Datenschutz bei Banken und Finanzdienstleistern

Beim Datenschutz bei Banken kommt eine Schwierigkeit hinzu, die andere Branchen nicht haben: Aufsichtsrecht und Datenschutzrecht ziehen in entgegengesetzte Richtungen. Das eine verlangt Erhebung, Aufbewahrung und Meldung, das andere Minimierung und Löschung. Wer nur eines bedient, verstößt gegen das andere.

Wo die Pflicht zur Erhebung stärker ist als die zur Minimierung

Das Geldwäschegesetz verlangt Identifizierung, laufende Überwachung der Geschäftsbeziehung und Aufzeichnung. Diese Pflichten gehen dem Grundsatz der Datenminimierung vor – die Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO, die rechtliche Verpflichtung.

Der Fehler liegt selten in der Erhebung, sondern in der Reichweite: Daten, die für die Geldwäscheprävention erhoben wurden, sind nicht automatisch für Vertrieb und Werbung nutzbar. Die Zweckbindung gilt auch hier – siehe die Grundsätze nach Art. 5.

Ein verbreitetes Missverständnis betrifft das Bankgeheimnis: Es ist eine vertragliche und gewohnheitsrechtliche Pflicht gegenüber dem Kunden, keine datenschutzrechtliche Erlaubnis. Es ersetzt weder Rechtsgrundlage noch Dokumentation.

Scoring und automatisierte Entscheidungen

Der Punkt, an dem die Aufsicht am genauesten hinsieht. Art. 22 DSGVO verbietet Entscheidungen mit rechtlicher Wirkung, die ausschließlich automatisiert ergehen – von engen Ausnahmen abgesehen.

Der Europäische Gerichtshof hat entschieden, dass bereits die Erstellung eines Scorewerts durch eine Auskunftei eine automatisierte Entscheidung sein kann, wenn der Wert die Entscheidung des Kreditgebers maßgeblich bestimmt. Die Zwischenschaltung eines Sachbearbeiters, der den Wert faktisch nie überstimmt, hilft dann nicht.

Praktisch zu klären sind deshalb: Welche Merkmale fließen ein, wer entscheidet tatsächlich, wie wird die Entscheidung erläutert, und wie wird das Recht auf menschliches Eingreifen umgesetzt. Zum Auskunftsanspruch über die beteiligte Logik siehe Auskunftsanfrage nach Art. 15.

DORA als zweite Ebene

Für Finanzunternehmen gilt die Verordnung über die digitale operationale Resilienz. Sie regelt IKT-Risikomanagement, die Meldung schwerwiegender Vorfälle, Tests und – besonders folgenreich – das Management der IKT-Drittanbieter.

Wer bereits ein Managementsystem betreibt, hat einen Teil der Anforderungen erfüllt; die Einzelheiten stehen unter DORA. Zu beachten ist, dass DORA eigene Meldefristen und Meldewege vorsieht, die neben der 72-Stunden-Frist aus Art. 33 DSGVO stehen. Im Ernstfall laufen also mehrere Uhren gleichzeitig – das gehört vorher geregelt, nicht im Vorfall.

Auslagerung ist der Regelfall

Rechenzentrumsbetrieb, Kernbanksysteme, Zahlungsverkehr, Archivierung, Callcenter. Jede dieser Beziehungen braucht einen Auftragsverarbeitungsvertrag, eine Prüfung des Dienstleisters und die Klärung, ob Daten in Drittländer fließen – siehe Datenübermittlung in die USA und Lieferantenaudit.

Aufsichtsrechtliche Auslagerungsanforderungen und datenschutzrechtliche Auftragsverarbeitung überschneiden sich weitgehend, sind aber nicht identisch. Beide Prüfungen lassen sich zusammenlegen; getrennt geführt kosten sie das Doppelte.

Löschen trotz Aufbewahrungspflicht

Handels-, steuer- und aufsichtsrechtliche Fristen halten Daten über Jahre fest. Daraus folgt nicht, dass der gesamte Datensatz aktiv bleiben darf: Was der Aufbewahrung unterliegt, wird gesperrt und nur noch für diesen Zweck vorgehalten. Alles Übrige – Interessentendaten, abgelehnte Anträge, Werbeeinwilligungen nach Widerruf – wird gelöscht. Die Fristen gehören ins Löschkonzept.

Kontakt

Sie stehen vor DORA und wissen nicht, was davon Ihr bestehendes Sicherheitsmanagement schon abdeckt? Genau diese Abgrenzung machen wir zuerst.