DSGVO Banken: Datenschutz-Compliance im Finanzsektor

Banken unterliegen neben der DSGVO weiteren sektorspezifischen Regelungen wie dem KWG, GwG, MaRisk und den BAIT. Diese Vorschriften enthalten eigene Vorgaben zur Verarbeitung personenbezogener Daten. Die DSGVO verlangt zusätzlich ein Verarbeitungsverzeichnis, Datenschutz-Folgenabschätzungen für risikoreiche Verarbeitungen, Einwilligungsmanagement und Prozesse für Betroffenenrechte. Banken müssen diese Anforderungen mit bestehenden Pflichten aus dem Geldwäschegesetz und der Bankenaufsicht in Einklang bringen.

Das Bankgeheimnis verpflichtet Kreditinstitute, Kundendaten nicht unbefugt an Dritte weiterzugeben. Die DSGVO ergänzt diesen Schutz um zusätzliche Rechte: Kunden können Auskunft über gespeicherte Daten verlangen, deren Berichtigung fordern oder die Löschung beantragen. Beide Regelungen verfolgen das Ziel des Datenschutzes, unterscheiden sich aber in Rechtsgrundlage und Reichweite. Banken müssen beide Systeme integriert betrachten, um Widersprüche zu vermeiden.

Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist erforderlich, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt. Im Bankensektor betrifft dies typischerweise Kreditscoring, automatisierte Entscheidungssysteme, Videoüberwachung in Filialen und neue digitale Banking-Produkte. Die DSFA dokumentiert Risiken und definiert Gegenmaßnahmen, bevor die Verarbeitung beginnt.

Bei Verstößen gegen die DSGVO drohen Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für Banken kommen zusätzliche aufsichtsrechtliche Konsequenzen durch die BaFin hinzu, etwa Auflagen, Sonderprüfungen oder im Extremfall der Entzug der Banklizenz. In der Praxis wurden bereits mehrfach Bußgelder im Millionenbereich gegen Finanzinstitute verhängt.

Die DSGVO gewährt Betroffenen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Banken müssen dafür klare Prozesse einrichten, die Anfragen innerhalb eines Monats beantworten. Eine besondere Herausforderung entsteht durch Aufbewahrungspflichten aus dem GwG und der Abgabenordnung, die einer sofortigen Löschung entgegenstehen können. Hier ist eine differenzierte Löschstrategie notwendig.

Banken sind in der Regel verpflichtet, einen Datenschutzbeauftragten (DSB) zu bestellen, sowohl nach DSGVO (Art. 37) als auch nach BDSG. Der DSB überwacht die Einhaltung der Datenschutzvorschriften, berät bei Datenschutz-Folgenabschätzungen, schult Mitarbeiter und dient als Anlaufstelle für Betroffene und Aufsichtsbehörden. Er muss organisatorisch unabhängig agieren und über Fachwissen im Datenschutz- und Bankrecht verfügen.

Viele Banken transferieren Kundendaten in Drittländer, etwa durch Cloud-Dienste, konzerninternen Datenaustausch oder Zahlungsabwicklung. Die DSGVO erlaubt solche Transfers nur unter bestimmten Bedingungen: Angemessenheitsbeschlüsse der EU-Kommission, Standardvertragsklauseln (SCC) oder verbindliche interne Datenschutzvorschriften (BCR). Seit dem Schrems-II-Urteil müssen Banken zusätzlich eine Transfer-Folgenabschätzung durchführen.