Kontoeinsicht und DSGVO: Einwilligung rechtssicher einholen

Rechtsgrundlagen der kontobasierten Bonitätsprüfung

Die digitale Einsicht in Zahlungskonten zur Risikobeurteilung berührt das europäische und deutsche Datenschutz- sowie Bankaufsichtsrecht. Gemäß Art. 6 Abs. 1 Unterabs. 1 DSGVO ist jede Verarbeitung personenbezogener Daten untersagt, sofern kein gesetzlicher Erlaubnistatbestand greift. Bei der Bonitätsprüfung von Unternehmen und deren Vertretungsorganen stehen dabei zwei Rechtsgrundlagen im Fokus:

1. Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Sie bildet bei der automatisierten Kontoeinsicht über PSD2-Schnittstellen (Zahlungsdiensterichtlinie (EU) 2015/2366, umgesetzt im Zahlungsdiensteaufsichtsgesetz – ZAG) die primäre Rechtsgrundlage. Die Zugriffsberechtigung auf Kontoumsätze erfordert eine ausdrückliche Autorisierung des Kontoinhabers.
2. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Das wirtschaftliche Interesse an der Minimierung von Kreditausfällen legitimiert die Datenverarbeitung grundsätzlich. Eine automatisierte Einsichtnahme in Transaktionsdaten Dritter über eine Bank-API lässt sich hierauf jedoch im Regelfall nicht stützen, da die Eingriffsintensität in die informationelle Selbstbestimmung das Gläubigerinteresse überwiegt.
3. Vertragserfüllung und vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO): Dieser Erlaubnistatbestand greift primär bei der Ausführung des Zahlungsdienstes selbst (etwa durch einen Kontoinformationsdienst gem. § 1 Abs. 33 ZAG), deckt jedoch nicht zwingend die nachgelagerte tiefgehende Kreditanalyse durch den Gläubiger ohne gesonderte Einwilligung ab.

Rechtlich differenziert werden muss zwischen juristischen Personen und natürlichen Personen. Bei Kapitalgesellschaften (z. B. GmbH, AG) greift die DSGVO nicht unmittelbar für die Transaktionsdaten der Gesellschaft selbst, da Art. 1 Abs. 1 DSGVO ausschließlich natürliche Personen schützt. Sobald jedoch Einzelunternehmer, Freiberufler, GbR-Gesellschafter oder geschäftsführende Gesellschafter involviert sind, deren Namen, Privatentnahmen oder Gehaltszahlungen im Datenstrom auftauchen, findet die DSGVO vollumfänglich Anwendung. Kreditinstitute müssen zudem die Kreditwürdigkeitsprüfung nach § 505a BGB bzw. § 18 KWG beachten, die eine verlässliche Datenbasis vorschreibt, ohne jedoch datenschutzrechtliche Vorgaben aufzuweichen.

Wirksamkeitsanforderungen nach Art. 7 DSGVO

Damit eine Einwilligung die kontobasierte Datenverarbeitung wirksam legitimiert, müssen die strengen Anforderungen des Art. 7 DSGVO in Verbindung mit Art. 4 Nr. 11 DSGVO lückenlos erfüllt sein. Verstöße führen zur Rechtswidrigkeit der gesamten Datenverarbeitung und ziehen Bußgeldrisiken nach Art. 83 Abs. 5 DSGVO nach sich.

Folgende vier Kriterien müssen zwingend vorliegen:

• Freiwilligkeit (Art. 7 Abs. 4 DSGVO): Es darf kein Koppelungsverbot verletzt werden. Verweigert der Antragsteller den Kontozugriff, darf dies nicht zu einer automatischen Ablehnung führen, sofern alternative Nachweise (wie testierte Jahresabschlüsse, BWA mit Summen- und Saldenliste oder Steuerbescheide) beigebracht werden können. Der Kunde muss eine echte Wahlfreiheit besitzen.
• Informiertheit (Art. 13 DSGVO): Vor Abgabe der Erklärung muss der Kontoinhaber präzise wissen, wer Daten verarbeitet (Verantwortlicher), welche Transaktionsdaten erhoben werden (Umsätze der letzten 30 bis 90 Tage), für welchen Zweck (z. B. Ermittlung von Liquiditätsreserve in Tagen, Cashflow-Volatilität, DSCR) und ob Kontoinformationsdienste (KID) nach PSD2 als Auftragsverarbeiter oder eigenständige Verantwortliche beteiligt sind.
• Bestimmtheit: Eine pauschale Freigabe für „Bonitätsprüfungen aller Art“ ist unwirksam. Der Prüfgegenstand muss klar eingegrenzt werden (z. B. „Prüfung der Kapitaldienstfähigkeit für Leasingvertrag Nr. X über ein Investitionsvolumen von 85.000 €“).
• Unmissverständliche Willensbekundung: Erforderlich ist eine aktive Handlung (Opt-in), etwa das Setzen eines Hakens in einer Checkbox oder die Freigabe mittels Zwei-Faktor-Authentifizierung (SCA). Vormarkierte Checkboxen sind nach ständiger Rechtsprechung (u. a. EuGH, Urteil vom 01.10.2019 – C-673/17, Planet49) unzulässig.

Gemäß Art. 7 Abs. 3 DSGVO muss der Betroffene vor Abgabe der Einwilligung darüber belehrt werden, dass er die Erklärung jederzeit mit Wirkung für die Zukunft widerrufen kann. Der Widerruf muss so einfach gestaltet sein wie die Erteilung (z. B. per Klick im Kundenportal oder formloser E-Mail).

PSD2-Schnittstellen und Drittdaten-Problematik (Silent Party Data)

Die technische Kontoeinsicht erfolgt im Rahmen von Open Banking reguliert über PSD2-Schnittstellen von Banken via kontoführender Zahlungsdienstleister (ASPSP) und Kontoinformationsdienstleister (AISP). Hierbei entsteht eine spezifische datenschutzrechtliche Herausforderung: das Problem der Drittbetroffenen-Daten („Silent Party Data“).

Bei einer Kontoeinsicht werden nicht nur Daten des Antragstellers übermittelt, sondern zwangsläufig auch Transaktionsdaten Dritter (Auftraggeber, Empfänger, Verwendungszwecke mit personenbezogenen Angaben, IBANs). Diese Dritten haben keine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO abgegeben.

```

+-----------------------------------------------------------------------------------+

| KONTOEINZUG / PSD2-SCHNITTSTELLE (90 TAGE HISTORIE) |

+-----------------------------------------------------------------------------------+

│

▼

+-----------------------------------------------------------------------------------+

| ROHDATEN-FILTERUNG |

| - Trennung von kreditspezifischen Merkmalen vs. geschützten Drittdaten |

+-----------------------------------------------------------------------------------+

│ │

▼ ▼

+--------------------------+ +--------------------------+

| AGGREGIERTE ANALYSE | | UNZULÄSSIGE NUTZUNG |

| (DSGVO-konform) | | (DSGVO-Verstoß) |

+--------------------------+ +--------------------------+

| - Liquiditätsreserve | | - Profiling von Dritten |

| - Cashflow-Volatilität | | - Weitergabe von IBAN |

| - DSCR-Berechnung | | - Adressgenerierung |

| - Rücklastschriftquote | | - Werbliche Auswertung |

+--------------------------+ +--------------------------+

```

Der Europäische Datenschutzausschuss (EDSA) hat in seinen Leitlinien 06/2020 zur Wechselwirkung zwischen PSD2 und DSGVO klargestellt:

• Die Erfassung von Daten dritter Parteien ist zulässig, soweit sie für die Erbringung des Dienstes unerlässlich ist (berechtigtes Interesse gem. Art. 6 Abs. 1 lit. f DSGVO).
• Verarbeitungsverbot: Diese Daten dürfen nicht zur Profilbildung der Dritten, nicht für Marketingzwecke und nicht über den konkreten Zweck der Bonitätsprüfung des Antragstellers hinaus genutzt werden.
• Aggregationsgebot: Nach dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) sind Rohumsätze schnellstmöglich in aggregierte Risikometriken zu überführen. Kreditentscheider benötigen zur Bestimmung der Kapitaldienstfähigkeit keine Klarnamenslisten von Lieferanten, sondern Kennzahlen wie die Einnahmen-Ausgaben-Deckung oder die Umsatzkonzentration auf Einzelkunden.

Technische und organisatorische Schutzmaßnahmen (TOMs)

Wer Kontodaten automatisiert analysiert, verarbeitet hochsensible Finanzdaten. Art. 32 DSGVO verpflichtet Verantwortliche zur Implementierung angemessener technischer und organisatorischer Maßnahmen:

| Schutzbereich | Technische / Organisatorische Maßnahme (TOM) | Konkrete Umsetzung im Prüfprozess |

| :--- | :--- | :--- |

| Transportkontrolle | Ende-zu-Ende-Verschlüsselung | TLS 1.3 für alle REST-APIs zum Kontoinformationsdienst; Zertifikats-Pinning. |

| Speicherbegrenzung | Automatisierte Löschroutinen | Löschung der Roh-Transaktionsdaten (JSON-Bankdaten) nach 30 Tagen; Speicherung nur der berechneten Bonitätsscores. |

| Zugriffskontrolle | Rollen- und Rechtemanagement (RBAC) | Beschränkung der Detailansichten auf autorisierte Kreditanalysten; Protokollierung jedes Datenabrufs nach BDSG. |

| Pseudonymisierung | Hash-Verfahren für Kontokennungen | Ersetzung von Fremd-IBANs durch kryptografische Hashes (SHA-256) vor der algorithmischen Auswertung. |

| Integrität | Revisionssichere Audit-Logs | Unveränderbare Protokollierung von Einwilligungstext, Zeitstempel, IP-Adresse und Schnittstellen-Response. |

Datenminimierung und automatisierte Entscheidungen

Gemäß Art. 5 Abs. 1 lit. c DSGVO müssen erhobene Daten auf das für den Zweck notwendige Maß beschränkt sein. Bei der Kontoeinsicht bedeutet dies:

1. Zeitliche Begrenzung: Für Standard-Kreditentscheidungen im B2B-Bereich (z. B. Ratenkauf, Betriebsmittelkredite bis 50.000 € oder Energielieferverträge) reicht eine Historie von 90 Tagen aus. Ein Abruf von 365 Tagen bedarf einer gesonderten Begründung (z. B. stark saisonales Geschäftsmodell).
2. Kategorienfilter: Buchungen, die Rückschlüsse auf besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO zulassen (z. B. Beiträge an Parteien, Gewerkschaften, religiöse Gemeinschaften oder Zahlungen an spezifische Gesundheitseinrichtungen), müssen vor der Kreditbeurteilung automatisiert gefiltert bzw. unkenntlich gemacht werden.

Ein weiterer neuralgischer Punkt ist Art. 22 DSGVO (automatisierte Entscheidungen im Einzelfall einschließlich Profiling). Trifft ein Algorithmus anhand von Merkmalen wie Rücklastschriftquote, Cashflow-Volatilität oder Pfändungs- und Mahnhinweisen im Konto eine vollautomatisierte Kreditablehnung, greift Art. 22 Abs. 1 DSGVO. Dies ist nur zulässig, wenn:

• dies für den Vertragsabschluss erforderlich ist (Art. 22 Abs. 2 lit. a DSGVO),
• eine ausdrückliche Einwilligung vorliegt (Art. 22 Abs. 2 lit. c DSGVO), oder
• ein menschliches Eingreifen („Human-in-the-loop“) gewährleistet ist.

Kreditgeber müssen sicherstellen, dass lehnende Voten bei Überschreitung kritischer Schwellen (z. B. Rücklastschriftquote > 1,5 % oder DSCR < 1,1) im Zweifel manuell durch einen Kreditanalysten nachgeprüft werden können. Der Betroffene hat das Recht auf Darlegung des eigenen Standpunkts sowie auf Anfechtung der Entscheidung.

Rollenverteilung und Verträge nach Art. 26 und Art. 28 DSGVO

Die Einbindung externer Technologieanbieter und Kontoinformationsdienste bedingt eine saubere vertragliche Zuordnung der Verantwortlichkeiten nach DSGVO:

| Akteur | Rolle nach DSGVO | Vertragliche Grundlage | Typische Pflichten |

| :--- | :--- | :--- | :--- |

| Kreditgeber / Leasinggeber | Verantwortlicher (Art. 4 Nr. 7) | Kreditantrag / Vertrag | Bereitstellung der Belehrung, Einholen der Einwilligung, Festlegung der Prüfkriterien. |

| Kontoinformationsdienst (AISP) | Eigenständiger Verantwortlicher (ZAG/PSD2) | Endnutzer-AGB / PSD2-Mandat | Sichere Authentifizierung an Bank-API, Auslesen der Rohdaten, BaFin-regulierter Dienst. |

| Analyse-Dienstleister (z. B. Credifact) | Auftragsverarbeiter (Art. 28) oder gem. Verantwortlicher (Art. 26) | AVV nach Art. 28 Abs. 3 DSGVO | Aggregation der Kontoumsätze, Scoring, Berechnung von Kennzahlen, strikte Zweckbindung. |

| Kunde / Antragsteller | Betroffene Person (Art. 4 Nr. 1) | Einwilligungserklärung | Autorisierung des Zugriffs via Bank-Login (SCA). |

Handelt es sich bei der Scoring-Plattform um einen reinen Auftragsverarbeiter, ist ein Auftragsverarbeitungsvertrag (AVV) gem. Art. 28 DSGVO unverzichtbar. Darin muss explizit geregelt sein, dass Daten nicht für eigene Zwecke des Anbieters (z. B. Training übergeordneter Algorithmen ohne Anonymisierung) verwendet werden dürfen.

Checkliste zur rechtskonformen Gestaltung des Einwilligungsprozesses

Um bei Audits durch Aufsichtsbehörden oder Beanstandungen durch Betroffene rechtssicher aufgestellt zu sein, muss der Prozess der Kontoeinsicht folgende Mindestanforderungen erfüllen:

• Zwei-Schritt-Verfahren: Trennung der Zustimmung zu den AGB/Vertragsbedingungen von der datenschutzrechtlichen Einwilligung zur Kontoeinsicht (keine unzulässige Verquickung).
• Ausdrückliche Zweckbindung: Nennung des konkreten Geschäfts (z. B. „Kreditentscheidung für Betriebsmittellinie über 25.000 €“).
• Transparenz über den Datenumfang: Hinweis auf den exakten Abfragezeitraum (z. B. 90 Tage) und die konkret analysierten Metriken (u. a. Einnahmen-Ausgaben-Deckung, Rücklastschriften, Liquiditätsreserve).
• Alternative Prüfwege: Ausdrücklicher Hinweis auf die Option, Bonitätsnachweise offline (BWA, Jahresabschluss der letzten 2 Jahre per Upload/Post) einzureichen, ohne dass dies zum automatischen Nachteil führt.
• Protokollierung: Vollständige Dokumentation des „Einwilligungs-Payloads“ (Textversion, Zeitstempel, IP-Adresse, Status der Zwei-Faktor-Authentifizierung) gem. Art. 7 Abs. 1 DSGVO.
• Löschfristen definieren: Rohdaten nach 30 bis maximal 90 Tagen löschen; berechnete Kennzahlen gem. § 257 HGB und § 147 AO für 6 bis 10 Jahre archivieren, sofern ein Kreditvertrag zustande kam. Bei Ablehnung Löschung innerhalb von maximal 6 Monaten sicherstellen.

Passend dazu

• Aufbewahrung und Löschung von Bonitätsdaten
• Alle Beiträge zur Themenwelt