Wie das Datenschutzrecht tatsächlich begrenzt, was Banken mit Daten tun dürfen

# Wie das Datenschutzrecht tatsächlich begrenzt, was Banken mit Daten tun dürfen

Sie ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen →öffnen ein Girokonto bei einer mittelgroßen US-Bank. Tief im Kontovertrag ist ein KKDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →ästchen bereits angekreuzt: "Transaktionsdaten mit Marketingpartnern teilen." Achtzehn Monate später weiß dieselbe Bank, dass Sie im letzten Monat dreimal Babymöbel gekauft haben. Ihr Marketingteam will Ihnen ein Privatkreditangebot für den Umbau eines Kinderzimmers schicken. Dürfen sie das rechtlich?

Die Antwort lautet: Es kommt darauf an, welche Daten genau, welche Jurisdiktion, welcher Consent-Screen und welche nachgelagerte Nutzung. Dieses "es kommt darauf an" ist die ganze Lektion. Verfolgen wir den Consent-Trail.

Der Consent-Trail: von der Kontoeröffnung bis zur Marketing-E-Mail

Schritt 1: Kontoeröffnung. Die Bank erhebt Ihren Namen, Ihre Adresse, Ihre Social Security Number (SSN) oder nationale ID, Ihr Einkommen und die Ersteinlage. In den USA regelt das zum Teil der Gramm-Leach-Bliley Act (GLBA, 1999), der Banken verpflichtet, Kunden einen Datenschutzhinweis zu geben und ihnen bei bestimmten Weitergaben an Dritte eine Opt-out-Möglichkeit (kein Opt-in) einzuräumen.

Schritt 2: Transaktionen sammeln sich an. Jede Kartenzahlung, jeder Gehaltseingang, jede Rechnungszahlung erzeugt einen Datenpunkt. Hier wird es interessant: Transaktionsdaten offenbaren Einkommensmuster, Gesundheitszustände (Apothekenkäufe), Religionszugehörigkeit (Spenden) und Familienstatus (Kinderbetreuungszahlungen), ohne dass Sie das je angegeben hätten.

Schritt 3: Marketing will mitmischen. Das Team will ein "Life Event"-Modell bauen: eine wahrscheinliche Schwangerschaft oder ein neues Kind aus Ausgabenmustern erkennen und dann ein zielgerichtetes Kreditangebot auslösen. Technisch liegen die Transaktionsdaten längst im Warehouse der Bank. Die Frage ist, ob *diese Art der Nutzung* rechtmäßig ist.

Das ist die Lücke, die den meisten nicht-technischen Bankern entgeht: Daten zu besitzen und eine Rechtsgrundlage für einen bestimmten Nutzungszweck zu haben, sind zwei verschiedene Dinge.

Wo die DSGVO das blockiert (wenn ein Kunde in der EU/UK ist)

Die Datenschutz-Grundverordnung (DSGVO), die in der gesamten EU/EWR gilt (und nach dem Brexit von der UK GDPR gespiegelt wird), verlangt für jeden Verarbeitungszweck eine bestimmte Rechtsgrundlage, nicht nur eine pauschale Grundlage für "eine Beziehung mit Ihnen zu haben".

Kontoeröffnung und Zahlungsabwicklung fallen unter "Vertragserfüllung", dafür braucht es keine zusätzliche Einwilligung. Aus Ausgaben auf eine Schwangerschaft oder ein Life Event zu schließen und das für Marketing zu nutzen, ist dagegen ein *neuer, nicht vereinbarer Zweck*. Nach Artikel 6 DSGVO erfordert das in der Regel eine freiwillig erteilte, spezifische, informierte Einwilligung oder zumindest eine Interessenabwägung, die eine Aufsichtsbehörde dokumentiert sehen will.

Entscheidend: Die DSGVO beschränkt außerdem besondere Kategorien personenbezogener Daten (Artikel 9): Gesundheit, Religion, sexuelle Orientierung usw. Wenn das abgeleitete "Schwangerschaftssignal" als Gesundheitsdatum gilt, ist die Nutzung für Marketing im Grundsatz verboten, es sei denn, der Kunde hat ausdrücklich in genau diese Ableitung eingewilligt. Ein vorangekreuztes KKDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →ästchen bei der Kontoeröffnung reicht dafür nicht. Die DSGVO sagt ausdrücklich, dass Einwilligung eine bestätigende Handlung sein muss, Schweigen oder vorangekreuzte KKDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →ästchen sind unwirksam (ICO-Leitlinien zur Einwilligung).

Das Bußgeldrisiko ist real: DSGVO-Bußgelder kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen 4 % des weltweiten Jahresumsatzes erreichen. 2024 verhängte die irische Data Protection Commission gegen Meta 251 Millionen Euro wegen eines vergleichbaren Einwilligungsverstoßes, nicht im Bankenbereich, aber mit demselben rechtlichen Mechanismus.

Wo CCPA/CPRA das blockiert (USA, Einwohner Kaliforniens)

Der California Consumer Privacy Act (CCPA), verschärft durch den California Privacy Rights Act (CPRA, wirksam seit 2023), funktioniert anders: Für die meisten Daten gilt ein Opt-out, aber für "sensitive personal information" ist eine Opt-in-Einwilligung erforderlich, eine Kategorie, die präzise Geolokalisierung und wohl auch abgeleitete Gesundheitsdaten umfasst.

Banken bekommen eine teilweise Ausnahme: Daten, die bereits unter GLBA reguliert sind, sind in vielen Fällen vom CCPA ausgenommen. Die Ausnahme gilt aber für GLBA-abgedeckte *finanzielle* Nutzungen, nicht für sekundäre Marketing-Inferenzen, die darauf aufgesetzt werden. Ein Marketingteam, das aus Transaktionsdaten ein Schwangerschaftsprognosemodell baut, verlässt wohl den GLBA-Ausnahmebereich und landet wieder im CCPA-Terrain, wo kalifornische Einwohner das Recht haben, dem "Verkauf oder Teilen" personenbezogener Daten zu widersprechen, auch für kontextübergreifende verhaltensbasierte Werbung.

Andere US-Bundesstaaten sind ebenfalls relevant: Virginia (VCDPA), Colorado (CPACPACost Per Acquisition: die Gesamtkosten, um einen Kunden oder eine Conversion zu erzeugen, berechnet als Gesamtausgaben geteilt durch die Anzahl der Acquisitions.Vollständige Definition ansehen →) und weitere haben Stand 2026 ähnliche Einwilligungsregeln für sensible Daten, auch wenn es in den USA weiterhin kein einheitliches Bundesdatenschutzgesetz gibt.

Wo Open-Banking-Regeln das blockieren

Open Banking-Frameworks (der Open-Banking-Standard des UK unter der Competition and Markets Authority sowie PSD2/die überarbeitete Zahlungsdiensterichtlinie der EU; in den USA die 2024 finalisierte Section-1033-Regel des CFPB zu personal financial data rights) regeln Daten, die eine Bank *von* anderen Instituten per APIAPIApplication Programming Interface: eine standardisierte Schnittstelle, über die Anwendungen kommunizieren und Daten austauschen, ohne die interne Funktionsweise der jeweils anderen zu kennen.Vollständige Definition ansehen → erhält, wenn ein Kunde Konten verknüpft.

Die Kernregel: Daten, die unter Open-Banking-Consent geteilt werden, sind von vornherein zweckgebunden. Wenn ein Kunde sein Sparkonto mit einer Budgeting-App verbindet, hat dieser Datenfluss einen bestimmten Consent-Scope, im UK Open Banking typischerweise 90 Tage, verlängerbar. Eine Bank darf Daten, die sie über eine Open-Banking-Datenteilung erhalten hat, nicht ohne neue, spezifische Einwilligung für unabhängiges internes Marketing umwidmen. Die US-CFPB-Regel (sobald vollständig in Kraft) beschränkt Datenempfänger ähnlich darin, vom Verbraucher autorisierte Daten für Sekundärzwecke wie zielgerichtete Werbung ohne gesonderte Autorisierung zu nutzen (Zusammenfassung der CFPB-Regel).

Die praktische Governance-Ebene: Was Banken tatsächlich bauen

Weil die Regeln je nach Jurisdiktion, Datentyp und Zweck unterschiedlich sind, kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen Banken sich bei jeder Marketingkampagne nicht allein auf juristische Einschätzungen verlassen. Sie bauen Data-Governance-Infrastruktur:

• Purpose Tagging: Jedes Datenfeld wird bei der Ingestion mit der Rechtsgrundlage und den zulässigen Use Cases getaggt. Transaktionsdaten mit dem Tag "nur Zahlungsabwicklung" kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen ohne Governance-Override nicht in einen Marketing-Feature-Store fließen.
• Consent Management Platforms (CMPs): zentrale Systeme, die nachhalten, worin jeder Kunde wann und zu welchem Zweck eingewilligt hat, damit Marketing-Abfragen Zielgruppen vor dem Kampagnenstart filtern kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen.
• Data-Lineage-Tracking: dokumentiert, woher ein Datenfeld stammt und welche Systeme es durchlaufen hat, notwendig, um Auskunftsersuchen von Aufsichtsbehörden oder Kunden nach Artikel 15 DSGVO oder CCPA zu beantworten.

Eine vereinfachte Purpose-Tagging-Prüfung kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnte in einer Data-PipelinePipelineAlle aktiven Verkaufschancen über die Phasen des Vertriebsprozesses hinweg, zusammen mit ihrem gesamten potenziellen Wert und ihrer Abschlusswahrscheinlichkeit.Vollständige Definition ansehen → so aussehen:

def can_use_for_marketing(record):
    if record['data_source'] == 'open_banking_api':
        return record['consent_scope'] == 'marketing' and not record['consent_expired']
    if record['contains_sensitive_inference']:
        return record['explicit_opt_in'] is True
    return record['gdpr_lawful_basis'] in ('consent', 'legitimate_interest_documented')

Das ist ein Spielzeugbeispiel, aber es spiegelt die reale Logik, die Banken einbauen: Die Prüfung findet statt, bevor die Kampagne läuft, nicht nachdem eine Aufsichtsbehörde fragt.

Die Audits, die Verstöße tatsächlich aufdecken

Eine Governance-Policy ist nur so gut wie das Audit, das sie überprüft. Drei Prüfungen, die das Daten-/Compliance-Team einer Bank regelmäßig durchführt:

1. Abgleich von Consent und Nutzung: Stichproben aus Zielgruppenlisten von Marketingkampagnen ziehen und jeden Kundendatensatz auf eine dokumentierte, nicht abgelaufene Einwilligung für genau diesen Zweck zurückführen. Abweichungen sind der mit Abstand häufigste Befund in Untersuchungen europäischer Datenschutzbehörden (DPA).

2. Scans auf Leakage besonderer Datenkategorien: automatisierte Scans von Feature Stores und Marketing-Datensätzen nach Feldern, die mit Gesundheit, Religion oder anderen geschützten Kategorien korrelieren, auch wenn sie nicht ausdrücklich so bezeichnet sind (ein Flag für "Merchant Category Code Babyprodukte" ist ein Proxy für eine geschützte Inferenz).

3. Prüfung grenzüberschreitender Übermittlungen: Wenn der Marketing-Analytics-Dienstleister einer US-Bank Daten von EU-Kunden verarbeitet, verlangt Kapitel V DSGVO einen gültigen Übermittlungsmechanismus (Standardvertragsklauseln oder die Stützung auf Angemessenheitsbeschlüsse wie das EU-US Data Privacy Framework, geltend seit 2023 und weiterhin gerichtlich angefochten).

Wichtigste Erkenntnisse

• Besitz ist keine Erlaubnis. Eine Bank darf Transaktionsdaten rechtmäßig für die Zahlungsabwicklung vorhalten und zugleich rechtlich daran gehindert sein, dieselben Daten für eine Marketing-Inferenz zu nutzen, weil die Rechtsgrundlage vom *Zweck* abhängt, nicht vom Datensatz.
• Die DSGVO verlangt für sensible Inferenzen eine zweckspezifische, ausdrückliche Einwilligung (etwa bei gesundheitsnahen Life Events); vorangekreuzte KKDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →ästchen oder gebündelte Einwilligungen bei der Kontoeröffnung genügen nicht.
• CCPA/CPRA ist standardmäßig Opt-out, aber Opt-in für sensitive personal information, und GLBA-Ausnahmen decken sekundäre Marketingnutzungen auf Basis von Finanzdaten in der Regel nicht ab.
• Open-Banking-Consent ist von vornherein zweck- und zeitgebunden; Daten, die per APIAPIApplication Programming Interface: eine standardisierte Schnittstelle, über die Anwendungen kommunizieren und Daten austauschen, ohne die interne Funktionsweise der jeweils anderen zu kennen.Vollständige Definition ansehen → für einen Zweck (etwa Budgeting) abgerufen wurden, dürfen nicht stillschweigend für Marketing umgewidmet werden.
• Governance ist operativ, nicht nur juristisch: Purpose Tagging, Consent Management Platforms und Data-Lineage-Tools machen aus abstrakten regulatorischen Pflichten Prüfungen auf PipelinePipelineAlle aktiven Verkaufschancen über die Phasen des Vertriebsprozesses hinweg, zusammen mit ihrem gesamten potenziellen Wert und ihrer Abschlusswahrscheinlichkeit.Vollständige Definition ansehen →-Ebene, die vor dem Kampagnenstart laufen und nicht erst, wenn das Bußgeld kommt.