KI Software Versicherungsmakler DSGVO: Prüfliste für den Kauf

Eine gute KI-Demo beantwortet noch keine Datenschutzfrage. Diese Prüfliste zeigt, welche Unterlagen und Testfälle Makler vor dem Kauf brauchen.

Herausgeber: VERSOLUT GmbH · Autor: Mirko Braunschweig, Geschäftsführer ·

VERSOLUT ONE – der KI-Assistent im CRM · VERSOLUT

Wer nach „KI Software Versicherungsmakler DSGVO“ sucht, will meist keine weitere Funktionsliste lesen. Entscheidend ist, was mit einer Kundenmail, einem Versicherungsschein oder einer Gesprächsnotiz geschieht. Ebenso wichtig ist die Frage, ob Sie einen KI-Vorschlag prüfen können, bevor daraus eine Nachricht oder eine Änderung in der Akte wird.

Kurzantwort: Prüfen Sie jede KI-Funktion einzeln auf Datenverarbeitung, nachvollziehbare Ergebnisse, menschliche Freigabe und belastbare Protokolle. Lassen Sie sich Unterlagen geben und testen Sie typische Vorgänge aus Ihrem Büro. Eine überzeugende Vorführung allein reicht für die Kaufentscheidung nicht.

KI Software Versicherungsmakler DSGVO: Was zuerst auf den Prüfstand gehört

Beginnen Sie nicht beim Produktnamen, sondern bei den Tätigkeiten. Eine KI, die eine Mail zusammenfasst, verarbeitet andere Eingaben und erzeugt andere Risiken als eine Funktion, die Leads priorisiert oder Vertragsdaten ändert. Schreiben Sie für jede Funktion auf, welche Daten hineingehen, was herauskommt und wer anschließend handelt.

Die EU-KI-Verordnung unterscheidet unter anderem verbotene Praktiken, Hochrisiko-KI und bestimmte Transparenzpflichten. Sie trat am 1. August 2024 in Kraft. Die recherchierte konsolidierte Fassung nennt den 2. August 2026 als allgemeines Geltungsdatum. Das bedeutet nicht, dass jede Maklersoftware Hochrisiko-KI ist. Die Einordnung hängt von Funktion und Einsatz ab und sollte für den konkreten Anwendungsfall dokumentiert werden.

Für Systeme, die direkt mit Menschen interagieren, enthält Artikel 50 grundsätzlich eine Pflicht zur Information über die KI-Interaktion, sofern diese nicht ohnehin offensichtlich ist. Fragen Sie deshalb ausdrücklich nach dem Kundenkontakt: Spricht ein Sprach-Agent selbst mit Interessenten? Antwortet ein Chatbot auf der Website? Oder nutzt nur Ihr Team einen Assistenten im Büro? Die Antwort beeinflusst, welche Transparenzfragen Sie klären müssen.

Eine Funktionskarte statt eines pauschalen KI-Häkchens

Legen Sie pro Funktion eine kurze Karte an:

  • Auslöser: Kommt eine E-Mail an, wird ein BiPRO-Dokument abgerufen oder fragt ein Mitarbeiter etwas im CRM?
  • Eingaben: Welche Kundendaten, Anhänge, Gesprächsinhalte und bisherigen Vorgänge werden verwendet?
  • Ergebnis: Entsteht ein Entwurf, eine Zuordnung, eine Priorität oder eine Datenänderung?
  • Kundenwirkung: Sieht der Kunde das Ergebnis oder bleibt es intern?
  • Kontrolle: Wer kann prüfen, korrigieren, ablehnen und freigeben?
  • Nachweis: Welche Schritte lassen sich später einem Vorgang zuordnen?

Mit dieser Karte können Sie Angebote vergleichen, ohne sich von ähnlichen Begriffen täuschen zu lassen. „KI-gestützte Dokumentenverarbeitung“ sagt noch nicht, ob eine falsche Vertragszuordnung auffällt oder wie sie korrigiert wird.

Datenschutz bei KI-Maklersoftware: Fragen Sie nach dem Datenweg

Beim Datenschutz hilft eine einfache Frage: Wo befindet sich eine konkrete Information zu jedem Zeitpunkt? Verfolgen Sie etwa eine Kundenmail vom Postfach über die KI-Verarbeitung bis zum Antwortentwurf. Fragen Sie auch nach Anhängen, Zwischenergebnissen, Protokollen und Backups. Hosting in Deutschland allein beantwortet noch nicht, ob weitere Dienstleister an der Verarbeitung beteiligt sind.

Fordern Sie ein Datenschutzkonzept mit Datenflüssen, Speicherorten und Unterauftragnehmern an. Klären Sie die Rollen Ihres Betriebs und des Anbieters sowie einen Auftragsverarbeitungsvertrag, soweit eine Verarbeitung im Auftrag stattfindet. Fragen Sie schriftlich, ob Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden und welche Transfermechanismen gegebenenfalls vorgesehen sind.

Besonders genau sollten Sie bei Gesundheitsdaten und anderen sensiblen Angaben hinschauen. Was passiert, wenn ein Interessent einen Arztbericht ungefragt an eine allgemeine Beratungsadresse schickt? Prüfen Sie, ob solche Inhalte vor einer KI-Verarbeitung erkannt und ausgesondert werden. Lassen Sie sich außerdem zeigen, wie Sie Daten berichtigen, löschen, zurückerhalten oder exportieren können. Ob für Ihren konkreten Einsatz eine Datenschutz-Folgenabschätzung erforderlich ist, gehört ebenfalls auf die interne Prüfliste. Eine pauschale Antwort für jedes Maklerbüro wäre hier unangebracht.

Fragen Sie ausdrücklich nach der Trainingsnutzung. „Wir verwenden KI“ ist keine Antwort darauf, ob Eingaben zum Training eines Modells dienen. Trennen Sie in Ihrer Anfrage Kundendaten, Dokumente, Prompts, Ergebnisse und technische Protokolle. Für jede Kategorie brauchen Sie eine verständliche Aussage zu Zweck, Zugriff und Löschung.

In VERSOLUT wird beim Onboarding ein versionierter Auftragsverarbeitungsvertrag geschlossen und als PDF bereitgestellt. Der primäre Datenstandort liegt in Frankfurt. Für Gesundheitsdaten beschreibt die [Sicherheits- und Datenschutzarchitektur](/sicherheit) eine Quarantäne und Schwärzung vor der KI-Verarbeitung. API-Inhalte werden nach den Vereinbarungen mit dem eingesetzten Modellanbieter nicht zum Training verwendet. Auch diese Angaben sollten Sie für Ihren geplanten Einsatz anhand der Unterlagen und eines Testfalls prüfen. Technische Maßnahmen ersetzen keine Prüfung Ihrer eigenen Datenverarbeitung.

Erklärbarkeit: Kann Ihr Team das Ergebnis überprüfen?

Erklärbarkeit heißt im Makleralltag nicht, dass jeder Rechenschritt eines Modells sichtbar sein muss. Sie brauchen genug Kontext, um ein Ergebnis fachlich zu beurteilen. Wird ein Nachtrag einem Vertrag zugeordnet, möchten Sie das Originaldokument öffnen, die maßgeblichen Angaben vergleichen und eine falsche Zuordnung korrigieren können. Wird eine Antwortmail vorgeschlagen, müssen Sie erkennen, welche Anfrage beantwortet wird und ob Termine, Namen und Aussagen stimmen.

Testen Sie bewusst unklare Fälle. Legen Sie etwa zwei ähnlich benannte Kunden an oder verwenden Sie ein Dokument, auf dem die Vertragsnummer schlecht lesbar ist. Fragen Sie den Anbieter, ob das System Unsicherheit kenntlich macht oder lieber rät. Lassen Sie sich vorführen, welche Quellen und Dokumente am Ergebnis hängen. Fragen Sie außerdem, ob Modellversion, Zeitpunkt und relevanter Eingabekontext für eine spätere Prüfung verfügbar sind. Diese Fähigkeiten sollten Sie nicht aus einer allgemeinen Aussage über „nachvollziehbare KI“ ableiten.

Bei Hochrisiko-KI regelt die KI-Verordnung unter anderem Anforderungen an Daten-Governance in Artikel 10 sowie technische Dokumentation in Artikel 11. Daraus folgt keine automatische Pflicht, jede Büroassistenz wie ein Hochrisiko-System zu behandeln. Für die Beschaffung ist eine klare Dokumentation trotzdem nützlich: Sie müssen verstehen, was Sie einsetzen und wo die Grenzen liegen.

Menschliche Kontrolle: Wer darf was freigeben?

Ein Freigabeknopf ist nur dann eine Kontrolle, wenn der Mitarbeiter vorher die nötigen Informationen sieht und tatsächlich eingreifen kann. Fragen Sie nicht nur, ob eine Freigabe vorgesehen ist. Fragen Sie, an welcher Stelle sie greift und ob sich ein fehlerhafter Vorschlag ablehnen oder bearbeiten lässt.

Prüfen Sie mindestens drei Arten von Aktionen getrennt:

  • Externe Kommunikation: Verlässt eine KI-Mail das Postfach erst nach Ihrer Prüfung?
  • Schreibende CRM-Aktionen: Wer bestätigt neue Aufgaben, Termine oder Änderungen an Kundendaten?
  • Kunden- und vertragswirksame Vorgänge: Wer prüft Beratungsunterlagen, Anträge, Vertragsänderungen oder Kündigungen?

Für besonders sensible Abläufe können Sie intern zusätzliche Freigaben oder Stichproben festlegen. Verlangen Sie eine Vorführung der Rollen und Berechtigungen. Testen Sie auch den Abbruch: Was geschieht, wenn ein Mitarbeiter einen Vorschlag verwirft oder die KI-Funktion nicht verfügbar ist?

In VERSOLUT erstellt die E-Mail-KI nach Eingang einer Kundenmail einen Entwurf aus dem CRM-Kontext. Sie prüft vorgeschlagene Termine gegen den verbundenen Beraterkalender. Der Makler liest und korrigiert den Entwurf und gibt den Versand frei. Wer diesen Schritt im eigenen Postfach nachvollziehen möchte, kann die [KI-E-Mail-Assistenten für Versicherungsmakler](/ki-email-assistent-versicherungsmakler) als eigenen Vergleichspunkt betrachten. Auch Lucy ist ein Sprach-Agent und keine Diktierfunktion: Auf eine gesprochene Frage nennt sie beispielsweise Termine aus dem CRM. Soll sie daraufhin einen Termin verschieben oder eine Aufgabe anlegen, bestätigt der Makler die schreibende Aktion zuvor. E-Mails versendet Lucy nicht selbst.

Audit-Logs und interne Kontrollen: Was bleibt vom Vorgang übrig?

Stellen Sie sich eine Beschwerde einige Monate nach einer Beratung vor. Ihr Team muss nachvollziehen, welches Dokument einging, welchen Vorschlag die KI machte und was ein Mitarbeiter daraus übernommen oder geändert hat. Deshalb gehört die Prozesshistorie in die Kaufprüfung, nicht erst in die spätere Einrichtung.

Fragen Sie nach Eingaben, Ausgaben, Nutzer, Zeitpunkt, Änderungen und Freigaben. Lassen Sie sich zeigen, welche dieser Informationen tatsächlich protokolliert werden, wie sie vor nachträglicher Veränderung geschützt sind und ob ein einzelner Vorgang exportiert werden kann. Fragen Sie auch nach Aufbewahrung und Löschung. Ein allgemeines „Wir haben Logs“ belegt noch nicht, dass Sie einen konkreten Kundenfall prüfen können.

Für BiPRO gilt dasselbe. Ein erfolgreicher Abruf sagt wenig darüber aus, ob ein Dokument beim richtigen Kunden und Vertrag landet. Prüfen Sie Abruf, Zuordnung, Korrektur und anschließende Bearbeitung als zusammenhängenden Vorgang. In VERSOLUT werden eingehende BiPRO-Postkorb-Dokumente Kunde, Lead und Vertrag zugeordnet und auf diesen Ebenen angezeigt. Kommt eine Police zu einem offenen Antrag, markiert das System die Antragsprüfung und informiert das Backoffice. Dort wird die Prüfung übernommen, bevor der Vertrag angelegt wird. Die [automatische BiPRO-Postkorb-Zuordnung](/bipro-anbindung) ist damit ein sinnvoller Testfall für Ihren Beschaffungsprozess. Fragen Sie auch hier konkret, welche Zuordnungs- und Freigabeschritte sich exportieren lassen.

Schritt für Schritt: So prüfen Sie zwei Lösungen im selben Test

Nutzen Sie für alle Anbieter dieselben Fälle und halten Sie das Ergebnis schriftlich fest. So vergleichen Sie nicht die beste Präsentation, sondern die Arbeitsschritte, die Ihr Büro täglich braucht.

  • Umfang festlegen: Wählen Sie zwei oder drei Funktionen, etwa E-Mail-Entwürfe, Dokumentenzuordnung und Lead-Priorisierung. Notieren Sie jeweils den gewünschten Nutzen und die unzulässige automatische Aktion.
  • Unterlagen anfordern: Bitten Sie um Systembeschreibung, Einordnung nach der KI-Verordnung, Datenflussbild, AV-Vertrag soweit erforderlich, Unterauftragnehmerliste sowie Lösch-, Export-, Sicherheits- und Vorfallkonzept.
  • Testfälle vorbereiten: Nutzen Sie anonymisierte oder synthetische Vorgänge. Nehmen Sie neben einem einfachen Fall mindestens einen unklaren Fall und einen bewusst falschen Vorschlag auf.
  • Datenweg zeigen lassen: Fragen Sie beim Test konkret nach Speicherort, Modellanbieter, Trainingsnutzung und Umgang mit sensiblen Anhängen.
  • Freigabe auslösen und verweigern: Lassen Sie einen Vorschlag bearbeiten, einen ablehnen und einen freigeben. Kontrollieren Sie, was jeweils in der Kundenakte bleibt.
  • Nachweis abrufen: Verlangen Sie für den Testvorgang die verfügbare Historie und einen Export. Notieren Sie fehlende Angaben, statt sie als vorhanden anzunehmen.
  • Betrieb durchspielen: Fragen Sie nach Änderungen am Modell, Ausfällen, Fehlklassifizierungen und dem Rückweg zum manuellen Prozess.
  • Vertrag und Kosten prüfen: Klären Sie Lizenzumfang, Einrichtung, BiPRO-Leistung, Datenrückgabe und Beendigung schriftlich. Wo kein belegter öffentlicher Anbieterpreis vorliegt, gilt: Preis auf Anfrage.

Praxisbeispiel: Eine Police landet beim falschen Vertrag

Fiktiver Testfall: Sie legen zwei Verträge desselben Kunden mit ähnlichen Bezeichnungen in der Testumgebung an. Danach spielen Sie eine eingehende Police ein. Die KI ordnet sie zunächst dem falschen Vertrag zu.

Jetzt wird die Software interessant. Sieht die Sachbearbeitung das Original? Kann sie die Zuordnung vor der weiteren Bearbeitung ändern? Bleibt erkennbar, welcher Vorschlag von der KI kam und wer ihn korrigiert hat? Und wird eine nachgelagerte Aufgabe beim richtigen Vertrag angezeigt? Dokumentieren Sie diese Antworten. Ein fehlerfreier Standardfall würde Ihnen über die Kontrollmöglichkeiten weit weniger verraten.

Kaufmatrix für KI-Maklersoftware

| Prüffeld | Nachweis oder Test | Warnsignal |

|---|---|---|

| Datenschutz | Datenflüsse, AV-Vertrag soweit erforderlich, Speicherorte, Training und Löschung | Datenweg oder Trainingsnutzung bleibt unklar |

| KI-Einordnung | Beschreibung jeder Funktion und dokumentierte Einschätzung zur KI-Verordnung | Pauschale Einstufung ohne Bezug zum Einsatz |

| Erklärbarkeit | Originalquelle und unklaren Testfall vorführen | Ergebnis lässt sich nicht überprüfen |

| Menschliche Kontrolle | Vorschlag korrigieren, ablehnen und freigeben | Kundenwirkung ohne wirksame Prüfung |

| Auditierbarkeit | Vorgangshistorie und Export im Test zeigen | Nur allgemeine Aussage zu Protokollen |

| Betrieb | Fehler-, Ausfall- und Änderungsprozess beschreiben | Kein sicherer manueller Rückweg |

| Vertrag | Leistungsumfang und Datenrückgabe schriftlich festhalten | Wesentliche Punkte bleiben offen |

Ein Marktüberblick kann die Vorauswahl erleichtern. Für die eigentliche Softwareauswahl ist der [Vergleich gängiger Maklerverwaltungsprogramme](/vergleich/maklerverwaltungsprogramm) der nächste Schritt. Behandeln Sie dort nicht belegte Angaben zu KI, Freigaben oder Hosting als offene Fragen, nicht als Mängel eines Anbieters. Auch ein belegter BiPRO-Webservice bei einem bestimmten Versicherer sagt noch nichts über sämtliche Versicherer und Prozessarten aus.

Häufige Fragen zur Auswahl

Ist jede KI-Maklersoftware Hochrisiko-KI?

Nein, eine pauschale Einstufung ist durch die recherchierten Rechtsquellen nicht belegt. Entscheidend sind die konkrete Funktion und ihr Einsatz. Verlangen Sie eine dokumentierte Einschätzung für die Funktionen, die Sie tatsächlich nutzen möchten.

Reicht ein Auftragsverarbeitungsvertrag für die DSGVO-Prüfung?

Nein. Prüfen Sie zusätzlich Datenflüsse, Zwecke, Unterauftragnehmer, Speicherorte, mögliche Drittlandübermittlungen, Trainingsnutzung sowie Löschung und Export. Ihre eigenen Prozesse und Informationen gegenüber Betroffenen gehören ebenfalls in die Prüfung.

Muss jede KI-Ausgabe erklärt werden können?

Für die Kaufentscheidung sollten Sie zumindest die entscheidenden Eingaben und Originalquellen prüfen können. Welcher rechtliche und technische Nachweis im Einzelfall nötig ist, hängt von der Funktion ab. Testen Sie die Nachvollziehbarkeit deshalb an einem unklaren Vorgang.

Was ist wichtiger: ein Audit-Log oder eine Freigabe?

Beides erfüllt einen anderen Zweck. Die Freigabe hilft, einen Fehler vor einer kundenwirksamen Aktion abzufangen. Die Historie hilft später zu verstehen, was vorgeschlagen, geändert und entschieden wurde.

Wie VERSOLUT dabei hilft

In VERSOLUT können Sie die Prüffälle unmittelbar an Arbeitsabläufen festmachen. Geht eine Kundenmail ein, erstellt die E-Mail-KI einen Entwurf aus dem vorhandenen CRM-Kontext. Sie prüfen Inhalt und Termin und geben erst danach den Versand frei. Kommt ein BiPRO-Dokument an, ordnet das System es den passenden Aktenebenen zu. Bei einer Police zu einem offenen Antrag erhält das Backoffice einen Hinweis zur Antragsprüfung, statt dass die Prüfung übersprungen wird.

Für gesprochene Arbeitsschritte sprechen Sie mit Lucy als Sprach-Agent. Sie kann beispielsweise einen Termin aus dem CRM nennen und eine gewünschte Verschiebung vorbereiten. Vor dem Schreiben bestätigt der Makler die Aktion. Dazu kommen getrennte Rollen, ein Audit-Log für Datenänderungen und ein Datenexport. Prüfen Sie im Test dennoch genau, welche Nachweise für Ihren gewünschten KI-Vorgang verfügbar sind. So treffen Sie Ihre Entscheidung anhand eines bearbeiteten Falls und nicht anhand eines Versprechens.

Häufige Fragen

Ist jede KI-Software für Versicherungsmakler Hochrisiko-KI?

Nein. Die Einordnung nach der EU-KI-Verordnung hängt von der konkreten Funktion und ihrem Einsatz ab. Lassen Sie sich die Einschätzung des Anbieters für Ihre geplanten Funktionen dokumentieren.

Welche Datenschutzunterlagen sollte ich vor dem Kauf anfordern?

Fordern Sie Datenflüsse, Speicherorte, Unterauftragnehmer, Angaben zur Trainingsnutzung sowie Lösch- und Exportkonzepte an. Prüfen Sie einen Auftragsverarbeitungsvertrag, soweit eine Verarbeitung im Auftrag stattfindet.

Wie teste ich die menschliche Kontrolle?

Lassen Sie denselben KI-Vorschlag korrigieren, ablehnen und freigeben. Prüfen Sie jeweils, ob vor einer kundenwirksamen Aktion tatsächlich ein Mitarbeiter eingreift und was anschließend in der Akte nachvollziehbar bleibt.

Was sollte ein Audit-Test zeigen?

Verlangen Sie die Historie eines konkreten Testvorgangs einschließlich verfügbarer Angaben zu Ergebnis, Änderungen, Nutzer und Freigabe. Lassen Sie sich zeigen, ob und wie sich dieser Vorgang exportieren lässt.

Quellen

Zum Magazin · VERSOLUT Startseite