In einem Satz. Banken und Fintechs in Deutschland operieren in einem dreifach geschichteten Datenschutzregime — DSGVO, BDSG (insbesondere §22) und sektorspezifisches Aufsichtsrecht (KWG, MaRisk, BAIT, ZAG) — mit BaFin und BfDI als kumulativen Aufsichten und besonders strengen Anforderungen an Auslagerung, IT-Sicherheit und Bankgeheimnis.
Wichtige Punkte
- Doppelaufsicht: BfDI für Datenschutz, BaFin für Aufsichtsrecht.
- Bankgeheimnis (§ 4 KWG analog, AGB-Banken Nr. 2) ergänzt DSGVO-Pflichten.
- BAIT und MaRisk AT 9: konkrete Auslagerungs- und IT-Sicherheitspflichten.
- Schufa-Eintrag: BGH 2023 zur Speicherdauer bestätigt 3 Jahre Restschuldbefreiung.
- Auftragsverarbeitung von Bankdaten erfordert C5-Testat-Niveau.
1. Rechtlicher Rahmen
| Norm | Bereich |
|---|---|
| DSGVO | Verarbeitung personenbezogener Daten |
| BDSG | nationale Konkretisierung |
| KWG | Kreditwesengesetz, Bankaufsicht |
| MaRisk | Mindestanforderungen Risikomanagement |
| BAIT | Bankaufsichtliche Anforderungen IT |
| ZAG | Zahlungsdiensteaufsicht |
| GwG | Geldwäschegesetz |
Konflikte werden meist auflösend zugunsten Aufsichtsrecht (BaFin) gelöst, soweit DSGVO Spielräume gibt (z.B. Rechtsgrundlage Art. 6 Abs. 1 lit. c).
2. Rechtsgrundlagen für Bankgeschäfte
| Verarbeitung | Rechtsgrundlage |
|---|---|
| Kontoeröffnung | Art. 6 Abs. 1 lit. b (Vertrag) |
| KYC/AML-Prüfung | Art. 6 Abs. 1 lit. c (GwG-Pflicht) |
| Bonitätsprüfung | Art. 6 Abs. 1 lit. b und f |
| Marketing | Art. 6 Abs. 1 lit. a (Einwilligung) |
| Schufa-Meldung | Art. 6 Abs. 1 lit. f + § 31 BDSG |
3. Bankgeheimnis und DSGVO
Das deutsche Bankgeheimnis ist nicht gesetzlich, sondern vertraglich (AGB-Banken Nr. 2). DSGVO-Auskunftsrecht (Art. 15) geht grundsätzlich vor, jedoch kann § 29 BDSG das Auskunftsrecht bei rechtlichen Auseinandersetzungen einschränken.
4. Schufa und Scoring
5. Auslagerung nach MaRisk AT 9 und BAIT
Banken unterliegen strengen Auslagerungspflichten:
- Auslagerungsregister (zentral, vollständig)
- Risikoanalyse pro Auslagerung
- Vertragliche Mindestinhalte (Audit, Exit, Subdienstleister)
- Notfallkonzept
- Meldung wesentlicher Auslagerungen an BaFin
6. Cloud-Nutzung in Banken
BaFin und BfDI verlangen für Cloud-Auslagerungen:
- BSI C5 Typ-2 Testat als Mindestvoraussetzung
- Datenstandort in EU oder gleichwertiges Land
- Exit-Strategie (Re-Insourcing oder Anbieterwechsel)
- Pentest-Berichte
- DPIA bei sensiblen Verarbeitungen
7. Datenpannen im Bankenbereich
8. Aufbewahrungsfristen
| Datenart | Frist | Grundlage |
|---|---|---|
| Geschäftsunterlagen | 10 Jahre | § 257 HGB |
| Steuerunterlagen | 10 Jahre | § 147 AO |
| GwG-Identifizierung | 5 Jahre | § 8 GwG |
| Korrespondenz | 6 Jahre | § 257 HGB |
| Werbeeinwilligung | bis Widerruf | DSGVO |
Spannung zu Art. 17 (Löschung): handelsrechtliche Pflicht geht vor.
9. Fintech-spezifische Themen
- Open Banking / PSD2 — Kontozugriff durch TPP, Einwilligung als RG
- Robo-Advisor — Profiling iSv Art. 22, hohe Transparenzanforderungen
- Krypto-Custody — MiCAR + DSGVO + BSI-Sicherheit
- Blockchain — Pseudonymisierung vs. Löschungsrecht
10. Sanktionsrisiko
| Fall | Sanktion | Behörde |
|---|---|---|
| 1&1 Telecom (analog Auth-Schwächen) | €9,55M | BfDI |
| Volkswagen Bank (mangelnde TOMs) | €1,1M | LDI NRW |
| Lufthansa-Tochter Miles & More | €1,2M | HmbBfDI |
BaFin-Sanktionen für IT-Mängel kommen zusätzlich.
11. Das Schufa-Urteil des EuGH und seine Folgen
Das Urteil EuGH C-634/21 vom 7. Dezember 2023 hat die Bankpraxis unmittelbar verändert. Der Gerichtshof entschied, dass die Erstellung eines Scorewerts durch eine Auskunftei bereits dann eine “automatisierte Entscheidung im Einzelfall” nach Art. 22 DSGVO ist, wenn Dritte (Banken) diesem Wert eine “maßgebliche” Rolle bei ihrer Kredit- oder Vertragsentscheidung beimessen. Praktische Folgen für Kreditinstitute:
- Transparenz: Der Kunde hat Anspruch auf aussagekräftige Informationen über die Logik der Entscheidung (Art. 15 Abs. 1 lit. h).
- Menschliches Eingreifen: Bei einer maßgeblich auf dem Score beruhenden Ablehnung ist eine echte menschliche Überprüfung sicherzustellen, nicht nur ein formaler “Klick”.
- Widerspruchsrecht: Betroffene können ihren Standpunkt darlegen und die Entscheidung anfechten.
Wer Scoring einsetzt, muss dokumentieren, wie stark der Score in die Entscheidung einfließt und wie das menschliche Eingreifen organisiert ist. Im selben Urteilskomplex (EuGH C-26/22 und C-64/22) beanstandete der Gerichtshof zudem die überlange Speicherung von Daten aus öffentlichen Insolvenzregistern durch Auskunfteien. Für Banken folgt daraus: Bonitätsdaten müssen regelmäßig auf Aktualität und Löschreife geprüft werden, veraltete Negativmerkmale dürfen die Kreditentscheidung nicht mehr belasten. Die praktische Konsequenz ist ein dokumentiertes Prüf- und Löschregime für alle Scoring- und Bonitätsdatenbestände.
12. DORA: die dritte Aufsichtsebene seit 2025
Seit dem 17. Januar 2025 gilt für Banken und Zahlungsdienstleister zusätzlich der Digital Operational Resilience Act (DORA). DORA verlangt ein umfassendes IKT-Risikomanagement, ein Register aller IKT-Dienstleister, klassifizierte Vorfallmeldungen und Resilienztests. Für den Datenschutz relevant ist vor allem die Überschneidung: Ein IKT-Vorfall, der personenbezogene Daten betrifft, löst parallel die DORA-Meldung, die BAIT-Meldung und die DSGVO-Meldung nach Art. 33 aus. Wer diese drei Meldewege nicht koordiniert vorbereitet, verliert im Ernstfall wertvolle Stunden. Mehr dazu in unserem Leitfaden zu DORA für Zahlungsdienstleister und FinTechs.
13. Praxis-Checkliste für Kreditinstitute
Die Doppelaufsicht lässt sich nur beherrschen, wenn Datenschutz und Aufsichtsrecht in denselben Prozessen zusammenlaufen. Bewährt hat sich folgende Mindestagenda:
- Ein integriertes Auslagerungsregister führen, das MaRisk AT 9, BAIT, DORA und Art. 28 DSGVO in einem Datensatz je Dienstleister abbildet — Doppelpflege ist die häufigste Fehlerquelle.
- AVV mit BaFin-Klauseln verwenden: Audit-, Weisungs- und Exit-Rechte, Subdienstleister-Transparenz, Meldepflichten bei Vorfällen.
- Cloud nur mit C5-Typ-2-Testat, EU-Datenstandort und dokumentierter Exit-Strategie.
- Scoring-Governance: Dokumentation der Score-Gewichtung, geregeltes menschliches Eingreifen, Betroffeneninformation nach Art. 15 Abs. 1 lit. h.
- Koordinierter Meldeprozess für Vorfälle: eine Ereignisaufnahme, aus der parallel die DSGVO-, BAIT- und DORA-Meldung erzeugt wird.
- Löschregime für Bonitäts-, KYC- und Korrespondenzdaten, das die handelsrechtlichen Aufbewahrungsfristen mit der DSGVO-Speicherbegrenzung versöhnt.
Wer diese sechs Punkte belegen kann, besteht sowohl eine BaFin-Sonderprüfung als auch eine datenschutzrechtliche Kontrolle — und genau diese Überschneidung ist der Grund, warum in Banken getrennte Silos für “Aufsicht” und “Datenschutz” nicht funktionieren.
14. Tool-Unterstützung
Fazit
Im Bankenbereich ist DSGVO nur ein Drittel der Pflichten. Wer BaFin-Auslagerungsrecht und IT-Sicherheit (BAIT) nicht integriert, scheitert spätestens beim ersten Sonderprüfungs-Bescheid. Seit 2025 kommen zudem die IKT-Pflichten der DORA hinzu — Details in unserem Leitfaden zu DORA für Zahlungsdienstleister und FinTechs.
FAQ
Welche Behörde ist für Banken zuständig?
Doppelt: BaFin für Aufsichtsrecht (KWG, MaRisk, BAIT), BfDI/LDA für DSGVO. Bei Konflikten Abstimmung beider.
Darf ich als Bank Cloud nutzen?
Ja, mit BSI C5 Typ-2 Testat, EU-Datenstandort, Exit-Strategie und MaRisk-konformem Auslagerungsvertrag.
Wie lange darf Schufa Daten speichern?
Restschuldbefreiung 3 Jahre (BGH 2023). Erledigte Forderungen 3 Jahre nach Tilgung. Bonitätsanfragen 12 Monate.
Ist Scoring automatisierte Entscheidung?
Nach EuGH 2023 (Schufa) ja, wenn der Score maßgeblich für die Bankentscheidung ist. Folge: Art. 22 DSGVO mit menschlicher Überprüfung.
Was tun bei IT-Datenpanne?
Doppelmeldung: BfDI/LDA binnen 72h (Art. 33 DSGVO), BaFin als IT-Sicherheitsvorfall nach BAIT. Seit 2025 kommt bei schwerwiegenden IKT-Vorfällen die DORA-Meldung hinzu. Alle Meldewege aus einer einzigen Ereignisaufnahme koordinieren, um Fristen und Widersprüche zu vermeiden.
Gilt die DSGVO für FinTechs anders als für Banken?
Die DSGVO gilt identisch. Der Unterschied liegt im Aufsichtsrecht: Reine Zahlungsdienstleister unterliegen dem ZAG, Kreditinstitute dem KWG. Für beide gelten seit 2025 DORA-Pflichten. Datenschutzrechtlich sind FinTechs wegen Open-Banking-Schnittstellen (PSD2) und Profiling oft sogar exponierter.