Ein Mitarbeiter eines Buchhaltungsbüros lässt seinen Laptop im Zug liegen, darauf die Lohnabrechnungsdaten von zweihundert Kunden. Ein Webshop verschickt seinen Newsletter mit einer falschen Einstellung, sodass die E-Mail-Adressen aller Empfänger sichtbar sind. Die Assistentin einer Arztpraxis übergibt Befunde einem anderen Patienten mit ähnlichem Namen. Das sind keine Hackerangriffe, und doch sind es alles Datenschutzvorfälle, und jeder von ihnen setzt dieselbe Kostentreppe in Gang: Sachverständiger, Jurist, Meldung, Benachrichtigung, Behördenverfahren, Ansprüche der Betroffenen – und am Ende womöglich ein Bußgeld. Als Makler sehe ich, dass KMU die Cyberversicherung mit Erpressungssoftware (Ransomware) gleichsetzen und vom behördlichen Bußgeld entweder glauben, es sei selbstverständlich gedeckt, oder, es sei von vornherein ausgeschlossen. Beides stimmt nicht. Dieser Artikel geht die Kosten eines Vorfalls der Reihe nach durch und zeigt, welche Deckung für welche Stufe der Treppe gilt – und wo die Frage des Bußgeldes steht.
- Die Kosten eines Datenschutzvorfalls beginnen nicht mit dem Bußgeld: Meldung und Benachrichtigung nach Art. 33–34 DSGVO, IT- und Rechtsexperten, das Behördenverfahren und die Schadenersatzansprüche der Betroffenen nach Art. 82 kosten schon vor dem Bußgeld Geld – dafür ist die Cyber- oder Datenschutz-Haftpflichtversicherung gedacht.
- Ob behördliche Bußgelder versicherbar sind, ist rechtlich nicht eindeutig: Auf dem ungarischen Markt gibt es Bedingungen, die auch das Bußgeld übernehmen, typischerweise aber nur mit der Klausel „soweit und sofern gesetzlich zulässig“, mit Sublimit und unter Ausschluss vorsätzlicher Rechtsverstöße – andere Bedingungen schließen Bußgelder aus; diese Zeile ist der Police zu entnehmen.
- Die allgemeine und die Berufshaftpflichtversicherung schließen Datenschutzschäden oft aus, und die Rechtsschutzversicherung deckt die Kosten des Behördenverfahrens nur, wenn sich ihre Bedingungen darauf erstrecken – es lohnt sich, die drei Policen nebeneinanderzulegen, bevor Sie sich auf eine davon verlassen.
Die Kostentreppe eines Vorfalls
Nach Art. 33 der Datenschutz-Grundverordnung (DSGVO) meldet der Verantwortliche den Vorfall unverzüglich und möglichst binnen 72 Stunden, nachdem er davon Kenntnis erlangt hat, der Aufsichtsbehörde – in Ungarn der Nationalen Behörde für Datenschutz und Informationsfreiheit (NAIH) –, es sei denn, der Vorfall führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Nach Art. 34 müssen bei voraussichtlich hohem Risiko auch die Betroffenen benachrichtigt werden. Schon hier kommt Geld ins Spiel: Wer stellt fest, was passiert ist und wen es betrifft (IT-forensische Untersuchung), wer formuliert Meldung und Benachrichtigung (Jurist), wie erreicht man zweihundert oder zwanzigtausend Menschen (Brief, E-Mail, Kundenservice)? Danach kann das Behördenverfahren folgen, in dem das Unternehmen Stellung nehmen, Unterlagen vorlegen und gegebenenfalls einen Rechtsbeistand bezahlen muss. Nach Art. 82 hat jede Person, der wegen eines Verstoßes gegen die Datenschutzvorschriften ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder den Auftragsverarbeiter – bei einem großen Kundenkreis sind das viele kleine Ansprüche, bei einer Arztpraxis wenige schwerwiegende. Und erst ganz oben auf der Treppe steht das Bußgeld: nach Art. 83 bei schwereren Verstößen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist), bei weniger schweren bis zu 10 Millionen Euro oder 2 %. In der ungarischen Praxis sind die gegen KMU verhängten Beträge deutlich niedriger, aber auch 2026 berichteten die Nachrichten über Bußgelder von mehreren zehn Millionen Forint – und bei einem KMU kosten die unteren Stufen der Treppe zusammen oft mehr als das Bußgeld selbst.
Ist das Bußgeld versicherbar?
Das ist der am häufigsten gefragte und am wenigsten eindeutige Punkt. Ein allgemeiner Grundsatz des Versicherungsrechts lautet, dass die Folgen vorsätzlicher Rechtsverstöße nicht versicherbar sind, und es ist umstritten, ob eine behördliche Sanktion – deren Zweck gerade die Bestrafung des Rechtsverletzers ist – von einer Versicherung übernommen werden kann, ohne ihren Zweck zu verlieren. Eine ausdrückliche ungarische Regelung – ob verbietend oder erlaubend – gibt es meines Wissens dazu nicht, deshalb formulieren die ungarischen Bedingungen vorsichtig. Auf dem Markt gibt es eine Datenschutz-Haftpflichtversicherung, die sich laut Produktbeschreibung auch auf behördliche Bußgelder erstreckt; eine solche Deckung funktioniert nach den Bedingungen typischerweise nur mit der Klausel „soweit und sofern das Gesetz dies zulässt“, mit einem gesonderten Sublimit und unter Ausschluss bewusster, wiederholter oder trotz behördlicher Aufforderung fortgesetzter Verstöße. Die Cyberversicherung anderer Versicherer schließt das Bußgeld schlicht aus oder übernimmt nur die Rechtskosten des Behördenverfahrens, nicht das Bußgeld. Die praktische Konsequenz: Ist dem Unternehmen eine Bußgelddeckung wichtig, muss es sie wörtlich in der Police finden, zusammen mit Sublimit und Ausschlüssen – eine allgemeine Zeile „Kosten behördlicher Verfahren“ ist nicht dasselbe. Und selbst Bedingungen, die das Bußgeld übernehmen, bieten nicht das, was die meisten erhoffen: Die Strafe für vorsätzlich falsche Datenverarbeitung zahlt keine von ihnen.
Welche Deckung gilt für welche Stufe?
Die Cyberversicherung arbeitet in zwei Richtungen: für den Eigenschaden des Unternehmens (Vorfallbewältigung, Forensik, Wiederherstellung, Betriebsunterbrechung, Erpressung) und für Schäden, die Dritten entstehen. Die Datenschutztreppe ist die zweite Richtung: die Kosten der Benachrichtigung der Betroffenen, die Rechtskosten im Behördenverfahren, die Schadenersatz- und Schmerzensgeldansprüche (sérelemdíj) der Betroffenen, bei einem Teil der Bedingungen das Bußgeld. Als eigenständiges Produkt gibt es auch eine DSGVO- oder Datenschutz-Haftpflichtversicherung, die nur diese zweite Richtung deckt, nicht aber die Wiederherstellung der eigenen Systeme – das kann dort genügen, wo es viele Daten, aber wenig Systeme gibt. Die allgemeine Haftpflichtversicherung gilt dagegen für Sach- und Personenschäden, Datenschutzschäden schließen die ungarischen Bedingungen typischerweise aus; und bei der Berufshaftpflichtversicherung (Buchhalter, Rechtsanwalt, Arzt, Berater) ist je nach Versicherer unterschiedlich, ob das Abfließen von Kundendaten unter den beruflichen Fehler fällt oder gesondert ausgeschlossen ist. Die Rechtsschutzversicherung bezahlt den eigenen Rechtsschutz des Unternehmens – Anwalt, Sachverständigen, Verfahrensgebühren –, ob aber das behördliche Datenschutzverfahren eingeschlossen ist, ist eine Frage der Bedingungen; mehrere ungarische Bedingungswerke decken Verwaltungsverfahren nur eng oder gar nicht. Bei einem Vorfall lohnt es sich also, die Seiten von drei Policen nebeneinanderzulegen und darauf zu achten, wo es Lücken und wo es Überschneidungen gibt – nicht darauf, welche die „bessere“ ist.
Nicht nur Hacker: was die Bedingungen verlangen
Die Beispiele oben sind „analoge“ Vorfälle, und die Bedingungen achten auch auf diese. Die ungarischen Cyber- und Datenschutzdeckungen schreiben typischerweise vor oder prüfen zumindest per Fragebogen, ob mobile Geräte verschlüsselt sind, ob es eine Zugriffsverwaltung und Protokollierung gibt, ob die Mitarbeiter geschult wurden und ob ein schriftliches Verfahren zur Vorfallbewältigung existiert. Der Verlust eines unverschlüsselten Laptops ist bei einem Teil der Bedingungen von vornherein ausgeschlossen, anderswo kann der Versicherer leistungsfrei werden, wenn eine beim Abschluss zugesagte Maßnahme fehlte – die Beweislast liegt bei ihm, aber der Streit lässt sich vermeiden. Die Antworten im Fragebogen unterliegen der Anzeigepflicht: Was beim Abschluss nicht stimmt, kann sich im Schadenfall rächen. Wichtig ist auch der zeitliche Aufbau der Deckung: Haftpflichtartige Deckungen knüpfen typischerweise an den Zeitpunkt der Anspruchserhebung an, deshalb gelten sie für Vorfälle vor dem Abschluss nur, wenn die Bedingungen eine Rückwärtsdeckung vorsehen – das sollte beim Abschluss geklärt werden. Die im Artikel zum Homeoffice beschriebene Gerätegrenze ist hier auch eine Datengrenze: Für die Daten auf dem zu Hause genutzten Firmenlaptop haftet das Unternehmen, ganz gleich, wo er verloren ging.
Was sollten Sie jetzt tun?
Schreiben Sie auf, welche personenbezogenen Daten Sie verarbeiten, wo Sie sie speichern und wer darauf zugreifen kann – dieses Datenverzeichnis ist die Grundlage der DSGVO-Konformität, und danach fragt auch der Fragebogen des Versicherers. Erstellen Sie einen kurzen Plan für den Umgang mit Vorfällen: wer entscheidet, wen man anruft, wie die Meldung binnen 72 Stunden abläuft; die Informationen der NAIH und des Europäischen Datenschutzausschusses für KMU sind dafür gute Ausgangspunkte. Verschlüsseln Sie mobile Geräte – das ist die einfachste Schadenverhütung. Nehmen Sie Ihre bestehenden Policen zur Hand und prüfen Sie, ob Datenschutzschäden, Behördenverfahren und Bußgelder darin ausgeschlossen, mit einem Sublimit versehen oder gedeckt sind. Wenn Sie Angebote einholen, vergleichen Sie die Bußgeldzeile, das Limit für Benachrichtigungskosten, die Behandlung der Rechtskosten und die Rückwärtsdeckung, nicht nur den Beitrag. Wenn Sie sich mit dieser Liste an mich wenden, erstelle ich den Vergleich der Angebote und erledige den Papierkram – die Entscheidung liegt bei Ihnen.
Eine Frage, zugeschnitten auf Ihre eigene Datenverarbeitung und Ihre Policen? Vereinbaren Sie eine kostenlose 20-minütige Beratung →
Quellen
- Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO, englisch GDPR), Art. 33, 34, 82 und 83
- Europäischer Datenschutzausschuss – Datenschutzverletzungen (Informationen für KMU)
- Gesetz Nr. CXII von 2011 über das Recht auf informationelle Selbstbestimmung und die Informationsfreiheit (Infotv.) – Verfahren der NAIH
- Colonnade Biztosító – Die wachsende Zahl behördlicher Bußgelder zeigt, dass eine DSGVO-Versicherung nötig ist (Versicherermeldung vom Mai 2019; erwähnt eine auch Bußgelder umfassende Deckung, nicht aber den Bedingungstext und die Einschränkungen)
- hvg.hu – NAIH verhängt gegen Mediaworks ein Bußgeld von 50 Millionen Forint (Mai 2026, Beispiel für die Größenordnung von Bußgeldern)
