Rechtsanwalt & Fachanwalt für gewerblichen Rechtsschutz
T (+49) 040 / 7344 086-0
.png)
Rechtsanwältin & Expertin für IT-Recht und Datenschutz
T (+49) 040 / 7344 086-0
Rechtsanwältin & Expertin für IT-Recht, Vertragsrecht und Datenschutz
T (+49) 040 / 7344 086-0
Blog News
Beim uniVersa-Datenleck konnte ein automatisierter Web-Crawler von OpenAI während einer vorübergehenden Fehlkonfiguration auf personenbezogene Daten von Kunden zugreifen. Betroffen waren nach Angaben des Versicherers unter anderem Namen, Anschriften und Vertragsdaten sowie teilweise Bankverbindungen. Der Datenschutzvorfall wirft insbesondere Fragen nach den Anforderungen der DSGVO, möglichen Auskunftsrechten und einem Schadensersatzanspruch nach Art. 82 DSGVO auf. Wir erklären, wie es zu dem Datenabruf kam, welche Daten betroffen waren und welche rechtlichen Möglichkeiten betroffene uniVersa-Kunden jetzt prüfen können.
Nach Angaben der uniVersa war am 7. Juli 2026 im Zuge einer IT-Umstellung ein einzelner Server für mehrere Stunden nicht ausreichend gegen Zugriffe aus dem Internet geschützt.
In diesem Zeitraum griff ein automatisierter Web-Crawler von OpenAI auf den Server zu und rief Daten ab. Betroffen waren die uniVersa Lebensversicherung a. G., die uniVersa Krankenversicherung a. G. und die uniVersa Allgemeine Versicherung AG. Der Vorfall fiel bei internen Sicherheitskontrollen auf.
Die uniVersa ist eine traditionsreiche Versicherungsgruppe mit Sitz in Nürnberg. Sowohl die uniVersa Krankenversicherung a. G. als auch die uniVersa Lebensversicherung a. G. sind als Versicherungsvereine auf Gegenseitigkeit organisiert. Die uniVersa Krankenversicherung a. G. und die uniVersa Lebensversicherung a. G. sind als Versicherungsvereine auf Gegenseitigkeit organisiert. Die Rechtsform ermöglichst eine weitgehend unabhängige Ausrichtung auf die Interessen der versicherten Mitglieder. Daneben gehört die uniVersa Allgemeine Versicherung AG zur Unternehmensgruppe.
Die Wurzeln der Gruppe reichen bis ins Jahr 1843 zurück und damit zählt uniVersa zu den ältesten privaten Krankenversicherern Deutschlands.
Das Angebot umfasst unter anderem private Kranken- und Krankenzusatzversicherungen, Pflege- und Unfallversicherungen sowie Lebens-, Risiko- und Berufsunfähigkeitsversicherungen. Darüber hinaus bietet uniVersa verschiedene Möglichkeiten zur Altersvorsorge und weitere Sachversicherungen an, etwa Haftpflicht-, Hausrat-, Wohngebäude- und Kfz-Versicherungen. Der Versicherer richtet sich vornehmlich an private Haushalte sowie kleinere und mittlere Unternehmen.
Nach Angaben der uniVersa konnten insbesondere Namen, Anschriften und Vertragsdaten wie Versicherungsnummern und Tarifinformationen betroffen sein. Je nach Vertrag kamen weitere Stamm-, Kontakt-, Fahrzeug- oder Schadendaten hinzu. Bei einem Teil der Betroffenen waren zudem Bankverbindungsdaten wie IBAN und BIC gespeichert. Gesundheits-, Login- und Kreditkartendaten sollen dagegen nicht zu den abgerufenen Daten gehört haben.
Wer von uniVersa ein Informationsschreiben zu dem Vorfall erhalten hat, dürfte nach dem derzeitigen Informationsstand zu dem betroffenen Personenkreis gehören. Welche konkreten personenbezogenen Daten im jeweiligen Einzelfall erfasst wurden, sollte gegebenenfalls gesondert geklärt werden.
Das Unternehmen informierte die zuständigen Datenschutz- und Aufsichtsbehörden und leitete die Benachrichtigung der betroffenen Personen ein. Zu den zuständigen Datenschutzaufsichtsbehörden zählt insbesondere das Bayerische Landesamt für Datenschutzaufsicht (BayLDA).
Parallel nahm uniVersa Kontakt zu OpenAI auf. Nach Angaben der uniVersa habe OpenAI bestätigt, die abgerufenen Daten nicht für das Training seiner KI-Modelle verwendet zu haben und sie auch künftig nicht dafür zu verwenden. Öffentlich ungeklärt blieb zunächst, ob und wann sämtliche abgerufenen Daten vollständig gelöscht wurden.
Wer von dem IT-Sicherheitsvorfall betroffen ist, kann verschiedene Rechte aus der DSGVO geltend machen. Verantwortliche Unternehmen müssen personenbezogene Daten nach Art. 32 DSGVO durch geeignete technische und organisatorische Maßnahmen (TOM) schützen. Die Maßnahmen müssen unter Berücksichtigung des jeweiligen Risikos ein angemessenes Schutzniveau gewährleisten.
Kommt es zu einer unbefugten Offenlegung oder einem unberechtigten Zugriff, kann deshalb insbesondere zu prüfen sein, ob die Anforderungen aus Artikel 32 DSGVO eingehalten wurden.
Betroffene können nach Art. 15 DSGVO insbesondere Auskunft darüber verlangen, welche personenbezogenen Daten verarbeitet werden und gegenüber welchen Empfängern sie offengelegt wurden. Je nach Sachlage können darüber hinaus weitere Informationen zum Umgang mit dem Datenschutzvorfall verlangt oder anderweitig angefordert werden.
Daneben kann ein Anspruch auf Schadensersatz nach Art. 82 DSGVO in Betracht kommen. Nach dem Urteil des Bundesgerichtshofs vom 18. November 2024 (Az. VI ZR 10/24) kann bereits ein nachgewiesener – auch kurzzeitiger – Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden darstellen. Ob ein Anspruch besteht, hängt jedoch insbesondere von einem DSGVO-Verstoß, einem Schaden und dem Kausalzusammenhang im konkreten Einzelfall ab.
Je nach konkreter Verarbeitung, Rechtsgrundlage und fortbestehendem Risiko können daneben weitere Betroffenenrechte oder zivilrechtliche Ansprüche in Betracht kommen. Dazu können insbesondere Berichtigung, Löschung oder Einschränkung der Verarbeitung sowie – unter den jeweiligen Voraussetzungen – Widerspruchs-, Feststellungs- oder Unterlassungsbegehren gehören.
Auch der Abruf personenbezogener Daten durch einen automatisierten Web-Crawler wirft datenschutzrechtliche Fragen auf. Beim Web Scraping sind insbesondere Rechtsgrundlage, Zweckbindung und Datenminimierung zu beachten. Auch der Europäische Datenschutzausschuss (EDPB) beschäftigt sich mit den datenschutzrechtlichen Anforderungen an Web Scraping im Zusammenhang mit generativer KI. Je nach Verarbeitung können technische Schutzmaßnahmen sinnvoll oder erforderlich sein, um nicht benötigte oder besonders geschützte personenbezogene Daten bereits bei der Erhebung auszuschließen.
SBS LEGAL berät Mandanten im Datenschutzrecht zu Datenschutzverletzungen, Auskunftsansprüchen und möglichen Schadensersatzansprüchen nach der DSGVO. Auch bei einem Datenleck wie dem Datenschutzvorfall bei uniVersa prüfen wir, welche Rechte im konkreten Einzelfall bestehen und welche weiteren Schritte sinnvoll sind.
Wer von einem Datenschutzvorfall betroffen ist, sollte zunächst klären, welche personenbezogenen Daten tatsächlich betroffen sind und welche Folgen sich daraus ergeben können. SBS LEGAL unterstützt Privatpersonen und Unternehmen bei der rechtlichen Einordnung von Datenschutzverletzungen, bei Auskunftsersuchen nach der DSGVO sowie bei der Prüfung und Durchsetzung möglicher Ansprüche. Dabei berücksichtigen wir sowohl die konkrete Datenverarbeitung als auch die aktuelle Rechtsprechung zu Kontrollverlust und immateriellem Schadensersatz.