Sind Vertragsstrafen und DSGVO-Schäden in der IT-Haftpflicht versichert?
Vertragsstrafen, Verzug, Datenschutz und immaterielle Schäden nach Art. 82 DSGVO in acht IT-Haftpflicht-Tarifen, mit Fundstelle. Stand 27.10.2026.
Kurz gesagt: Vertragsstrafen versichern sechs der acht Tarife, die wir ausgewertet haben, nur, wenn du eine Geheimhaltungs- oder Datenschutzpflicht verletzt. AXA versichert Vertragsstrafen, wenn ein Versicherungsfall die Strafe auslöst, HDI regelt sie nicht. Bei Datenschutzverstößen und immateriellen Schäden nach Art. 82 DSGVO sind die Unterschiede ebenso groß: Ausdrücklich nennen immaterielle Schäden ERGO, HDI, Zurich und AXA, Hiscox nur, soweit sie aus einem versicherten Vermögensschaden folgen.
Wichtig vorab: Wir haben die Bedingungswerke der Versicherer ausgewertet, nicht deinen Versicherungsschein. Verbindlich ist immer, was in deinem Vertrag steht, und manche Leistungen gelten nur, wenn du sie als Baustein vereinbarst. Stand der Auswertung ist der 27. Oktober 2026. Spätere Änderungen der Bedingungen sind hier nicht berücksichtigt.
Das Wichtigste auf einen Blick
- Eine Vertragsstrafe schuldest du, weil du sie im Vertrag vereinbart hast. Die IT-Haftpflicht ist vor allem für die gesetzliche Haftung gedacht und übernimmt vertragliche Erweiterungen nur, soweit die Bedingungen das ausdrücklich vorsehen.
- Für eine Strafe wegen eines verpassten Liefertermins nennt keines der acht Werke ausdrücklich eine Deckung.
- Einen vereinbarten pauschalierten Schadenersatz nennt Markel ausdrücklich als versichert.
- Datenschutzverstöße regeln die Tarife sehr unterschiedlich: Einige nennen sie ausdrücklich als versichert, Markel nennt sie ausdrücklich nur für Schadsoftware und unbefugte Zugriffe über das Internet.
- Den Vergleich aller Kriterien findest du im IT-Haftpflicht-Vergleich.
Die Begriffe
- Vertragsstrafe: ein fester Betrag, den du zahlst, wenn du eine vereinbarte Pflicht verletzt, etwa eine Geheimhaltungspflicht oder einen Termin. Dein Kunde muss dafür keinen Schaden nachweisen.
- Pauschalierter Schadenersatz: eine vereinbarte Pauschale für einen Schaden, der tatsächlich entstanden ist. Er ersetzt den Nachweis der genauen Höhe, nicht den Schaden selbst.
- Immaterieller Schaden: ein Schaden, der sich nicht direkt in Geld ausdrückt, etwa die begründete Sorge einer Person, dass ihre offengelegten Daten missbraucht werden.
Nach Art. 82 Abs. 1 DSGVO kann jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, Schadenersatz vom Verantwortlichen oder vom Auftragsverarbeiter verlangen. Als IT-Dienstleister bist du oft Auftragsverarbeiter deiner Kunden. Als Auftragsverarbeiter haftest du nach Art. 82 Abs. 2 DSGVO nur, wenn du deine besonderen Pflichten als Auftragsverarbeiter verletzt oder gegen die rechtmäßigen Weisungen deines Kunden gehandelt hast.
Vertragsstrafen: die acht Tarife
Die Fundstellen beziehen sich auf die Werke, die im Abschnitt „Quellen und Stand“ stehen. AVB steht für die Versicherungsbedingungen des jeweiligen Tarifs.
| Tarif | Vertragsstrafen | Verzug |
|---|---|---|
| Markel Pro IT | nur bei Verletzung von Geheimhaltung oder Datenschutz (AVB S. 9, A.3.5) | versichert, nicht bei wissentlich falsch eingeschätzten Ressourcen (AVB S. 9, A.3.1; S. 23, E.1.4) |
| Net IT by Hiscox | nur bei Verletzung von Geheimhaltung oder Datenschutz (AVB S. 4, I.2.1.1) | ausdrücklich versichert (AVB S. 4, I.2.1.1) |
| andsafe Vermögensschaden-Haftpflicht IT | nur bei Verletzung von Geheimhaltung oder Datenschutz (AVB S. 26, 2.8.7) | versichert, mit Ausnahmen, etwa bei wissentlich falsch eingeschätzten Ressourcen (AVB S. 25, 2.8.1) |
| VHV Firmenprotect IT | nur bei Verletzung von Geheimhaltung oder Datenschutz, Höchstbetrag laut Versicherungsschein (AVB S. 60, A6-3.1.4) | versichert, nicht bei vorsätzlich oder grob fahrlässig falsch eingeschätzten Ressourcen (AVB S. 59, A6-3.1.1) |
| HDI CLIC | nicht geregelt; vertragliche Erweiterungen sind ausgeschlossen (Grundbaustein S. 3, 3.3) | versichert, nicht bei vorsätzlich oder grob fahrlässig falsch eingeschätzten Ressourcen (Grundbaustein S. 13, 6.11.5) |
| ERGO IT-Unternehmen | nur bei Verletzung von Geheimhaltung oder Datenschutz (AVB S. 25, B 7.10.6) | nur bei Berufsversehen (AVB S. 25, B 7.10.4) |
| Zurich IT Safecare 2021 | nur bei Verletzung vertraglicher Geheimhaltungs-, Vertraulichkeits- und Datenschutzvereinbarungen, bis 500.000 €, höchstens bis zur Summe; sonst ausgeschlossen (AVB S. 5, 1. Teil II.5; S. 6, III.2) | versichert, nicht bei vorsätzlich oder grob fahrlässig falsch eingeschätzten Ressourcen (AVB S. 2, 1. Teil II.2) |
| AXA IT-Police Haftpflicht Kompakt | versichert, wenn der Eintritt eines Versicherungsfalls die Vertragsstrafe auslöst, bis 150.000 € je Fall und Jahr, Selbstbeteiligung 500 € (AVB S. 25, B 2.1.7; Antrag S. 2) | versichert, nicht bei vorsätzlich oder grob fahrlässig falscher Leistungseinschätzung oder Zeitplanung; ein Ausfall bei Dauerleistungen gilt als mangelhafte Erfüllung (AVB S. 24, B 2.1.4) |
Was das für dich bedeutet
Sechs Tarife versichern Vertragsstrafen nur, wenn du eine Geheimhaltungs- oder Datenschutzpflicht verletzt. HDI regelt Vertragsstrafen nicht und schließt vertragliche Erweiterungen der Haftung aus. AXA versichert Vertragsstrafen, wenn ein Versicherungsfall die Strafe auslöst, bis 150.000 € (AVB S. 25, B 2.1.7), schließt Ansprüche aus nicht eingehaltenen Fristen und Terminen aus, soweit sie nicht ausdrücklich versichert sind (AVB S. 25, B 2.2.5); Ansprüche wegen Verzugs sind ausdrücklich versichert (AVB S. 24, B 2.1.4). Für eine Strafe wegen eines verpassten Liefertermins nennt keines der acht Werke ausdrücklich eine Deckung. Anders ist es bei einem vereinbarten pauschalierten Schadenersatz: Den nennt Markel ausdrücklich als versichert (AVB S. 9, A.3.5).
Verzug ist nicht dasselbe wie eine Vertragsstrafe. Liegt dein Projekt hinter dem Plan und entsteht deinem Kunden dadurch ein Schaden, etwa entgangener Umsatz, ist das in den meisten Tarifen versichert, mit Ausnahmen, wenn du Aufwand oder Zeitplan bewusst oder grob fahrlässig falsch eingeschätzt hast. Die vereinbarte Strafe für den verpassten Termin bleibt trotzdem in aller Regel deine Sache.
Datenschutz und DSGVO: die acht Tarife
| Tarif | Datenschutzverstöße | Immaterielle Schäden nach DSGVO |
|---|---|---|
| Markel Pro IT | versichert, wenn Schadsoftware oder ein unbefugter Zugriff Dritter über das Internet sie verursacht (AVB S. 9, A.3.2) | nicht ausdrücklich geregelt; genannt sind Persönlichkeitsrecht und Schmerzensgeld (AVB S. 9, A.3.3) |
| Net IT by Hiscox | versichert: Geheimhaltungs-, Vertraulichkeits- und Datenschutzvereinbarungen (AVB S. 4, I.2.1.1) | soweit sie aus einem versicherten Vermögensschaden folgen (AVB S. 4, I.2.1.1) |
| andsafe Vermögensschaden-Haftpflicht IT | versichert, auch vertragliche Datenschutzregeln (AVB S. 25, 2.8.3) | nicht ausdrücklich geregelt |
| VHV Firmenprotect IT | versichert: Geheimhaltungspflichten, BDSG und DSGVO (AVB S. 60, A6-3.1.6) | nicht ausdrücklich geregelt (AVB S. 60, A6-3.1.6) |
| HDI CLIC | versichert, nicht bei grober Fahrlässigkeit, nicht USA, Kanada, Großbritannien (Grundbaustein S. 12, 6.11.1.1) | ausdrücklich, materiell und immateriell (Grundbaustein S. 12, 6.11.1.1) |
| ERGO IT-Unternehmen | versichert (AVB S. 24, B 7.8) | ausdrücklich, 300.000 € je Fall, 600.000 € je Jahr (AVB S. 24, B 7.8; S. 7, A 3.1.1.1) |
| Zurich IT Safecare 2021 | Vermögensschäden aus gesetzlicher Haftpflicht versichert, Datenschutz nicht als eigene Ziffer genannt; unter der Überschrift Ausschlüsse betreffend USA sind Verletzungen datenschutzrechtlicher Bestimmungen ausgeschlossen (AVB S. 1, 1. Teil I.1; S. 7, III.8.2) | Haftpflichtansprüche wegen immaterieller Schäden ausdrücklich versichert; DSGVO nicht gesondert genannt (AVB S. 2, 1. Teil II.1 b) |
| AXA IT-Police Haftpflicht Kompakt | nicht als eigene Ziffer genannt; versichert sind Vermögensschäden aus Speicherung, Übermittlung und Verarbeitung von Daten, einschließlich immaterieller Schäden (AVB S. 24, B 2.1) | ausdrücklich: der Vermögensschadenteil umfasst immaterielle Schäden; DSGVO nicht gesondert genannt (AVB S. 24, B Kapitel 2 und 2.1) |
Was das für dich bedeutet
ERGO nennt immaterielle Schäden ausdrücklich, mit 300.000 € je Fall und 600.000 € je Jahr. HDI nennt materielle und immaterielle Schäden, schließt aber grobe Fahrlässigkeit aus. Zurich und AXA nennen immaterielle Schäden ausdrücklich als versichert, die DSGVO aber nicht gesondert. Hiscox deckt sie, soweit sie aus einem versicherten Vermögensschaden folgen. Bei andsafe und VHV sind Datenschutzverstöße versichert, immaterielle Schäden aber nicht ausdrücklich geregelt. Markel nennt Datenschutzverstöße ausdrücklich für den Fall, dass Schadsoftware oder ein unbefugter Zugriff über das Internet sie verursacht hat.
Bei Zurich steht unter den Ausschlüssen mit Bezug zu den USA auch die Verletzung datenschutzrechtlicher Bestimmungen (AVB S. 7, 1. Teil III.8.2). Verarbeitest du Daten von Personen in den USA, lies dazu auch unseren Beitrag zur IT-Haftpflicht in den USA.
Beispielszenarien
Die folgenden Fälle sind ausgedacht, keine Fälle aus unserer Beratung. Ob ein konkreter Fall versichert ist, entscheidet der Versicherer nach deinem Vertrag.
- Beispielszenario verspäteter Go-live: Ein Softwarehaus liefert ein Shopsystem sechs Wochen später als vereinbart. Der Kunde verlangt Ersatz für Umsatz, der ihm in dieser Zeit entgangen ist, und beruft sich auf eine Vertragsstrafe. Im Vergleich zählen: Verzug, Vertragsstrafen.
- Beispielszenario Datenleck: Ein Freelancer betreut die Kundendatenbank eines Onlineshops. Durch eine falsch gesetzte Freigabe sind Kundendaten einige Tage öffentlich abrufbar. Der Shop muss Betroffene informieren, einige verlangen Schadenersatz, und der Shop beruft sich auf die Vertragsstrafe im Vertrag zur Auftragsverarbeitung. Im Vergleich zählen: Datenschutzverstöße, Immaterielle Schäden nach DSGVO, Vertragsstrafen.
So gehst du vor
- Vertrag lesen, bevor du unterschreibst: Gibt es eine Vertragsstrafe, wofür gilt sie und in welcher Höhe? Ist es eine Strafe oder ein pauschalierter Schadenersatz?
- Vertrag zur Auftragsverarbeitung prüfen: Dort stehen oft eigene Haftungs- und Strafklauseln.
- Termine realistisch planen: Verzugsschäden sind meist versichert, die vereinbarte Strafe für den Termin meist nicht.
- Tarif wählen: Vier der acht Tarife berechnest du in unserem IT-Haftpflicht-Rechner. Hat dein Kundenvertrag besondere Klauseln, buch dir einen Termin.
Was eine IT-Haftpflicht kostet: Laut unserem Rechner beginnt der Jahresbeitrag in unseren drei Beispielprofilen bei 259,27 € (Freelancer, 50.000 € Umsatz) und reicht bis 725,90 € (Softwarehaus, 1 Mio. € Umsatz), jeweils für den günstigsten verfügbaren Tarif. Die Annahmen stehen im IT-Haftpflicht-Vergleich. Deinen eigenen Beitrag für Markel Pro IT, Net IT by Hiscox, andsafe und VHV Firmenprotect IT rechnest du im IT-Haftpflicht-Rechner aus.
Weiterlesen
- IT-Haftpflicht-Vergleich 2026/2027: alle acht Tarife nach 40 Kriterien
- Versicherungsnachweis für Auftraggeber: Garantien, Vertragsstrafen und Datenschutz im Rahmenvertrag
- Haftpflicht für IT-Dienstleister: Datenschutz und DSGVO im Überblick
- Die Tarife im Einzelnen: Markel Pro IT, Net IT by Hiscox, andsafe Vermögensschaden-Haftpflicht IT, VHV Firmenprotect IT, Zurich IT Safecare 2021, AXA IT-Police Haftpflicht Kompakt
Quellen und Stand
- Markel Pro IT: AVB = Versicherungsbedingungen Markel Pro IT, Stand Version 2 (PDF vom 10.09.2025); Antrag = Antrag mit Beitragstableau, Stand Version 2 (Bedingungen als PDF)
- Net IT by Hiscox: AVB = Versicherungsbedingungen Net IT by Hiscox, Stand 10/2025; Antragsmodell = Antragsmodell IT, Stand 10/2025 (Bedingungen als PDF)
- andsafe Vermögensschaden-Haftpflicht IT: AVB = Kundeninformationen und Versicherungsbedingungen Vermögensschaden-Haftpflicht, Stand 06.2026; BHV-Bedingungen = Betriebshaftpflicht, Stand 06.2026 (Bedingungen als PDF)
- VHV Firmenprotect IT: AVB = Allgemeine Versicherungsbedingungen 107.9002.06, Stand 12.2020; Produktübersicht 107.0031.06 (Bedingungen als PDF)
- HDI CLIC: Grundbaustein = FAH1101:01, Stand 06/2018; IT-Plus = FAH1102:01, Stand 06/2018; Allgemeiner Teil = FAH1000:02, Stand 02/2024, und FAL0010:04, Stand 11/2024; Leistungsübersicht 2022
- ERGO IT-Unternehmen: AVB = Bedingungen IT-Unternehmen, Stand 1.9.2022; Leistungspaket IT; Innovationsgarantie 12/2022
- Zurich IT Safecare 2021: AVB = Versicherungsbedingungen IT Safecare 2021, Ausgabe 05.2026 (212833082 2605); Antrag = Antragsmodell 212820814 2605
- AXA IT-Police Haftpflicht Kompakt: AVB = Bedingungen für die IT-Police Haftpflicht, Teil A Stand 08/2024, Teil B Stand 06/2026, Teil C Stand 08/2024, Seitenzählung des Antragspakets; Antrag = Antragspaket 21013154 (09.26)
- Art. 82 DSGVO, Haftung und Recht auf Schadenersatz
Stand der Auswertung: 27. Oktober 2026.
Häufige Fragen
Sind Vertragsstrafen in der IT-Haftpflicht versichert?
Meist nur eingeschränkt. Sechs der acht Tarife unseres Vergleichs versichern Vertragsstrafen nur, wenn du eine Geheimhaltungs- oder Datenschutzpflicht verletzt. AXA versichert Vertragsstrafen, wenn ein Versicherungsfall die Strafe auslöst, bis 150.000 €. HDI regelt Vertragsstrafen nicht.
Ist eine Vertragsstrafe für einen verpassten Liefertermin versichert?
Für eine Strafe wegen eines verpassten Liefertermins nennt keines der acht Werke ausdrücklich eine Deckung. Den Schaden, der deinem Kunden durch die Verzögerung entsteht, versichern die meisten Tarife dagegen, mit Ausnahmen bei bewusst oder grob fahrlässig falsch eingeschätztem Aufwand.
Was ist der Unterschied zwischen Vertragsstrafe und pauschaliertem Schadenersatz?
Eine Vertragsstrafe zahlst du bei einer Pflichtverletzung, ohne dass dein Kunde einen Schaden nachweisen muss. Ein pauschalierter Schadenersatz ersetzt einen tatsächlich entstandenen Schaden mit einer vereinbarten Pauschale. Markel nennt den pauschalierten Schadenersatz ausdrücklich als versichert.
Sind immaterielle Schäden nach DSGVO in der IT-Haftpflicht versichert?
Ausdrücklich nennen sie ERGO mit 300.000 € je Fall und 600.000 € je Jahr, HDI, aber nicht bei grober Fahrlässigkeit, sowie Zurich und AXA. Hiscox deckt sie, soweit sie aus einem versicherten Vermögensschaden folgen. Bei Markel, andsafe und VHV sind sie nicht ausdrücklich geregelt.
Sebastian Steinhuber
Geschäftsführer ENV Versicherungsmakler, Berlin. Berät Gründer, Selbstständige und Unternehmen zu betrieblichen und privaten Versicherungen. Versicherungsmakler mit Erlaubnis nach § 34d Abs. 1 GewO, Vermittlerregister D-FAMY-XUHNB-60.
Dieser Artikel ist eine allgemeine Information und ersetzt keine Beratung zu deinem Einzelfall.