Die Einführung und der laufende Betrieb einer Gruppenversicherung sind unvermeidlich mit der Verarbeitung von Mitarbeiterdaten verbunden: Mitarbeiterzahl und Altersstruktur für die Angebotsanfrage, eine Namensliste für den Vertragsabschluss, mitunter eine Gesundheitserklärung, und im Leistungsfall ärztliche Unterlagen. Als Personalverantwortliche oder Geschäftsführung ist das verständlicherweise ein möglicher Anlass zur Sorge: Wer sieht was, wie lange, und auf welcher Grundlage? Dieser Artikel ordnet, was tatsächlich beim Arbeitgeber ankommt und was nicht – ohne Rechtsberatung: Die konkrete Lösung sollte stets die Rechtsberatung oder die beziehungsweise der Datenschutzbeauftragte des Unternehmens bestätigen.
- Für die Angebotsanfrage und die Budgetplanung braucht es in der Regel KEINE Namen und Gesundheitsdaten – auch zusammengefasste, durchnummerierte Daten genügen.
- Die für den Vertragsabschluss nötigen Erklärungen der versicherten Personen und – sofern vorgesehen – Gesundheitserklärungen verarbeitet in der Regel unmittelbar der Versicherer, nicht der Arbeitgeber.
- Im Leistungsfall reicht die anspruchsberechtigte Person die ärztlichen Unterlagen direkt beim Versicherer ein – auch hier hat der Arbeitgeber eher eine unterstützende Rolle als die eines Verantwortlichen für die Datenverarbeitung.
Was erreicht den Arbeitgeber – und was nicht?
Für die Angebotsanfrage und die Bedarfsanalyse genügt in der Regel ein zusammengefasstes Bild: Mitarbeiterzahl, Altersstruktur, Tätigkeiten, Standorte – ohne Namen und Gesundheitsdaten. Die namentliche Liste der versicherten Personen wird erst beim Vertragsabschluss erforderlich, und auch dann beschränkt sie sich in der Regel auf Basisdaten. Ist mit dem Paket auch eine Gesundheitserklärung verbunden – das kommt in der Regel oberhalb einer bestimmten Versicherungssumme (der sogenannten Freizeichnungsgrenze) vor, nicht zwingend nur bei Führungspositionen –, geht diese direkt an den Versicherer: Der Arbeitgeber erhält in der Regel keine Kenntnis von Gesundheitsdaten.
Auf welcher Rechtsgrundlage verarbeitet das Unternehmen diese Daten?
Das ist bereits eine echte Rechtsfrage, deren genaue Antwort sich aus der eigenen Datenschutzerklärung des Unternehmens und der konkreten Situation ergibt – eine zur Vertragserfüllung erforderliche Verarbeitung, ein berechtigtes Interesse oder eine Einwilligung kommen je nach Art der Daten und Zweck gleichermaßen infrage. Dieses Thema kann und darf ein Artikel nicht abschließend klären – genau hier geben die Rechtsberatung oder die beziehungsweise der Datenschutzbeauftragte (DSB) des Unternehmens eine verlässliche Antwort, parallel zu den Schritten von Vertragsabschluss und Einführung.
Gesundheitsdaten im Leistungsfall
Anders als bei Vertragsbeginn stellt sich die Lage bei einem tatsächlichen Leistungsfall dar: Hier kommen ärztliche Unterlagen, Befunde, mitunter auch eine Diagnose ins Spiel. Das gilt als besondere Kategorie personenbezogener Daten, und die anspruchsberechtigte Person – also die betroffene Mitarbeiterin oder der betroffene Mitarbeiter beziehungsweise deren Angehörige – reicht sie gemäß der Liste der benötigten Unterlagen direkt beim Versicherer ein. Der Arbeitgeber sieht auch hier in der Regel nur, dass ein Leistungsfall läuft – den ärztlichen Inhalt selbst nicht, es sei denn, die Kollegin oder der Kollege teilt ihn aus eigenem Entschluss mit.
Wie lange sollten die Daten aufbewahrt werden?
Auch die Aufbewahrungsdauer ist keine einzelne, für alles geltende Zahl – sie hängt davon ab, um welche Daten, welchen Zweck und welche Rechtsgrundlage es geht. Den aktuellen Stand der Liste der versicherten Personen führt man sinnvollerweise für die Dauer des Beschäftigungsverhältnisses, die Daten ausgeschiedener Mitarbeiter sollten nicht länger als nötig aufbewahrt werden. Wie lange genau, ergibt sich aus der eigenen Datenschutzrichtlinie des Unternehmens und den einschlägigen Rechtsvorschriften – auch hier ist statt einer allgemeinen Faustregel die konkrete Vorgabe der Rechtsberatung oder des Datenschutzbeauftragten maßgeblich.
Die Rolle von Versicherer und Makler
Bei der Verarbeitung der Liste der versicherten Personen und der mit Leistungsfällen verbundenen Unterlagen spielen auch der Versicherer und der Makler eine Rolle, in der Regel jeweils im eigenen Tätigkeitsbereich. Wie genau dies erfolgt – als eigenständig Verantwortlicher oder als Auftragsverarbeiter –, hält die Vertragsdokumentation fest (Datenschutzhinweis, Vermittlungsvertrag); dieses Detail kann je nach Versicherer und Konstruktion abweichen, weshalb es sich lohnt, dies beim Start ausdrücklich zu klären.
Gute Praxis bei Ein- und Austritten
Bei Ein- und Austritten gilt als bestes Prinzip die Datenminimierung: Es sollten nur die für Aufnahme und Anspruchsberechtigung tatsächlich benötigten Daten bewegt werden, und beim Austritt sollten keine Daten unnötig im System verbleiben, die keine Funktion mehr haben. Eine regelmäßig aktualisierte, durchnummerierte Liste ist deutlich sicherer als eine seit Jahren unveränderte, namentlich geführte Tabelle.
Was sollte man dem Team sagen?
Transparenz allein schafft Vertrauen: Schon ein, zwei Sätze in der Mitarbeiterinfo oder in der internen FAQ dazu, dass der Arbeitgeber keinen Einblick in die Gesundheitsdaten hat, räumen viele Bedenken aus. Eine ehrliche, kurze Erklärung ist in der Regel mehr wert als Schweigen – besonders bei einer Zusatzleistung, deren Kern gerade das Vertrauen ist.
Eine Frage zur Datenverarbeitungspraxis Ihres eigenen Unternehmens? Buchen Sie ein kostenloses 20-Minuten-Gespräch →
