Datenschutz bei Finanzdaten im Open Banking

Warum Finanzdaten besonders sensibel sind

Die Umsatzhistorie eines Bankkontos ist eines der umfassendsten Abbilder eines Menschenlebens. Aus ihr lassen sich Einkommensniveau, Wohnort, Konsumgewohnheiten, Hobbys, gesundheitsbezogene Einkäufe, Mitgliedschaften und sogar religiöse oder politische Überzeugungen ableiten. Obwohl die Datenschutz-Grundverordnung (DSGVO) Finanzdaten als solche nicht zu den besonderen Kategorien personenbezogener Daten zählt, können Transaktionsdaten genau solche Informationen offenlegen.

Open Banking erhöht die Mobilität von Finanzdaten. Wenn eine Kundin oder ein Kunde einem Kontoinformationsdienst Zugriff auf das Konto gewährt, verlassen die Daten die geschlossene Umgebung der Bank und gelangen zu einem neuen Akteur, der wiederum Unterauftragnehmer einsetzen kann. Jede Übermittlung ist eine potenzielle Schwachstelle und jeder neue Verwendungszweck ein potenzielles Datenschutzrisiko.

Rechtlicher Rahmen

Die Verarbeitung von Finanzdaten wird durch mehrere parallele Rechtsakte geregelt:

Die DSGVO (EU) 2016/679 legt die allgemeinen Grundsätze der Verarbeitung personenbezogener Daten, die Rechtsgrundlagen und die Rechte der betroffenen Personen fest.
Das finnische Datenschutzgesetz (tietosuojalaki 1050/2018) ergänzt die DSGVO in Finnland und enthält besondere nationale Vorschriften.
Die PSD2 erlegt Zahlungsdiensten eigene datenschutzrechtliche Pflichten auf, etwa das Erfordernis der ausdrücklichen Zustimmung der Kundin oder des Kunden zur Nutzung personenbezogener Daten für die Erbringung eines Zahlungsdienstes.
Das finnische Geldwäschegesetz (rahanpesulaki) und das Buchführungsgesetz (kirjanpitolaki) verpflichten zur Aufbewahrung bestimmter Daten für einen festgelegten Zeitraum, was beeinflusst, wann Daten gelöscht werden dürfen.
DORA (EU) 2022/2554 verpflichtet den Finanzsektor zum IKT-Risikomanagement, was auch den Schutz von Daten unterstützt.

Der Europäische Datenschutzausschuss (EDSA) hat zum Verhältnis von PSD2 und DSGVO die Leitlinien 06/2020 veröffentlicht, die eine zentrale Auslegungshilfe für die Akteure der Branche darstellen.

Zwei verschiedene Arten der Zustimmung

Eines der häufigsten Missverständnisse ist, dass die „ausdrückliche Zustimmung“ nach der PSD2 und die Einwilligung nach der DSGVO dasselbe seien. Nach den Leitlinien des EDSA handelt es sich um unterschiedliche Begriffe.

Merkmal	Ausdrückliche Zustimmung nach PSD2	Einwilligung als Rechtsgrundlage nach DSGVO
Wesen	Eine zusätzliche vertragsrechtliche Anforderung: Die Kundin oder der Kunde stimmt der Nutzung ihrer bzw. seiner Daten im Zahlungsdienst zu.	Eine von sechs Rechtsgrundlagen für die Verarbeitung personenbezogener Daten (Art. 6 Abs. 1 lit. a).
Typische Rechtsgrundlage	Die Verarbeitung beruht häufig auf der Vertragserfüllung (Art. 6 Abs. 1 lit. b).	Die Einwilligung selbst ist die Rechtsgrundlage.
Widerruflichkeit	An den Dienstleistungsvertrag und dessen Bedingungen gebunden.	Kann jederzeit so einfach widerrufen werden, wie sie erteilt wurde.

In der Praxis muss ein Kontoinformationsdienstleister daher für jeden Verarbeitungsvorgang die richtige Rechtsgrundlage nach der DSGVO bestimmen und zusätzlich sicherstellen, dass die nach der PSD2 erforderliche ausdrückliche Zustimmung vorliegt. Sollen die Daten für andere Zwecke als die Erbringung des Dienstes selbst genutzt werden, etwa für Marketing, ist eine gesonderte Prüfung und häufig eine gesonderte Einwilligung erforderlich.

Daten stiller Parteien

Kontoumsätze enthalten zwangsläufig auch Daten anderer Personen. Wenn jemand Miete gezahlt, Geld an Freunde überwiesen oder Gehalt erhalten hat, erscheinen Namen und Kontonummern dieser Parteien in den Umsätzen. Der EDSA bezeichnet sie als stille Parteien (silent parties): Sie sind keine Kundinnen oder Kunden des Dienstes und haben keine Einwilligung erteilt.

Nach den Leitlinien des EDSA dürfen Daten stiller Parteien verarbeitet werden, wenn dies zur Erbringung des Dienstes für die Kundin oder den Kunden erforderlich ist und die Verarbeitung auf einem berechtigten Interesse beruht. Die Daten dürfen jedoch nicht für andere Zwecke verwendet werden, und ihre Verarbeitung ist durch technische Mittel auf ein Minimum zu beschränken.

Datenminimierung in der Praxis

Der Grundsatz der Datenminimierung nach Art. 5 DSGVO verlangt, dass nur die für den Zweck erforderlichen Daten verarbeitet werden. Bei Open-Banking-Diensten kann dies beispielsweise Folgendes bedeuten:

Bei der Zahlungsauslösung benötigt der Dienstleister die Information, ob die Zahlung erfolgreich war, nicht die gesamte Umsatzhistorie der zahlenden Person.
Bei der Prüfung der Kontoinhaberschaft genügen häufig der Name der Kontoinhaberin oder des Kontoinhabers und die IBAN.
Bei der Identitätsprüfung im Rahmen der Bankauthentifizierung sollten nur die Identitätsdaten angefordert werden, die der Zweck tatsächlich erfordert.
In der Analyse sollten Daten so früh wie möglich pseudonymisiert oder aggregiert werden.

Besonders wichtig ist die Datenminimierung bei Lösungen, in denen Authentifizierung und Zahlung in derselben Nutzerführung kombiniert werden. Wenn in einem einzigen Vorgang sowohl Identitäts- als auch Kontodaten anfallen, ist darauf zu achten, dass keine dieser Daten umfassender genutzt oder gespeichert wird, als es der Zweck erfordert.

Aufbewahrungsfristen und ihre Zielkonflikte

Der Datenschutz verlangt die Löschung von Daten, sobald sie nicht mehr benötigt werden. Im Finanzsektor verpflichten jedoch mehrere Gesetze zur Aufbewahrung. In Finnland schreibt beispielsweise das Buchführungsgesetz vor, Belege mindestens sechs Jahre ab dem Ende des Jahres aufzubewahren, in dem das Geschäftsjahr geendet hat, und das Geldwäschegesetz verlangt die Aufbewahrung von Daten zur Kundensorgfalt für fünf Jahre nach Beendigung der Geschäftsbeziehung.

Der Zielkonflikt wird durch eine Abgrenzung der aufzubewahrenden Daten gelöst: Gesetzlich aufzubewahrende Daten werden getrennt gehalten, der Zugriff darauf wird beschränkt und sie werden nur für den Zweck verwendet, für den die Aufbewahrung vorgeschrieben ist. Andere Daten werden gelöscht, sobald ihr Zweck erfüllt ist. Die Aufbewahrungsfristen sollten in der Datenschutzerklärung und im Verzeichnis der Verarbeitungstätigkeiten dokumentiert werden.

Technische Schutzmaßnahmen

Art. 32 DSGVO verlangt dem Risiko angemessene technische und organisatorische Maßnahmen. Bei Finanzdaten haben sich folgende Maßnahmen etabliert:

Verschlüsselung bei der Übertragung und im Ruhezustand. TLS 1.2 oder höher bei der Übertragung, starke Verschlüsselung bei der Speicherung und eine von den Daten getrennte Schlüsselverwaltung.
Tokenisierung und Pseudonymisierung. Kontonummern und persönliche Kennnummern werden durch Kennungen ersetzt, die außerhalb des Systems keine Bedeutung haben.
Zugriffskontrolle. Prinzip der minimalen Rechte, Mehr-Faktor-Authentifizierung für Administratoren und umfassende Protokollierung von Zugriffen.
Schutz von Protokollen. Kontodaten oder Kennungen werden nicht im Klartext in Protokollen gespeichert.
Testumgebungen. Produktionsdaten werden nicht ohne Anonymisierung für Tests verwendet.
Folgenabschätzung. Für die umfangreiche Verarbeitung von Finanzdaten wird eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchgeführt.

DORA und Drittparteienrisiken

Die Verordnung über die digitale operationale Resilienz (DORA) gilt seit dem 17. Januar 2025. Sie verlangt von Finanzunternehmen ein umfassendes IKT-Risikomanagement, die Meldung schwerwiegender Vorfälle, Tests der digitalen operationalen Resilienz und das Management der Risiken von IKT-Dienstleistern. Obwohl DORA kein Datenschutzrechtsakt ist, unterstützen ihre Anforderungen unmittelbar den Schutz von Finanzdaten.

Im Open Banking ist die Kette häufig lang: Bank, Aggregator, Zahlungsdienst, Händler und deren Cloud-Dienstleister. An jeder Schnittstelle ist zu prüfen, wer Verantwortlicher und wer Auftragsverarbeiter ist, und es sind Verträge nach Art. 28 DSGVO zu schließen. Werden Daten in Länder außerhalb des EWR übermittelt, bedarf die Übermittlung einer Grundlage, etwa der Standardvertragsklauseln der Europäischen Kommission.

Künftige Regulierung

Im Juni 2023 legte die Kommission zudem einen Vorschlag für einen Rahmen für den Zugang zu Finanzdaten (FIDA) vor, der den Datenaustausch über Zahlungskonten hinaus ausweiten würde. Der endgültige Inhalt und Zeitplan des Vorschlags sollte anhand aktueller Quellen geprüft werden.

Checkliste

Die folgende Liste hilft bei der Einschätzung, ob die Verarbeitung von Finanzdaten in Ordnung ist. Sie ersetzt keine rechtliche Prüfung.

Für jeden Verarbeitungsvorgang ist eine Rechtsgrundlage nach der DSGVO bestimmt.
Die nach der PSD2 erforderliche ausdrückliche Zustimmung wird gesondert eingeholt und dokumentiert.
Daten stiller Parteien werden nicht für andere Zwecke verwendet.
Es werden nur die für den Zweck unbedingt erforderlichen Daten verarbeitet.
Aufbewahrungsfristen sind festgelegt und gesetzliche Aufbewahrungen getrennt.
Daten sind bei der Übertragung und im Ruhezustand verschlüsselt, und Schlüssel werden getrennt verwaltet.
Auftragsverarbeitungsverträge und Grundlagen für internationale Übermittlungen sind vorhanden.
Eine Folgenabschätzung wurde durchgeführt und wird bei Änderungen aktualisiert.
Es gibt einen funktionierenden Prozess zur Wahrnehmung der Betroffenenrechte.

Quellen und weiterführende Literatur

Haftungsausschluss

Dieser Leitfaden wurde sorgfältig auf Grundlage öffentlicher Quellen erstellt, doch Regulierung und Funktionen von Diensten ändern sich. Prüfen Sie aktuelle Informationen stets in offiziellen Quellen und in der Dokumentation der Anbieter. Korrekturhinweise: support@brevixoo.com.