Ergebnis der Bafin-Prüfung Debeka muss beim Datenschutz nachbessern

Die Bafin erklärte gegenüber der Debeka: „Insgesamt ist festzustellen, dass die konkrete Umsetzung Ihrer Vorgaben zur Geschäftsorganisation Lücken und Mängel aufweist, die zwar die festgestellten Problemfälle nicht beabsichtigt, ihnen aber auch nicht im gebotenen Maße vorgebeugt oder sie gegebenenfalls verhindert hat.“ So kritisiert die Aufsichtsbehörde insbesondere, dass „die Herkunft personenbezogener Daten nicht immer nachvollzogen und deren Rechtmäßigkeit nicht ausnahmslos dargetan werden kann“.

Unterstützung durch Tippgeber nicht bemängelt

Verdachtsfälle von Verstößen im Umgang mit personenbezogenen Daten seien nicht gründlich und systematisch aufgearbeitet worden, die Mitarbeiter seien nicht ausreichend zum Thema Datenschutz sensibilisiert und insbesondere deren Vertriebstätigkeit werde nicht ausreichend kontrolliert. Die Einschätzung der Bafin stützt sich auf eigene Ermittlungen und auf Untersuchungsergebnisse der unabhängigen Wirtschaftsprüfungsgesellschaft KPMG.

Der Vertrieb, der in Teilen durch sogenannte Tippgeber unterstützt wird, wurde von der Bafin nicht infrage gestellt. Aufsichtsrechtliche Sanktionen wurden nicht verhängt.

Debeka-Chef: „Wir werden konsequent handeln“

Debeka-Chef Uwe Laue dazu: „Wir haben bereits Ende Oktober 2013 selbstkritisch eingeräumt, dass früher die notwendige Sensibilität im Umgang mit dem Datenschutz fehlte und daher neue Verhaltensrichtlinien für unsere Mitarbeiter eingeführt. Auch wenn die Bafin das Vertriebssystem der Debeka nicht als solches beanstandet und keine Sanktionen ausspricht – ihre Aufforderung, eine Vielzahl von Maßnahmen und Strukturveränderungen an unserer Geschäftsorganisation vorzunehmen, ist klar und deutlich. Wir haben gesagt, wenn es erforderlich ist, werden wir konsequent handeln. Es ist erforderlich, und deshalb handeln wir konsequent. Jeder Einzelfall ist ein Einzelfall zu viel.“

Viele der von der Bafin geforderten Maßnahmen habe die Debeka in den vergangenen Monaten bereits eingeleitet, so der Versicherer. Dazu gehören:

• Lückenlose Dokumentation: Seit dem 1. April 2014 wird die Herkunft der Daten potenzieller Mitglieder bereits vor der Antragsstellung vom Vermittler verpflichtend und lückenlos dokumentiert. Weiterhin werden neue Mitglieder nach Vertragsabschluss befragt, ob die Versicherungsvermittlung ordnungsgemäß abgelaufen ist.
• Datenschutz: Seit dem 1. Februar 2014 überwachen bundesweit 26 „Beauftragte für Qualitätsmanagement Vertrieb und Datenschutz“ insbesondere die Einhaltung datenschutzrechtlicher Bestimmungen vor Ort. Hinsichtlich ihrer Tätigkeit im Bereich des Datenschutzes sind sie direkt dem Konzerndatenschutzbeauftragten unterstellt.
• Verpflichtende Schulungen: Die Debeka führt regelmäßige und verpflichtende Schulungen für Vertriebsmitarbeiter durch, um sie für den Schutz personenbezogener Daten zu sensibilisieren. Auch diese Aufgabe wird von den 26 „Beauftragten für Qualitätsmanagement Vertrieb und Datenschutz“ umgesetzt.
• Vertriebsprozess auf dem Prüfstand: Ab sofort werden die mit der Mitgliedergewinnung verbundenen Prozesse vollständig analysiert und dort, wo Schwachstellen bestehen, optimiert.
• Ausbau der Compliance-Funktion: Die Debeka wird ihre Compliance-Funktion zeitnah organisatorisch von der Rechtsabteilung trennen. Außerdem wird sie personell verstärkt. Um die Arbeit zu unterstützen, wird ebenfalls eine permanente „Whistleblower-Hotline“ eingerichtet.
• Revision: Zum 1. Februar 2014 wurde innerhalb der Konzernrevision eine Fraud-Abteilung gegründet, die sich schwerpunktmäßig mit der Aufklärung von Verdachtsfällen hinsichtlich möglicher Mitarbeitermanipulationen beschäftigt.
• Tippgeber-Stopp: Tippgeber spielen nur eine untergeordnete Rolle für die Mitgliederwerbung. Bis zur zweifelsfreien Klärung der Vorwürfe verzichtet die Debeka daher darauf, neue Tippgeber einzusetzen. Gleichzeitig werden die Vertragsverhältnisse mit inaktiven Tippgebern aufgelöst.