Datenleck bei der Universa Versicherung: Kundendaten durch KI-Crawler abgegriffen

Bei den Versicherungsgesellschaften der uniVersa (Lebensversicherung a. G., Krankenversicherung a. G. und Allgemeine Versicherung AG) ist es zu einem IT-Sicherheitsvorfall gekommen. Die betroffenen Kundinnen und Kunden werden seit dem 20. Juli 2026 schriftlich informiert. Ursache war eine IT-Umstellung, bei der eine Sicherheitseinstellung auf einem Server vorübergehend fehlte. Dabei wurden personenbezogene Daten durch einen automatisierten Web-Crawler des US-amerikanischen KI-Anbieters OpenAI abgerufen. Betroffen sind unter anderem Namen, Anschriften, Vertragsdaten und teilweise Bankdaten.

Datenleck bei der Universa Versicherung – Was ist passiert?

Laut Universa fehlte am 7. Juli 2026 im Rahmen einer IT-Umstellung für wenige Stunden eine Sicherheitseinstellung auf einem einzelnen Server. Dadurch war der Zugriff auf die dort gespeicherten Daten technisch möglich. Der Vorfall wurde laut Unternehmensangaben im Rahmen interner Sicherheitskontrollen entdeckt. Der unerwünschte Zugriff auf den betroffenen Server wurde daraufhin abgeschaltet.

In diesem Zeitraum wurden die Daten durch einen automatisierten Web-Crawler abgerufen. Betreiber des Crawlers war laut dem Kundenschreiben der KI-Anbieter OpenAI, L.L.C. Die Universa hat OpenAI eigenen Angaben zufolge aufgefordert, die abgerufenen Daten nicht zu verwenden und vollständig zu löschen.

Welche Daten sind betroffen?

Nach dem Informationsschreiben der Universa können je nach Vertrag folgende Datenkategorien betroffen sein:

• allgemeine personenbezogene Daten wie Name, Anschrift, Geburtsdatum, Geschlecht, Beruf, Telefonnummer und E-Mail-Adresse,
• Bankverbindungsdaten wie Kontoinhaber und IBAN,
• Vertragsdaten wie Versicherungsnummer, Tarif und Versicherungssumme,
• bei Kfz-Versicherungen zusätzlich Fahrzeugdaten wie Kennzeichen und Herstellernummer,
• bei Schadenversicherungen: Schadendaten wie Schadennummer, Schadenursache und Schadenhöhe.

Betroffen sein können auch Daten mitversicherter Personen sowie abweichender Kontoinhaber. Besondere Kategorien personenbezogener Daten – etwa Gesundheitsdaten – sowie Zugangsdaten wie Passwörter sind nach Angaben der Universa nicht betroffen.

Wer ist betroffen?

Betroffen sind Kundinnen und Kunden der uniVersa-Gesellschaften, deren Vertrags- und Stammdaten auf dem betroffenen Server gespeichert waren. Die genaue Zahl der Betroffenen steht aktuell noch nicht fest, auch nach Auskunft der Aufsichtsbehörde. Wer ein Informationsschreiben der uniVersa erhalten hat, sollte davon ausgehen, dass seine Daten Teil des Vorfalls sind.

Welche rechtlichen Möglichkeiten haben Betroffene?

Ein Datenleck stellt regelmäßig eine Pflichtverletzung der verantwortlichen Stelle dar. Verantwortliche müssen personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen schützen (Art. 32 DSGVO – Sicherheit der Verarbeitung). Auf ein Verschulden oder einen gezielten kriminellen Angriff kommt es für einen Anspruch nach Art. 82 DSGVO nicht an: Auch eine versehentliche Offenlegung kann Ansprüche auslösen. Wir prüfen kostenfrei, ob und in welcher Höhe Ansprüche bestehen.

1. Auskunft: Nach Art. 15 DSGVO haben Betroffene das Recht zu erfahren, ob und in welchem Umfang sie von dem Datenleck betroffen sind.
2. Immaterieller Schaden: Nach Art. 82 DSGVO ist ein finanzieller Schaden nicht erforderlich; auch ein immaterieller Schaden – also ein Nachteil ohne unmittelbaren Geldwert – genügt. Nach der Rechtsprechung des Bundesgerichtshofs (Urteil vom 18. November 2024, Az. VI ZR 10/24) kann bereits der bloße Verlust der Kontrolle über die eigenen Daten einen ersatzfähigen immateriellen Schaden begründen.
3. Feststellungsantrag: Mit einem Feststellungsantrag lässt sich gerichtlich klären, dass die verantwortliche Stelle auch für Schäden haftet, die erst künftig aus dem Datenleck entstehen.
4. Unterlassung und Widerspruch: Betroffene können der weiteren Verarbeitung ihrer Daten widersprechen und Unterlassung verlangen.

Kostenfreie Ersteinschätzung vom Anwalt

Wir vertreten insbesondere rechtsschutzversicherte Verbraucherinnen und Verbraucher und setzen ihren Anspruch auf Entschädigung durch. Auf Wunsch holen wir die Deckungszusage der Rechtsschutzversicherung ein und übernehmen den weiteren Schriftverkehr mit der Versicherung.

Jetzt unverbindliche und kostenfreie Prüfung anfordern

Sie haben Fragen? Rufen Sie uns an unter 0711 9 30 81 10 oder schreiben Sie uns über unser Kontaktformular. Weitere Informationen finden Sie auf unserer Themenseite Datenleck Schadensersatz.