Zum Hauptinhalt
RMAI

Datenschutzerklärung

Informationen bei direkter Datenerhebung (Art. 13 DSGVO)

Verantwortlicher (Art. 13 Abs. 1 lit. a, b DSGVO)

Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO:

RMA Insurance GmbH (wird noch ergänzt) (wird noch ergänzt)

Datenschutzbeauftragter (Art. 37 DSGVO):

(wird noch ergänzt) E-Mail: (wird noch ergänzt)

Zwecke und Rechtsgrundlagen der Verarbeitung (Art. 13 Abs. 1 lit. c, d DSGVO)

Wir verarbeiten Ihre personenbezogenen Daten zu folgenden Zwecken:

  • Vermittlung von Versicherungsverträgen (§ 34d GewO) — Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vertragliche Pflichten) bzw. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung bei Anbahnung).
  • Beratung und Bedarfsermittlung (§ 61 VVG) — Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
  • Erfüllung gesetzlicher Pflichten (IDD-Dokumentation, GwG-Identifizierung, HGB-/AO-Aufbewahrung) — Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO.
  • Gesundheitsdaten bei PKV/BU/Pflege — Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (separate Einwilligung).

Empfänger der Daten (Art. 13 Abs. 1 lit. e DSGVO)

  • Versicherungsunternehmen, mit denen ein Vertragsabschluss vermittelt wird.
  • Pool-Dienstleister (z. B. VEMA) für Transaktions- und Tarifabwicklung.
  • Auftragsverarbeiter (Hosting, Mailversand, KI-Gateway) — siehe Auflistung im Verarbeitungsverzeichnis nach Art. 30 DSGVO, Einsicht auf Anfrage.

Drittlandübermittlung (Art. 13 Abs. 1 lit. f DSGVO)

Personenbezogene Daten werden ausschließlich in der Europäischen Union (EU) bzw. dem Europäischen Wirtschaftsraum (EWR) verarbeitet — Hosting im Rechenzentrum Hamburg. Beim Einsatz des KI-Gateways (Anthropic) kann eine Drittlandübermittlung in die USA erfolgen; in diesem Fall sind die Garantien nach Art. 46 DSGVO durch EU-Standardvertragsklauseln (SCC) 2021 abgesichert, ergänzt um eine Transfer-Impact-Analyse (TIA) und technische Pseudonymisierung der Inhalte. Details zu Subprozessoren, Drittlandsstandorten und Garantieinstrumenten sind im Verarbeitungsverzeichnis (Art. 30 DSGVO) dokumentiert und auf Anfrage einsehbar.

Speicherdauer (Art. 13 Abs. 2 lit. a DSGVO)

  • IDD-Dokumentation, Beratungsprotokolle, Vertrags-Korrespondenz: 10 Jahre (Überlagerung § 18 VersVermV / § 257 HGB / § 147 AO).
  • GwG-Identifizierung: 5 Jahre ab Geschäftsbeendigung (§ 8 Abs. 4 GwG).
  • Stammdaten ohne Vertragsbezug: bis Widerruf der Einwilligung oder Wegfall des Bearbeitungszwecks.

Ihre Rechte (Art. 13 Abs. 2 lit. b, c, d DSGVO)

Sie haben jederzeit das Recht auf:

  • Auskunft (Art. 15 DSGVO) — POST /portal/api/v1/gdpr/access-request.
  • Berichtigung (Art. 16 DSGVO).
  • Löschung (Art. 17 DSGVO) — POST /portal/api/v1/gdpr/erasure-request. Achtung: gesetzliche Aufbewahrungspflichten (IDD/HGB/AO) können einer sofortigen Löschung entgegenstehen.
  • Einschränkung der Verarbeitung (Art. 18 DSGVO).
  • Datenübertragbarkeit (Art. 20 DSGVO) — POST /portal/api/v1/gdpr/portability-request.
  • Widerspruch (Art. 21 DSGVO).
  • Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) — wirkt für die Zukunft.
  • Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO) — zuständig ist die Datenschutzaufsicht Ihres Bundeslandes.

Pflicht zur Bereitstellung (Art. 13 Abs. 2 lit. e DSGVO)

Die Bereitstellung Ihrer Daten ist gesetzlich (IDD, GwG) bzw. vertraglich (Vermittlungs-/Beratungsvertrag) erforderlich. Ohne die Daten kann die Vermittlung nicht durchgeführt werden.

Automatisierte Entscheidung (Art. 13 Abs. 2 lit. f, Art. 22 DSGVO)

Es findet keine ausschließlich automatisierte Entscheidungsfindung mit rechtlicher Wirkung statt. KI-Vorschläge werden ausschliesslich von einem zuständigen Versicherungsmakler (Human-in-the-Loop, Ampel-Governance §1.16.4) freigegeben. Erläuterungen zu KI-gestützten Entscheidungen liefert GET /api/v1/gdpr/automated-decision/{event_id} (Art. 22 Transparenz).

Informationen bei mittelbarer Datenerhebung (Art. 14 DSGVO)

Verantwortlicher (Art. 14 Abs. 1 lit. a, b DSGVO)

Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO:

RMA Insurance GmbH (wird noch ergänzt) (wird noch ergänzt)

Datenschutzbeauftragter (Art. 37 DSGVO):

(wird noch ergänzt) E-Mail: (wird noch ergänzt)

Herkunft der Daten (Art. 14 Abs. 2 lit. f DSGVO)

Ihre Daten wurden aus einer der folgenden Quellen übernommen — die konkrete Quelle wird Ihnen in der Erstinformations-Mail mitgeteilt und ist im Feld source_of_data der zugehörigen Disclosure-Aufzeichnung dokumentiert:

  • BiPRO-Bestandsübernahme: Ein Versicherungsunternehmen hat uns Ihre Vertragsdaten gemäß BiPRO-Norm 430 übermittelt, weil wir als Versicherungsmakler die Betreuung dieses Vertrags übernommen haben.
  • CSV-Migration aus Maklerbestand: Ein vorheriger Versicherungsmakler hat seinen Bestand auf uns übertragen (mit Ihrer ursprünglich erteilten Maklerermächtigung).
  • Inbound-Mail mit Drittpersonen-Erwähnung: Ein anderer Mandant oder Versicherer hat in einer Korrespondenz Ihre personenbezogenen Daten erwähnt.

Kategorien der verarbeiteten Daten (Art. 14 Abs. 1 lit. d DSGVO)

  • Stammdaten (Name, Anschrift, Geburtsdatum, Kontaktdaten).
  • Vertragsdaten (Versicherungssparte, Versicherungsnummer, Vertragsbeginn/-ende, Beiträge, Versicherungssumme).
  • Schadenshistorie (sofern für die laufende Betreuung erforderlich).
  • Gesundheitsdaten (nur bei PKV/BU/Pflege, separate Einwilligung).

Zwecke und Rechtsgrundlagen (Art. 14 Abs. 1 lit. c DSGVO)

  • Übernahme und Fortführung der Vermittlungstätigkeit — Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vertragliche Pflichten aus dem Vermittlervertrag).
  • Erfüllung gesetzlicher Pflichten (IDD-Dokumentation, GwG, HGB/AO) — Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO.
  • Berechtigtes Interesse an Bestandsverwaltung — Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Abwägung dokumentiert in gdpr_processing_records).

Empfänger der Daten (Art. 14 Abs. 1 lit. e DSGVO)

  • Versicherungsunternehmen, mit denen ein bereits bestehender Vertrag fortgeführt oder neu vermittelt wird.
  • Pool-Dienstleister (z. B. VEMA) für Transaktions- und Tarifabwicklung.
  • Auftragsverarbeiter (Hosting, Mailversand, KI-Gateway) — siehe Auflistung im Verarbeitungsverzeichnis nach Art. 30 DSGVO, Einsicht auf Anfrage.

Drittlandübermittlung (Art. 14 Abs. 1 lit. f DSGVO)

Personenbezogene Daten werden ausschließlich in der Europäischen Union (EU) bzw. dem Europäischen Wirtschaftsraum (EWR) verarbeitet — Hosting im Rechenzentrum Hamburg. Beim Einsatz des KI-Gateways (Anthropic) kann eine Drittlandübermittlung in die USA erfolgen; in diesem Fall sind die Garantien nach Art. 46 DSGVO durch EU-Standardvertragsklauseln (SCC) 2021 abgesichert, ergänzt um eine Transfer-Impact-Analyse (TIA) und technische Pseudonymisierung der Inhalte. Details zu Subprozessoren, Drittlandsstandorten und Garantieinstrumenten sind im Verarbeitungsverzeichnis (Art. 30 DSGVO) dokumentiert und auf Anfrage einsehbar.

Speicherdauer (Art. 14 Abs. 2 lit. a DSGVO)

  • IDD-Dokumentation, Beratungsprotokolle, Vertrags-Korrespondenz: 10 Jahre (Überlagerung § 18 VersVermV / § 257 HGB / § 147 AO).
  • GwG-Identifizierung: 5 Jahre ab Geschäftsbeendigung (§ 8 Abs. 4 GwG).
  • Stammdaten ohne Vertragsbezug: bis Widerruf der Einwilligung oder Wegfall des Bearbeitungszwecks.

Ihre Rechte (Art. 14 Abs. 2 lit. c, d DSGVO)

Sie haben jederzeit das Recht auf:

  • Auskunft (Art. 15 DSGVO) — POST /portal/api/v1/gdpr/access-request.
  • Berichtigung (Art. 16 DSGVO).
  • Löschung (Art. 17 DSGVO) — POST /portal/api/v1/gdpr/erasure-request. Achtung: gesetzliche Aufbewahrungspflichten (IDD/HGB/AO) können einer sofortigen Löschung entgegenstehen.
  • Einschränkung der Verarbeitung (Art. 18 DSGVO).
  • Datenübertragbarkeit (Art. 20 DSGVO) — POST /portal/api/v1/gdpr/portability-request.
  • Widerspruch (Art. 21 DSGVO) — besonders relevant bei Verarbeitung auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO).
  • Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) — wirkt für die Zukunft.
  • Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO) — zuständig ist die Datenschutzaufsicht Ihres Bundeslandes.

Ausnahmen Art. 14 Abs. 5 DSGVO

In Einzelfällen (unverhältnismäßiger Aufwand bei Massen-Imports älterer Bestände) können wir von der individuellen Informationspflicht absehen. Solche Ausnahmen werden im internen Audit-Log mit dem Subtyp art14_exemption dokumentiert und sind nachvollziehbar. Sie können die Quelle Ihrer Daten dennoch jederzeit per Auskunftsersuchen (Art. 15 DSGVO) abfragen.

Frist der nachträglichen Information (Art. 14 Abs. 3 DSGVO)

Spätestens innerhalb eines Monats nach Aufnahme der Daten erhalten Sie diese Information per Mail. Wenn die Daten zur Kontaktaufnahme mit Ihnen verwendet werden, erfolgt die Information spätestens mit der ersten Mitteilung.

Automatisierte Entscheidung (Art. 14 Abs. 2 lit. g DSGVO)

Es findet keine ausschließlich automatisierte Entscheidungsfindung mit rechtlicher Wirkung statt — analog Art. 13-Hinweis.