Teil 3: Was der Schutz elektronischer Daten mit dem Finanzaufsichtsrecht zu tun hat
Diese Woche werfen wir noch einmal einen Blick auf die künftige ePrivacy-Verordnung, das nächste große Datenschutzprojekt der EU, das dem Schutz elektronischer Daten dienen soll. Wir hatte bereits in Teil 1 dieser Beitragsreihe die gesellschaftlichen und rechtlichen Hintergründe der ePrivacy-Verordnung beleuchtet und erklärt, was die ePrivacy-Verordnung ist. In Teil 2 ging es darum, welche Daten überhaupt geschützt sind und wen die neue Verordnung konkret betrifft.
Die Verordnung wird frühestens 2020 in Kraft treten und enthält darüber hinaus Übergangsvorschriften bis 2022. Dennoch lohnt es sich, sich frühzeitig mit den Auswirkungen der ePrivacy-Vorgaben auf den Finanzmarkt auseinanderzusetzen. Eine gute Vorbereitung kann am Ende viel Zeit und Geld sparen. Darum betrachtet dieser dritte Teil unserer Reihe zur ePrivacy-Verordnung die Frage, was das alles mit dem Finanzaufsichtsrecht zu tun hat.
ePrivacy und Finanzaufsichtsrecht
Was auf den ersten Blick nicht richtig zusammen passen mag, macht auf den zweiten Blick durchaus Sinn. Denn immer mehr Bank-, Finanz- und Zahlungsdienstleistungen verlagern sich in die digitale Welt. Das gilt für Bankdienstleistungen (z.B. das Online-Banking) und Finanzdienstleistungen (z.B. Robo Advice oder automatisierte Portfolioverwaltung), vor allem aber für die zahlreichen Bezahldienste wie z.B. SOFORT Überweisung, die als Zahlungsauslösedienste seit der zweiten Zahlungsdienstrichtlinie (PSD2) reguliert sind. Immer wenn ein solcher Dienst über eine digitale Oberfläche, also etwa eine Webseite oder eine App, benutzt wird, fallen elektronische Daten an, die von der ePrivacy-Verordnung in Zukunft geschützt werden.
Um es etwas anschaulicher zu machen, sollen im Folgenden am Beispiel der Zahlungsauslösedienste die Pflichten aus der ePrivacy-Verordnung exemplarisch dargestellt werden, die für das Finanzaufsichtsrecht relevant werden können.
Zahlungsauslösedienste als regulierte Zahlungsdienste
Seit der Umsetzung der PSD2 in das deutsche Zahlungsdiensteaufsichtsgesetz (ZAG) sind auch sog. Zahlungsauslösedienste reguliert. Ein Zahlungsauslösedienst ist ein Dienst, bei dem auf Veranlassung des Zahlungsdienstenutzers (also z.B. desjenigen, der eine Ware oder Dienstleistung im Internet kauft) ein Zahlungsauftrag in Bezug auf ein bei einem anderen Zahlungsdienstleister geführtes Zahlungskonto ausgelöst wird. Der Nutzer kann den Dienst in der Regel über eine Webseitenoberfläche oder über eine App nutzen. Der Zahlungsauslösedienst stößt den Zahlungsvorgang bei der Bank des Kunden an. Er steht insofern zwischen der Autorisierung des Zahlungsvorganges durch den Kunden und seiner Bank. Der Vorteil ist, dass damit dem Zahlungsempfänger (also z.B. dem Händler, der seine Ware im Internet anbietet) zeitnah die Gewissheit darüber gegeben wird, dass der Zahlungsauftrag von seinem Kunden an dessen Bank übermittelt wurde. Das kann den Zahlungsempfänger dazu veranlassen, die Ware oder die Dienstleistung unverzüglich freizugeben.
Wie in unserem letzten Beitrag erklärt, fallen elektronische Kommunikationsdienste, elektronische Kommunikationsdaten und –inhalte unter die ePrivacy-Verordnung.
Bezahldienste als elektronische Kommunikationsdienste
Elektronische Kommunikationsdienste sind gewöhnlich gegen Entgelt erbrachte Dienste, die ganz oder überwiegend in der Übertragung von Signalen bestehen. Unabhängig davon, ob der Nutzer seine Daten auf einer Webseitenoberfläche oder in einer App eingibt; sie werden in beiden Fällen an den entsprechenden Empfänger als Signale übertragen und stellen von der ePrivacy-Verordnung geschützte elektronische Daten dar.
Bezahldaten als elektronische Kommunikationsdaten und -inhalte
Elektronische Kommunikationsdaten sind Kommunikationsdaten, die mittels elektronischer Kommunikationsdienste übermittelt werden. Die Informationen, die der Nutzer in die Oberfläche eingibt, wie den Namen des Zahlungsempfängers oder den Zahlungsbetrag, liegen den Kommunikationsdaten zugrunde und stellen elektronische Kommunikationsinhalte dar.
Und damit sind Zahlungsdienstleister sehr schnell direkt von der ePrivacy-Verordnung betroffen.
Was bedeutet das? Welche Pflichten nach der ePrivacy-Verordnung kommen auf die Zahlungsdienstleister zu?
Für die Zahlungsauslösedienste als Adressaten der ePrivacy-Verordnung gelten dann vor allem zwei Dinge:
Elektronische Kommunikationsdaten dürfen sie nur dann verarbeiten, wenn das entweder zur Durchführung oder Übermittlung der Kommunikation oder zur Fehlererkennung o.ä. nötig ist. Die den elektronischen Kommunikationsdaten zugrunde liegenden elektronischen Kommunikationsinhalte, also die Informationen, die der Endnutzer über den anzustoßenden Bezahlvorgang offenlegt, dürfen im Wesentlichen nur dann verarbeitet werden, wenn die Verarbeitung dem alleinigen Zweck der Bereitstellung des Zahlungsauslösedienstes für den Endnutzer dient, er eingewilligt hat und der Zahlungsauslösedienst ohne die Verarbeitung dieser Inhalte nicht erbracht werden könnte.
Daneben werden die Zahlungsauslösedienste auch die Regelungen zu Cookies und Direktwerbung (zumindest indirekt) treffen. Nimmt der Endnutzer etwa entsprechende Einstellungen bei seinem Browser vor, wird ein Tracking des Surfverhaltens des Nutzers nicht mehr ohne Weiteres möglich sein. Gleiches gilt für Werbung via E-Mail oder Telefon: Auch diese steht unter der Grundvoraussetzung, dass der Endnutzer seine Einwilligung dazu erteilt hat.
Für die entsprechende Einwilligung des Endnutzers sind die bereits jetzt geltenden, in der DSGVO aufgestellten Grundsätze zu beachten. Die Einwilligung muss insbesondere freiwillig und unmissverständlich sein, sie muss für einen bestimmten Zweck abgegeben worden sein, dem Endnutzer muss ein Recht zum Widerruf eingeräumt werden und der Zahlungsauslösedienst muss nachweisen können, dass der Endnutzer eine Einwilligung erteilt hat.
Fazit
Durch die ePrivacy-Verordnung werden zusätzliche Anforderungen an den Schutz elektronischer Daten erhoben, die die Regelungen der DSGVO ergänzen. Soll die Verarbeitung elektronischer Daten zulässig sein, muss in den meisten Fällen daher vor allem die Einwilligung des Endnutzers eingeholt werden. Dafür sind die entsprechenden technischen und organisatorischen Anforderungen zu schaffen. Auch die Verwendung von Cookies und das Zusenden von Direktwerbung wird zukünftig wesentlich von der Einwilligung des Endnutzers abhängen. Das gilt nicht nur für die exemplarisch dargestellten Zahlungsauslösedienste, sondern auch für andere Zahlungsdienstleister, Finanzdienstleistungsinstitute und Banken, sobald sie elektronische Daten übertragen und verarbeiten wollen.
