DSGVO und Versicherung: Was ist überhaupt versicherbar?
Die DSGVO unterscheidet zwischen Bußgeldern (Art. 83) und Schadensersatzansprüchen Betroffener (Art. 82). Schadensersatzforderungen Dritter sind in der Regel über die Cyber-Haftpflicht mitversicherbar. DSGVO-Bußgelder hingegen sind in Deutschland nach herrschender Auffassung wegen ihres Sanktionscharakters nicht versicherbar. Manche Anbieter decken jedoch Verteidigungskosten und Krisenmanagement rund um Behördenverfahren ab — diese Unterscheidung ist entscheidend.
Welche Leistungen greifen bei einem DSGVO-Vorfall?
Bei einem Datenschutzvorfall übernimmt die Cyberversicherung typischerweise: IT-Forensikkosten zur Schadensermittlung, Kosten für Rechtsberatung und Behördenkommunikation, Benachrichtigungskosten für betroffene Personen (Art. 34 DSGVO), PR-Maßnahmen zur Reputationssicherung sowie Drittschäden (Schadensersatz nach Art. 82 DSGVO). Was nicht gedeckt ist: das Bußgeld selbst.
Meldepflichten nach DSGVO — und wer dabei hilft
Nach Art. 33 DSGVO müssen Sie einen Datenschutzvorfall binnen 72 Stunden der zuständigen Aufsichtsbehörde melden — in Baden-Württemberg dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit (LfDI BW). Viele Cyber-Policen beinhalten einen 24/7-Krisenservice, der diese Meldung unterstützt und rechtliche Erstberatung liefert. Das ist ein entscheidender Qualitätsunterschied zwischen Tarifen.
Was ist versichert — und was nicht?
Versichert
- Verteidigungs- und Rechtsberatungskosten
- Krisenmanagement und Behördenkommunikation
- Benachrichtigungskosten (Art. 34 DSGVO)
- Schadensersatz an Betroffene (Art. 82 DSGVO)
- IT-Forensik und PR-Maßnahmen
Nicht versichert
- DSGVO-Bußgelder nach Art. 83 (Sanktionscharakter)
- Vorsätzliche Datenschutzverstöße
- Schäden bei fehlenden TOM / verletzten Obliegenheiten
Datenpanne durch Cyberangriff: typische Szenarien im Mittelstand
Ein Steuerberatungsbüro im Alb-Donau-Kreis wird Opfer eines Phishing-Angriffs. Mandantendaten werden kopiert und im Darknet angeboten. Folge: Meldung an den LfDI BW, Behördenverfahren, Anwaltskosten, individuelle Benachrichtigung von 400 Mandanten, PR-Krisenmanagement. Kosten ohne Versicherung: 30.000–80.000 Euro plus mögliche Bußgelder. Die Cyberversicherung übernimmt den versicherbaren Anteil.
Obliegenheiten: Was Sie datenschutzrechtlich vorhalten müssen
Versicherungsschutz setzt voraus, dass das Unternehmen grundlegende Datenschutz-Maßnahmen nachweisen kann: Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO), Datenschutzbeauftragter (sofern nach Art. 37 DSGVO erforderlich), technische und organisatorische Maßnahmen (TOM, Art. 32 DSGVO). Wer diese Pflichten nicht erfüllt, riskiert nicht nur Bußgelder, sondern auch Leistungskürzungen nach § 28 VVG.
