Skandalöse Datenpannen sind mittlerweile an der Tagesordnung. Dem Finanzvertrieb AWD sind Zehntausende Datensätze seiner Kunden entwendet worden, die KarstadtQuelle-Bank forderte Kunden zur Sperrung ihrer Kreditkarten auf, nachdem die Kartennummern in die Hände Dritter gelangt sind.
Der jüngste Skandal: Anfang der Woche gestand die Postbank nach einem Bericht der Stiftung Warentest ein, dass die rund 4000 Berater einer Tochtergesellschaft Einsicht in die Konten der Postbankkunden hatten. Obwohl die Postbank auf den öffentlichen Druck hin den Zugriff bis zur Klärung der Rechtslage sofort sperren wollte, wurde heute bekannt, dass Finanzberater der Postbank offenkundig noch immer vollen Datenzugriff haben.
Interne Mitarbeiter haben Zugriff
Die Aufregung unter den Verbrauchern über den fragwürdigen Gebrauch ihrer Daten ist groß. Doch nicht nicht immer auch Datenmissbrauch vor. Die Dateneinsicht durch Dritte ist in vielen Fällen durch die gesetzlichen Bestimmungen abgedeckt – auch nach der Novelle des Bundesdatenschutzgesetzes (BDSG) vom August 2009.
wiwo.de hat Rechtsexperten und Datenschützer gefragt, wer wann und wie viel Einblick in Kundenkonten nehmen darf, wann eine ausdrückliche Einwilligung des Kunden vorliegen muss und wo der Ermessensspielraum beginnt.
Bankmitarbeiter dürfen im Rahmen ihrer Arbeit generell die Konten ihrer Kunden einsehen. Dazu ist nach dem Datenschutzgesetz eine ausdrückliche Einverständniserklärung des Kunden nicht notwendig, weil keine Datenübermittlung an Dritte vorliegt. Allerdings ist der Zugriff per Gesetz zumindest abstrakt beschränkt: Die Einsicht in Kundendaten darf nur erfolgen, wenn sie für die Arbeit des Bankmitarbeiters erforderlich ist. Ein Freibrief für die Mitarbeiter ist das jedoch nicht: Daten, die für die geforderte Aufgabe nicht notwendig sind, dürfen sie auch nicht einsehen.
Das bestätigt Wilhelm Rydzy, der als Datenschützer für die öffentlich-rechtlichen Banken in Hessen zuständig ist: „Eine Einsicht in Kontodaten darf nur soweit wie für die Arbeit des Bankberaters erforderlich erfolgen. Kein Mitarbeiter einer Bank hat vollständigen Zugriff auf alle Daten eines Kunden.“ Letztendlich regelt der Vertrag mit dem Kunden sowie allgemeine Geschäftsbedingen auch die Verwendung personenbezogener Daten zum Vertragszweck.
Datenübermittlung an Dritte
Ein entscheidender Punkt liegt in der Abgrenzung von internen zu externen Mitarbeitern. Im Fall der Postbank hatte diese den Beratern ihrer Tochtergesellschaft Postbank Finanzberatung AG Einblick in Kundenkonten gewährt. Noch dazu sind diese Berater nicht als Festangestellte, sondern als freie Handelsvertreter für die Postbank tätig. Letztendlich entscheidet die Vertragsausgestaltung zwischen Bank und Beratern, ob diese als interne oder externe Mitarbeiter angesehen werden müssen.
Rechtsanwalt Stefan Hanloser, Rechtsanwalt der Kanzlei Howrey LLP in München und dort spezialisiert auf das Thema Datenschutz, spricht auch in diesem Fall von einer notwenigen Zweckbindung und dem Maßstab der Erforderlichkeit. „Das ist eine Frage des Vertragsverhältnisses zwischen dem, der Kundendaten verarbeitet, und seinem Auftraggeber. Ein Bankmitarbeiter, der ein Girokonto betreut, braucht in der Regel keine Daten, die bei der Beratung einer Immobilienfinanzierung oder bei der Vermittlung von Geldanlageprodukten nötig sind.“ In Banken gebe es deshalb auch Organisationsstrukturen mit unterschiedlichen Service-Ebenen, die anlassbezogen Datenzugriff erhalten.
Besonders heikel ist bei der Postbank: Der Blick in die Kontodanten durch die Berater der Postbank Finanzberatung AG wurde zu Werbezwecken genutzt.
