherung in Angebotsmedien bzw. bei Angebotserstellung Pseudonymisierung von Risikovoranfragen Besonderheiten im Firmengeschäft Kundeninformation zu Betroffenenrechten Sichere -Kommunikation... 6 Seite 3 / 7

4 1. Konformitätserklärung Die uns von Ihnen übersandten Interessenten- und Kundendaten und Ihre Daten als Vermittler werden von der Allianz Lebensversicherungs-AG, deren Tochtergesellschaften und den mit der Verarbeitung von Daten beauftragten weiteren Gesellschaften der Allianz Gruppe, insbesondere der Allianz Deutschland AG, entsprechend der Regelungen der DSGVO sowie des BDSG 2018 verarbeitet. 2. Verarbeitung von Daten zu eigenen Zwecken Eine Verarbeitung der uns von Ihnen zur Verfügung gestellten Kundendaten erfolgt durch uns für eigene Zwecke. Eine Auftrags(daten)verarbeitung für Sie findet durch uns nicht statt. 3. Datenspeicherung in Angebotsmedien bzw. bei Angebotserstellung In unseren Angebotsmedien ist eine Datenspeicherung durch Sie möglich. Bitte beachten Sie, dass Sie zur Eingabe und Speicherung von nicht anonymisierten Kundendaten (insbes. Name und Anschrift des Kunden) eine Legitimation durch Rechtsvorschrift oder eine ausdrückliche Einwilligung durch Ihren Kunden benötigen. In den Angebotsmedien gespeicherte Angebote ohne Gesundheitsdaten werden nach 90 Tagen automatisch gelöscht, Angebote mit Gesundheitsdaten nach 42 Tagen. 4. Pseudonymisierung von Risikovoranfragen Aufgrund der DSGVO müssen wir noch intensiver als bisher darauf achten, dass personenbezogene Gesundheitsdaten von Interessenten und Kunden nicht ohne deren vorherige Einwilligung in unseren Systemen verarbeitet werden. Gemeinsam mit Ihnen haben wir außerdem die Pflicht, besonders auf die Sicherheit der Interessenten- und Kundendaten zu achten. Insbesondere bei der Datenübermittlung sind die Gesundheitsdaten der Interessenten und Kunden gegen unbefugte Kenntnisnahme durch Dritte zu schützen. Bei Risikovoranfragen möchten wir Ihnen auch weiterhin einen schlanken Prozess bieten, der Ihnen kurzfristig Auskunft über die Versicherungsmöglichkeiten Ihrer Seite 4 / 7

5 Interessenten und Kunden gibt und für Sie und uns einen sicheren Datenaustausch ermöglicht. Wir werden daher ab dem nur noch Risikovoranfragen mit pseudonymisierten Interessenten- oder Kundendaten annehmen und bearbeiten. Ist eine Risikovoranfrage nicht hinreichend pseudonymisiert, kann diese von den Betriebsgebieten zurückgewiesen, d. h. gelöscht und pseudonymisiert neu angefordert werden. Was bedeutet das für Sie: Sie teilen uns künftig nicht mehr den Namen und die Anschrift Ihres Interessenten mit. Diese Daten dürfen sich weder im Mail-/ Briefverkehr noch in etwaigen Gesundheitsberichten befinden. Ihre Anfrage enthält aber das Geburtsdatum und das Geschlecht Ihres Interessenten. Außerdem können Sie gerne eine eigene Vorgangsnummer (Pseudonym) Ihrer Anfrage beifügen, z.b. eine Nummer, die Sie intern in Ihren Systemen verwenden. Wir senden Ihnen dann Ihre Anfrage zurück und schreiben in den Betreff: Geburtsdatum Ihres Interessenten + Ihre Vorgangsnummer + unsere Vorgangsnummer (RVA). Wenn Sie im Nachgang den Antrag zu einer Voranfrage einreichen, geben Sie bitte unsere Vorgangsnummer (RVA) mit an. In Ausnahmefällen ist eine nicht pseudonymisierte Risikovoranfrage dann möglich, wenn eine vom Kunden unterschrieben Einwilligungserklärung vorliegt (s. Anlage). Notwendig ist ebenfalls, dass zum Zeitpunkt der Erhebung der Daten dem Kunden das Datenschutzinformationsblatt ausgehändigt wurde (s. Anlage). Die Übermittlung der Daten muss über einen sicheren Kommunikationsweg erfolgen (s. Punkt 7). 5. Besonderheiten im Firmengeschäft Über die Besonderheiten im Firmengeschäft wird mit einer Fachinformation separat informiert. Bitte beachten Sie insbesondere, dass bei Ausschreibungen und Anbahnungen für eine bav, bei der Berechnungen für Personenkreise angefordert werden, jedoch noch keine Zusage des Arbeitgebers auf die Leistungen der bav besteht, die Verarbeitung der personenbezogenen Daten von keinem der Erlaubnistatbestände der DSGVO abgedeckt ist. Ebenfalls liegt keine Einwilligung der Arbeitnehmer vor. Seite 5 / 7

6 Deshalb ist es erforderlich, dass Sie uns Angebotsanfragen für solche Kollektive künftig pseudonymisiert zusenden. Das heißt, Excel-Listen mit Personenkreisen dürfen nicht mehr die Namen der Arbeitnehmer enthalten. Möglich ist jedoch die Angabe von Personalnummern. 6. Kundeninformation zu Betroffenenrechten Natürliche Personen können Auskunft über die zu ihrer Person gespeicherten Daten sowie unter bestimmten Voraussetzungen die Berichtigung oder die Löschung ihrer Daten verlangen. Ferner steht ihnen ein Recht auf Einschränkung der Verarbeitung ihrer Daten sowie ein Recht auf Herausgabe der von ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu. Entsprechende Anfragen werden in den Betriebsgebieten bearbeitet. Neben den Datenschutz-Informationen im Neuantragsprozess werden auch die Bestandskunden informiert: Bestandskunden mit Papierverzicht wird eine entsprechende Information zur Verfügung gestellt. Alle weiteren Bestandskunden werden über einen Zeitraum von ca. 2 Jahren mit Hilfe der Kuvert- (Brieffenster-) Lösung informiert. Hierbei ist auf der Innenseite des Briefumschlags im Fensterbereich eine Kurz-Info zu den Informationspflichten nach DSGVO mit Hinweis darauf enthalten, dass vollständige Informationen auf sowie auf Anforderung per postalischem Versand erhältlich sind. 7. Sichere -Kommunikation Die DSGVO formuliert Anforderungen an den Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen. Wir bieten Ihnen folgende sichere -Kommunikationsverfahren zum gemeinsamen Datenaustausch an: Transportverschlüsselung (TLS-Verfahren) End-to-End-Verschlüsselung (s/mime-verschlüsselung, #secure-verfahren). Weitere Details können Sie der Anlage entnehmen. Seite 6 / 7

7 Sofern im Mail-Text keine vertraulichen Informationen übertragen werden und nur die Anhänge vertrauliche Informationen enthalten, besteht auch die Möglichkeit, verschlüsselte Anhänge (PDF oder WinZip) zu nutzen. Das Passwort muss hierbei getrennt von dem verschlüsselten Dokument übermittelt werden. Grundsätzlich ist das TLS-Verfahren zum Versand von personenbezogenen Daten geeignet. Bei der Übersendung von besonders geschützten besonderen Datenkategorien, z. B. Gesundheitsdaten, gelten jedoch erhöhte Anforderungen an die Sicherheit. Das grundsätzlich anzuwendende Verfahren ist das mit der höchsten Sicherheitsstufe, die End-to-End-Verschlüsselung (#secure oder s/mime). Eine Versendung kann im Ausnahmefall dann mit TLS-Verschlüsselung erfolgen, wenn der Kunde darin eingewilligt hat und bereit ist, das Restrisiko zu tragen. Die Kundeneinwilligung muss in Form einer informierten, freiwilligen Einwilligung, mit Wirkung für die Zukunft widerrufbar und vor der digitalen Kommunikation vom Vermittler eingeholt werden. Seite 7 / 7