Wie Datenschutzrecht tatsächlich einschränkt, was Banken mit Daten machen dürfen

Sie ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen →öffnen ein Girokonto bei einer mittelgroßen US-Bank. Irgendwo in den Kontobedingungen ist ein Häkchen schon gesetzt: „Transaktionsdaten mit Marketingpartnern teilen." Achtzehn Monate später weiß dieselbe Bank, dass Sie im letzten Monat dreimal Babymöbel gekauft haben. Ihr Marketingteam möchte Ihnen ein Privatkreditangebot für die Renovierung des Kinderzimmers schicken. Dürfen sie das rechtlich?

Die Antwort lautet: es hängt davon ab, welche Daten genau, welche Jurisdiktion, welcher Consent-Screen und welche nachgelagerte Nutzung. Dieses „es hängt davon ab" ist die ganze Lektion. Verfolgen wir den Consent-Pfad.

Der Consent-Pfad: von der Kontoeröffnung zur Marketing-E-Mail

Schritt 1: Kontoeröffnung. Die Bank erhebt Ihren Namen, Ihre Adresse, Ihre Social Security Number (SSN) oder nationale Kennnummer, Ihr Einkommen und Ihre Ersteinzahlung. In den USA regelt dies teilweise der Gramm-Leach-Bliley Act (GLBA, 1999), der Banken verpflichtet, Kunden eine Datenschutzmitteilung zu geben und bei bestimmten Weitergaben an Dritte eine Opt-out-Möglichkeit (kein Opt-in) anzubieten.

Schritt 2: Transaktionen summieren sich. Jede Kartenzahlung, jeder Lohneingang und jede Rechnungszahlung erzeugt einen Datenpunkt. Hier wird es interessant: Transaktionsdaten offenbaren Einkommensmuster, Gesundheitszustände (Apothekenkäufe), Religionszugehörigkeit (Spenden) und Familienstatus (Kinderbetreuungszahlungen), ohne dass Sie irgendetwas davon jemals angegeben hätten.

Schritt 3: Marketing will mitspielen. Das Team will ein „Life Event"-Modell bauen: eine wahrscheinliche Schwangerschaft oder ein neues Kind aus Ausgabemustern erkennen und dann ein zielgerichtetes Kreditangebot auslösen. Technisch liegen die Transaktionsdaten längst im Warehouse der Bank. Die Frage ist, ob *diese Art der Nutzung* rechtmäßig ist.

Das ist die Lücke, die die meisten nicht-technischen Banker übersehen: Daten zu besitzen und eine Rechtsgrundlage für deren Nutzung zu einem bestimmten Zweck zu haben, sind zwei verschiedene Dinge.

Wo die DSGVODSGVOEU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.Vollständige Definition ansehen → das blockiert (wenn Kunden in der EU/UK sind)

Die Datenschutz-Grundverordnung (DSGVO), die in der EU/im EWR gilt (und nach dem Brexit von der UK GDPR gespiegelt wird), verlangt für jeden Verarbeitungszweck eine spezifische Rechtsgrundlage, nicht nur eine pauschale Grundlage dafür, „eine Beziehung zu Ihnen zu haben".

Die Kontoeröffnung und die Zahlungsabwicklung fallen unter „Vertragserfüllung", dafür ist keine zusätzliche Einwilligung nötig. Aber aus Ausgaben eine Schwangerschaft oder ein Life Event abzuleiten und das für Marketing zu nutzen, ist ein *neuer, unvereinbarer Zweck*. Nach Artikel 6 DSGVO erfordert das in der Regel eine freiwillig erteilte, spezifische, informierte Einwilligung oder mindestens eine Interessenabwägung, die eine Aufsichtsbehörde dokumentiert sehen müsste.

Entscheidend: Die DSGVO beschränkt zudem besondere Kategorien personenbezogener Daten (Artikel 9): Gesundheit, Religion, sexuelle Orientierung usw. Wenn das abgeleitete „Schwangerschaftssignal" als gesundheitsbezogenes Datum gilt, ist die Marketingnutzung im Grundsatz verboten, sofern der Kunde nicht ausdrücklich in genau diese Ableitung eingewilligt hat. Ein vorab gesetztes Häkchen bei der Kontoeröffnung genügt dafür nicht. Die DSGVO sagt ausdrücklich, dass Einwilligung eine aktive Handlung sein muss, Schweigen oder vorab gesetzte Häkchen sind unwirksam (ICO-Leitlinien zur Einwilligung).

Das Bußgeldrisiko ist real: DSGVO-Bußgelder können 4 % des globalen Jahresumsatzes erreichen. 2024 verhängte die irische Data Protection Commission gegen Meta 251 Millionen Euro wegen eines vergleichbaren Einwilligungsverstoßes, ohne Bezug zum Bankgeschäft, aber mit demselben rechtlichen Mechanismus.

Wo CCPA/CPRA das blockiert (USA, Einwohner Kaliforniens)

Der California Consumer Privacy Act (CCPA), verstärkt durch den California Privacy Rights Act (CPRA, gültig ab 2023), funktioniert anders: Für die meisten Daten gilt ein Opt-out, für „sensitive personal information" ist jedoch ein Opt-in erforderlich, eine Kategorie, die präzise Geolokalisierung und, mit guten Argumenten, aus Gesundheitsdaten abgeleitete Informationen umfasst.

Banken erhalten eine teilweise Ausnahme: Daten, die bereits unter GLBA reguliert sind, sind in vielen Fällen vom CCPA ausgenommen. Die Ausnahme gilt aber für GLBA-gedeckte *finanzielle* Nutzungen, nicht für darauf aufgesetzte sekundäre Marketing-Ableitungen. Ein Marketingteam, das aus Transaktionsdaten ein Schwangerschaftsprognosemodell baut, verlässt damit wohl die GLBA-Ausnahme und landet wieder im CCPA-Bereich, wo Einwohner Kaliforniens das Recht haben, dem „Verkauf oder Teilen" personenbezogener Daten zu widersprechen, auch für kontextübergreifende verhaltensbasierte Werbung.

Andere US-Bundesstaaten spielen ebenfalls eine Rolle: Virginia (VCDPA), Colorado (CPACPACost Per Acquisition: die Gesamtkosten, um einen Kunden oder eine Conversion zu erzeugen, berechnet als Gesamtausgaben geteilt durch die Anzahl der Acquisitions.Vollständige Definition ansehen →) und weitere haben Stand 2026 ähnliche Einwilligungsregeln für sensible Daten, wobei es in den USA weiterhin kein einheitliches Bundesdatenschutzgesetz gibt.

Wo Open-Banking-Regeln das blockieren

Open Banking-Rahmenwerke (der Open-Banking-Standard in UK unter der Competition and Markets Authority sowie PSD2/die überarbeitete Zahlungsdiensterichtlinie der EU; in den USA die 2024 finalisierte Section-1033-Regel des CFPB zu Rechten an persönlichen Finanzdaten) regeln Daten, die eine Bank *von* anderen Instituten über APIAPIApplication Programming Interface: eine standardisierte Schnittstelle, über die Anwendungen kommunizieren und Daten austauschen, ohne die interne Funktionsweise der jeweils anderen zu kennen.Vollständige Definition ansehen → erhält, wenn ein Kunde Konten verknüpft.

Die Kernregel: Daten, die unter Open-Banking-Consent geteilt werden, sind von Haus aus zweckgebunden. Verbindet ein Kunde sein Sparkonto mit einer Budgeting-App, hat dieser Datenfluss einen spezifischen Consent-Scope, im UK Open Banking typischerweise 90 Tage, verlängerbar. Eine Bank kann Daten, die über eine Open-Banking-Datenweitergabe erlangt wurden, nicht ohne neue, spezifische Einwilligung für unabhängiges internes Marketing umnutzen. Die US-CFPB-Regel beschränkt (sobald vollständig eingeführt) Datenempfänger ebenfalls darin, vom Verbraucher autorisierte Daten ohne separate Autorisierung für sekundäre Zwecke wie zielgerichtete Werbung zu nutzen (Zusammenfassung der CFPB-Regel).

Die praktische Governance-Ebene: was Banken tatsächlich bauen

Weil die Regeln je nach Jurisdiktion, Datentyp und Zweck variieren, kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen Banken sich nicht bei jeder Marketingkampagne allein auf juristische Einzelfallbeurteilung verlassen. Sie bauen Data-Governance-Infrastruktur:

• Purpose Tagging: Jedes Datenfeld wird bei der Aufnahme mit der Rechtsgrundlage und den erlaubten Use Cases getaggt. Transaktionsdaten mit dem Tag „nur Zahlungsabwicklung" können ohne Governance-Override nicht in einen Marketing-Feature-Store fließen.
• Consent-Management-Plattformen (CMPs): zentrale Systeme, die nachhalten, wozu jeder Kunde wann und zu welchem Zweck eingewilligt hat, damit Marketing-Queries Zielgruppen vor dem Kampagnenstart filtern können.
• Data-Lineage-Tracking: dokumentiert, woher ein Datenfeld kommt und welche Systeme es berührt hat, notwendig zur Beantwortung von Auskunftsanfragen von Aufsichtsbehörden oder Kunden nach Artikel 15 DSGVO oder CCPA.

Eine vereinfachte Purpose-Tagging-Prüfung könnte in einer Data-PipelinePipelineAlle aktiven Verkaufschancen über die Phasen des Vertriebsprozesses hinweg, zusammen mit ihrem gesamten potenziellen Wert und ihrer Abschlusswahrscheinlichkeit.Vollständige Definition ansehen → so aussehen:

def can_use_for_marketing(record):
    if record['data_source'] == 'open_banking_api':
        return record['consent_scope'] == 'marketing' and not record['consent_expired']
    if record['contains_sensitive_inference']:
        return record['explicit_opt_in'] is True
    return record['gdpr_lawful_basis'] in ('consent', 'legitimate_interest_documented')

Das ist ein Spielzeugbeispiel, aber es spiegelt die Logik, die Banken tatsächlich einbauen: die Prüfung findet statt, bevor die Kampagne läuft, nicht nachdem eine Aufsichtsbehörde fragt.

Die Audits, die Verstöße wirklich finden

Eine Governance-Policy ist nur so gut wie das Audit, das sie überprüft. Drei Prüfungen, die das Daten-/Compliance-Team einer Bank regelmäßig fährt:

1. Abgleich von Consent und Nutzung: Stichproben aus Zielgruppenlisten von Marketingkampagnen ziehen und jeden Kundendatensatz auf eine dokumentierte, nicht abgelaufene Einwilligung zurückführen, die genau diesem Zweck entspricht. Abweichungen sind der häufigste Einzelbefund in Untersuchungen europäischer Datenschutzbehörden (DPA).

1. Scans auf Leakage besonderer Kategorien: automatisierte Scans von Feature Stores und Marketing-Datensätzen nach Feldern, die mit Gesundheit, Religion oder anderen geschützten Kategorien korrelieren, auch wenn sie nicht ausdrücklich so gekennzeichnet sind (ein Flag für „Merchant Category Code Babyprodukte" ist ein Proxy für eine geschützte Ableitung).

1. Prüfung grenzüberschreitender Übermittlungen: Verarbeitet der Marketing-Analytics-Dienstleister einer US-Bank Daten von EU-Kunden, verlangt Kapitel V DSGVO einen gültigen Übermittlungsmechanismus (Standardvertragsklauseln oder das Vertrauen auf Angemessenheitsbeschlüsse wie das EU-US Data Privacy Framework, Stand 2023 und weiterhin gerichtlich angefochten).

Zentrale Erkenntnisse

• Besitz ist nicht Erlaubnis. Eine Bank darf Transaktionsdaten rechtmäßig für die Zahlungsabwicklung halten und gleichzeitig rechtlich daran gehindert sein, genau diese Daten für eine Marketing-Ableitung zu nutzen, weil die Rechtsgrundlage vom *Zweck* abhängt, nicht vom Datensatz.
• Die DSGVO verlangt für sensible Ableitungen eine zweckspezifische, ausdrückliche Einwilligung (etwa bei gesundheitsnahen Life Events); vorab gesetzte Häkchen oder gebündelte Einwilligung bei der Kontoeröffnung genügen nicht.
• CCPA/CPRA ist standardmäßig Opt-out, aber Opt-in für sensitive personal information, und GLBA-Ausnahmen decken sekundäre Marketingnutzungen, die auf Finanzdaten aufgesetzt werden, typischerweise nicht ab.
• Open-Banking-Consent ist von Haus aus zweck- und zeitlich begrenzt; Daten, die per API für einen Zweck (etwa Budgeting) gezogen wurden, dürfen nicht stillschweigend für Marketing umgenutzt werden.
• Governance ist operativ, nicht nur juristisch: Purpose Tagging, Consent-Management-Plattformen und Data-Lineage-Tools übersetzen abstrakte regulatorische Pflichten in Prüfungen auf Pipeline-Ebene, die laufen, bevor eine Kampagne startet, nicht nachdem ein Bußgeld kommt.