Datenschutz und Open Finance: DSGVO, CCPA und Consent für Data Sharing

# Datenschutz und Open Finance: DSGVO, CCPA und Consent für Data Sharing

Ein Nutzer verbindet sein Bankkonto mit einer Budget-App. Hinter diesem einen Klick hat die App gerade Pflichten aus mindestens zwei großen Datenschutzregimen, einer Regel zum Zugang zu Bankdaten und möglicherweise einem sektorspezifischen Consent-Standard ausgelöst, je nachdem, wo der Nutzer wohnt. Sagt der Nutzer später „löscht meine Daten“, hat der Aggregator 45 Tage (oder weniger), um nachzuweisen, dass ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → es tatsächlich getan hat. Das ist die operative Realität von Open Finance im Jahr 2026: Consent ist keine Checkbox, sondern ein Compliance-System.

Warum Aggregatoren im Zentrum dieser Lektion stehen

Account-Aggregatoren (Plaid, MX, Yodlee, Tink in Europa) ziehen Transaktionsdaten über APIs (Application Programming Interfaces, die technischen Kanäle, die Banken für den Datenzugriff bereitstellen) von Banken und geben sie an Fintech-Apps weiter: Budget-Tools, Kreditgeber, Robo-Advisors.

Je nach Rolle sind sie unter der DSGVO „Verantwortliche“ oder „Auftragsverarbeiter“, das heißt, sie entscheiden entweder über die Datenverwendung (Verantwortlicher) oder handeln auf Anweisung eines anderen (Auftragsverarbeiter). Diese Unterscheidung bestimmt, wer rechtlich haftet, wenn etwas schiefgeht.

DSGVO: der europäische Grundstandard

Die DSGVO (Datenschutz-Grundverordnung), seit 2018 von nationalen Datenschutzbehörden (DPAs, etwa die irische DPC oder die französische CNIL) unter dem Koordinationsdach des Europäischen Datenschutzausschusses durchgesetzt, setzt den globalen Referenzstandard für Consent.

Kernanforderungen, die für Fintech-Aggregatoren relevant sind:

• Rechtsgrundlage für die Verarbeitung. Consent ist nur eine von sechs Rechtsgrundlagen. Bei der Account-Aggregation stützen sich die meisten EU-Fintechs auf „ausdrückliche Einwilligung“ oder „Erfüllung eines Vertrags“, und Aufsichtsbehörden erwarten, dass dokumentiert wird, welche für welchen Datenfluss gilt.
• Consent muss freiwillig, spezifisch, informiert und unmissverständlich sein. Ein vorangekreuztes KKThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →ästchen genügt nicht. „Zustimmung zur Weitergabe von Transaktionsdaten“ mit „Zustimmung zu Marketing-E-Mails“ in einer Checkbox zu bündeln, ist ein häufiger Verstoß.
• Recht auf Löschung („Recht auf Vergessenwerden“). Nutzer kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen Löschung verlangen, wobei Banken bestimmte Unterlagen nach anderen Gesetzen zur Geldwäschebekämpfung aufbewahren dürfen, was eine echte Spannung erzeugt, um die Aggregatoren technisch herumbauen müssen.
• Datenminimierung. Nur erheben, was nötig ist. Ein Aggregator, der fünf Jahre Transaktionshistorie zieht, um einen Kredit zu bewilligen, während das Modell des Kreditgebers nur 12 Monate nutzt, verstößt gegen die Minimierung.
• Datenportabilität (Artikel 20): Nutzer kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen ihre Daten in einem „strukturierten, gängigen, maschinenlesbaren Format“ anfordern und zu einem Wettbewerber mitnehmen.

Bußgelder kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen 20 Millionen Euro oder 4 % des globalen Jahresumsatzes erreichen, je nachdem, was höher ist. Meta und Amazon haben beide Bußgelder in dreistelliger Millionenhöhe für DSGVO-Verstöße erhalten; ein mittelgroßes Fintech würde proportional kleinere, aber immer noch erhebliche Strafen tragen.

CCPA und CPRA: Kaliforniens parallele Spur

Der CCPA (California Consumer Privacy Act, 2018) und seine Änderung von 2023, der CPRA (California Privacy Rights Act), geben Einwohnern Kaliforniens Rechte, die von der California Privacy Protection Agency (CPPA) durchgesetzt werden.

Wichtige Unterschiede zur DSGVO, die operativ zählen:

• Der CCPA ist beim Verkauf/Teilen von Daten standardmäßig opt-out, nicht opt-in wie die DSGVO. Ein US-Fintech braucht keine aktive Einwilligung, um Daten zu verarbeiten, muss Nutzern aber ermöglichen zu sagen: „Verkaufe meine Daten nicht.“
• Ein Recht auf Löschung existiert, aber mit mehr Ausnahmen für Finanz- und Compliance-Unterlagen als in der EU.
• Der CCPA gilt abhängig von Umsatz- und Datenvolumenschwellen (grob: Unternehmen mit über 25 Millionen Dollar Jahresumsatz oder mit Daten von mehr als 100.000 Verbrauchern/Haushalten). Ein kleines Fintech-Startup kann ausgenommen sein, ein skaliertes nicht.
• Es gibt kein einheitliches US-Bundesdatenschutzgesetz, das der DSGVO entspricht. Andere Bundesstaaten (Virginias VCDPA, Colorados CPACPACost Per Acquisition: the total cost to generate one customer or conversion, computed by dividing total spend by the number of acquisitions.Vollständige Definition ansehen →) fügen überlappende, aber nicht identische Regeln hinzu, sodass ein rein US-amerikanisches Fintech weiterhin einem Flickenteppich gegenübersteht.

Praktische Konsequenz: Ein Aggregator, der sowohl EU- als auch kalifornische Nutzer bedient, baut typischerweise global nach dem strengeren DSGVO-Standard und legt CCPA-spezifische Mechanik darüber (einen Link „Do Not Sell or Share My Personal Information“), statt zwei getrennte Systeme zu betreiben.

Open Finance und Regeln zur Datenportabilität

Jenseits des allgemeinen Datenschutzrechts regeln eigene Open-Banking-/Open-Finance-Regeln speziell das Verbinden von Konten.

• Europa: PSD2 (die zweite Zahlungsdiensterichtlinie) verpflichtet Banken, regulierten Drittanbietern sicheren APIAPIApplication Programming Interface: a standardised interface that lets applications communicate and exchange data without knowing each other's internal workings.Vollständige Definition ansehen →-Zugang zu Kontodaten zu gewähren, wenn der Kunde zustimmt. Die EBA (European Banking Authority) setzt die technischen Standards (starke Kundenauthentifizierung, sichere Kommunikation). PSD3, Stand 2025-2026 in Verhandlung, soll Screen-Scraping vollständig durch standardisierte APIs ersetzen.
• Vereinigte Staaten: Das CFPB (Consumer Financial Protection Bureau) hat seine Regel zu persönlichen Finanzdatenrechten nach Section 1033 (erlassen 2024) unter dem Dodd-Frank Act finalisiert. Sie verpflichtet Banken, Verbrauchern und deren autorisierten Dritten wie Aggregatoren Zugang zu ihren eigenen Finanzdaten in einem standardisierten, maschinenlesbaren Format zu geben, weitgehend kostenfrei. Stand 2026 wird diese Regel schrittweise eingeführt und sieht sich rechtlichen und politischen Angriffen von Bankenverbänden gegenüber, sodass Zeitpläne in Bewegung bleiben; den aktuellen Status finden Sie auf der offiziellen Regel-Seite des CFPB.
• UK: Das Framework der Open Banking Implementation Entity, das derzeit in das breitere Smart Data-Programm übergeht, spielt nach dem Brexit eine ähnliche Rolle.

Der gemeinsame Faden: Consent zum Teilen von Daten muss spezifisch (nicht pauschal), widerrufbar (Nutzer kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen den Zugang jederzeit trennen) und zeitlich begrenzt sein (viele Regime begrenzen dauerhaften Consent auf 90 Tage, danach ist eine erneute Autorisierung erforderlich).

Wie das die konkrete Produktentwicklung prägt

Ein konformer Consent-Flow für die Kontoverknüpfung braucht typischerweise:

1. Einen Consent-Screen, der die genau angefragten Datenkategorien benennt (Salden, Transaktionshistorie, Name des Kontoinhabers), keinen generischen Button „Zugriff erlauben“.

2. Ein Consent-Ledger: eine interne, auditierbare Aufzeichnung darüber, wozu, wann und mit welcher Gültigkeitsdauer zugestimmt wurde, damit das Unternehmen Compliance nachweisen kann, wenn eine Aufsichtsbehörde fragt.

3. Eine Deletion-Pipeline, die Löschanfragen über jedes nachgelagerte System propagiert, einschließlich Analytics-Warehouses und ML-Trainingsdatensätze, nicht nur die primäre Datenbank.

4. Re-Authentifizierungs-Trigger, die veralteten Consent automatisch verfallen lassen.

Eine vereinfachte Struktur eines Consent-Datensatzes:

{
  "user_id": "u_48213",
  "data_scope": ["transactions", "account_balance"],
  "purpose": "credit_underwriting",
  "consent_given_at": "2026-01-14T10:32:00Z",
  "expires_at": "2026-04-14T10:32:00Z",
  "revocable_via": "app_settings",
  "legal_basis": "GDPR Art.6(1)(a) explicit consent"
}

Das sind keine beliebigen Metadaten: Es ist das Artefakt, das eine Datenschutzbehörde oder das CFPB bei einer Prüfung sehen will.

Wo es schwierig wird: grenzüberschreitendes Risiko und Third-Party-Risiko

Aggregatoren arbeiten selten in einer einzigen Jurisdiktion. Eine Neobank mit Sitz in den USA, die einen europäischen Core-Banking-Partner nutzt und Kunden bedient, die zwischen UK und EU wechseln, muss DSGVO, UK GDPR (ein nahezu identisches, aber nach dem Brexit separat durchgesetztes Regime), CCPA-artige Landesgesetze und PSD2/PSD3 gleichzeitig in Einklang bringen.

Third-Party-Risiko verschärft das: Wenn der ausgelagerte KYC-Anbieter (Know Your Customer) eines Fintechs Daten falsch behandelt, bleibt in der Regel das Fintech selbst als Verantwortlicher unter der DSGVO haftbar. Deshalb erwarten Aufsichtsbehörden zunehmend dokumentierte Vendor-Due-Diligence und Auftragsverarbeitungsverträge (DPAs, nicht zu verwechseln mit Data Protection Authorities) mit jedem Subunternehmer, der personenbezogene Daten berührt.

🎬 [VIDEO: "GDPR Explained in Simple Terms" - https://www.youtube.com/results?search_query=gdpr+explained+simple+terms - eine Erklärung in einfacher Sprache zu Consent, Rechtsgrundlagen und Durchsetzungsmechanik, nützlich für nicht-technische Lernende]

Für einen Tiefgang in die Primärquellen ist das offizielle Portal mit DSGVO-Text und Leitlinien der EU kostenlos und autoritativ.

Zentrale Erkenntnisse

• Die DSGVO verlangt Opt-in, spezifischen, widerrufbaren Consent und gibt Nutzern Löschungs- und Portabilitätsrechte; CCPA/CPRA setzen standardmäßig auf Opt-out und konzentrieren sich auf Offenlegungen zu Verkauf/Teilen, weshalb globale Fintechs typischerweise nach dem strengeren DSGVO-Standard bauen und bundesstaatsspezifische Mechanik darüberlegen.
• Open-Finance-Zugangsregeln (PSD2/PSD3 in Europa, Section 1033 in den USA über das CFPB, Smart Data in UK) unterscheiden sich vom allgemeinen Datenschutzrecht: Sie verpflichten Banken ausdrücklich, Kontodaten autorisierten Dritten über sichere, standardisierte APIs bereitzustellen.
• Konforme Kontoverknüpfung erfordert Engineering, nicht nur juristische Richtlinien: Consent-Ledger, ablaufende Autorisierungen und Deletion-Pipelines, die jeden nachgelagerten Datenspeicher erreichen, inklusive Analytics und ML-Trainingsdaten.
• Die Haftung folgt den Daten, nicht dem Organigramm: Aggregatoren und Verantwortliche bleiben in der Regel für Datenschutzverstöße von Drittanbietern verantwortlich.
• US-Bundesregeln zu Datenschutz und Open Banking konsolidieren sich Stand 2026 noch; prüfen Sie den aktuellen Umsetzungsstand direkt bei CFPB und EBA, bevor Sie annehmen, eine Regel sei vollständig in Kraft.