Yukiko Matsuoka, CC BY 2.0

Die EU-Richtlinie für Zahlungsdienste PSD2 wurde bis 13. Januar 2018 in nationales Recht umgesetzt. Sie hat verhältnismäßig wenig  öffentliches Aufsehen bekommen, obwohl einige Neuerungen durchaus Stoff für Diskussionen bieten.

Zum einen verspricht die Zahlungsdienstrichtlinie PSD2 (Payment Service Directive 2) einen besseren Verbraucherschutz und mehr Komfort für Kunden, zum anderen wird das Zugriffsmonopol von Banken auf Kontodaten abgeschafft. Letzteres birgt die Gefahr einer ausgeweiteten Datenausbeutung.

Sehen wir uns die wichtigsten Regelungen im Detail an:

Im Betrugsfall erhalten Kundinnen und Kunden innerhalb von 24 Stunden Schadensersatz und die Haftung bei Online-Banking oder Kartenzahlungen wird von 150 Euro auf 50 Euro gesenkt. Das stärkt die Verbraucherrechte.

Verpflichtende Zwei-Faktor-Authentifizierung
Weiterhin ist den Zahlungsdienstleistern vorgeschrieben, eine starke Kundenauthentifizierung zu verwenden, um Missbräuche zu vermeiden. Das bedeutet, dass eine Zahlung nur ausgelöst werden kann, wenn ein.e Kund.in sich mindestens durch eine Zwei-Faktor-Authentifizierung ausweisen kann, also zum Beispiel ein Passwort und ein Fingerabdruck oder ein Passwort und die physische Girokarte [1]. Dies ist eine Stärkung der Sicherheit im Zahlungsverkehr und damit sehr zu begrüßen.

Die PIN
Der Zugang zu Kontodaten, zum Beispiel Transaktionen und Saldi, können nur mit ausdrücklicher Zustimmung einer Kundin von externen Dienstleistern abgefragt werden: Eine einfache Änderung der AGB reicht nicht aus.
Derzeit ist es noch so, dass ein Bankkunde Dienstleistern die PIN beziehungsweise Zugangsdaten zum Onlinebanking Portal aktiv aushändigen muss. Die meisten Banken verwenden dieselbe Schnittstelle für ihre Kund.innen und Dienstleistungsunternehmen. Es ist ausdrücklich erlaubt und gibt Bestrebungen, einen dezidierten Zugang zu schaffen. Bis es diesen gibt, wird es aber noch einige Zeit dauern.
Eine Weitergabe der Zugangsdaten war bisher durch die AGB der Banken verboten, wurde allerdings trotzdem praktiziert, um Dienstleistungen wie „Sofortüberweisung“ verwenden zu können. Dies ist nun mithilfe der Richtlinie geregelt, erodiert jedoch damit auch das Bankengeheimnis.
                                   
Kein feingranulares Berechtigungsmanagement
Zu bemängeln ist, dass durch die Weitergabe der Zugangsdaten ein „Generalschlüssel“ zum Konto weitergegeben wird, durch den jedes Dienstleistungsunternehmen all das sehen kann, was ein.e Kund.in sieht. Nur durch die zukünftige Entwicklung von dezidierten Schnittstellen kann dies verbessert werden.
Das Ziel muss sein, dass Kundinnen und Kunden die volle Kontrolle darüber haben werden, welche Dienstleister Zugriff auf welche Kontodaten erhalten.

Mögliche Diskriminierung
Laut der neuen Datenschutzgrundverordnung (DSGVO) ist die Einwilligung zur Datenweitergabe freiwillig, das heißt es darf kein Angebot verweigert werden, nur weil eine Person gegenüber einem Unternehmen keine Einwilligung erteilt.
Allerdings kennen wir bereits Belohnungs-Aktionen oder Rabatte. Die könnte es zukünftig nur noch für diejenigen geben, die der Weitergabe ihrer Daten zustimmen.
Große Datensammel-Konzerne werden von solchen Praktiken profitieren, da sie die ohnehin schon detaillierten Profile ihrer Kundschaft durch Finanzdaten anreichern könnten.

Der gläserne Mensch
Eine Gefahr besteht in diesem Zusamenhang in der möglichen Identifizierung von Netzwerken durch Zahlungsströme. Das ist nicht nur für NGOs eine große Gefahr, sondern auch für Berufsgeheimnisträger, wie Ärzte, Juristinnen oder Journalisten und Geistliche. Es müsste daher Organisationen, Vereinen und Berufsgeheimnisträger.innen verboten sein, besagten Dienstleistern Zugang zu ihren Kontodaten zu gewähren.
Besonders kritisch ist, dass sogar Daten von Personen, die ihre Daten selbst nicht weitergeben, durch eine Transaktion eines Dritten weitergegeben werden können. Nämlich dann, wenn diese.r die eigenen Daten den Dienstleistern zur Verfügung stellt.

Das waren die BigBrotherAwards 2018

Die BigBrotherAwards 2018 gingen an Amazons Alexa, CDU/Grüne in Hessen, das Konzept „Smart City“, Windows 10, Soma Analytics und Cevisio. Video der Verleihung ansehenTexte und weitere Informationen gibt es auf bigbrotherawards.de.

Datum: 16. April 2018

Text: Christian Widmann

Unsere Arbeit lebt von Ihrer Unterstützung

Wir freuen uns über Spenden und neue Mitglieder.

Quellen:
[1] https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Fachartikel/2016/fa_bj_1603_zweite_zahlungsdiensterichtlinie.html
[2] Interview mit Dr. Thilo Weichert, ehem. Datenschutzbeauftragter von Schleswig-Holstein
[3] Interview mit Frank Christian Pauli, Referent Team Finanzmarkt, Geschäftsbereich Verbraucherpolitik, Verbraucherzentrale Bundesverband e.V.

Weiterführende Links:
EU-Richtlinie im Original
Factsheet
Mike Kuketz: PSD2: Zugriff auf Kontodaten durch Unternehmen
faz.de: EU-Richtlinie „PSD2“: Was die neuen Regeln im Zahlungsverkehr für Verbraucher bedeuten

Ähnliche Artikel

Über Uns

Digitalcourage e.V. engagiert sich seit 1987 für Grundrechte, Datenschutz und eine lebenswerte Welt im digitalen Zeitalter. Wir sind technikaffin, doch wir wehren uns dagegen, dass unsere Demokratie „verdatet und verkauft“ wird. Seit 2000 verleihen wir die BigBrotherAwards. Digitalcourage ist gemeinnützig, finanziert sich durch Spenden und lebt von viel freiwilliger Arbeit. Mehr zu unserer Arbeit.

Veröffentlicht am 16.04.2018

Marktstraße 18
33602 Bielefeld

Spendenkonto
IBAN: DE66 4805 0161 0002 1297 99
BIC: SPBIDE3BXXX
Sparkasse Bielefeld