Cyberversicherung und DSGVO:
Sind Bußgelder und Datenschutzverletzungen versichert?

Kurz gesagt: Eine Cyberversicherung übernimmt nach einer Datenschutzverletzung die Kosten, die zuerst anfallen: Forensik, Anwälte für die Meldung an die Aufsichtsbehörde, die Benachrichtigung der Betroffenen und die Abwehr von Schadenersatzansprüchen. Bußgelder nach der DSGVO sind in den geprüften Bedingungswerken nur „soweit rechtlich versicherbar“ enthalten. Ob ein Bußgeld in Deutschland überhaupt versichert werden darf, ist rechtlich umstritten. Verlass dich deshalb nicht auf die Bußgelddeckung, sondern auf die Kostenübernahme rund um die Panne.

Wichtig vorab: Ich habe für diesen Artikel Bedingungswerke und Produktunterlagen ausgewertet, nicht deinen Versicherungsschein. Verbindlich ist, was in deinem Vertrag steht. Manche Leistungen gelten nur, wenn du sie als Baustein vereinbarst. Stand der Auswertung ist der 9. November 2026, Beiträge ergeben sich nur aus einer Berechnung auf dein Risiko.

Das Wichtigste auf einen Blick

• Eine Datenschutzverletzung musst du unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde melden (Art. 33 Abs. 1 DSGVO), außer sie führt voraussichtlich zu keinem Risiko für die Betroffenen.
• Betroffene können materiellen und immateriellen Schadenersatz verlangen (Art. 82 Abs. 1 DSGVO). Diese Ansprüche deckt der Haftpflichtteil der Cyberversicherung.
• Forensik, Rechtsberatung zur Meldepflicht, Benachrichtigungskosten und Krisenkommunikation sind in den geprüften Tarifen enthalten, Soforthilfe und Forensik meist ohne Selbstbehalt.
• Bußgelder: in den Bedingungen von Markel und VHV „soweit rechtlich versicherbar“, bei HDI die Abwehrkosten im behördlichen Verfahren. Keine Police verspricht die Zahlung eines Bußgelds ohne diesen Vorbehalt.
• Vertragsstrafen sind ausgeschlossen, mit Ausnahme von Vertragsstrafen für Kartendaten (PCI).
• Fehlende Updates, Backups oder Zugangsschutz können die Leistung kürzen oder entfallen lassen.

Was eine Cyberversicherung bei einem DSGVO-Verstoß abdeckt

Eine Cyberversicherung ist eine eigene Police, die die eigenen Kosten eines Betriebs nach einem Angriff auf seine IT oder nach einer Datenpanne ersetzt und zusätzlich Haftpflichtansprüche Dritter übernimmt, deren Daten betroffen sind. Ein DSGVO-Verstoß ist aus Sicht der Police kein eigener Schadenfall, sondern die Folge einer Datenschutzverletzung: Jemand ist in deine Systeme eingedrungen, ein Mitarbeiter hat eine Kundenliste an den falschen Empfänger geschickt, ein Laptop ohne Verschlüsselung ist weg. Von diesem Moment an laufen drei Kostenblöcke an.

• Eigene Kosten: IT-Forensik, die feststellt, welche Daten betroffen sind, Wiederherstellung von Daten und Systemen, Anwälte für die Melde- und Informationspflichten, Benachrichtigung der Betroffenen, Krisenkommunikation.
• Ansprüche Dritter: Schadenersatz von Betroffenen, auch für immaterielle Schäden, und die Abwehr unberechtigter Forderungen.
• Behördliche Verfahren: Anwaltskosten im Bußgeldverfahren und je Tarif das Bußgeld selbst, soweit das rechtlich zulässig ist.

Die ersten beiden Blöcke sind in den geprüften Bedingungswerken von HDI, Markel und VHV enthalten. Der dritte Block ist der Punkt, an dem die Tarife vorsichtig formulieren, und das aus gutem Grund.

Welche Bußgelder eine Cyberversicherung übernimmt und welche nicht

Art. 83 DSGVO erlaubt Bußgelder bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Für kleine Betriebe sind die tatsächlichen Bußgelder in der Regel deutlich niedriger, aber die Frage bleibt: Zahlt die Versicherung?

Die Bedingungswerke antworten mit einem Vorbehalt. Markel Pro Cyber nennt Bußgelder wegen Datenschutzverletzung „soweit rechtlich versicherbar“ (A.6 Ziff. 2.2), VHV CyberProtect ebenso (A4-3). HDI übernimmt die Abwehrkosten im behördlichen Verfahren (Ziff. 6.3). Der Vorbehalt steht dort, weil in Deutschland umstritten ist, ob ein Bußgeld überhaupt versichert werden darf: Ein Bußgeld soll das Unternehmen treffen, nicht ein Versicherer. Eine höchstrichterliche Entscheidung zur Versicherbarkeit von DSGVO-Bußgeldern gibt es nach meinem Stand nicht. Deshalb gilt:

• Die Anwaltskosten im behördlichen Verfahren nennt HDI ausdrücklich (Ziff. 6.3). Bei Markel und VHV prüfst du im Bedingungswerk, ob sie zur Bußgelddeckung gehören.
• Das Bußgeld selbst zahlt der Versicherer nur, wenn das im Einzelfall rechtlich zulässig ist. Das entscheidet nicht die Police, sondern die Rechtslage zum Zeitpunkt des Falls.
• Vorsätzlich herbeigeführte Schäden sind in Haftpflicht- und Cyberwerken regelmäßig ausgeschlossen.

Wer eine Cyberversicherung wegen der Bußgelddeckung abschließt, kauft also eine Hoffnung. Wer sie wegen Forensik, Meldepflicht, Benachrichtigung und Haftpflicht abschließt, kauft eine klare Leistung.

Benachrichtigungskosten nach einer Datenschutzverletzung

Art. 34 DSGVO verpflichtet dich, die betroffenen Personen unverzüglich zu benachrichtigen, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten mit sich bringt. Bei einem Online-Shop mit 20.000 Kunden heißt das: 20.000 Briefe oder Mails mit juristisch sauberem Inhalt, dazu ein Callcenter oder ein Postfach für Rückfragen, oft eine Pressemitteilung. Diese Kosten sind der Grund, warum eine Datenpanne auch ohne Bußgeld teuer wird.

In den geprüften Bedingungswerken gehören die Benachrichtigungskosten typischerweise zu den Eigenkosten nach einer Datenschutzverletzung: Anwälte prüfen die Melde- und Informationspflichten, Dienstleister übernehmen den Versand, Krisenberater die Kommunikation. Die Soforthilfe und Krisenhotline laufen rund um die Uhr und in den geprüften Werken ohne Selbstbehalt und ohne Anrechnung auf die Versicherungssumme (HDI Teil B 1.3.1, Markel A.1 Ziff. 2.1, VHV A2-4).

Kostenarten nach einer Datenpanne im Überblick

Die Fundstellen beziehen sich auf HDI Cyberversicherung Firmen und Freie Berufe (06/2024), Markel Pro Cyber (AVB 2021) und VHV CyberProtect 3.0 (12/2020). Andere Tarife können abweichen.

Was die Cyberversicherung von dir verlangt

Die Police greift nur, wenn du deine Obliegenheiten erfüllst. In den geprüften Werken sind das regelmäßige Updates, funktionierende Backups und ein Zugangsschutz mit sicheren Passwörtern oder Zwei-Faktor-Anmeldung (HDI Ziff. 15 und 18, VHV A5-1.1, Markel H Ziff. 6). Wer diese Pflichten verletzt, riskiert eine Kürzung oder den Verlust der Leistung. Dazu kommt die Pflicht, den Versicherer sofort zu informieren: Die Krisenhotline ist nicht nur Service, sondern der Weg, über den der Versicherer den Schaden steuert.

Ein zweiter Punkt betrifft die Abgrenzung zur IT-Haftpflicht. Der Eigenschaden-Baustein einer IT- oder Berufshaftpflicht deckt einen Teil der eigenen Kosten nach einer Datenpanne, enthält aber regelmäßig keine Betriebsunterbrechung und keine Erpressung. Wie Vertragsstrafen und DSGVO-Schäden in der IT-Haftpflicht geregelt sind, steht im Artikel Vertragsstrafen und DSGVO-Schäden in der IT-Haftpflicht.

Woran du erkennst, ob dein Tarif Datenschutzverletzungen sauber abdeckt

Die Produktseiten der Versicherer nennen fast alle „DSGVO-Schutz“. Was dahinter steckt, steht im Bedingungswerk. Diese fünf Punkte prüfe ich in jedem Angebot, bevor ich es empfehle:

1. Auslöser: Greift die Police nur bei einem Angriff von außen oder auch bei einem Bedienfehler, etwa einer Mail an den falschen Empfänger oder einem verlorenen Datenträger? Viele Datenpannen entstehen ohne Hacker.
2. Eigenkosten ohne Selbstbehalt: Laufen Soforthilfe und Forensik ohne Selbstbehalt und ohne Anrechnung auf die Versicherungssumme? In den geprüften Werken ja, bei anderen Tarifen nicht zwingend.
3. Benachrichtigungskosten: Sind Versand, Callcenter und Krisenkommunikation ausdrücklich genannt oder nur „Kosten der Rechtsberatung“? Der Unterschied kann bei vielen Betroffenen hoch ausfallen.
4. Bußgeldklausel: Steht dort „soweit rechtlich versicherbar“ oder nur „Abwehrkosten“? Beides ist in Ordnung, wenn du weißt, was du kaufst. Ein Tarif, der Bußgelder ohne jeden Vorbehalt verspricht, sollte dich misstrauisch machen.
5. Auftragsverarbeitung: Bist du als Dienstleister mitversichert, wenn der Schaden bei Daten deiner Kunden entsteht, die du im Auftrag verarbeitest? Für Agenturen und IT-Dienstleister ist das der Normalfall, nicht die Ausnahme.

Die Antworten auf diese Fragen stehen nicht im Angebot, sondern in den Bedingungen. Wenn du mir dein Angebot schickst, lese ich die Klauseln gegen und sage dir, wo der Tarif schweigt.

Für wen das relevant ist

• Online-Händler: Kundendaten, Zahlungsdaten und ein Shop, der bei einem Angriff stillsteht. Hier zählen Benachrichtigungskosten, PCI-Vertragsstrafen und die Betriebsunterbrechung.
• Agenturen und IT-Dienstleister: Du verarbeitest Daten deiner Kunden als Auftragsverarbeiter. Bei einer Panne haftest du den Betroffenen als Auftragsverarbeiter neben deinem Kunden (Art. 82 Abs. 1 DSGVO). Mehr dazu unter Cyberversicherung für Freelancer.
• Praxen, Kanzleien, Berater: Gesundheitsdaten gehören zu den besonderen Kategorien nach Art. 9 DSGVO, Finanz- und Zahlungsdaten gelten als besonders schadensgeneigt. In beiden Fällen ist das hohe Risiko und damit die Benachrichtigungspflicht schnell erreicht.

Nächster Schritt

Ich prüfe mit dir, welche Daten du verarbeitest, wie lange dein Betrieb ohne IT auskommt und welcher Tarif die Melde- und Benachrichtigungskosten ohne Selbstbehalt trägt. Den Rahmen findest du auf der Seite Cyberversicherung, die Zahlen zu den Folgekosten im Artikel Was ein Cyberangriff ein Unternehmen wirklich kostet. Die Bußgelddeckung ist dabei ein Nebenpunkt, die Kostenübernahme in den ersten 72 Stunden der Kern.

Häufige Fragen