DSGVO für Banken und Fintechs in Deutschland

In einem Satz. Banken und Fintechs in Deutschland operieren in einem dreifach geschichteten Datenschutzregime — DSGVO, BDSG (insbesondere §22) und sektorspezifisches Aufsichtsrecht (KWG, MaRisk, BAIT, ZAG) — mit BaFin und BfDI als kumulativen Aufsichten und besonders strengen Anforderungen an Auslagerung, IT-Sicherheit und Bankgeheimnis.

Die Doppelaufsicht BaFin/BfDI ist sektoral einzigartig: Eine fehlerhafte Auslagerung kann gleichzeitig MaRisk-Verstoß und DSGVO-Verstoß sein. Konkrete Fälle: 1&1 Telecom (€9,55M durch BfDI), aber auch BaFin-Sanktionen für IT-Mängel im sechs- bis siebenstelligen Bereich. Ein ähnliches Doppelregime gilt in der Versicherungsbranche — siehe unseren DSGVO-Leitfaden für Versicherungen. Siehe auch BfDI, DSGVO Bußgelder. Die aufsichtsrechtlichen Rundschreiben und die MaRisk/BAIT-Fassungen veröffentlicht die BaFin; die datenschutzrechtliche Grundlage bildet die DSGVO auf EUR-Lex.

Wichtige Punkte

• Doppelaufsicht: BfDI für Datenschutz, BaFin für Aufsichtsrecht.
• Bankgeheimnis (§ 4 KWG analog, AGB-Banken Nr. 2) ergänzt DSGVO-Pflichten.
• BAIT und MaRisk AT 9: konkrete Auslagerungs- und IT-Sicherheitspflichten.
• Schufa-Eintrag: BGH 2023 zur Speicherdauer bestätigt 3 Jahre Restschuldbefreiung.
• Auftragsverarbeitung von Bankdaten erfordert C5-Testat-Niveau.

1. Rechtlicher Rahmen

Norm	Bereich
DSGVO	Verarbeitung personenbezogener Daten
BDSG	nationale Konkretisierung
KWG	Kreditwesengesetz, Bankaufsicht
MaRisk	Mindestanforderungen Risikomanagement
BAIT	Bankaufsichtliche Anforderungen IT
ZAG	Zahlungsdiensteaufsicht
GwG	Geldwäschegesetz

Konflikte werden meist auflösend zugunsten Aufsichtsrecht (BaFin) gelöst, soweit DSGVO Spielräume gibt (z.B. Rechtsgrundlage Art. 6 Abs. 1 lit. c).

2. Rechtsgrundlagen für Bankgeschäfte

Verarbeitung	Rechtsgrundlage
Kontoeröffnung	Art. 6 Abs. 1 lit. b (Vertrag)
KYC/AML-Prüfung	Art. 6 Abs. 1 lit. c (GwG-Pflicht)
Bonitätsprüfung	Art. 6 Abs. 1 lit. b und f
Marketing	Art. 6 Abs. 1 lit. a (Einwilligung)
Schufa-Meldung	Art. 6 Abs. 1 lit. f + § 31 BDSG

Siehe DSGVO Artikel 6.

3. Bankgeheimnis und DSGVO

Das deutsche Bankgeheimnis ist nicht gesetzlich, sondern vertraglich (AGB-Banken Nr. 2). DSGVO-Auskunftsrecht (Art. 15) geht grundsätzlich vor, jedoch kann § 29 BDSG das Auskunftsrecht bei rechtlichen Auseinandersetzungen einschränken.

4. Schufa und Scoring

Wichtigste Rechtsprechung: EuGH 2023 (C-634/21, Schufa Scoring) — Scoring ist automatisierte Einzelentscheidung iSv Art. 22 DSGVO, wenn Banken den Score “maßgeblich” zugrunde legen. BGH 2023 zur Speicherdauer der Restschuldbefreiung: maximal 3 Jahre nach Erteilung. Siehe DSGVO Artikel 22.

5. Auslagerung nach MaRisk AT 9 und BAIT

Banken unterliegen strengen Auslagerungspflichten:

• Auslagerungsregister (zentral, vollständig)
• Risikoanalyse pro Auslagerung
• Vertragliche Mindestinhalte (Audit, Exit, Subdienstleister)
• Notfallkonzept
• Meldung wesentlicher Auslagerungen an BaFin

DSGVO Art. 28 AVV greift parallel. Praxis: ein “MaRisk-konformer AVV” mit zusätzlichen BaFin-Klauseln. Siehe AVV-Muster.

6. Cloud-Nutzung in Banken

BaFin und BfDI verlangen für Cloud-Auslagerungen:

• BSI C5 Typ-2 Testat als Mindestvoraussetzung
• Datenstandort in EU oder gleichwertiges Land
• Exit-Strategie (Re-Insourcing oder Anbieterwechsel)
• Pentest-Berichte
• DPIA bei sensiblen Verarbeitungen

Siehe BSI C5 Cloud-Kriterien und DSGVO US-Unternehmen.

7. Datenpannen im Bankenbereich

Erhöhte Anforderungen: BaFin-Meldungen (BAIT) parallel zur 72-Stunden-Meldung an BfDI. Beispiel: Kontoauszug-Fehlversendung → BfDI binnen 72h, BaFin als IT-Sicherheitsvorfall. Siehe Datenpanne melden.

8. Aufbewahrungsfristen

Datenart	Frist	Grundlage
Geschäftsunterlagen	10 Jahre	§ 257 HGB
Steuerunterlagen	10 Jahre	§ 147 AO
GwG-Identifizierung	5 Jahre	§ 8 GwG
Korrespondenz	6 Jahre	§ 257 HGB
Werbeeinwilligung	bis Widerruf	DSGVO

Spannung zu Art. 17 (Löschung): handelsrechtliche Pflicht geht vor.

9. Fintech-spezifische Themen

• Open Banking / PSD2 — Kontozugriff durch TPP, Einwilligung als RG
• Robo-Advisor — Profiling iSv Art. 22, hohe Transparenzanforderungen
• Krypto-Custody — MiCAR + DSGVO + BSI-Sicherheit
• Blockchain — Pseudonymisierung vs. Löschungsrecht

10. Sanktionsrisiko

Fall	Sanktion	Behörde
1&1 Telecom (analog Auth-Schwächen)	€9,55M	BfDI
Volkswagen Bank (mangelnde TOMs)	€1,1M	LDI NRW
Lufthansa-Tochter Miles & More	€1,2M	HmbBfDI

BaFin-Sanktionen für IT-Mängel kommen zusätzlich.

11. Das Schufa-Urteil des EuGH und seine Folgen

Das Urteil EuGH C-634/21 vom 7. Dezember 2023 hat die Bankpraxis unmittelbar verändert. Der Gerichtshof entschied, dass die Erstellung eines Scorewerts durch eine Auskunftei bereits dann eine “automatisierte Entscheidung im Einzelfall” nach Art. 22 DSGVO ist, wenn Dritte (Banken) diesem Wert eine “maßgebliche” Rolle bei ihrer Kredit- oder Vertragsentscheidung beimessen. Praktische Folgen für Kreditinstitute:

• Transparenz: Der Kunde hat Anspruch auf aussagekräftige Informationen über die Logik der Entscheidung (Art. 15 Abs. 1 lit. h).
• Menschliches Eingreifen: Bei einer maßgeblich auf dem Score beruhenden Ablehnung ist eine echte menschliche Überprüfung sicherzustellen, nicht nur ein formaler “Klick”.
• Widerspruchsrecht: Betroffene können ihren Standpunkt darlegen und die Entscheidung anfechten.

Wer Scoring einsetzt, muss dokumentieren, wie stark der Score in die Entscheidung einfließt und wie das menschliche Eingreifen organisiert ist. Im selben Urteilskomplex (EuGH C-26/22 und C-64/22) beanstandete der Gerichtshof zudem die überlange Speicherung von Daten aus öffentlichen Insolvenzregistern durch Auskunfteien. Für Banken folgt daraus: Bonitätsdaten müssen regelmäßig auf Aktualität und Löschreife geprüft werden, veraltete Negativmerkmale dürfen die Kreditentscheidung nicht mehr belasten. Die praktische Konsequenz ist ein dokumentiertes Prüf- und Löschregime für alle Scoring- und Bonitätsdatenbestände.

12. DORA: die dritte Aufsichtsebene seit 2025

Seit dem 17. Januar 2025 gilt für Banken und Zahlungsdienstleister zusätzlich der Digital Operational Resilience Act (DORA). DORA verlangt ein umfassendes IKT-Risikomanagement, ein Register aller IKT-Dienstleister, klassifizierte Vorfallmeldungen und Resilienztests. Für den Datenschutz relevant ist vor allem die Überschneidung: Ein IKT-Vorfall, der personenbezogene Daten betrifft, löst parallel die DORA-Meldung, die BAIT-Meldung und die DSGVO-Meldung nach Art. 33 aus. Wer diese drei Meldewege nicht koordiniert vorbereitet, verliert im Ernstfall wertvolle Stunden. Mehr dazu in unserem Leitfaden zu DORA für Zahlungsdienstleister und FinTechs.

13. Praxis-Checkliste für Kreditinstitute

Die Doppelaufsicht lässt sich nur beherrschen, wenn Datenschutz und Aufsichtsrecht in denselben Prozessen zusammenlaufen. Bewährt hat sich folgende Mindestagenda:

1. Ein integriertes Auslagerungsregister führen, das MaRisk AT 9, BAIT, DORA und Art. 28 DSGVO in einem Datensatz je Dienstleister abbildet — Doppelpflege ist die häufigste Fehlerquelle.
2. AVV mit BaFin-Klauseln verwenden: Audit-, Weisungs- und Exit-Rechte, Subdienstleister-Transparenz, Meldepflichten bei Vorfällen.
3. Cloud nur mit C5-Typ-2-Testat, EU-Datenstandort und dokumentierter Exit-Strategie.
4. Scoring-Governance: Dokumentation der Score-Gewichtung, geregeltes menschliches Eingreifen, Betroffeneninformation nach Art. 15 Abs. 1 lit. h.
5. Koordinierter Meldeprozess für Vorfälle: eine Ereignisaufnahme, aus der parallel die DSGVO-, BAIT- und DORA-Meldung erzeugt wird.
6. Löschregime für Bonitäts-, KYC- und Korrespondenzdaten, das die handelsrechtlichen Aufbewahrungsfristen mit der DSGVO-Speicherbegrenzung versöhnt.

Wer diese sechs Punkte belegen kann, besteht sowohl eine BaFin-Sonderprüfung als auch eine datenschutzrechtliche Kontrolle — und genau diese Überschneidung ist der Grund, warum in Banken getrennte Silos für “Aufsicht” und “Datenschutz” nicht funktionieren.

14. Tool-Unterstützung

Legiscope deckt Auslagerungsregister (BaFin + DSGVO), Verarbeitungstätigkeiten, AVV-Management und C5-Testat-Tracking — speziell für regulierte Finanzbranche.

Fazit

Im Bankenbereich ist DSGVO nur ein Drittel der Pflichten. Wer BaFin-Auslagerungsrecht und IT-Sicherheit (BAIT) nicht integriert, scheitert spätestens beim ersten Sonderprüfungs-Bescheid. Seit 2025 kommen zudem die IKT-Pflichten der DORA hinzu — Details in unserem Leitfaden zu DORA für Zahlungsdienstleister und FinTechs.

FAQ

Welche Behörde ist für Banken zuständig?

Doppelt: BaFin für Aufsichtsrecht (KWG, MaRisk, BAIT), BfDI/LDA für DSGVO. Bei Konflikten Abstimmung beider.

Darf ich als Bank Cloud nutzen?

Ja, mit BSI C5 Typ-2 Testat, EU-Datenstandort, Exit-Strategie und MaRisk-konformem Auslagerungsvertrag.

Wie lange darf Schufa Daten speichern?

Restschuldbefreiung 3 Jahre (BGH 2023). Erledigte Forderungen 3 Jahre nach Tilgung. Bonitätsanfragen 12 Monate.

Ist Scoring automatisierte Entscheidung?

Nach EuGH 2023 (Schufa) ja, wenn der Score maßgeblich für die Bankentscheidung ist. Folge: Art. 22 DSGVO mit menschlicher Überprüfung.

Was tun bei IT-Datenpanne?

Doppelmeldung: BfDI/LDA binnen 72h (Art. 33 DSGVO), BaFin als IT-Sicherheitsvorfall nach BAIT. Seit 2025 kommt bei schwerwiegenden IKT-Vorfällen die DORA-Meldung hinzu. Alle Meldewege aus einer einzigen Ereignisaufnahme koordinieren, um Fristen und Widersprüche zu vermeiden.

Gilt die DSGVO für FinTechs anders als für Banken?

Die DSGVO gilt identisch. Der Unterschied liegt im Aufsichtsrecht: Reine Zahlungsdienstleister unterliegen dem ZAG, Kreditinstitute dem KWG. Für beide gelten seit 2025 DORA-Pflichten. Datenschutzrechtlich sind FinTechs wegen Open-Banking-Schnittstellen (PSD2) und Profiling oft sogar exponierter.