Verordnung über die Weitergabe vertraulicher Informationen in Kraft getreten
Die vom BDDK im Amtsblatt vom 04.06.2021 veröffentlichte Verordnung über die Weitergabe vertraulicher Informationen („Verordnung”), die sich auf Artikel 73 des Bankengesetzes Nr. 5411 („Gesetz”) über die Geheimhaltungspflicht stützt, ist am 01.07.2022 in Kraft getreten.
Die Verordnung regelt zusammenfassend die Weitergabe und Übertragung von Informationen, die aus Bankgeschäften stammen und als Bankgeheimnis und Kundengeheimnis gelten. Da es sich um Geheimnisse handelt, wird im Rahmen der Verordnung häufig auf das Gesetz zum Schutz personenbezogener Daten („KVKK“) Bezug genommen und es werden grundlegende Begriffe wie personenbezogene Daten, ausdrückliche Einwilligung, Anonymisierung von Daten, Entidentifizierung und Datenverarbeitung definiert.
Die Verordnung regelt, dass Personen, die aufgrund ihrer Stellung und Aufgaben Informationen über Kunden oder Banken erhalten, diese Informationen auch nach ihrem Ausscheiden aus dem Dienst nicht an andere Personen weitergeben dürfen, es sei denn, sie sind gesetzlich dazu befugt, es handelt sich um Fälle, die im Rahmen der Verordnung von der Geheimhaltungspflicht ausgenommen sind, oder es liegt ein Wunsch oder eine Anweisung des Kunden vor.
Im Rahmen der Verordnung ist festgelegt, dass Daten von natürlichen und juristischen Personen, die nach der Aufnahme einer Kundenbeziehung mit einer Bank im Rahmen der Bankgeschäfte anfallen, sowie alle Informationen, die belegen, dass eine Person Kunde der Bank ist, als Kundengeheimnis gelten.
In diesem Zusammenhang ist zu beachten, dass Banken gemäß den Bestimmungen des KVVK als Datenverantwortliche handeln müssen, wenn potenzielle Kunden, die noch keine Kundenbeziehung eingegangen sind, personenbezogene Daten weitergeben. Beispielsweise werden personenbezogene Daten, die im Rahmen von individuellen Kreditanträgen von natürlichen Personen, die keine Bankkunden sind, erhoben werden, von den Banken als Datenverantwortliche verarbeitet.
Obwohl dies in der Definition des Gesetzes nicht erwähnt wird, wird gemäß der Verordnung auch die Erlangung und Kenntnisnahme von Informationen, die bei einer anderen Bank als Kundengeheimnis gelten, als unter die Geheimhaltungspflicht fallend angesehen, selbst wenn keine Kundenbeziehung besteht. Ein Beispiel hierfür sind die IBAN-Daten des Absenders, die in einer EFT- oder Swift-Nachricht einer anderen Bank verarbeitet werden.
Ein weiterer Punkt, der gemäß der Verordnung diskutiert werden muss, ist die Frage, ob es möglich ist, diesen Sachverhalt in den Geltungsbereich der Kundengeheimnisse aufzunehmen, obwohl der Begriff „ohne dass eine Kundenbeziehung besteht” im Gesetz nicht vorkommt. Denn grundsätzlich dürfen Verordnungen die durch Gesetze festgelegten Grenzen gemäß der Normenhierarchie nicht erweitern.
Die in Artikel 6 der Verordnung festgelegten allgemeinen Grundsätze für die Weitergabe vertraulicher Informationen umfassen auch die Weitergabe im Rahmen von Ausnahmen und stehen im Einklang mit den in der KVKK festgelegten Grundsätzen.
Die Verordnung enthält Definitionen für die Anonymisierung und Aggregation von Kundendaten, und wenn die Anwendung dieser Methoden den Zweck der Weitergabe erfüllt, ist ihre Anwendung obligatorisch.
Der Unterschied zwischen den Begriffen Anonymisierung und Anonymisierung, die unter die Methoden fallen, die die Verbindung zwischen personenbezogenen Daten und dem Dateneigentümer vollständig aufheben oder erheblich erschweren, aber Unterbegriffe derselben Gruppe bilden, ist wichtig, um zu bestimmen, ob die Daten aufgrund der Änderung ihrer personenbezogenen Eigenschaften unter den Schutzbereich des Gesetzes fallen oder nicht.
Anonymisierung; ist ein Begriff, der im Rahmen der Datenschutzgesetzgebung bis zur Veröffentlichung der Verordnung nicht existierte und erstmals in der Verordnung definiert wurde. Er weist ähnliche Eigenschaften auf wie die ihm zugeordneten Anonymisierungsmethoden, die in der Verordnung über personenbezogene Gesundheitsdaten und der DSGVO (Datenschutz-Grundverordnung) geregelt sind, darunter Verschlüsselung, Kodierung, Unschärfe und die Verwendung von Pseudonymen.
Unserer Meinung nach unterstützt diese Regelung die Bestimmungen des KVKK und ist parallel dazu, was hinsichtlich der Festlegung der Grenzen des Handlungsspielraums von Banken und Finanzinstituten sehr nützlich ist.
Die Tatsache, dass in den Gesetzen allgemein Bestimmungen zum Datenschutz geregelt sind und dabei auf das KVKK Bezug genommen wird, sowie die Einbeziehung von Bewertungskriterien wie Verhältnismäßigkeit und Zweckbindung als allgemeine Grundsätze sind ein Zeichen dafür, dass in Bezug auf die Einhaltung der geltenden Rechtsvorschriften ein Schritt nach vorne gemacht wurde.
Solange das KVKK nicht durch die Gesetzgebung auf horizontaler Ebene unterstützt wird und nicht in jede neu entstehende Gesetzgebung einfließt, besteht die Gefahr, dass es sein Ziel nie erreichen kann.
Der Finanz- und Bankensektor ist zweifellos eine treibende Kraft, die viele Innovationen vorantreibt und die Gesetzgebung mitgestaltet. Daher kann man sagen, dass die ersten Schritte in diesem Bereich und deren Fortsetzung unvermeidlich sind, was für alle Beteiligten, die sich mit der Gesetzgebung zum Schutz personenbezogener Daten befassen, eine vielversprechende Neuerung darstellt.
