Datenschutzbeauftragter Finanzdienstleister

Häufig gestellte Fragen

Braucht mein Unternehmen einen Datenschutzbeauftragten?

Wenn mindestens 20 Personen ständig mit personenbezogenen Daten arbeiten, besondere Datenkategorien verarbeitet werden oder eine Datenschutz-Folgenabschätzung erforderlich ist, müssen Sie einen DSB bestellen.

Was kostet ein externer Datenschutzbeauftragter?

Bei der DATUREX GmbH beginnen die Kosten ab 250 €/Monat als Pauschale. Darin enthalten sind alle gesetzlichen Pflichtaufgaben, Schulungen und laufende Beratung. Alle Preise im Überblick →

Was passiert bei einem Datenschutzverstoß?

Bußgelder bis zu 20 Millionen Euro oder 4% des Jahresumsatzes drohen. Dazu kommen Reputationsschäden und mögliche Schadensersatzansprüche Betroffener.

Datenschutz-Anforderungen für Finanzdienstleister

Finanzdienstleister unterliegen einem besonders komplexen regulatorischen Rahmen, in dem sich datenschutzrechtliche und aufsichtsrechtliche Anforderungen überlagern. Neben der DSGVO gelten branchenspezifische Vorschriften der BaFin, des Kreditwesengesetzes (KWG) sowie europäische Regelwerke, die den Umgang mit Kundendaten und die IT-Sicherheit streng regulieren.

BaFin-Anforderungen (BAIT/VAIT/KAIT)

Die Bankaufsichtlichen Anforderungen an die IT (BAIT), Versicherungsaufsichtlichen Anforderungen an die IT (VAIT) und Kapitalverwaltungsaufsichtlichen Anforderungen an die IT (KAIT) bilden den aufsichtsrechtlichen Rahmen für das IT-Management von Finanzinstituten. Sie fordern ein vollständiges Informationssicherheitsmanagement, ein dokumentiertes Berechtigungskonzept, ein IT-Risikomanagement sowie Regelungen für den Einsatz von Cloud-Diensten und Auslagerungen. Der Datenschutzbeauftragte muss eng mit der IT-Sicherheit und dem Auslagerungsbeauftragten zusammenarbeiten, um die Compliance sicherzustellen.

MaRisk — Mindestanforderungen an das Risikomanagement

Die MaRisk der BaFin definieren Mindestanforderungen an das Risikomanagement von Kreditinstituten und Finanzdienstleistungsinstituten. Im Bereich Datenschutz sind insbesondere die Anforderungen an das Auslagerungsmanagement relevant: Bei der Auslagerung von Geschäftsprozessen, die die Verarbeitung personenbezogener Daten umfassen, müssen sowohl die datenschutzrechtlichen als auch die aufsichtsrechtlichen Anforderungen erfüllt werden. Dies betrifft Auftragsverarbeitungsverträge ebenso wie die Kontroll- und Informationsrechte der BaFin gegenüber den Auslagerungsunternehmen.

DORA — Digital Operational Resilience Act

Die EU-Verordnung DORA (Verordnung (EU) 2022/2554) ist seit Januar 2025 anzuwenden und stellt vollständige Anforderungen an die digitale operationale Resilienz von Finanzunternehmen. DORA ergänzt die bestehenden Datenschutzanforderungen um verbindliche Vorgaben für IKT-Risikomanagement, Meldung von IKT-bezogenen Vorfällen, Tests der digitalen operationalen Resilienz und das Management von IKT-Drittanbieterrisiken. Der Datenschutzbeauftragte muss die DORA-Anforderungen im Kontext der DSGVO-Compliance berücksichtigen, insbesondere bei der Meldung von Vorfällen, die sowohl IKT-Vorfälle als auch Datenschutzverletzungen darstellen können.

Typische Verarbeitungstätigkeiten bei Finanzdienstleistern

Finanzdienstleister verarbeiten eine Vielzahl personenbezogener Daten, die im Verarbeitungsverzeichnis nach Art. 30 DSGVO vollständig dokumentiert werden müssen. Die folgenden Verarbeitungstätigkeiten sind typisch und erfordern besondere datenschutzrechtliche Aufmerksamkeit.

KYC und Geldwäscheprävention

Die Know-Your-Customer-Prüfung (KYC) und die Geldwäscheprävention nach dem Geldwäschegesetz (GwG) erfordern die umfangreiche Erhebung und Verarbeitung personenbezogener Daten: Identifikationsdaten, Ausweiskopien, wirtschaftlich Berechtigte, Herkunft des Vermögens und Transaktionsanalysen. Die Rechtsgrundlage ergibt sich aus der gesetzlichen Verpflichtung nach Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem GwG. Besonders relevant sind die langen Aufbewahrungspflichten von mindestens fünf Jahren nach Ende der Geschäftsbeziehung und die Anforderungen an die Verdachtsmeldung an die Financial Intelligence Unit (FIU).

Bonitätsprüfung und Scoring

Die Abfrage und Verarbeitung von Bonitätsinformationen bei Auskunfteien wie der SCHUFA stellt eine besonders datenschutzrelevante Verarbeitungstätigkeit dar. Das Scoring — die automatisierte Bewertung der Kreditwürdigkeit — unterliegt den Anforderungen des Art. 22 DSGVO an automatisierte Einzelentscheidungen. Seit dem Urteil des EuGH (Rs. C-634/21, SCHUFA) gelten verschärfte Transparenzanforderungen: Betroffene haben einen Anspruch auf aussagekräftige Informationen über die verwendeten Scoring-Verfahren und die maßgeblichen Einflussfaktoren.

Anlageberatung und Finanzplanung

Im Rahmen der Anlageberatung werden umfangreiche persönliche und finanzielle Daten erhoben: Einkommens- und Vermögensverhältnisse, Anlageziele, Risikoneigung, Erfahrungen mit Finanzprodukten und persönliche Lebensumstände. Diese Daten unterliegen neben dem Datenschutz auch dem Bank- und Anlagegeheimnis. Die Dokumentationspflichten nach WpHG (Geeignetheitserklärung, Beratungsprotokoll) überlagern sich mit den DSGVO-Anforderungen an Speicherbegrenzung und Löschung.

Videoidentifizierung und digitale Prozesse

Die zunehmende Digitalisierung der Finanzbranche bringt neue Verarbeitungstätigkeiten mit sich: Videoidentifizierung zur Kontoeröffnung, digitale Unterschriften, biometrische Authentifizierung (Fingerabdruck, Gesichtserkennung im Mobile Banking) und KI-gestützte Kundenbetreuung (Chatbots, Robo-Advisors). Für jede dieser Verarbeitungstätigkeiten muss eine Rechtsgrundlage definiert und eine Datenschutzfolgenabschätzung erwogen werden. Bei biometrischen Daten gelten die verschärften Anforderungen des Art. 9 DSGVO für besondere Kategorien personenbezogener Daten.

Häufig gestellte Fragen

Welche besonderen Aufbewahrungspflichten gelten für Finanzdienstleister?

Finanzdienstleister unterliegen zahlreichen gesetzlichen Aufbewahrungspflichten, die mit den DSGVO-Löschpflichten in Einklang gebracht werden müssen: Handels- und steuerrechtliche Aufbewahrung (6-10 Jahre), GwG-Aufbewahrung (5 Jahre nach Geschäftsbeziehung), WpHG-Dokumentation (10 Jahre) und aufsichtsrechtliche Dokumentation nach BAIT/MaRisk. Ein differenziertes Löschkonzept, das zwischen verschiedenen Datenkategorien und Aufbewahrungspflichten unterscheidet, ist nötig.

Wie wirkt sich DORA auf den Datenschutz aus?

DORA ergänzt die DSGVO um spezifische Anforderungen an die IT-Sicherheit und Resilienz. Besonders relevant für den Datenschutz sind die Meldepflichten bei IKT-Vorfällen, die sich mit der Meldepflicht nach Art. 33 DSGVO überschneiden können. Zudem fordert DORA ein vollständiges Management von IKT-Drittanbieterrisiken, das sich mit dem Auftragsverarbeitungsmanagement nach Art. 28 DSGVO überlagert. Eine integrierte Compliance-Lösung, die beide Regelwerke berücksichtigt, ist empfehlenswert.

Brauchen wir neben dem Datenschutzbeauftragten auch einen Informationssicherheitsbeauftragten?

Ja, nach BAIT/VAIT/KAIT sind Finanzinstitute verpflichtet, eine Funktion für Informationssicherheit einzurichten, die organisatorisch von der IT getrennt sein muss. Diese Funktion ist nicht identisch mit dem Datenschutzbeauftragten, auch wenn es inhaltliche Überschneidungen gibt. Bei DATUREX bieten wir sowohl die externe Datenschutzbeauftragung als auch die Informationssicherheitsberatung an, sodass Sie eine konsistente und effiziente Betreuung aus einer Hand erhalten.