ChatGPT für Versicherungsmakler & DSGVO: Was im Maklerbüro erlaubt ist

ChatGPT kann im Maklerbüro Texte und Abläufe erleichtern. Sobald Kunden- oder Unternehmensdaten ins Spiel kommen, braucht es jedoch klare Grenzen, eine geprüfte Lösung und menschliche Kontrolle.

Herausgeber: VERSOLUT GmbH · Autor: Mirko Braunschweig, Geschäftsführer ·

ChatGPT im Maklerbüro: Die Grenze verläuft bei den Daten

Eine E-Mail höflicher formulieren, eine Schulung gliedern oder eine Checkliste für den nächsten Teamtermin entwerfen: Dafür kann ChatGPT im Maklerbüro nützlich sein. Heikel wird es, wenn aus einer allgemeinen Aufgabe ein echter Kundenfall wird. Wer eine Schadenmeldung, einen Antrag oder eine Gesprächsnotiz in einen Chat kopiert, gibt möglicherweise personenbezogene und vertrauliche Informationen an einen externen Dienst weiter.

Die praktische Grundregel lautet deshalb: ChatGPT ist als Arbeitsmittel möglich, aber nicht als ungeprüfter Empfänger von Kunden- und Unternehmensdaten. Bei personenbezogenen Daten sind eine Rechtsgrundlage und die weiteren Anforderungen der DSGVO zu prüfen. Gesundheitsdaten benötigen zusätzlich eine Ausnahme für die Verarbeitung besonderer Kategorien personenbezogener Daten.

Für Ihren Büroalltag hilft eine einfache Frage vor jedem Prompt: Könnte der Anbieter oder jemand mit Zugriff auf die Eingabe erkennen, um welche Person oder welches Unternehmen es geht? Wenn ja, gehört der Inhalt nicht ohne ausdrückliche Prüfung und Freigabe in das Tool.

Was Sie mit ChatGPT grundsätzlich tun können

Allgemeine Aufgaben ohne Kundendaten

Gut geeignet sind Aufgaben, für die ChatGPT keinen echten Vorgang kennen muss. Sie können sich etwa eine Gliederung für eine interne Schulung erstellen lassen, neutrale Formulierungen für eine Terminbestätigung sammeln oder eine allgemeine Checkliste sprachlich überarbeiten. Auch ein Mustertext zu einem vollständig fiktiven Sachverhalt kann ein Ausgangspunkt sein.

Wichtig ist das Wort „allgemein“. Schon eine scheinbar harmlose E-Mail-Vorlage kann personenbezogene Angaben enthalten, wenn Sie dafür eine echte Nachricht samt Signatur, Vertragsbezug und bisherigem Schriftwechsel einfügen. Prüfen Sie außerdem, ob ein Text interne Konditionen, vertrauliche Abläufe oder andere Geschäftsgeheimnisse verrät.

Ein möglicher Prompt ohne echten Kundenfall wäre: „Formulieren Sie eine freundliche, kurze E-Mail, mit der ein Versicherungsmakler einen Termin zur Besprechung von Unterlagen anbietet. Verwenden Sie keine personenbezogenen Angaben.“ Die Antwort ist ein Entwurf. Ob Ton, Inhalt und Aussage zu Ihrem Anliegen passen, entscheiden Sie.

Vollständig anonymisierte Beispiele

Auch anonymisierte Fälle können sich für Textentwürfe eignen. Dafür muss eine Zuordnung zu einer Person praktisch ausgeschlossen sein. Nur den Namen durch „Kunde A“ zu ersetzen, reicht häufig nicht. Alter, seltener Beruf, Schadenort, Schadendatum und Versicherer können zusammen einen Fall wiedererkennbar machen.

Fragen Sie deshalb nicht: „Wie beschreibe ich den Schaden von Kunde A, 63, selbstständiger Restaurator, nach dem Ereignis am [Datum] in [Ort]?“ Besser ist ein neu formulierter, fiktiver Sachverhalt ohne Merkmale des echten Falls. Entfernen Sie nicht nur einzelne Wörter. Schreiben Sie die Aufgabe so, dass sie ihren Zweck ohne Rückgriff auf die Akte erfüllt.

Pseudonymisierung ist dabei nicht dasselbe wie Anonymisierung. Wenn die Zuordnung über weitere Informationen möglich bleibt, handelt es sich weiterhin um personenbezogene Daten. Die DSGVO gilt dann weiter.

Welche Daten im Standardbetrieb tabu sind

Bis eine konkrete Nutzung ausdrücklich geprüft und dokumentiert freigegeben ist, sollten Mitarbeitende keine echten Kundenakten und keine vertraulichen Betriebsinformationen in ChatGPT eingeben oder hochladen. Das gilt auch für Ausschnitte, Fotos und Dateien. Ein kurzer Prompt kann bereits eine Verarbeitung personenbezogener Daten auslösen.

| Daten oder Inhalt | Beispiel aus dem Maklerbüro | Praktische Grenze |

| --- | --- | --- |

| Identitäts- und Kontaktdaten | Name, Anschrift, E-Mail-Adresse, Telefonnummer, Geburtsdatum | Nicht in ein ungeprüftes oder privat genutztes Konto eingeben. |

| Vertrags- und Schadendaten | Versicherungsnummer, Police, Schadenakte, Regulierungsunterlagen | Auch Auszüge können Personen und Vorgänge erkennbar machen. |

| Gesundheits- und Pflegedaten | Diagnose, Arztbericht, Vorerkrankung, Behinderung | Besonders sensible Daten nicht ohne zusätzliche rechtliche Prüfung verarbeiten. |

| Finanzdaten | Kontonummer, Bonitäts- oder Vermögensangaben | Für allgemeine Textaufgaben nicht erforderlich. |

| Daten Schutzbedürftiger | Angaben zu Kindern oder besonders schutzbedürftigen Personen | Im Standardbetrieb nicht eingeben. |

| Zugangsdaten und Nachweise | Passwörter, Identitätsdokumente, Authentifizierungsmerkmale | Nicht an nicht freigegebene KI-Dienste übermitteln. |

| Vertrauliche Unternehmensdaten | Provisionsmodelle, interne Analysen, nicht öffentliche Vertragsinhalte | Nur in einer dafür geprüften und freigegebenen Umgebung verwenden. |

Gerade bei Gesundheitsdaten ist die Grenze wichtig. Sie gehören nach Art. 9 Abs. 1 DSGVO zu den besonderen Kategorien personenbezogener Daten. Für ihre Verarbeitung reicht die Prüfung einer Rechtsgrundlage nach Art. 6 DSGVO allein nicht aus. Zusätzlich muss eine einschlägige Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegen.

Wann personenbezogene Daten überhaupt verarbeitet werden dürfen

Dass ein Unternehmensangebot Datenschutzfunktionen bereitstellt, macht die Eingabe von Kundendaten nicht automatisch zulässig. Vor einer solchen Nutzung muss Ihr Betrieb den konkreten Zweck, die Daten und die technische sowie vertragliche Ausgestaltung prüfen.

Zu den zentralen Fragen gehören:

  • Rechtsgrundlage: Auf welche Grundlage nach Art. 6 Abs. 1 DSGVO stützt sich die Verarbeitung? Bei besonderen Datenkategorien kommt die Prüfung nach Art. 9 Abs. 2 DSGVO hinzu.
  • Transparenz: Sind betroffene Personen nach Art. 13 beziehungsweise Art. 14 DSGVO angemessen über die Verarbeitung informiert?
  • Zweck und Datenumfang: Ist die Nutzung für den festgelegten Zweck erforderlich? Welche Angaben können entfallen?
  • Rollen und Vertrag: Welche Rolle hat der Anbieter? Wird er als Auftragsverarbeiter tätig, sind grundsätzlich die Anforderungen an einen Vertrag nach Art. 28 DSGVO zu beachten.
  • Datenflüsse: Wo werden Eingaben verarbeitet und gespeichert? Welche Unterauftragnehmer sind beteiligt? Gibt es internationale Übermittlungen?
  • Speicherung und Nutzung: Welche Speicher- und Löschfristen gelten? Wie ist eine mögliche Verwendung von Eingaben zu Trainingszwecken geregelt und konfiguriert?

Team-, Enterprise- oder API-Angebote können hierfür Verträge und organisatorische Schutzmaßnahmen bereitstellen. Die Bezeichnung des Angebots ersetzt aber keine Prüfung des konkreten Vertrags und der gewählten Einstellungen. Auch eine Einwilligung ist keine pauschale Abkürzung. Wenn sie als Grundlage genutzt wird, muss sie freiwillig, informiert, zweckbezogen und nachweisbar sein. Sie kann mit Wirkung für die Zukunft widerrufen werden.

Als Maklerbüro bleiben Sie für die Verarbeitungen verantwortlich, für die Sie die Zwecke und Mittel bestimmen. Eine Anbieterprüfung nimmt Ihnen diese Verantwortung nicht ab.

Praxisbeispiel: Aus einer Schadenmail soll eine Antwort werden

Eine Kundin schreibt Ihrem Büro eine längere E-Mail zu einem Schaden. Sie nennt ihren Namen, den Versicherer, den Schadenort und eine Vertragsnummer. Im Anhang liegen Fotos und bisheriger Schriftverkehr. Eine Mitarbeiterin möchte die Nachricht in ChatGPT einfügen und um eine freundliche Antwort bitten.

So nicht: Die vollständige Mail samt Anhang in ein nicht freigegebenes Konto kopieren. Selbst wenn die Aufgabe nur „Bitte höflicher formulieren“ lautet, würde der Dienst die eingegebenen und hochgeladenen Informationen verarbeiten.

So kann die Aufgabe ohne Kundendaten aussehen: Die Mitarbeiterin lässt sich eine allgemeine Vorlage für eine Eingangsbestätigung zu einer Schadenmeldung formulieren. Im Prompt stehen keine Angaben aus dem konkreten Vorgang. Anschließend prüft sie den Entwurf, ergänzt die erforderlichen Informationen im vorgesehenen Arbeitsablauf und stimmt die Antwort fachlich ab.

Braucht das Büro KI-Unterstützung unmittelbar am echten Vorgang, ist das ein anderer Anwendungsfall. Dann muss die konkrete Lösung vorher auf Rechtsgrundlage, Transparenz, Verträge, Datenflüsse und Schutzmaßnahmen geprüft und freigegeben werden. Auch danach bleibt die Prüfung der fertigen Nachricht durch eine fachkundige Person erforderlich.

Eine KI-Richtlinie, die im Büro funktioniert

Eine Regel hilft nur, wenn sie am Schreibtisch verständlich ist. Halten Sie deshalb schriftlich fest, welche KI-Tools zugelassen sind, für welche Zwecke sie genutzt werden dürfen und wer neue Anwendungen freigibt. Unterscheiden Sie mindestens zwischen öffentlichen, internen, vertraulichen, personenbezogenen und besonders sensiblen Informationen.

Für Mitarbeitende sollte vor allem klar sein, was im Standardbetrieb nicht hineingehört. Dazu zählen nicht nur vollständige Akten. Auch ein kopierter Absatz aus einer Kundenmail, eine Gesprächsnotiz oder ein Screenshot können Angaben enthalten, die eine Person identifizieren. Besprechen Sie solche Beispiele in Schulungen und dokumentieren Sie Freigaben, eingesetzte Toolversionen und Nutzungszwecke.

Ein kurzer Prüfweg vor dem Absenden kann so aussehen:

  • Brauche ich für die Aufgabe überhaupt echte Daten? Wenn nicht, formuliere ich einen allgemeinen oder fiktiven Prompt.
  • Ist der Inhalt wirklich anonym? Ich prüfe auch Kombinationen aus indirekten Merkmalen.
  • Ist das Tool für diese Datenklasse freigegeben? Ohne Freigabe bleibt der Vorgang außerhalb des Tools.
  • Wer kontrolliert das Ergebnis? Kundenbezogene Aussagen gehen nicht ungeprüft hinaus.

Bei neuen oder umfangreichen Anwendungen sollte außerdem geprüft werden, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist. Das ist insbesondere bei voraussichtlich hohem Risiko relevant, etwa bei umfangreicher Verarbeitung besonderer Datenkategorien oder systematischer Bewertung von Personen.

Was ChatGPT nicht für Sie entscheiden darf

Ein gut formulierter Text kann fachlich falsch oder unvollständig sein. Prüfen Sie deshalb Aussagen zu Bedarf, Produkt, Vertragsbedingungen und nächstem Schritt, bevor sie in die Beratung oder Kundenkommunikation einfließen. Beratungsdokumentation, Bedarfsermittlung und Produktauswahl sind keine Aufgaben, die eine KI eigenständig anstelle der fachkundigen Person erledigt.

Besondere Vorsicht gilt bei Bewertungen und Ablehnungen. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung kann unter Art. 22 DSGVO fallen. Automatisiertes Scoring oder die automatische Ablehnung eines Versicherungsantrags sind deshalb keine bloßen Textaufgaben. Lassen Sie solche Entscheidungen nicht allein von ChatGPT treffen.

Die menschliche Endkontrolle sollte erkennbar mehr sein als ein kurzer Blick auf die Rechtschreibung. Stimmt der Sachverhalt? Ist die Aussage durch die Unterlagen gedeckt? Fehlen Einschränkungen oder wichtige Rückfragen? Erst danach sollte ein Entwurf verwendet werden.

Wenn doch Daten im falschen Tool gelandet sind

Ein versehentlich eingefügter Kundentext sollte nicht als kleine Panne abgetan werden. Halten Sie fest, was eingegeben wurde, welches Tool betroffen ist und wann der Vorfall bekannt wurde. Klären Sie den weiteren Umgang nach Ihren internen Datenschutzprozessen.

Bei einer Datenschutzverletzung kann eine Meldung an die zuständige Aufsichtsbehörde erforderlich sein. Besteht ein Risiko für die Rechte und Freiheiten natürlicher Personen, gilt nach Art. 33 DSGVO grundsätzlich eine Frist von 72 Stunden ab Kenntnis. Bei voraussichtlich hohem Risiko kann nach Art. 34 DSGVO zusätzlich eine unverzügliche Benachrichtigung der betroffenen Personen nötig sein. Ob diese Voraussetzungen vorliegen, muss anhand des konkreten Vorfalls geprüft werden.

Denken Sie auch an den laufenden Betrieb: Eine Auskunft nach Art. 15 DSGVO ist grundsätzlich innerhalb eines Monats zu beantworten. Bei Komplexität ist eine Verlängerung um bis zu zwei weitere Monate möglich, wenn die betroffene Person innerhalb des ersten Monats darüber informiert wird. Auch Löschfragen müssen sich anhand der tatsächlichen Datenflüsse beantworten lassen. Gesetzliche Aufbewahrungspflichten können einer Löschung entgegenstehen.

Wie VERSOLUT dabei hilft

Der Bedarf im Maklerbüro ist oft konkret: Leads im Blick behalten, Post aus dem BiPRO-Postkorb zuordnen und E-Mails bearbeiten. VERSOLUT ist KI-Software für Versicherungsmakler und setzt an solchen Arbeitsabläufen an. Dazu gehören ein KI-Watchdog für Leads, die automatische BiPRO-Postkorb-Zuordnung, eine E-Mail-KI und die Sprachassistentin Lucy.

Das kann eine sinnvolle Alternative zur spontanen Eingabe echter Vorgänge in ein allgemeines Chatfenster sein: Statt Kundendaten für jede Aufgabe in einen frei formulierten Prompt zu kopieren, können Sie prüfen, ob eine dafür vorgesehene Maklerlösung den jeweiligen Ablauf unterstützt. VERSOLUT ist DSGVO-konform und trainiert nicht auf Kundendaten. Auch bei einer spezialisierten Lösung bleiben Ihre eigenen Pflichten wichtig. Prüfen Sie den konkreten Einsatz, die benötigten Daten, die vertragliche Ausgestaltung und die menschliche Kontrolle.

Die wichtigste Regel bleibt unabhängig vom Tool gleich: Allgemeine Aufgaben können Sie ohne Kundendaten vorbereiten. Echte Kundenfälle gehören nur in ausdrücklich geprüfte und freigegebene Abläufe.

Häufige Fragen

Dürfen Versicherungsmakler ChatGPT verwenden?

Ja, grundsätzlich als Arbeitsmittel, etwa für allgemeine Texte und vollständig fiktive Beispiele. Personenbezogene oder vertrauliche Daten dürfen nicht ungeprüft eingegeben werden.

Reicht es, im Prompt den Kundennamen zu entfernen?

Nein. Auch eine Kombination aus Alter, Beruf, Ort, Datum oder Versicherer kann eine Person erkennbar machen. Pseudonymisierte Daten bleiben personenbezogen.

Darf ich Gesundheitsdaten in ChatGPT eingeben?

Nicht im ungeprüften Standardbetrieb. Für die Verarbeitung sind eine Rechtsgrundlage nach Art. 6 DSGVO und zusätzlich eine einschlägige Ausnahme nach Art. 9 Abs. 2 DSGVO erforderlich. Auch die weiteren Datenschutzpflichten müssen erfüllt sein.

Macht ein Enterprise-Angebot die Verarbeitung von Kundendaten automatisch zulässig?

Nein. Der konkrete Vertrag, die Anbieterrolle, Datenflüsse, Speicher- und Löschfristen, Einstellungen sowie Rechtsgrundlage und Transparenz müssen geprüft werden.

Darf ChatGPT Kundenantworten selbstständig versenden oder Anträge ablehnen?

Kundenbezogene Ausgaben benötigen eine fachkundige Endkontrolle. Ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung können zudem unter Art. 22 DSGVO fallen.

Quellen

Zum Magazin · VERSOLUT Startseite