Mit der neuen Zahlungsdienstrichtlinie PSD2 werden R\u00e4ume f\u00fcr neue und innovative Dienste auf Basis von Kontotransaktionen geschaffen. Doch was ist mit dem Datenschutz bei der \u00dcbermittlung von Kontotransaktionsdaten an berechtigte externe Dienstleister? Ein spannendes Review einer bisher nahezu nicht diskutierten Problematik und eine Einladung diese mit uns zu diskutieren.<\/p>\n
Im Januar 2018 tritt die neue Zahlungsdienstrichtlinie (Payment Service Directive 2, PSD2, Richtlinie EU 2015\/2366) in Kraft. Sie regelt Bezahl- und Kontoinformationsdiente (Payment Initiation Services, PIS und Account Information Services, AIS) neu bzw. schafft ein regulatives Fundament f\u00fcr bereits bestehende Dienste in diesem Sektor. Neben dem reinen Regulativ schafft PSD2 auch einen derzeit noch nicht voll \u00fcberschaubaren Raum f\u00fcr neue innovative digitale Services. Derzeit wird in verschiedenen Gremien und Interessengruppen das Thema Sicherheit bei digitalen Bezahldiensten intensiv diskutiert und man steht in regem Austausch mit der EBA dazu. Fakt ist: Das Gros der PSD2 besch\u00e4ftigt sich mit dem Thema Bezahldienste. In der aktuell gef\u00fchrten Diskussion zu PSD2 kommt das Thema Kontoinformationsdienste nahezu nicht vor. Dabei steckt hier das gr\u00f6\u00dfte Potenzial f\u00fcr neue Services. Denn: Suchmaschinen im Internet wissen, f\u00fcr was wir uns interessieren \u2013 Kontoinformationsdienste wissen durch Analyse der Kontotransaktion, f\u00fcr was wir tats\u00e4chlich Geld ausgeben. Diese Informationen sind in Zeiten von Digitalisierung und Big Data \u00e4u\u00dferst wertvoll.<\/p>\n
Das Thema AIS ist im Wesentlichen in Artikel 67 PSD2 zu finden. Dieser besagt zun\u00e4chst, dass alle europ\u00e4ischen B\u00fcrger, die einen Online-Zugang zu ihrem Konto besitzen, auch Kontoinformationsdienste nutzen k\u00f6nnen m\u00fcssen. Hier werden also die kontof\u00fchrenden Institute in die Pflicht genommen, Zug\u00e4nge f\u00fcr AIS Provider (AISP) zu den Backendsystemen der Bank zu schaffen und vom Kontoinhaber beauftragten AISPs auch entsprechenden Zugang zu den Konten und Transaktionen zu erm\u00f6glichen. Dabei ist auf sichere Authentifizierung und Kommunikation zu achten, wenn durch den AISP auf Konten von Kunden beim kontof\u00fchrenden Institut zugegriffen wird. Daneben wird in Artikel 67 PSD2 Abs. 2 lit. f Bezug genommen auf den Datenschutz: \u201eDer Kontoinformationsdienstleister darf im Einklang mit den Datenschutzvorschriften Daten nicht f\u00fcr andere Zwecke als f\u00fcr den vom Zahlungsdienstnutzer ausdr\u00fccklich geforderten Kontoinformationsdienst verwenden, darauf zugreifen oder speichern.\u201c Der so geforderte Einklang mit Datenschutzvorschriften verweist derzeit noch auf die Richtlinie EU 95\/46 (vgl. auch Artikel 94 PSD2 \u201eDatenschutz\u201c, Abs. 1), die per 25. Mai 2018 von der EU-Datenschutzgrundverordnung (EU-DSGVO, Richtlinie EU 2016\/679) ersetzt wird.<\/p>\n
Durch die M\u00f6glichkeit f\u00fcr Kontoinhaber, externe AISPs mit der Verarbeitung ihrer Banktransaktionen zu beauftragen, werden Innovationsr\u00e4ume geschaffen. Einige m\u00f6gliche Kontoinformationsdienste sind beispielsweise Bonit\u00e4tspr\u00fcfung bei Kredit- oder Leasingvertr\u00e4gen, die Verwaltung von allen Konten einer Person bei verschiedenen Banken in nur einem Portalzugang, Benchmarking und Advisory Dienste der Art \u201e30% der Haushalte mit Ihrem monatlichen Einkommen geben 40% weniger f\u00fcr Telekommunikationsdienste aus\u201c oder \u201e80% der Haushalte in Ihrer Region, in denen ebenfalls zwei Erwachsene und zwei Kinder leben, geben 20% weniger f\u00fcr Lebensmittel aus\u201c oder \u201edie Versicherung f\u00fcr Ihr Kraftfahrzeug k\u00f6nnen wir Ihnen 18% g\u00fcnstiger vermitteln\u201c. Dies sind sehr naheliegende Dienste; die M\u00f6glichkeiten f\u00fcr weitere innovative Dienste erscheinen jedoch nur durch die menschliche Kreativit\u00e4t begrenzt. Immer jedoch ist dabei der Datenschutz zu beachten.<\/p>\n
Gernot ist 42 Jahre alt, Diplom-Ingenieur, verheiratet, Vater von zwei Kindern und arbeitet als F\u00fchrungskraft der mittleren Ebene in einem gro\u00dfen Konzern. Sein monatliches Einkommen erm\u00f6glicht ihm die Mitgliedschaft in einer privaten Krankenversicherung. Er ist Mitglied in einer Gewerkschaft und Mitglied einer deutschen Volkspartei. Gernot leidet an einer chronischen Hauterkrankung, die es erfordert, auf t\u00e4glicher Basis bestimmte Medikamente zu nehmen, die im Hochpreissegment liegen. Gl\u00fccklicherweise begann die chronische Erkrankung erst nach dem Eintritt in die private Krankenversicherung. Gernot bezahlt praktisch immer bargeldlos, also elektronisch oder digital.<\/p>\n
Wir springen in den Juni 2018. Gernot besitzt einen Online-Zugang zu seinem Bankkonto. Er hat k\u00fcrzlich einen externen AISP damit beauftragt seine monatlichen Ausgaben in den Bereichen Telekommunikation, Freizeitaktivit\u00e4ten und Lebensmittelkosten regelm\u00e4\u00dfig zu analysieren und entsprechende Informationen, Optimierungsvorschl\u00e4ge und Freizeitgestaltungsideen an ihn zu senden. Und jetzt wird es spannend.<\/p>\n
Gernot erh\u00e4lt nach kurzer Zeit seine erste Information zu m\u00f6glichen Kosteneinsparungen im Telekommunikationsbereich und auch ein paar tolle Vorschl\u00e4ge f\u00fcr Freizeitaktivit\u00e4ten quer durch das gesamte Land \u2013 so wie er es sehr gerne mag; er bezahlt schlie\u00dflich auch in Freizeitparks oder Ferienanlagen immer elektronisch oder digital. In den folgenden Monaten der Nutzung des Dienstes erh\u00e4lt er weiter Vorschl\u00e4ge und wundert sich bei einem Vorschlag, dass ihm ein Ort f\u00fcr Familienurlaub vorgeschlagen wird mit dem Hinweis, dass dort auch eine sehr gute Klinik f\u00fcr chronische Hauterkrankungen ans\u00e4ssig ist und man so Urlaub und Behandlung ja sehr gut verbinden k\u00f6nne. Gernot ist verdutzt: Wie kann der externe AISP wissen, dass er diese chronische Hauterkrankung hat? Ist dieser Vorschlag Zufall oder steckt doch ein konkretes Analyseergebnis des AISP dahinter?<\/p>\n
Beruflich hat Gernot schon mit der EU-Datenschutzgrundverordnung zu tun gehabt und liest sich nochmals in folgende Themen ein: Arten der Verarbeitung von Daten, Verbot der Verarbeitung mit Erlaubnisvorbehalt, Zweckbindung der Verarbeitung, personenbezogene Daten, besondere Kategorien personenbezogener Daten, Auskunftsrecht und Widerspruch gegen Verarbeitung.<\/p>\n
In Artikel 4 DSGVO (Begriffsbestimmungen) erkennt Gernot, dass nicht nur der AISP an der zweckgebundenen Verarbeitung seiner Kontotransaktionen beteiligt ist, sondern auch sein kontof\u00fchrendes Institut, seine Bank. Denn bez\u00fcglich personenbezogener Daten gilt die \u201eOffenlegung durch \u00dcbermittlung\u201c ebenfalls als eine Art von Verarbeitung personenbezogener Daten. Gernot wendet sich somit als erstes an seine Bank und fragt auf Grundlage von Artikel 15 DSGVO (Auskunftsrecht der betroffenen Person) schriftlich nach, welche Kategorien personenbezogener Daten aus seinen Kontotransaktionen die Bank an den AISP weitergibt. Die Antwort der Bank f\u00e4llt kurz und pr\u00e4gnant aus: Alle.<\/p>\n
Damit ist Gernot klar, dass der Vorschlag f\u00fcr den Urlaubsort mit Anschluss an die Hautklinik seines AISPs wohl kein Zufall war. Gernot schreibt erneut seine Bank an und verweist auf den Zweck der Verarbeitung \u201eAnalyse und Optimierung der Ausgaben f\u00fcr Telekommunikation, Freizeitaktivit\u00e4ten und Lebensmittelkosten\u201c in seinem Vertrag mit dem AISP. Er untersagt der Bank die \u00dcbermittlung aller Kategorien von Transaktionen auf seinem Konto und fordert die Bank auf, nur solche Kategorien von Transaktionen seines Bankkontos an den AISP zu \u00fcbermitteln, die auch dem Verarbeitungszweck seines Vertrages mit dem AISP entsprechen. Dabei beruft er sich zun\u00e4chst auf Artikel 21 DSGVO (Widerspruchsrecht) und Artikel 6 DSGVO (Rechtm\u00e4\u00dfigkeit der Verarbeitung), welcher vor allem die Rechtm\u00e4\u00dfigkeit der Verarbeitung mit einem oder mehreren bestimmten Zwecken verbindet, aber auch mit der Erf\u00fcllung eines Vertrages. Ferner unterliegen Gesundheitsdaten, politische Gesinnung wie z.B. Parteimitgliedschaft und Mitgliedschaft in einer Gewerkschaft Artikel 9 DSGVO (Verarbeitung besonderer Kategorien personenbezogener Daten) und bed\u00fcrfen einer besonderen und ausdr\u00fccklichen Zustimmung.<\/p>\n
Wie wird nun die Bank handeln? Grunds\u00e4tzlich sieht Gernot mehrere M\u00f6glichkeiten, die er auch bewertet:<\/p>\n
In allen drei F\u00e4llen hat die Bank eine schwierige rechtliche oder technische Situation zu bew\u00e4ltigen. Warum ist das so? Die Bank muss auf Grund rechtlicher Verpflichtungen gegen\u00fcber Ihren Kunden alle Kontotransaktionen dokumentieren \u2013 l\u00fcckenloser Nachweis aller Zahlungsvorg\u00e4nge gegen\u00fcber dem Kunden. So entsteht auf Grund von Gesetzen ein riesiger Datenpool. Durch die neuen Regularien wie PSD2 wird es erm\u00f6glicht, diesen Datenpool anderen Verarbeitungszwecken als den bisherigen gesetzlichen zuzuf\u00fchren. Artikel 6 DSGVO Abs. 4 weist auf eine Ver\u00e4nderung des Zwecks der Verarbeitung von bereits erhobenen personenbezogenen Daten hin und auch die damit verbundene besondere Sorgfaltspflicht. Die Bank hat somit den \u201eschwarzen Peter\u201c, da sie<\/p>\n
Gernots Bank m\u00f6chte sich rechtlich und technisch sauber aufstellen. Was kann sie nun tun? Es gibt zwei grunds\u00e4tzliche Szenarien.<\/p>\n
Volle Souver\u00e4nit\u00e4t des Kunden gegen\u00fcber dem AISP.<\/strong> Die DSGVO zielt grunds\u00e4tzlich darauf ab, dass die Selbstbestimmtheit der B\u00fcrger und Kunden \u00fcber sie betreffende Daten gest\u00e4rkt wird. Dies kann die Bank positiv nutzen, indem Sie die Freigabe oder Filterung bestimmter Kategorien von Kontotransaktionen gegen\u00fcber bestimmten AISPs mittels eines Privacy Dashboard f\u00fcr diejenigen Kunden, die externe AISP Dienste nutzen, in die H\u00e4nde dieser Kunden selbst legt. Eine sinnvolle und datenschutzfreundliche Voreinstellung im Privacy Dashboard, die Artikel 25 DSGVO (Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen) nachkommt, w\u00e4re dabei von Vorteil.<\/p>\n Vollautomatisierung durch Einsatz k\u00fcnstlicher Intelligenz und zus\u00e4tzliche Schnittstellen zum AISP.<\/strong> Die Bank k\u00f6nnte in der PSD2 Schnittstelle zum AISP eine standardisierte M\u00f6glichkeit schaffen, den Zweck der Verarbeitung der Kontotransaktionen durch den AISP und die f\u00fcr den Zweck der Verarbeitung relevanten Kategorien an die Bank zu \u00fcbermitteln. Mit entsprechenden KI-Verfahren k\u00f6nnten die Kontotransaktionen vor der \u00dcbermittlung an den AISP analysiert werden und nur solche Transaktionen werden \u00fcbermittelt, die zu einer den Zweck der Verarbeitung erf\u00fcllenden Kategorie geh\u00f6ren.<\/p>\n Das erste Szenario ist das unter mehreren Aspekten f\u00fcr die Bank g\u00fcnstigere Szenario: Die Bank w\u00fcrde das Vertrauen des Kunden in ihr Haus st\u00e4rken, indem sie den Kunden hinsichtlich Datenschutz m\u00fcndig macht und diese Mitentscheidungsm\u00f6glichkeit an die Hand gibt. Versehen mit einer guten User Experience und einer einfachen Bedienbarkeit w\u00e4re ein Privacy Dashboard ein Verfahren, das das Vertrauen des Kunden in die Bank hinsichtlich des Schutzes personenbezogener Daten st\u00e4rkt. Und sollte der Kunde einmal mehr Kategorien von Transaktionen gegen\u00fcber dem AISP \u00fcber das Privacy Dashboard der Bank sperren als es dem Zweck des AISP-Vertrages entspr\u00e4che, m\u00fcsste sich der AISP mit seinem Kunden selbst auseinandersetzen und nicht mit der Bank. Ebenso h\u00e4tte der Kunde die M\u00f6glichkeit, auch etwas mehr an Kontotransaktionsdaten gegen\u00fcber dem AISP freizugeben als es der Verarbeitungszweck bei einem vollautomatisierten Verfahren (zweites Szenario) erlauben w\u00fcrde, weil der Kunde sich davon beispielsweise einen Vorteil verspricht. Weiterhin w\u00fcrden im zweiten Szenario der Einsatz von KI-Verfahren und die Entwicklung zus\u00e4tzlicher Kommunikationskan\u00e4le zum AISP anfallen. Hier w\u00e4re das Vertrauenslevel der Bankkunden sicher nicht auf demselben Niveau wie im ersten Szenario und der Kunde h\u00e4tte praktisch keine Mitsprachem\u00f6glichkeiten. Die Entwicklungskosten und die Komplexit\u00e4t einer PSD2-API auf Bankseite w\u00fcrden ebenfalls weiter erh\u00f6ht und voraussichtlich w\u00e4re dennoch ein Privacy Dashboard f\u00fcr den Kunden nicht obsolet. Somit w\u00e4re das erste Szenario die eindeutig zu pr\u00e4ferierende Variante.<\/p>\nZusammenfassung<\/h3>\n