Krankenversicherer & Kostenträger · rechtlich geführte Datenschutz- und KI-Governance
Datenschutz & KI-Governance für Krankenversicherer und Kostenträger, rechtlich geführt
Krankenversicherer und Kostenträger verarbeiten täglich besonders schützenswerte Gesundheits- und Leistungsdaten in dichten Datenflüssen zwischen KVG- und VVG-Geschäft, Leistungserbringern und Rückversicherern. Wo Sie KI in Leistungsprüfung, Underwriting oder Betrugserkennung einsetzen, treffen nDSG und EU AI Act zusammen. Wir führen diese Themen juristisch, als ein Partner für Ihre Datenschutz- und Compliance-Verantwortlichen.
rechtlich geführt (Dr. iur., CIPP/E)KI-Governance-Tiefe, EU AI Actunabhängig, kein eigenes SOC-Geschäft
Komplexe Datenflüsse, besonders schützenswerte Daten
Kein anderer Akteur im Gesundheitswesen bündelt so viele Gesundheits- und Leistungsdaten so vieler Personen wie ein Krankenversicherer. Genau diese Daten sind nach dem revidierten Datenschutzgesetz besonders schützenswert.
Krankenversicherer und Kostenträger bewegen Daten entlang einer langen Kette: Leistungsabrechnungen und Diagnosecodes von Leistungserbringern, medizinische Unterlagen vom vertrauensärztlichen Dienst, Antrags- und Gesundheitsfragen aus dem Zusatzversicherungsgeschäft, Vergütungs- und Tarifdaten sowie Austausch mit Rückversicherern und Dienstleistern. Diese Flüsse überspannen das Grundversicherungsgeschäft nach Krankenversicherungsgesetz und das Zusatzversicherungsgeschäft nach Versicherungsvertragsgesetz, zwei Welten mit unterschiedlichen Rechtsgrundlagen, Zweckbindungen und Trennungsanforderungen.
Aus dem revidierten Datenschutzgesetz folgen daraus konkrete Pflichten: ein belastbares Verzeichnis der Verarbeitungstätigkeiten über alle Sparten, eine Datenschutz-Folgenabschätzung für risikoreiche Verarbeitungen wie umfangreiche Profilbildung über Gesundheitsdaten, saubere Auftragsverarbeitungsverträge mit IT-, Druck- und Inkassodienstleistern sowie eine Meldung von Datensicherheitsverletzungen an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten. Die strafrechtlichen Bussen bis zu CHF 250'000 richten sich gegen die verantwortliche natürliche Person. Das macht Datenschutz zur Führungsaufgabe.
Eine besondere Schärfe entsteht an der Schnittstelle von Grund- und Zusatzversicherung: Daten, die für die Leistungsabwicklung nach Krankenversicherungsgesetz erhoben wurden, dürfen nicht ungefiltert ins Zusatzversicherungsgeschäft oder ins Underwriting fliessen. Wir prüfen diese Trennungen rechtlich, dokumentieren die Zweckbindung und bringen Ihre Datenflüsse in eine prüffähige, gegenüber dem Beauftragten verteidigbare Form.
KI in Leistungsprüfung, Underwriting und Betrugserkennung
Wo Sie KI auf Gesundheits- und Leistungsdaten anwenden, entsteht ein starker Hochrisiko-Bezug zum EU AI Act, und parallel die Pflicht zur Datenschutz-Folgenabschätzung. Beides gehört in eine gemeinsame Governance.
Algorithmen unterstützen heute die Leistungsprüfung, die Erkennung von Abrechnungsbetrug, die Risikoeinstufung im Underwriting und die Steuerung von Fallmanagement und Kundenkontakt. Sobald solche Systeme über den Zugang zu Versicherungsleistungen oder über die Tarifierung von Personen mitentscheiden, fallen sie im Geltungsbereich des EU AI Act typischerweise in den Hochrisiko-Bereich. Die Hochrisiko-Pflichten greifen ab 2026/2027, doch die Fristen stehen unter Revision (Digital Omnibus) und sind im Einzelfall zu prüfen. Massgeblich ist zudem, ob Sie eine Niederlassung oder Tätigkeit mit EU-Bezug haben.
Eine zentrale Anforderung an Hochrisiko-KI ist eine angemessene menschliche Aufsicht: Eine automatisierte Empfehlung zur Leistungsablehnung darf nicht unbesehen zur Entscheidung werden. Das verbindet sich mit dem Recht der betroffenen Person nach dem revidierten Datenschutzgesetz, bei einer automatisierten Einzelentscheidung mit erheblicher Auswirkung informiert zu werden und eine menschliche Überprüfung verlangen zu können. Wir bringen diese rechtlichen Linien in konkrete Prozesse, Rollen und Dokumentation.
Unsere KI-Governance verbindet beide Welten in einem Vorgehen: Wir inventarisieren Ihre KI-Anwendungsfälle, klassifizieren sie nach Risikostufe, führen für die relevanten Fälle eine Datenschutz-Folgenabschätzung und eine AI-Act-orientierte Bewertung durch, prüfen Datenqualität, Bias-Risiken und Transparenz und legen die menschliche Aufsicht fest. Bei Sprachmodellen, RAG- und Agenten-Setups ergänzt unsere AI-Security-Prüfung die spezifischen technischen Risiken. So entsteht eine Governance, die Behörden, Verwaltungsrat und Aufsicht standhält.
Warum SIDD für Krankenversicherer und Kostenträger
Bei Payern entscheiden Recht und Governance über das Risiko, von der Trennung der Sparten bis zur Aufsicht über KI-Entscheidungen. Genau dort liegt unser Schwerpunkt.
Rechtlich geführt
Ihr Mandat wird von promovierten Juristinnen und Juristen mit CIPP/E geführt, gestützt auf ein eigenes Technik-Team. So beurteilen wir Datenflüsse zwischen Grund- und Zusatzversicherung, Zweckbindungen, Auftragsverarbeitung und Folgenabschätzungen rechtlich und technisch belastbar.
KI-Governance-Tiefe
Mit drei dedizierten KI-Services (AI Officer, AI Governance Check, AI Security) decken wir den EU AI Act für Leistungsprüfung, Underwriting und Betrugserkennung ab, inklusive Datenschutz-Folgenabschätzung und menschlicher Aufsicht. Ein Feld, das rein technische oder rein juristische Anbieter selten zusammen bedienen.
Schweizer Berufsgeheimnis
Wo ein SIDD-Anwalt in anwaltlicher Funktion berät, können Ihre Angaben dem Berufsgeheimnis nach Art. 321 StGB unterliegen, zusätzlich zur vertraglichen Vertraulichkeit. Den genauen Schutzumfang klären wir mandatsbezogen.
DPO und vCISO als Funktion
Wir stellen den Datenschutzberater nach revidiertem Datenschutzgesetz, bei EU-Bezug den Datenschutzbeauftragten nach Artikel 37 DSGVO und auf Wunsch einen vCISO, als externe Funktionen ohne Neueinstellung, eng verzahnt mit Ihren internen Datenschutz- und Sicherheitsverantwortlichen.
Prüffähige Nachweise
Verzeichnis der Verarbeitungstätigkeiten, Folgenabschätzungen, KI-Inventar und Massnahmen pflegen wir in unserer Schweizer Priverion-Plattform. Bei einer Anfrage des Beauftragten oder im Verwaltungsrat liegt der Nachweis als gepflegtes Tooling vor.
Mehrsprachig & unabhängig
Wir beraten in Deutsch, Französisch und Englisch, relevant für die Romandie und EU-Mutterhäuser oder Rückversicherer. Da wir kein eigenes SOC verkaufen, bleiben unsere Empfehlungen unabhängig und am Risiko orientiert, nicht am Verkauf einer Plattform.
Payer-Daten- und KI-Governance, Pakete
Payer Daten- & KI-Governance-Standortbestimmung
Festpreis
Der rechtlich geführte Einstieg: eine fixpreisige Gap-Analyse Ihrer Datenflüsse und KI-Anwendungsfälle über Grund- und Zusatzversicherung, mit board-tauglichem Ergebnisbericht.
Datenflussanalyse über KVG- und VVG-Geschäft, Leistungserbringer und Dienstleister
Prüfung der Trennung und Zweckbindung zwischen Grund- und Zusatzversicherung
Inventar der KI-Anwendungsfälle mit Risikoklassifizierung nach EU AI Act
Prüfung der Pflichten aus dem revidierten Datenschutzgesetz inklusive Folgenabschätzungsbedarf
Priorisierte Massnahmen und board-tauglicher Ergebnisbericht
AI Governance Check
ab CHF 3'900
Wo KI in Leistungsprüfung, Underwriting oder Betrugserkennung im Einsatz ist: die fokussierte Governance-Prüfung eines KI-Anwendungsfalls nach EU AI Act, mit Datenschutz-Folgenabschätzung.
Risikoklassifizierung des Anwendungsfalls und Ableitung der Pflichten
Datenschutz-Folgenabschätzung und Prüfung der menschlichen Aufsicht
Bewertung von Datenqualität, Bias-Risiken und Transparenz gegenüber Versicherten
Konkrete Empfehlungen und Dokumentation für Aufsicht und Verwaltungsrat
Laufende KI-Governance als externe Funktion: Ihre benannte Ansprechperson hält KI-Inventar, Risikoklassifizierung und Folgenabschätzungen aktuell, während sich die Rechtslage weiterentwickelt.
Benannte Ansprechperson für KI-Governance Ihres Hauses
Laufende Pflege von KI-Inventar, Risikoeinstufung und Dokumentation
Begleitung neuer KI-Vorhaben in Leistung, Underwriting und Betrugserkennung
Beobachtung der sich entwickelnden Fristen des EU AI Act im Einzelfall
Externer Datenschutzberater & DPO
auf Anfrage
Die laufende Datenschutzfunktion: Datenschutzberater nach revidiertem Datenschutzgesetz und, bei EU-Bezug, Datenschutzbeauftragter nach Artikel 37 DSGVO, als externe Funktion an der Seite Ihrer internen Verantwortlichen.
Benannte Ansprechperson für Datenschutzfragen über alle Sparten
Laufende Pflege von Verzeichnis, Folgenabschätzungen und Auftragsverarbeitung
Unterstützung bei Auskunftsbegehren und Rechten der Versicherten
Eskalationspfad und erste Hilfe bei einem Datenschutzvorfall
LexCMD
Unser Werkzeug: LexCommand
Warum wir mit LexCommand arbeiten, unserer eigenen Schweizer Rechts-KI
LexCommand ist unsere hauseigene, zitatgestützte Rechts-KI für das Recht der Schweiz, Deutschlands, Österreichs und der EU. Entwickelt und souverän in der Schweiz betrieben von der Priverion GmbH, dem Unternehmen hinter SIDD. Datensouveränität und Belegbarkeit predigen wir nicht nur, wir haben sie in unser Werkzeug eingebaut, ergänzend zur Priverion-Plattform.
01
Souverän in der Schweiz
Die KI läuft selbst gehostet auf Schweizer Infrastruktur, ohne externe Cloud-LLMs. Als unabhängiges Schweizer Unternehmen ohne ausländische Muttergesellschaft verarbeiten wir Ihre Unterlagen in einer Umgebung, die wir kontrollieren.
02
Kein Zitat, kein Anspruch
Jede rechtliche Aussage ist auf eine abrufbare Primärquelle rückführbar, oder sie erscheint nicht. So werden unsere Empfehlungen auditierbar und nachvollziehbar, statt nur plausibel zu klingen.
03
Vom Aufwand zum Urteil
LexCommand übernimmt das Suchen, Abgleichen und Belegen. Das verkürzt Durchlaufzeiten und gibt unseren Senior-Beratenden Zeit für Urteil und Mandantengespräch, bei gleichbleibender Sorgfalt.
04
Drei Disziplinen, ein Bild
Datenschutz, Informationssicherheit und KI-Sicherheit betrachten wir auf einer geteilten Quellenbasis mit Framework-Crosswalk. So sehen Sie überschneidende Pflichten in einem konsolidierten Bild statt in drei isolierten Analysen.
Konkret für Ihre Datenschutz- und KI-Governance: LexCommand legt die parallelen Pflichten aus KVG, VVG, nDSG und EU AI Act nebeneinander, sodass Trennung und Zweckbindung zwischen Grund- und Zusatzversicherung gemeinsam sichtbar werden, und entwirft Verzeichnis und Folgenabschätzung mit Quellenangabe zur genauen Norm.
Zeitlich deterministisch (Stand heute oder zu jedem Stichtag), mit Jurisdiktions-Isolation (CH/DE/AT/EU) und einem Zitat-Verifizierer am Ende jeder Antwort.
Häufige Fragen von Krankenversicherern
Ist unsere KI in der Leistungsprüfung wirklich Hochrisiko nach EU AI Act?
Häufig ja, aber nicht pauschal. Systeme, die über den Zugang zu Versicherungsleistungen oder die Tarifierung von Personen mitentscheiden, fallen im Geltungsbereich des EU AI Act typischerweise in den Hochrisiko-Bereich. Die Hochrisiko-Fristen greifen ab 2026/2027, stehen aber unter Revision im Rahmen des Digital Omnibus und sind im Einzelfall zu prüfen, ebenso, ob Sie überhaupt einen EU-Bezug haben. Genau diese Einordnung nehmen wir im AI Governance Check vor.
Dürfen wir Daten aus der Grundversicherung im Zusatzgeschäft nutzen?
Nicht ungefiltert. Daten, die für die Leistungsabwicklung nach Krankenversicherungsgesetz erhoben wurden, unterliegen einer Zweckbindung und dürfen nicht ohne Weiteres ins Zusatzversicherungsgeschäft oder ins Underwriting fliessen. Wir prüfen diese Trennung rechtlich, dokumentieren die zulässigen Zwecke und bringen Ihre Datenflüsse in eine prüffähige Form. Den konkreten Einzelfall klären wir mandatsbezogen.
Können Sie unseren externen Datenschutzberater oder DPO stellen?
Ja. Wir übernehmen den Datenschutzberater nach revidiertem Datenschutzgesetz und, falls Sie eine Niederlassung oder Verarbeitung mit EU-Bezug haben, den Datenschutzbeauftragten nach Artikel 37 DSGVO, als externe Funktion ohne Neueinstellung. Auf Wunsch ergänzen wir einen vCISO für die Informationssicherheit. Wir arbeiten dabei eng mit Ihren internen Datenschutz- und Sicherheitsverantwortlichen zusammen.
Sind Sie ein Managed-SOC-Anbieter?
Nein. Wir sind ein rechtlich geführter Governance-, Compliance-, Assessment- und Readiness-Partner. Wir betreiben kein eigenes 24/7-Monitoring; eine technische Überwachung koordinieren wir bei Bedarf mit spezialisierten Anbietern. Das hält unsere Beratung unabhängig und am Risiko orientiert.
Womit fängt ein Mandat an?
Mit der fixpreisigen Payer Daten- und KI-Governance-Standortbestimmung: einer Gap-Analyse Ihrer Datenflüsse und KI-Anwendungsfälle über Grund- und Zusatzversicherung, mit priorisierten Massnahmen und board-tauglichem Ergebnisbericht. Danach entscheiden Sie über ein laufendes Mandat mit AI Officer, Datenschutzberater oder vCISO.
Bereit für eine rechtlich geführte Payer-Standortbestimmung?
Wir nehmen Ihre Datenflüsse und KI-Anwendungsfälle über Grund- und Zusatzversicherung auf, mit board-tauglichem Ergebnisbericht und priorisierten Massnahmen.
