Von Tom Röthlisberger

Michael Hählen und ich waren fast ein Jahr bei Valuu verantwortlich für den Marketing-Lead. Mike als Marketingleiter mit der kompletten strategischen Verantwortung und ich als Marketing-CTO. Ein Thema, das uns stets begleitet hat, war der Datenschutz. Ab wann gilt ein Kontakt als Kunde und wie verändert sich die Rechtslage dadurch?

Vom Kontakt zum potentiellen Kunden

Im Unterschied zum digitalen Marketing in anderen Branchen muss in der Bankenwelt zwischen einem anonymen Besucher und einem potentiellen Kunden unterschieden werden. Der potentielle Kunde ist ein Besucher, der sich für die präsentierten Angebote interessiert. Üblicherweise wird ein solcher Kontakt als Lead bearbeitet und unterliegt den üblichen Datenschutzrichtlinien. Nicht so bei der Anbahnung eines Bankkundengeschäfts.

Potentielle Kunden eines Bankkundengeschäfts sind effektiven Bankkunden im Datenschutz gleichzusetzen.

Das bedeutet konkret, dass bereits die Interessensbekundung an Dienstleistungen einer Bank schützenswert ist. Dabei wird von einem sogenannten Vertragsanbahnungsverhältnis gesprochen und dieses fällt in den Schutzbereich des Bankkundengeheimnisses.

Auslagerung von Kundendaten ins Ausland

Oft wird im Zusammenhang mit schützenswerten Daten beim Bankkundengeheimnis die Frage gestellt, ob diese Daten auch an Dritte im Ausland zur Verarbeitung, beispielsweise an eine Cloud-Lösung weitergereicht werden können. Da gemäss dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) bereits anonyme IP Adressen als Personendaten angesehen werden, hat diese Fragestellung eine starke Dringlichkeit entwickelt.

Grundsätzlich ist die Auslagerung von Kundendaten ins Ausland möglich.

Bei der Auslagerung muss jedoch beachtet werden, dass die Bank ein vernünftiges Interesse an diesem Vorgang hat und die Geschäftstätigkeit dadurch unterstützt wird. Zudem muss eine Weisungsbefugnis bestehen und die Unterstützung darf keine Kerndienstleistung umfassen. Selbstverständlich muss der betroffene Kunde auch in der Lage sein, die Weiterverarbeitung zu unterbinden. Ein entsprechendes Opt-in und Opt-out muss also zur Verfügung gestellt werden.

Wichtig ist zudem, dass die Bank nicht von der grundsätzlichen Sorgfaltspflicht entbunden wird. Im Gegenteil erweitert sich diese auf den Drittdienstleister. Die Finma schreibt in ihrem Rundschreiben 2018/3: «Auslagerungen ins Ausland sind zulässig, sofern das Unternehmen ausdrücklich zusichern kann, dass es selber, seine Prüfgesellschaft sowie die FINMA ihre Einsichts- und Prüfrechte wahrnehmen und durchsetzen können. Die Sanierbarkeit bzw. Abwickelbarkeit des Unternehmens in der Schweiz muss gewährleistet sein. Der Zugriff auf die dafür notwendigen Informationen muss jederzeit in der Schweiz möglich sein.» Die Hürden sind also bedeutend, das Risk-Management essenziell.

So muss die Bank dafür Sorge tragen, dass Zugriffs- und Zutrittskontrolle sichergestellt ist. Die Standorte der Verarbeitung müssen klar geregelt und eingehalten werden. Eine entsprechende Erklärung muss zwischen dem Datenverarbeiter und der Bank erstellt werden. Die Form aus der europäischen DSGVO mit dem Auftragsverarbeitervertrag (AVV) liefert hier gute Dienste für die strukturierte Regelung dieser Punkte.

Schwierig ist dieser Punkt bei den grossen, oft amerikanischen Lösungsanbietern wie Google oder Adobe durchzusetzen. Diese verfügen über stark standardisierte Vertragswerke mit wenig Spielraum für den Endkunden. Dafür setzen die Konzerne auf Transparenz bezüglich der Prozesse, der Standorte und der Verarbeitung. Ein deutliches Plus, welches aber auf der Seite der Bank ein gut durchdachtes Risk-Management mit Abwägung von Risikoappetit und Risikofähigkeit voraussetzt.

Digitales Marketing ist auch für Banken möglich

Ich bin überzeugt, dass digitales Marketing auch für Banken möglich ist. Unverzichtbar ist es jedoch, dass sich eine Bank mit grosser Sorgfalt um das Thema Datenschutz und Datenverarbeitung mit Drittpartnern kümmert. Das ist nicht selbstverständlich und für eine kleinere oder mittlere Bank oft kaum zu bewältigen. Weder die existierende IT-Abteilung, noch die Marketing-Teams, geschweige denn die Agenturen sind heutzutage verantwortlich für die Lösung dieses gordischen Knotens. Zu diesem Zweck bedarf es eines Geschäftsleitungsentscheides, der die entsprechende Verantwortung an einer Stelle verankert. Mit dem richtigen Vorgehen und Team kann die Lösung dieser Thematik dann rasch und zielorientiert durchgeführt werden.