UK-GDPR-Datenresidenz für Versicherer — erklärt

Der Brexit hat zwei getrennte Datenschutzregime geschaffen: UK GDPR und EU GDPR. Für britische Versicherer, die grenzüberschreitend zeichnen, Schäden mit EU-Bürgern bearbeiten oder globale Cloud-Anbieter nutzen, entsteht eine operative Komplexität, die viele unterschätzen.

Die Post-Brexit-Landschaft: UK GDPR und EU GDPR

UK GDPR ist im Wesentlichen eine Kopie der EU GDPR zum Brexit-Zeitpunkt, aber beide Regime divergieren nun. Das britische ICO interpretiert bestimmte Bestimmungen anders als kontinentale Behörden, und EU und UK unterhalten jeweils eigene Angemessenheitsregime.

Was „Datenresidenz“ unter UK GDPR bedeutet

Residenz ist nicht nur „wo die Server stehen“. Es ist, wo Daten verarbeitet werden, wer zugreifen kann und unter welche Jurisdiktion rechtliche Anfragen fallen. Für die Versicherung deckt das ab: Primärinfrastruktur, Backups, Replikation, Logs, KI-Verarbeitungsumgebungen, Anbieter-Mitarbeiterzugriff.

Aktuelles UK-Angemessenheitsregime

UK unterhält eigene Liste angemessener Länder. EU/EWR ist angemessen für ausgehende UK-Transfers. EU→UK-Angemessenheit wurde verlängert, unterliegt aber Überprüfung — ein Regierungswechsel oder regulatorische Divergenz könnte sie wieder in Frage stellen.

Die Controller-Prozessor-Beziehung für Schadenplattformen

Ihre Schadenplattform ist fast immer Prozessor, Sie Controller. Das bedeutet: Datenverarbeitungsvertrag mit Artikel-28-Anforderungen; dokumentierte Weisungen; Anbieter-Audits; Datenschutzverletzungs-Meldung binnen 72h; Unterstützung bei DSAR und Löschung.

Besondere Kategorien in Gesundheits- und Arbeitsunfall-Schäden

Gesundheits-, biometrische und Strafregisterdaten fallen unter Artikel 9 mit verschärften Anforderungen. Für Gesundheits- und Unfallportfolios bedeutet das strengere Zugriffssegregation, detailliertere Audit-Logs, dokumentierte explizite Rechtsgrundlage pro Verarbeitungskategorie.

Bewertung eines Cloud-Anbieters

• Primärresidenz — UK- oder EU-Region (nicht „Multi-Region“ als Default)
• Architektonische Segregation — nicht nur ein Häkchen
• Personal mit Datenzugriff — Nationalitäten, Standorte, Kontrollen
• Unterauftragsverarbeiter — komplette Kette dokumentiert
• Backup-Aufbewahrungspolitik und -dauer
• Log-Politik — welche Logs, wo, wie lange

Siehe die EU-Souveränitäts-Seite und die UK-Compliance-Seite.

Fazit

Datenresidenz ist kein IT-Problem, sondern ein operatives Compliance-Problem. Versicherer, die es als Anbieter-Häkchen behandeln, entdecken bei der ersten echten ICO-Untersuchung, wie granular die Frage ist.