Datenschutzregeln auf Kunden- und Portfoliodaten anwenden

Ein einziges Onboarding im High-Net-Worth-Segment kann 40 oder mehr Datenkopien erzeugen. Der Passscan des Kunden liegt in Ihrem CRMCRMCustomer Relationship Management: Software und Strategie, um Kundeninteraktionen über den gesamten Lifecycle zu steuern und zu analysieren.Vollständige Definition ansehen → (Customer Relationship Management System), das Diagramm zum wirtschaftlich Berechtigten in einer KYC-Akte (Know Your Customer), die Bestände fließen nächtlich zu einer Depotbank, und ein Reporting-Dienstleister zieht sich einen Ausschnitt von allem, um Quartalsberichte zu erstellen. Jeder dieser Schritte ist ein Moment, in dem GDPRGDPREU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.Vollständige Definition ansehen →, CCPA oder MiFID II zuschlagen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen. Diese Lektion verfolgt diesen Fluss und zeigt Ihnen die Checks, die ihn sauber halten.

Die drei Regelwerke, die Sie nicht ignorieren können

Sie jonglieren gleichzeitig mit Datenschutzrecht und branchenspezifischem Datenrecht. Beide überschneiden sich und widersprechen sich manchmal.

GDPR (General Data Protection Regulation, DSGVO) ist das EU-Datenschutzrecht, durchgesetzt von nationalen Datenschutzbehörden (zum Beispiel der CNIL in Frankreich, der ICO in Großbritannien unter der nahezu identischen UK GDPR). Sie regelt alle „personenbezogenen Daten“ über eine identifizierbare Person: Namen, Passnummern und vor allem Angaben zum wirtschaftlich Berechtigten, die auf einen realen Menschen verweisen. Bußgelder reichen bis zu 4 % des weltweiten Jahresumsatzes.

CCPA/CPRA (California Consumer Privacy Act, geändert durch den California Privacy Rights Act) gibt Einwohnern Kaliforniens Rechte auf Auskunft, Löschung und Opt-out vom Verkauf oder der Weitergabe ihrer personenbezogenen Daten. Durchgesetzt von der California Privacy Protection Agency und dem Attorney General des Bundesstaats. ErErDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → gilt für Ihre US-Kunden, auch wenn Ihr Fonds in New York sitzt.

MiFID II (Markets in Financial Instruments Directive II) ist EU-Finanzregulierung. Ihr Datenaspekt: Sie *verlangt* von Firmen, Aufzeichnungen über Kundenaufträge, Kommunikation und Geeignetheitsprüfungen mindestens fünf Jahre aufzubewahren (und bis zu sieben, wenn eine nationale Aufsicht das fordert). Ähnliche Aufbewahrungspflichten bestehen in den USA nach SEC Rule 17a-4 und FINRA-Regeln.

Hier ist der Konflikt in einem Satz: GDPR sagt minimieren und löschen, MiFID II und SEC-Regeln sagen aufbewahren. Ein Kunde, der sein „Recht auf Löschung“ geltend macht, kann keinen Handelsdatensatz tilgen, den Sie gesetzlich aufbewahren müssen. Sie erfüllen die Aufbewahrungspflicht, dokumentieren warum, und löschen nur die Daten, die außerhalb davon liegen.

Den Daten folgen: eine Kundin, drei Systeme

Stellen Sie sich Maria vor, Kundin eines EU-Asset-Managers, investiert über ein Vermögensverwaltungsmandat.

Station 1: das CRM

Ihr CRM enthält Marias Kontaktdaten, Risikoprofil und einen Vermerk, dass sie im Umfeld einer „politisch exponierten Person“ steht (Familienangehörige eines Amtsträgers). Nach GDPR ist dieses PEP-Flag sensibler Kontext. Check: Wer in der Firma kann es sehen? Zugriff sollte rollenbasiert sein, nicht „jeder im Vertrieb“.

Station 2: die KYC- und UBO-Akte

Maria investiert über eine Holdinggesellschaft. Ihre KYC-Akte bildet den UBO (Ultimate Beneficial Owner) ab: den realen Menschen, der die Einheit letztlich besitzt oder kontrolliert, typischerweise ab einer Schwelle von 25 % nach EU-Geldwäscheregeln. Das sind personenbezogene Daten über Maria *und* über ihre Mitgesellschafter.

Die Falle: UBO-Daten, die zur Geldwäscheprävention erhoben wurden, dürfen nicht frei für Marketing weiterverwendet werden. Der Grundsatz der Zweckbindung in der GDPR bedeutet, dass Daten, die zu einem angegebenen Zweck erhoben wurden, an diesen Zweck gebunden bleiben.

Station 3: die Depotbank

Ihre Depotbank (denken Sie an State Street, BNY oder Northern Trust) verwahrt die Vermögenswerte und erhält Marias Bestands- und Identitätsdaten zur Abwicklung von Trades. Das ist eine Übermittlung zwischen Verantwortlichen. Sie brauchen einen Auftragsverarbeitungs- oder Controller-to-Controller-Vertrag, der festlegt, was damit geschehen darf.

Stehen die Server der Depotbank in den USA, kommt eine internationale Übermittlung hinzu. Seit 2023 läuft das über das EU-US Data Privacy Framework oder über Standardvertragsklauseln, wenn der Anbieter nicht selbstzertifiziert ist. Check: Bestätigen Sie den Zertifizierungsstatus des Anbieters, bevor Daten die EU verlassen.

Station 4: der Reporting-Dienstleister

Ein externer Dienstleister zieht Marias Bestände, um ihren Quartalsbericht zu erstellen. Hier ist der Dienstleister ein Auftragsverarbeiter: Er handelt nur auf Ihre Weisung. GDPR Artikel 28 verlangt einen schriftlichen Vertrag, der ihn an Ihre Weisungen, Sicherheitsstandards und Löschpflichten bindet.

Das häufigste Leck in der Praxis ist kein Hacker. Es ist eine Tabelle mit Kundenbeständen, unverschlüsselt an einen Analysten des Dienstleisters gemailt, oder eine Testumgebung, die mit echten Produktionsdaten befüllt wurde.

Data GovernanceData GovernanceData Governance umfasst die Regeln, Rollen und Prozesse, die sicherstellen, dass Daten in einer Organisation korrekt, sicher, klar definiert und verantwortungsvoll genutzt werden.Vollständige Definition ansehen →: Wer verantwortet was

Governance heißt, schriftlich festzulegen, wer für welchen Datenbestand verantwortlich ist.

• Controller vs. Processor. Sie (der Asset Manager) sind in der Regel der Controller: Sie entscheiden, warum und wie Daten verarbeitet werden. Depotbanken und Reporting-Dienstleister sind häufig Processor, wobei eine Depotbank für ihre eigenen aufsichtsrechtlichen Aufzeichnungen Mitverantwortlicher sein kann. Die richtige Einordnung entscheidet über die Haftung.
• Data Lineage. Eine dokumentierte Karte, woher jedes Feld stammt, wohin es fließt und warum. Wenn Ihre Aufsicht fragt „Wohin gehen Marias UBO-Daten?“, sollten Sie in Minuten antworten, nicht in Wochen.
• Aufbewahrungsplan. Eine Tabelle, die jeden Datentyp mit seiner gesetzlichen Aufbewahrungsfrist und seinem Löschauslöser verknüpft. Handelsdaten: mindestens fünf Jahre (MiFID II). Marketingdaten eines abgelehnten Interessenten: deutlich früher löschen.
• RoPA (Record of Processing Activities, Verzeichnis von Verarbeitungstätigkeiten). GDPR Artikel 30 verlangt von den meisten Firmen dieses Verzeichnis. Es ist zugleich das nützlichste Governance-Artefakt, das Sie aufbauen können.

Die britische ICO veröffentlicht einen verständlichen Leitfaden zu Accountability und Governance, den man sich merken sollte.

Praktische Checks und Audits

Governance auf dem Papier bringt nichts ohne wiederkehrende Checks. Hier ein praxistauglicher Satz.

1. Zugriffsreview (quartalsweise)

Ziehen Sie die Liste aller Personen mit Lesezugriff auf KYC- und Bestandsdaten. Markieren Sie jeden, der die Rolle gewechselt hat oder ausgeschieden ist. Zu weit gefasste Zugriffsrechte sind das häufigste Prüfungsergebnis in Datenschutz-Reviews im Asset Management.

2. Abgleich der Datenflüsse

Vergleichen Sie Ihre dokumentierte Lineage mit der Realität. Fragen Sie Ihre Systeme ab: Erhält der Reporting-Dienstleister tatsächlich nur die Felder, die Ihr Vertrag erlaubt?

Ein einfacher Check auf einen ausgehenden Datenextrakt:

# Fields the vendor is contractually allowed to receive
allowed = {"client_id", "portfolio_id", "holding_name", "market_value", "as_of_date"}

extract_columns = set(outbound_file.columns)
leaked = extract_columns - allowed

if leaked:
    raise ValueError(f"Extract contains unauthorized fields: {leaked}")

Wenn leaked {"passport_number", "ubo_name"} zurückgibt, haben Sie gerade einen Datenschutzvorfall abgefangen, bevor er das Haus verlassen hat.

3. Retention-Sweep

Lassen Sie eine Abfrage auf Datensätze laufen, deren Aufbewahrungsfrist abgelaufen ist und für die kein Legal Hold besteht. Handelsdaten innerhalb des Fünfjahresfensters nach MiFID II bleiben; ein Interessent, der nie konvertiert hat, dessen Daten drei Jahre alt sind und der unter keine Aufbewahrungspflicht fällt, sollte gelöscht werden.

4. Bereitschaft für Betroffenenrechte

Stoppen Sie die Zeit bei einem simulierten DSAR (Data Subject Access Request): ein Kunde fragt alle Daten an, die Sie über ihn halten. GDPR gibt Ihnen einen Monat. Wenn Sie Marias Daten nicht innerhalb dieses Fensters über CRM, KYC und Dienstleistersysteme hinweg zusammenstellen können, reparieren Sie zuerst die Lineage.

5. Vendor- und Transfer-Audit

Bestätigen Sie jährlich die Sicherheitszertifizierungen jedes Processors, seinen Data-Privacy-Framework-Status und seine Liste der Unterauftragsverarbeiter. Depotbanken und Reporting-Dienstleister wechseln Unterauftragsverarbeiter; verantwortlich bleiben Sie.

Wenn die Regeln kollidieren: durchgerechnetes Szenario

Maria schreibt: „Löschen Sie alles, was Sie über mich haben. Ich mache mein Recht auf Löschung geltend.“

Gehen wir es durch:

1. Handels- und Orderdaten der letzten fünf Jahre: aufbewahren. Die MiFID-II-Aufzeichnungspflicht ist eine rechtliche Verpflichtung und damit ein gültiger GDPR-Grund, die Löschung zu verweigern. Dokumentieren Sie die Ablehnung und den Grund.
2. KYC/UBO-Akte: aufbewahren für die gesetzliche Geldwäschefrist (nach EU-AML-Regeln üblicherweise fünf Jahre nach Ende der Geschäftsbeziehung), danach löschen.
3. Marketingpräferenzen und weiche CRM-Daten, die an keine rechtliche Pflicht gebunden sind: löschen, und Maria innerhalb eines Monats bestätigen.
4. Kopien beim Reporting-Dienstleister: Weisen Sie den Processor an, seine Kopie der löschbaren Daten zu löschen, und holen Sie sich eine Bestätigung.

Beachten Sie: Die Antwort lautet nie „alles löschen“ oder „alles behalten“. Es ist eine Entscheidung Feld für Feld, getrieben von Ihrem Aufbewahrungsplan. Dieser Plan ist das Rückgrat der Governance, das eine stressige Anfrage zur Routine macht.

Wichtigste Erkenntnisse

• Aufbewahrung schlägt Löschung, wo das Gesetz es verlangt. Aufbewahrungspflichten aus MiFID II und SEC Rule 17a-4 gehen bei regulierten Aufzeichnungen dem GDPR-Löschverlangen eines Kunden vor. Entscheiden Sie Feld für Feld und dokumentieren Sie die Ablehnung.
• Ordnen Sie jede Partei korrekt ein. Controller versus Processor bestimmt die Haftung. Depotbanken und Reporting-Dienstleister brauchen Artikel-28-Verträge und, bei US-Servern, einen gültigen Übermittlungsmechanismus wie das EU-US Data Privacy Framework.
• UBO- und KYC-Daten sind zweckgebunden. Zur Geldwäscheprävention erhobene Daten dürfen nicht für Marketing weiterverwendet werden. Verstöße gegen die Zweckbindung sind häufig und vermeidbar.
• Führen Sie die fünf Checks durch: Zugriffsreview, Abgleich der Datenflüsse, Retention-Sweep, DSAR-Bereitschaft und Vendor-/Transfer-Audit. Ein Check auf Feldebene bei ausgehenden Extrakten fängt Lecks ab, bevor sie das Haus verlassen.
• Ein RoPA plus Aufbewahrungsplan macht aus Chaos Routine. Wenn Sie Marias Daten nicht in Minuten über CRM, Depotbank und Dienstleister nachverfolgen können, ist das Ihr erstes Projekt.