FIDA Consent Management Solution

Ein FIDA Permission Dashboard ist eine Online-Oberfläche, die Dateninhaber (Banken, Versicherer, Finanzdienstleister) jedem Kunden bereitstellen müssen. Über das Dashboard können Kunden alle aktiven Zugriffsberechtigungen einsehen, die sie Datennutzern (z. B. FinTechs oder Vergleichsportalen) erteilt haben. Das Dashboard muss den Namen des Datennutzers, das betroffene Kundenkonto, den Zweck und die Dauer der Einwilligung anzeigen. Kunden müssen erteilte Freigaben jederzeit widerrufen können. Die FIDA-Verordnung schreibt dieses Dashboard verbindlich vor, die Nichteinhaltung kann zu Sanktionen und zum Ausschluss aus Financial Data Sharing Schemes führen.

FIDA verlangt granulare Einwilligungsmöglichkeiten: Kunden müssen wählen können, ob sie nur Basisinformationen (z. B. Kontosalden) oder auch detaillierte Transaktionshistorien freigeben. Die Einwilligung muss zweckgebunden sein, der Kunde muss wissen, wofür seine Daten verwendet werden. Zudem muss die Dauer der Freigabe klar definiert sein. Das System muss Benachrichtigungen senden, wenn Einwilligungen ablaufen oder neue Zugriffsanfragen eingehen. Diese granulare Steuerung geht deutlich über die PSD2-Anforderungen hinaus, die nur Ja/Nein-Entscheidungen für Zahlungskontodaten vorsahen.

FIDA-Einwilligung und DSGVO-Consent sind verwandte, aber unterschiedliche Rechtsgrundlagen. Die DSGVO regelt den allgemeinen Datenschutz und verlangt eine Einwilligung für die Verarbeitung personenbezogener Daten. FIDA regelt spezifisch den Zugang zu Finanzdaten und verlangt eine zusätzliche Kundenfreigabe für die Datenweitergabe an Dritte. Ein Consent-Management-System muss beide Anforderungen integriert abbilden: die DSGVO-Einwilligung für die Datenverarbeitung und die FIDA-Freigabe für den Datenzugang. Die Dokumentation beider Einwilligungen muss revisionssicher erfolgen.

Das Consent-Management-System muss Echtzeit-APIs bereitstellen, über die Datennutzer den Consent-Status prüfen können, bevor sie Daten abrufen. Das Permission Dashboard muss als Online-Oberfläche in bestehende Kundenportale oder Mobile-Banking-Apps integrierbar sein. Die Architektur muss granulare Berechtigungen auf Ebene einzelner Datenkategorien abbilden (Konten, Transaktionen, Versicherungspolicen, Investments). Ein Audit-Trail muss alle Einwilligungen, Änderungen und Widerrufe nachvollziehbar dokumentieren. Die Schnittstellen müssen die im FDSS vereinbarten technischen Standards erfüllen.

FIDA erweitert den Datenzugang weit über PSD2 hinaus. Unter die Consent-Pflicht fallen: Zahlungskonten und Transaktionsdaten (bereits unter PSD2), Spareinlagen und Festgeldkonten, Kredite und Hypotheken, Versicherungsverträge und Schadensdaten, Altersvorsorgeprodukte und Rentenansprüche, Wertpapiere und Investmentfonds, sowie Krypto-Assets und digitale Vermögenswerte. Für jede Datenkategorie müssen separate Einwilligungsoptionen bereitgestellt werden, damit Kunden gezielt entscheiden können, welche Daten sie mit welchem Datennutzer teilen.

FIDA schreibt vor, dass Kunden erteilte Datenfreigaben jederzeit und ohne Angabe von Gründen widerrufen können. Der Widerruf muss über das Permission Dashboard mit einem einfachen Vorgang möglich sein. Nach einem Widerruf muss der Datenzugang für den betroffenen Datennutzer unverzüglich gesperrt werden. Das System muss den Datennutzer über den Widerruf informieren und sicherstellen, dass keine weiteren Datenabrufe erfolgen. Der Widerruf muss im Audit-Trail dokumentiert werden. Bei der Umsetzung ist zu beachten, dass der Widerruf einer FIDA-Freigabe unabhängig von der DSGVO-Einwilligung wirkt.

Die Integration erfolgt typischerweise in drei Ebenen: Erstens wird das Permission Dashboard in das bestehende Online-Banking oder Kundenportal eingebettet, um eine nahtlose Nutzererfahrung zu gewährleisten. Zweitens wird eine Consent-API-Schicht aufgebaut, die zwischen den internen Systemen und den externen FDSS-Schnittstellen vermittelt. Drittens wird das bestehende DSGVO-Consent-Management erweitert, um FIDA-spezifische Einwilligungen und Widerrufe abzubilden. Bestehende PSD2-Infrastruktur (z. B. Kontoinformations-APIs) kann als Grundlage dienen, muss aber für die erweiterten FIDA-Datenkategorien ausgebaut werden.