VERORDNUNG ÜBER DIE VON BANKEN ZU VERWENDENDEN METHODEN ZUR FERNIDENTIFIZIERUNG UND DEN ABSCHLUSS VON VERTRÄGEN IM ELEKTRONISCHEN UMFELD
- Einleitung
Die im Amtsblatt vom 01.04.2021 veröffentlichte und am 01.05.2021 in Kraft getretene Verordnung über die von Banken zu verwendenden Methoden zur Fernidentifizierung und den Abschluss von Verträgen in elektronischer Form („Verordnung“) regelt in ihrem ersten Artikel den Zweck und den Anwendungsbereich
In Artikel 1 der Verordnung wird festgelegt, dass sie die Verfahren und Grundsätze für die Fernidentifizierung, die von Banken bei der Gewinnung neuer Kunden verwendet werden können, und für die Bankdienstleistungen, die nach der Identifizierung des Kunden angeboten werden, unabhängig davon, ob diese aus der Ferne erfolgen oder nicht, über ein Informations- oder elektronisches Kommunikationsgerät anstelle der schriftlichen Form oder aus der Ferne zum Abschluss von Vertragsbeziehungen regelt. In diesem Zusammenhang ist davon auszugehen, dass die im Rahmen der Verordnung eingeführte Neuerung auf Neukunden abzielt.
Die Fernidentifizierungsmethode wird vorbehaltlich der Bestimmungen des Gesetzes zur Verhinderung der Geldwäsche und des Gesetzes zum Schutz personenbezogener Daten („KVKK“) angewendet.
- Aufbau des Verfahrens zur Fernidentifizierung
In Artikel 4 der Verordnung wird die Fernidentifizierung definiert, die Notwendigkeit einer Risikooptimierung des Verfahrens betont und auf die Sicherheitsvorkehrungen bei Videokonferenzen hingewiesen.
Demnach kann der Prozess nicht von einer einzigen Person verwaltet werden, sondern es ist ein dreistufiges System vorgesehen, das nach dem Start des Prozesses einer Reihe von Kontrollen unterzogen und nach Genehmigung und zusätzlichen Kontrollen abgeschlossen wird. Demnach lässt sich der Prozess wie folgt zusammenfassen: (i) Einleitung des Prozesses durch die Person, (ii) Fortsetzung durch Kontrollen, die von der IT-Abteilung durchgeführt werden, (iii) Abschluss durch Bestätigung und zusätzliche Kontrollen durch den Kundenbetreuer. Es wurde festgelegt, dass der Vorgang, wenn er bei den Kontrollen durch den Kundenbetreuer als risikobehaftet eingestuft wird, einer zweiten Bestätigung unterzogen oder beendet wird.
Da bei der Durchführung von Verfahren zur Fernidentifizierung bereits alle möglichen Risikofaktoren oder Sicherheitslücken in der „Verordnung über Informationssysteme und elektronische Bankdienstleistungen von Banken” („BSEBY”) berücksichtigt sind, ist eine zusätzliche Regelung zu diesem Thema in dieser Verordnung nicht erforderlich. Im Zusammenhang mit Artikel 43 der BSEBY mit dem Titel „Fernidentifizierung und Vertrauen in Dritte” gelten für Finanzdienstleistungen (Bankgeschäfte, Kreditkarten usw.) , Fernidentifizierung und Anwendungen im Rahmen des Vertrauens in Dritte gemäß den sekundären Rechtsvorschriften der BDDK und den Vorschriften der Finanzkriminalitätsermittlungsbehörde (MASAK) in unser tägliches Leben eingeführt. Daher ist die im Rahmen dieser Verordnung eingeführte Neuerung für die Gewinnung neuer Kunden von Bedeutung, wobei die betreffenden Sicherheitsmaßnahmen bereits getroffen wurden und umgesetzt werden.
Gemäß Artikel 5, der sich mit der Fernidentifizierung durch Kundenberater und der Arbeitsumgebung befasst, wird die Videokonferenzphase von geschulten Kundenberatern durchgeführt, von denen erwartet wird, dass sie nach Abschluss der Schulung über die erforderlichen Kenntnisse verfügen, um im Falle einer möglichen Sicherheitsverletzung gemäß den Vorschriften und Bestimmungen entsprechend zu handeln. Diese Schulungen werden mindestens einmal pro Jahr durchgeführt, bei Aktualisierungen und Änderungen in diesem Bereich auch extern. Die im Rahmen dieses Artikels zu erteilenden Schulungen sind detailliert geregelt, jedoch sind die Schulungspunkte nicht nach dem Prinzip der begrenzten Anzahl gezählt, sondern es werden insbesondere die Schulungen hervorgehoben, die unbedingt erforderlich sind (siehe Absatz 7: Es wird sichergestellt, dass die erforderlichen Schulungen für die Betreuung von Menschen mit Behinderungen durchgeführt werden).
Gemäß Artikel 6, der die allgemeinen Grundsätze für die Einleitung des Verfahrens enthält, wird eine Voranmeldung durchgeführt. Vor dem Videogespräch wird anhand eines elektronisch ausgefüllten Formulars eine Risikobewertung des Antragstellers durchgeführt. Wenn die Bewertung ergibt, dass dies erforderlich ist, wird das Verfahren vor Beginn des Videogesprächs beendet. Ebenfalls gemäß diesem Artikel wird festgelegt, dass nur biometrische Daten der Kategorie „besonders geschützte personenbezogene Daten” verwendet werden dürfen und dass die ausdrückliche Zustimmung des Betroffenen dazu aufgezeichnet werden muss. Diese Bestimmung wird durch Artikel 6 des KVKK gestützt, der festlegt, dass besonders geschützte personenbezogene Daten nicht ohne ausdrückliche Zustimmung verarbeitet werden dürfen und dass biometrische Daten dazu gehören.
Gemäß Absatz 5 desselben Artikels muss die Bildkommunikation „… in Echtzeit und ohne Unterbrechung erfolgen. Die Integrität und Vertraulichkeit der audiovisuellen Kommunikation zwischen dem Kundenvertreter und der Person muss in ausreichendem Maße gewährleistet sein. Zu diesem Zweck muss die Bildkommunikation über eine sichere End-to-End-Verbindung erfolgen.” Darüber hinaus sind die Bild- und Tonqualität, die Anforderungen an das weiße Licht, die Überprüfung der Mobiltelefonnummer und der Status des Dokuments detailliert geregelt.
Zusammenfassend lässt sich unter Artikel 7 mit dem Titel „Verwendbare Ausweisdokumente und deren Überprüfung“ sagen, dass bezieht sich der Begriff „kontaktloser Chip“ auf die häufigere Verwendung des Begriffs „Chip“ für die Art des zu verwendenden Ausweises, wobei in diesem Zusammenhang die Nahfeldkommunikation verwendet wird und der Ablauf der Überprüfung des Ausweises sowie die dabei vom Kundendienstmitarbeiter zu befolgenden Schritte sehr detailliert geregelt sind. Gemäß diesem Artikel ist eine Fernidentifizierung mit dem alten Ausweis nicht möglich, und es ist klar, dass bestimmte technologische Entwicklungen, die in den neuen Ausweisen enthalten sind, genutzt werden. Ein Beispiel für diese Entwicklungen ist die MRZ (Machine Readable Zone – maschinenlesbarer Bereich), die mithilfe optischer Zeichenleseverfahren erreicht wird.
Gemäß Artikel 8/1 mit dem Titel „Überprüfung der zu identifizierenden Person” sind zusätzliche Maßnahmen zur Verhinderung von Risiken im Zusammenhang mit Fake-Face-Technologie vorzusehen. Bei Betrachtung des Artikels ist nicht ganz klar, ob die zu ergreifenden Maßnahmen nur die „Lebendigkeit” der Person betreffen. Es ist klar, dass Maßnahmen ergriffen werden, um zu unterscheiden, ob die andere Person während des Gesprächs tatsächlich anwesend ist oder ob visuelle Kommunikationsmechanismen wie Videos verwendet werden. Mit der heutigen Technologie werden „gefälschte Gesichter“ jedoch nicht nur auf diese Weise hergestellt.
Die Deepfake-Technologie, bei der künstliche Intelligenz die Lippenbewegungen und Mimik einer Person lernt und einen Algorithmus erstellt, um völlig neue Videos zu erstellen, die in Wirklichkeit nicht existieren, schien in der Vergangenheit unmöglich, ist aber heute Realität. Das Thema Deepfake, über das in der internationalen Presse unzählige Artikel veröffentlicht wurden, gilt als eine der größten Bedrohungen der modernen Welt. Deepfakes sind nicht nur eine kostengünstige Technologie, sondern auch sehr schwer zu erkennen, da es keine spezifischen Hard-Data (konkrete Daten) gibt, die sie eindeutig identifizieren. Das Phänomen Deepfake ist aufgrund der psychologischen Kraft von Bildern, Tönen und Videos, die Vertrauen schaffen, sehr gefährlich. Deepfakes ermöglichen es, durch Manipulation der Gesichtsbiometrie bestimmte Verstöße zu begehen, aber sie sind vermeidbar. Da Deepfakes von einem Identitätsprüfungssystem als Video behandelt werden, muss das Identitätsprüfungssystem, wenn es ausreichend gegen videobasierte Angriffe geschützt ist, feststellen, ob das, was die Kamera sieht, legal oder korrekt ist. Um dies zu erreichen, muss das System drei Eigenschaften aufweisen: (i) die Fähigkeit, zwei- oder dreidimensionale Objekte zu unterscheiden, (ii) die Fähigkeit, mithilfe einer zertifizierten, von Dritten getesteten Lebendigkeitserkennung zu bestätigen, dass das, was der Sensor sieht, lebendig ist, (iii) die Fähigkeit, das lebendige dreidimensionale Bild mit einer zuvor aufgezeichneten dreidimensionalen „Gesichtskarte” abzugleichen, die eine korrekte digitale Darstellung eines dreidimensionalen Bildes liefert.
Ob Banken zum jetzigen Zeitpunkt Maßnahmen gegen solche Computersoftware ergreifen können, ist zwar umstritten, aber unserer Meinung nach umfasst der Wortlaut und der Geist der Verordnung auch diese Möglichkeit. Da jedoch die Entwicklung dieser Technologien aufgrund der Pandemie immer mehr an Fahrt gewinnt, werden auch die Anwendungsbereiche und damit die Möglichkeiten für Verstöße zunehmen, sodass es wichtig ist, dass die gesetzlichen Regelungen mit dieser Entwicklung Schritt halten.
Ein weiterer wichtiger Punkt, der in der Verordnung erwähnt wird, ist das Konzept der „Nahbereichskommunikation”. Near Field Communication (NFC) ist eine Kurzstrecken- und drahtlose Technologie für die persönliche Kommunikation. Einfach ausgedrückt handelt es sich um eine Technologie, die die Kommunikation zwischen Kreditkarte und POS-Terminal ermöglicht. Gemäß der Verordnung wird mithilfe von Nahfeldkommunikation ein biometrischer Vergleich zwischen dem Foto auf dem kontaktlosen Chip und dem Gesicht der Person durchgeführt.
Weiter heißt es: „In diesem Zusammenhang werden Risiken im Zusammenhang mit Identitätsdiebstahl, Social Engineering, unter Druck durch eine andere Partei ausgeübten Handlungen und ähnlichen Betrugsmethoden berücksichtigt.“ Die Bestimmung besagt, dass der Kundendienstmitarbeiter, der die Transaktion durchführt, während des Video-Gesprächs auch verschiedene Betrugselemente wie „Druck“ erkennen kann. In diesem Fall wäre es nicht falsch zu sagen, dass eine der Schulungen, die Kundendienstmitarbeiter absolvieren müssen, auch psychologische Schulungen sein sollten, auch wenn diese nicht unter Artikel 5 fallen.
Gemäß Artikel 9, der die Beendigung des Vorgangs während eines Videogesprächs regelt, kann das Gespräch vor Abschluss des Vorgangs beendet werden. Bei Problemen oder Zweifeln hinsichtlich der Verbindung, der Bildqualität, Unstimmigkeiten oder Unklarheiten im Verlauf des Vorgangs, der Gültigkeit von Dokumenten, Betrug oder Fälschung kann der Vorgang sofort beendet werden. Da die Banken eine hohe Verantwortung für die Ergreifung von Sicherheitsmaßnahmen tragen, unterliegt die Beendigung des Verfahrens nicht proportional strengen Bedingungen.
In Artikel 10 mit dem Titel „Aufzeichnung und Speicherung von Daten” wird erwähnt, dass der gesamte Prozess aufgezeichnet und gespeichert wird. Die einschlägigen gesetzlichen Bestimmungen zur Aufbewahrung von Informationen und Dokumenten bleiben vorbehalten. Unserer Meinung nach muss dieser Artikel detaillierter geregelt werden. Da „biometrische Daten”, die zu den besonderen personenbezogenen Daten gehören, gespeichert und aufbewahrt werden, ist es aus Sicht des Datenschutzrechts wichtig, Klarheit darüber zu schaffen, was mit den Daten geschieht und wie lange sie gespeichert werden, wenn der Prozess vom Kunden einseitig abgebrochen wird. Da die BDDK die Übermittlung von Daten ins Ausland verboten hat, gehört die Festlegung allgemeiner Bestimmungen, wenn auch nicht im Detail, darüber, wie diese Daten gespeichert werden oder welches Cloud-System verwendet wird, zu den Elementen, die in einer seit langem erwarteten Verordnung enthalten sein sollten. Es ist jedoch anzunehmen, dass der Gesetzgeber die geltenden Rechtsvorschriften für ausreichend hält und keine zusätzliche Regelung für erforderlich hält.
Die Definition von biometrischen Daten, die zur Kategorie der besonderen personenbezogenen Daten gehören, ist zwar nicht in der KVKK enthalten, aber in der am 25.05.2018 in Kraft getretenen Europäischen Datenschutz-Grundverordnung („GDPR”) biometrische Daten als „personenbezogene Daten, die sich auf physische, physiologische oder verhaltensbezogene Merkmale einer natürlichen Person beziehen, die eine eindeutige Identifizierung dieser Person ermöglichen oder bestätigen, wie beispielsweise Gesichtsbilder oder daktyloskopische Daten, und die aus einer spezifischen technischen Verarbeitung resultieren“ definiert. In der Entscheidung Nr. 2014/4562 des 15. Senats des Verwaltungsgerichtshofs wird festgestellt, dass biometrische Verfahren messbare physiologische und individuelle Merkmale und automatisch überprüfbare Identitätskontrolltechniken bezeichnet werden, und dass zu diesen Methoden Fingerabdruckerkennung, Handflächenscannen, Handgeometrieerkennung, Iriserkennung, Gesichtserkennung, Netzhauterkennung, DNA-Erkennung gehören, ist unbestritten, dass Fernidentifizierungsmethoden in diesen Bereich fallen.
Aus den allgemeinen Grundsätzen des KVKK Art. 4, wonach die Verarbeitung von Daten im Rahmen des Grundsatzes der Zweckbindung, Begrenztheit und Verhältnismäßigkeit erfolgen muss, lässt sich ableiten, dass die Verarbeitungstätigkeit auf einer legitimen Grundlage beruht, wenn man sie parallel zur Fernidentifizierung betrachtet. Da es sich bei den im Rahmen dieser Tätigkeit von Banken und Wirtschaftsprüfern verarbeiteten Daten jedoch um biometrische Daten handelt, ist es unerlässlich, dass sie sich der Verantwortung und der strengen Sanktionen bewusst sind, die mit der Zweckbindung, Begrenztheit und Verhältnismäßigkeit verbunden sind.
Da die Datenschutzbehörde in Bezug auf „biometrische Daten” einen sensiblen Ansatz verfolgt, kann die Tatsache, dass insbesondere hinsichtlich der Speicher- und Aufbewahrungsmaßnahmen keine detaillierten Vorschriften erlassen wurden, zu erheblichen Verstößen seitens der Banken führen. Die Verantwortung für die Fernidentifizierung liegt bei der Bank. Im Falle eines Widerspruchs liegt die Beweislast ebenfalls bei der Bank. Die BDDK ist befugt, die Fernidentifizierungsaktivitäten der Bank auf Beschwerde hin einzuschränken und einzustellen.
- Begründung eines Vertragsverhältnisses im elektronischen Umfeld
Für den Abschluss eines Vertrags nach der Identifizierung ist die Erklärung der Willenserklärung zum Vertragsabschluss erforderlich. Damit die Person nach der Fernidentifizierung die erforderlichen Schritte unternehmen kann, wenn sie zur Filiale geht, um den entsprechenden Vertrag mit ihrer Unterschrift abzuschließen, wird in diesem Artikel geregelt, wie die Willenserklärung zum Vertragsabschluss abgegeben werden muss. Die wichtigste Neuerung ist jedoch, dass die Unterschriftspflicht entfällt. Bei den Voraussetzungen für den Abschluss eines Vertrags, der die schriftliche Form ersetzt, wird auf das in den Artikeln 38/3 und 39/1 des BSEBY genannte Konzept des kundenspezifischen Verschlüsselungsgeheimschlüssels Bezug genommen. Nach der Generierung eines einmalig verwendbaren Bestätigungscodes wird sichergestellt, dass diese Codes, die nicht gefälscht oder abgeleitet werden können, nach der Durchführung des Vorgangs ungültig werden.
- Fazit
Vor dem Hintergrund dieser Informationen sind die wichtigsten Neuerungen, die mit der Verordnung eingeführt wurden, folgende:
- Die Anwendung von Methoden zur Fernidentifizierung, die für bestimmte Vorgänge für die eigenen Kunden bereits eingeführt wurden, auch für Neukunden.
- Die Detaillierung der Fernidentifizierungsprozesse und die Einführung zusätzlicher Bedingungen.
- Eine unzureichende, aber wichtige erste Regelung für Maßnahmen gegen gefälschte Gesichtstechnologien.
- Die Aufhebung der Anforderung einer handschriftlichen Unterschrift.
Der Artikel der Verordnung, der Maßnahmen gegen gefälschte Gesichtstechnologien regelt, wurde unter Berücksichtigung der Entwicklungsgeschwindigkeit der Technologie mit weit gefassten Formulierungen verfasst, aber wir sind der Meinung, dass ein konkretes Bedürfnis, das in naher Zukunft sehr wahrscheinlich eintreten wird, dringend konkretisiert werden muss.
Ebenso kann die Tatsache, dass die Speicherung biometrischer Daten, die zur Kategorie der besonders geschützten personenbezogenen Daten gehören, nicht im Detail geregelt ist, zu schwerwiegenden rechtlichen Sanktionen führen.
Die Tatsache, dass im Rahmen der Verordnung insbesondere die Verfahren und Grundsätze für Videokonferenzen im Detail geregelt sind, zeigt, dass dieser Prozess ernst genommen wird. Die noch bestehenden Lücken betreffen Bereiche, die bereits gesetzlich geregelt sind und sich in gewisser Weise mit den Anwendungsbereichen der einschlägigen Rechtsvorschriften überschneiden.
Daher ist es zumindest zum gegenwärtigen Zeitpunkt nicht falsch zu sagen, dass der Geltungsbereich der Verordnung relativ weit gefasst ist und den Regulierungsbedarf ausreichend abdeckt.
