--- title: "Datenschutz bei Banken: DORA, Scoring und Aufsichtsrecht" description: "Bei Finanzdienstleistern trifft Datenschutz auf Aufsichtsrecht. Was DORA verlangt, was beim Scoring gilt und warum das Bankgeheimnis nichts ersetzt." canonical: "https://www.dsb-datenschutz.de/datenschutz/branchen-banken-und-finanzdienstleister/" --- # Datenschutz bei Banken und Finanzdienstleistern Beim **Datenschutz** bei **Banken** kommt eine Schwierigkeit hinzu, die andere Branchen nicht haben: Aufsichtsrecht und Datenschutzrecht ziehen in entgegengesetzte Richtungen. Das eine verlangt Erhebung, Aufbewahrung und Meldung, das andere Minimierung und Löschung. Wer nur eines bedient, verstößt gegen das andere. ## Wo die Pflicht zur Erhebung stärker ist als die zur Minimierung Das Geldwäschegesetz verlangt Identifizierung, laufende Überwachung der Geschäftsbeziehung und Aufzeichnung. Diese Pflichten gehen dem Grundsatz der Datenminimierung vor – die Rechtsgrundlage ist [Art. 6 Abs. 1 lit. c DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-6/), die rechtliche Verpflichtung. Der Fehler liegt selten in der Erhebung, sondern in der Reichweite: Daten, die für die Geldwäscheprävention erhoben wurden, sind nicht automatisch für Vertrieb und Werbung nutzbar. Die Zweckbindung gilt auch hier – siehe [die Grundsätze nach Art. 5](https://www.dsb-datenschutz.de/datenschutz/wissen-grundsaetze-verarbeitung/). Ein verbreitetes Missverständnis betrifft das **Bankgeheimnis**: Es ist eine vertragliche und gewohnheitsrechtliche Pflicht gegenüber dem Kunden, keine datenschutzrechtliche Erlaubnis. Es ersetzt weder Rechtsgrundlage noch Dokumentation. ## Scoring und automatisierte Entscheidungen Der Punkt, an dem die Aufsicht am genauesten hinsieht. [Art. 22 DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-22/) verbietet Entscheidungen mit rechtlicher Wirkung, die ausschließlich automatisiert ergehen – von engen Ausnahmen abgesehen. Der Europäische Gerichtshof hat entschieden, dass bereits die **Erstellung eines Scorewerts** durch eine Auskunftei eine automatisierte Entscheidung sein kann, wenn der Wert die Entscheidung des Kreditgebers maßgeblich bestimmt. Die Zwischenschaltung eines Sachbearbeiters, der den Wert faktisch nie überstimmt, hilft dann nicht. Praktisch zu klären sind deshalb: Welche Merkmale fließen ein, wer entscheidet tatsächlich, wie wird die Entscheidung erläutert, und wie wird das Recht auf menschliches Eingreifen umgesetzt. Zum Auskunftsanspruch über die beteiligte Logik siehe [Auskunftsanfrage nach Art. 15](https://www.dsb-datenschutz.de/datenschutz/wissen-auskunftsanfragen-dsgvo/). ## DORA als zweite Ebene Für Finanzunternehmen gilt die Verordnung über die digitale operationale Resilienz. Sie regelt IKT-Risikomanagement, die Meldung schwerwiegender Vorfälle, Tests und – besonders folgenreich – das **Management der IKT-Drittanbieter**. Wer bereits ein Managementsystem betreibt, hat einen Teil der Anforderungen erfüllt; die Einzelheiten stehen unter [DORA](https://www.dsb-datenschutz.de/frameworks/dora/). Zu beachten ist, dass DORA eigene Meldefristen und Meldewege vorsieht, die neben der 72-Stunden-Frist aus [Art. 33 DSGVO](https://www.dsb-datenschutz.de/datenschutz/datenschutzvorfall/) stehen. Im Ernstfall laufen also mehrere Uhren gleichzeitig – das gehört vorher geregelt, nicht im Vorfall. ## Auslagerung ist der Regelfall Rechenzentrumsbetrieb, Kernbanksysteme, Zahlungsverkehr, Archivierung, Callcenter. Jede dieser Beziehungen braucht einen [Auftragsverarbeitungsvertrag](https://www.dsb-datenschutz.de/datenschutz/beratung-auftragsverarbeitungsvertrag/), eine Prüfung des Dienstleisters und die Klärung, ob Daten in Drittländer fließen – siehe [Datenübermittlung in die USA](https://www.dsb-datenschutz.de/datenschutz/wissen-angemessenheitsbeschluss-usa/) und [Lieferantenaudit](https://www.dsb-datenschutz.de/informationssicherheit/wissen-lieferanten-audit/). Aufsichtsrechtliche Auslagerungsanforderungen und datenschutzrechtliche Auftragsverarbeitung überschneiden sich weitgehend, sind aber nicht identisch. Beide Prüfungen lassen sich zusammenlegen; getrennt geführt kosten sie das Doppelte. ## Löschen trotz Aufbewahrungspflicht Handels-, steuer- und aufsichtsrechtliche Fristen halten Daten über Jahre fest. Daraus folgt nicht, dass der gesamte Datensatz aktiv bleiben darf: Was der Aufbewahrung unterliegt, wird gesperrt und nur noch für diesen Zweck vorgehalten. Alles Übrige – Interessentendaten, abgelehnte Anträge, Werbeeinwilligungen nach Widerruf – wird gelöscht. Die Fristen gehören ins [Löschkonzept](https://www.dsb-datenschutz.de/datenschutz/beratung-loeschkonzept/). ## Kontakt Sie stehen vor DORA und wissen nicht, was davon Ihr bestehendes Sicherheitsmanagement schon abdeckt? Genau diese Abgrenzung machen wir zuerst. - Telefon: [+49 6188 99 04 36](tel:+496188990436) - E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de) - Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns) - [Alle Branchen im Überblick](https://www.dsb-datenschutz.de/datenschutz/branchen/)