informa HIS bestätigt rechtswidrige Datenspeicherung in „schwarzer Liste“ HIS

Der Betreiber des Hinweis- und Informationssystems (HIS) der deutschen Versicherungswirtschaft, die informa HIS GmbH hat die von uns erneut aufgedeckte rechtswidrige Datenspeicherung bestätigt – und spricht von einem Versehen.

Im Herbst 2014 hatten wir einen Programmierfehler des HIS-Betreibers im Bereich Lebensversicherung aufgedeckt: Durch falsche Löschfristen war eine unbekannte Zahl alter Datensätze noch jahrelang nach der maximal zulässigen Speicherdauer gespeichert geblieben. Einer unserer Kunden bekam damals nicht die gewünschte Berufsunfähigkeitsversicherung.

Der Landesbeauftragte für den Datenschutz des Landes Baden Württemberg sprach damals von einer rechtswidrigen Handlung.

Vor 8 Tagen machten wir publik, dass es noch immer Einträge im HIS gibt, die längst – nämlich vor 4 1/2 Jahren hätten gelöscht werden müssen. Dazu hat der Betreiber nun Stellung genommen.

Stellungnahme der informa HIS GmbH zur rechtswidrigen Datenspeicherung

Im Folgenden dokumentieren wir  – auch auf Wunsch der informa – die Stellungnahme der informa HIS GmbH:

„Sehr geehrter Herr Helberg,

mit Blick auf den Beitrag https://www.helberg.info/blog/2017/05/noch-immer-rechtswidrige-datenspeicherung-in-der-schwarzen-liste-hisder-versicherer/ in Ihrem Versicherungs-Blog haben wir den von Ihnen angesprochenen Fall in Zusammenarbeit mit der zuständigen Versicherung überprüft.

Zunächst möchten wir festhalten, dass es sich um ein – zugegebenermaßen bedauerliches – Versehen handelt. Was genau ist geschehen?

Wir als Betreiber des HIS halten uns an die festgelegten Speicherfristen. Zu der längeren Speicherung der Daten kam es in diesem einen Fall, weil hier nicht erkennbar war, dass es sich um einen zu löschenden Vertrag handelt.

Zum Hintergrund:
Für die Sparte Lebensversicherung gibt es im HIS zwei Datenpools, den Antrags- und den Leistungspool. Bei Neuanträgen können die Versicherer ausschließlich auf die Daten im Antragspool im HIS zurückgreifen.
Zugriff auf den Leistungspool erhält der Versicherer wiederum nur im Leistungsfall. Bei zustande gekommenen Verträgen der Sparte Leben beträgt die Speicherfrist im Antragspool vier Jahre (+ laufendes Kalenderjahr) und im Leistungspool 10 Jahre (taggenau). Bei nicht zustande gekommenen Verträgen beträgt die Speicherfrist im Antragspool ebenso wie im Leistungspool drei Jahre (+ laufendes Kalenderjahr). Weitere Einzelheiten zu den mit den Datenschutzbehörden abgestimmten Speicherfristen können Sie Art. 14 Abs. 7 i.V.m. Abs. 2 der Verhaltensregeln für den Umgang mit personenbezogenen Daten durch die deutsche Versicherungswirtschaft (Code of Conduct) sowie Frage 9 unserer FAQ zum HIS entnehmen.

Bei dem von Ihnen angeführten Fall handelte es sich um einen sogenannten Altfall aus der Migration der Uniwagnis-Datenbank. Die Daten aus dieser Uniwagnis-Datenbank wurden zum Systemstart 2011 in das HIS überführt. Zum Zeitpunkt der Migration wurde noch keine Unterscheidung zwischen zustande gekommenen und nicht zustande gekommenen Verträgen durchgeführt. Im Zuge der Einführung des 2012 verabschiedeten Code of Conduct wurden die Unternehmen aufgefordert, die Daten entsprechend nachzukennzeichnen.

In dem von Ihnen genannten Fall war der Vertrag von dem Unternehmen irrtümlicherweise nicht als „nicht zustande gekommen“ gekennzeichnet, so dass sich die Daten noch im Leistungspool befanden. Im Antragsspool, den die Unternehmen bei Neuabschlüssen von Verträgen einsehen können, war der Eintrag bereits gelöscht.
In Abstimmung mit der zuständigen Versicherung wurde der Eintrag im Leistungspool umgehend gelöscht.

Wir würden es daher begrüßen, wenn Sie auch unsere Sicht des Sachverhalts berücksichtigen und Ihre Blog-Leser entsprechend informieren könnten. Bei Fragen erreichen Sie uns generell gerne weiter über unsere Pressereferentin Frau Nicole Schieler presse@informa.de, Tel. 07221/5040-1130.

Mit freundlichen Grüßen
informa HIS GmbH
Björn Hinrichs
Geschäftsführer“

Diese Selbstauskunft war Stein des Anstoßes:

Eine Eigenauskunft aus dem HIS vom 04.04.2017 mit einem Erschwernis-Eintrag vom 13.03.2008.

Fazit:

Natürlich können Fehler passieren. Auch dem Betreiber einer Auskunftei. Das ändert nur nichts daran, dass hier offensichtlich rechtswidrig Daten 4 1/2 Jahre länger als erlaubt gespeichert wurden. Dafür bestärkt dieser Fall unsere Ansicht, dass im Bereich Lebensversicherung das HIS nichts zu suchen hat. Der Nutzen für die angeschlossenen Lebensversicherer ist fraglich, der Schaden für die Branche durch den Vertrauensverlust ist hingegen mehr als deutlich.

Wie heißt es auf der Startseite der informa zu blumig:

Datenschutz und Transparenz haben beim Auskunftsportal der Versicherungswirtschaft oberste Priorität

Man könnte meinen, der Schutz der Daten sei dem Betreiber der Datei so wichtig, dass er sich gar nicht von ihnen trennen mag…