Im Januar 2018 lud Hogan Lovells gemeinsam mit innopay und dem Fraunhofer IESE in den R\u00e4umen von Hogan Lovells in Frankfurt zu einer Veranstaltung \u00fcber PSD2, RTS und DSGVO ein. Thema: Neue Richtlinien und Verordnungen der EU zu Finanzmarkt und Datenschutz. Durch die Vortragsreihe von Nils Jung und Karl Illing (innopay), Ruth Maria Bousonville (Hogan Lovells) und Michael Ochs (Fraunhofer IESE) f\u00fchrte Dr. Nils Rauer (Hogan Lovells). Anhand von zwei konkreten Use Cases zeigten die Referenten den ca. 35 interessierten Zuh\u00f6rern aus dem Bereich Financial Services verschiedene Aspekte von PSD2 und DSGVO auf.<\/p>\n
Auf Ebene der europ\u00e4ischen Union treten dieser Tage eine Reihe von neuen Regelungen und Verordnungen in Kraft oder werden bald in Kraft treten. Hierzu z\u00e4hlen die Payment Services Directive 2 (PSD2, 2015\/2366\/EU), die seit dem 13. Januar 2018 in Kraft ist und auf nationaler Ebene als ZAG in die deutsche Gesetzgebung \u00fcberf\u00fchrt wurde. Am 25. Mai 2018 endet die \u00dcbergangsfrist der Datenschutzgrundverordnung (DSGVO, 2016\/679\/EU) – sie tritt vollst\u00e4ndig in Kraft und l\u00f6st dabei die in die Jahre gekommene Datenschutzrichtlinie (1995\/46\/EG) ab. Gleichzeitig tritt auch das neue Bundesdatenschutzgesetzt (BDSG neu) in Kraft, welches Detaillierungen und Erg\u00e4nzungen zur DSGVO in der nationalen Gesetzgebung vornimmt. Am Horizont steht bereits die ePrivacy Verordnung (COM(2017)10) in den Startl\u00f6chern f\u00fcr voraussichtlich 2019.<\/p>\n
Nils Jung und Karl Illing pr\u00e4sentierten in ihrem Vortrag die Nutzung von Identity Services im Banking. Beispielsweise kann so ein Kunde, der ein Konto bei seiner Hausbank hat und seine dort liegenden personenbezogenen Daten Nutzen m\u00f6chte, bei einer Zweitbank ein Tagesgeldkonto er\u00f6ffnen. Dazu autorisiert der Kunde einen spezialisierten Identity Broker, die Daten von der Hausbank abzurufen und auf dieser Basis eine zum Geldw\u00e4schegesetz (GWG) konforme Identifizierung bei der Zweitbank durchzuf\u00fchren. So kann der Kontoantrag f\u00fcr ein Tagesgeldkonto und dessen Einrichtung komplett online und digital erm\u00f6glicht werden \u2013 medienbruchfrei und praktisch direkt. Vergleicht man dies mit dem analogen PostIdent Verfahren, das, wenn es beispielsweise bei der Er\u00f6ffnung eines Tagesgeldkontos zur Anwendung kommt, den gesamten Prozess um mehrere Tage verz\u00f6gert, liegen die Vorteile klar auf der Hand.<\/p>\n
Ruth-Maria Bousonville ging in ihrem Vortrag auf die Unstimmigkeiten und Konfliktthemen zwischen PSD2 und DSGVO ein. Dabei wurden in zwei Spotlights die Themen Identity Broker und DSGVO sowie Kontoinformationsdienste mit Mehrwertangeboten aus Sicht PSD2 und DSGVO beleuchtet.<\/p>\n
Im Spotlight \u201eDatenschutz und Identity Broker\u201c<\/strong> (Use Case 1) ergeben sich die beiden zentralen Fragen (1) \u201eDarf der Identity Broker die Daten bei der Hausbank abrufen?\u201c und (2) \u201eDarf die Hausbank dem Identity Broker Zugriff geben?\u201c. Zu beantworten war dies mit der Einsch\u00e4tzung, dass die Zweitbank Daten nach Art. 6(1)c DSGVO in Verbindung mit \u00a758 GWG erhebt. Der Identity Broker w\u00e4re so Auftragsdatenverarbeiter f\u00fcr die Zweitbank (Art. 28 DSGVO). Die Hausbank wiederum darf Daten nur auf Grund von Einwilligung durch den Kunden zur Verf\u00fcgung stellen (Art. 6(1)a DSGVO).<\/p>\n Im Spotlight \u201eDatenschutz und Kontoinformationsdienste\u201c<\/strong> (Use Case 2, siehe folgender Abschnitt) ergeben sich die zentralen Fragen \u201e(1) Darf KID Finanztransaktionsdaten bei der Bank des Kunden abrufen?\u201c, \u201e(2) Darf die Bank des Kunden dem KID die Daten zur Verf\u00fcgung stellen?\u201c und mit Blick auf Mehrwertdienste innerhalb des Angebots des KID \u201e(3) Darf der KID die Daten benutzen, um dem Kunden Vorschl\u00e4ge zur Optimierung beispielsweise seiner TK-Kosten zu machen?\u201c. Zu beantworten war dies mit der Einsch\u00e4tzung, dass Leistungsbestandteil \u201eOptimierung von Telekommunikationskosten\u201c (Mehrwert) kein Kontoinformationsdienst ist und auch nicht anderweitig in der PSD2 geregelt ist. Die Nutzung der Kontodaten f\u00fcr die Optimierung von Telekommunikationskosten kann nicht auf PSD2 gest\u00fctzt werden. Dies w\u00fcrde in den Geltungsbereich der DSGVO fallen. Die damit verbundene Frage ist, ob sich somit eine Verpflichtung der Bank zu einer Filterung sensitiver personenbezogener Daten ergibt. Dies ist nicht der Fall. Andererseits aber ergibt sich auch kein Verbot, dem Kunden die M\u00f6glichkeit zum Filtern zu geben. W\u00fcrde eine Bank also dem Kunden die Datenhoheit geben, selbst zu entscheiden, welche Daten bei einer \u00dcbertragung an den Kontoinformationsdienst beispielsweise anonymisiert oder entfernt werden, w\u00e4re der Kunde der Souver\u00e4n \u00fcber seine Daten. Bedenkt man, dass das nach Art. 20(1),(2) DSGVO bestehende Recht auf Daten\u00fcbertragbarkeit gem\u00e4\u00df Art. 20(4) DSGVO \u201edie Rechte und Freiheiten anderer Personen nicht beeintr\u00e4chtigen\u201c darf und zieht man die Aspekte Privacy by Design und Privacy by Default (Art. 25 DSGVO) hinzu, k\u00f6nnte sich m\u00f6glicherweise eine Pflicht der Bank zum Filtern ergeben. Jedoch ist auch hier kein klares Verbot f\u00fcr eine Filterung zu erkennen.<\/p>\n Michael Ochs zeigte in seinem Vortrag M\u00f6glichkeiten zur technischen Umsetzung von Datenschutz bei Kontoinformationsdiensten mit Mehrwertangeboten, z.B. Optimierung von Kostenkategorien wie Telekommunikation oder auf Profiling basierende Freizeitvorschl\u00e4ge. Generell k\u00f6nnen in den Transaktionsdaten eines Kontos auch personenbezogene Daten zu finden sein, die nicht unter einen Vertrag mit einem Kontoinformationsdienst fallen w\u00fcrden, z.B. Girocard Zahlungen eines Lebenspartners, der Name eines Arbeitgebers bei der Gehaltszahlung, obwohl im Arbeitsvertrag Stillschweigen \u00fcber den Arbeitgeber vereinbart wurde, von Lebenspartnern get\u00e4tigte \u00dcberweisungen, Arztrechnungen oder Unterhaltszahlungen f\u00fcr Kinder. Oder eben einfach sehr sensible Daten des Kunden selbst, wie z.B. politische \u00dcberzeugung, die sich direkt aus der Zahlung von Mitgliedsbeitr\u00e4gen an eine Partei ableitet, eine Gewerkschaftsmitgliedschaft (auch \u00fcber Beitr\u00e4ge), chronische Erkrankungen im Fall von regelm\u00e4\u00dfigen Medikamentenzahlungen bei privatversicherten Patienten. Den M\u00f6glichkeiten sind hier nahezu keine Grenzen gesetzt.<\/p>\n Mit dem Inkrafttreten von PSD2 ist nun auch \u201eoffiziell\u201c der Startschuss im Kampf um die Kundendaten im Bereich Financial Services gefallen. Was k\u00f6nnen Banken tun, um in Zukunft vom Wert der Daten ihrer Kunden zu profitieren, an diesem Gesch\u00e4ft zu partizipieren und es nicht zur G\u00e4nze anderen zu \u00fcberlassen? PSD2 erlaubt den Zugriff von Kontoinformationsdienstleistern (KID) auf Kundenkonten, wenn die Kunden explizite Zustimmung dazu geben. Wie in der Veranstaltung im Vortrag von Ruth Maria Bousonville deutlich wurde, ist die aktuelle Einsch\u00e4tzung PSD2 vs. DSGVO so, dass Banken Kunden die M\u00f6glichkeit einer Filterung von sensitiven Kontotransaktionen anbieten d\u00fcrfen, ohne jedoch dazu verpflichtet zu sein \u2013 eine technische M\u00f6glichkeit zum Selbstdatenschutz also. Datenschutz-indifferente Kunden werden diese M\u00f6glichkeit voraussichtlich nicht nutzen, sensible Kunden werden sie jedoch begr\u00fc\u00dfen. Ein Ende-zu-Ende Privacy Cockpit mit unmittelbarem Privacy Enforcement an der PSD2-Schnittstelle f\u00fcr KID w\u00e4re jedoch nur ein erster Schritt im Kampf um die Kundendaten. Der eigentliche und noch zukunftsweisendere Aspekt w\u00e4re der Einstieg von Banken in das Feld Platform Economy unter Wahrung der Datensouver\u00e4nit\u00e4t von Kunden. Das schafft Vertrauen und \u00f6ffnet ein nahezu riesiges Feld f\u00fcr innovative Mehrwertdienste auf der Plattform von Banken.<\/p>\n Dienstanbieter k\u00f6nnten Applikationen on premise der Bank \u2013 und vor allem innerhalb des Compliance Perimeters der Bank \u2013 betreiben und m\u00fcssten dabei voraussichtlich als Unternehmen selbst geringere Compliance Anforderungen erf\u00fcllen, was im Vergleich zu einem TPP (links im Bild) ein Vorteil sein kann. Andererseits w\u00e4re f\u00fcr die Bank das Tor ge\u00f6ffnet, die immensen Kosten zur Erf\u00fcllung von Compliance zum Teil auch auf die Dienstanbieter umzulegen, also schrittweise hier sogar einen ROI zu erreichen. Andererseits k\u00f6nnten Dienstanbieter wiederum davon profitieren, dass PSD2 und RTS in diesem Szenario keine Anwendung finden w\u00fcrden, somit also zum Beispiel die Grenze von 90 Tagen R\u00fcckschau bei Kontoinformationsdiensten \u2013 wie sie in den RTS festgelegt ist \u2013 fallen w\u00fcrde. Dies h\u00e4tte das Potenzial, deutlich bessere Modelle z.B. f\u00fcr Scoring entwickeln zu k\u00f6nnen und w\u00fcrde aus aktueller Perspektive zu einer echten Win-Win-Situation f\u00fchren. Wenn zudem bei der Nutzung der Dienste die Datensouver\u00e4nit\u00e4t der Kunden durch Zweckbezug und Privacy Enforcement an der Daten-Dienste-Schnittstelle gewahrt bleibt, sind dies weitere Benefits gegen\u00fcber dem Ansatz, der mit PSD2 verfolgt wird.<\/p>\n Wir werden dieses spannende Thema weiterverfolgen.<\/p>\n","protected":false},"excerpt":{"rendered":" Im Januar 2018 lud Hogan Lovells gemeinsam mit innopay und dem Fraunhofer IESE in den R\u00e4umen von Hogan Lovells in Frankfurt zu einer Veranstaltung \u00fcber PSD2, RTS und DSGVO ein. Thema: Neue Richtlinien und Verordnungen der EU zu Finanzmarkt und Datenschutz. Durch die Vortragsreihe von Nils Jung und Karl Illing (innopay), Ruth Maria Bousonville (Hogan […]<\/p>\n","protected":false},"author":61,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"featured_image_credits_title":"","featured_image_credits_url":"","featured_image_credits_position":"bottom-right","featured_image_credits_shadow":"-1px -1px 0 rgba(0,0,0,0.25),0 -1px 0 rgba(0,0,0,0.25),1px -1px 0 rgba(0,0,0,0.25),1px 0 0 rgba(0,0,0,0.25),1px 1px 0 rgba(0,0,0,0.25),0 1px 0 rgba(0,0,0,0.25),-1px 1px 0 rgba(0,0,0,0.25),-1px 0 0 rgba(0,0,0,0.25)","footnotes":""},"categories":[18],"tags":[102,324,109,333],"coauthors":[205],"class_list":["post-2123","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-datenschutz","tag-datensouveraenitaet","tag-dsgvo","tag-privacy"],"yoast_head":"\nUse Case 2: Technische Umsetzung Datenschutz bei Kontoinformationsdiensten<\/h2>\n
Ausblick \u2013 Platform Economy in Financial Services<\/h2>\n