AUF EINEN BLICK:
PSD2 & DATENSCHUTZ
Seit Januar 2021 gelten für Online-Zahlungen per Kreditkarte neue Regeln. Alle Online-Händler müssen nun die Anforderungen der EU-Richtlinie PSD2 an eine starke Kundenauthentifizierung erfüllen. Dadurch sollen Kreditkartenzahlungen im Internet sicherer werden. Doch was hat sich durch die PSD2-Richtlinie eigentlich sonst noch verändert, seit sie vor drei Jahren in Kraft getreten ist?
RÜCKBLICK
MEILENSTEINE IM BARGELDLOSEN ZAHLUNGSVERKEHR
HINTERGRUND
DIE RICHTLINIE IM DETAIL
PSD-Was...?
Die „Payment Services Directive 2” (kurz PSD2) ist eine EU-Richtlinie für Zahlungsdienste. Mit der Richtlinie will die EU den Verbraucherschutz stärken, die Sicherheit von Online-Zahlungen erhöhen und die Weiterentwicklung digitaler Lösungen im Europäischen Wirtschaftsraum fördern. Die Umsetzung der Richtlinie in Deutschland erfolgt in zwei Stufen: Die erste Stufe ist seit Januar 2018 in Kraft und seit Herbst 2019 auch die zweite Stufe.
Welche Punkte regelt die Richtlinie?
- Weniger Gebühren: Online-Zahlungen werden für den Verbraucher günstiger, weil Händler für die Nutzung von Bezahlverfahren wie Überweisung, Lastschrift oder Kreditkarte keine Extra-Gebühren mehr verlangen dürfen.
- Weniger Betrug, mehr Sicherheit: Durch zusätzliche Sicherheitsanforderungen wird Betrug erschwert und die Verbraucher besser geschützt, so wird zum Beispiel bei Online-Zahlungen und beim Zugriff auf das Onlinebanking eine starke Kundenauthentifizierung verpflichtend. Bei der so genannten „Zwei-Faktor-Authentifizierung“ erfolgt eine zweifelsfreie Identifizierung des Kunden über mindestens zwei Merkmale aus den Bereichen Wissen (PIN, Passwort), Besitz (Karte, Mobiltelefon) oder Inhärenz (biometrische Merkmale wie Fingerabdruck, Iris).
- Neue Services und mehr Komfort für Verbraucher: Banken müssen Drittanbietern wie Finanz-Startups (Fintechs) und Versicherungs-Startups (Insurtechs), die neue digitale Lösungen anbieten, über standardisierte Schnittstellen den Zugriff auf die Kontoinformationen ihrer Kunden ermöglichen, wenn der Kunde einen dieser Drittanbieter dazu autorisiert.
Europäische Kommission
Der Verbraucher ist Eigentümer seiner Daten und hat die volle Kontrolle
Verbraucherschützer warnen oft vor Datenkraken und suggerieren, jeder könne einfach so und für immer auf alle Daten zugreifen. Das ist falsch. Richtig ist, dass es bis zur Einführung der PSD-Richtlinie zwei wesentliche Missstände gab: Zum einen hatten Banken lange Zeit ein Monopol auf die Kontodaten ihrer Kunden. Zum anderen gab es, als die ersten Anbieter von Banking-Apps, Vertragskündigungsdiensten und Sofortüberweisungen damit begannen auf Bankdaten zuzugreifen, zunächst keine klaren Regeln. Oftmals gaben Verbraucher diesen Anbietern einfach die Login-Daten zu ihren Konten und diese griffen dann auf die Daten zu. Genau hier setzt die PSD-Richtlinie an: Sie löst das Bankenmonopol auf Kontodaten auf. Und sie schafft einen rechtlichen Rahmen für den Zugang von Drittanbietern auf Konten, der genau regelt, unter welchen Voraussetzungen Bankinformationen abgerufen werden dürfen:
- Ohne Einverständnis geht nichts: Die PSD2-Richtlinie stärkt die Selbstbestimmung des Verbrauchers als mündigen Inhaber seiner Daten: Er allein entscheidet, wer Zugang zu seinen Bankinformationen bekommt und wer nicht. Ein Zugang zu Kontoinformationen wird Drittanbietern nur gewährt, wenn der Kunde explizit zustimmt.
- Jederzeit widerrufbar: Sollte der Verbraucher sich irgendwann anders entscheiden, kann er sein Einverständnis jederzeit widerrufen.
- Zeitlich befristet: Einmal Zugriff bedeutet nicht automatisch immer Zugriff, denn der Kunde muss seine Zustimmung regelmäßig erneuern – in der Regel alle 90 Tage.
- Zweckgebunden: Der Zugriff und die Verarbeitung personenbezogener Daten durch die Drittanbieter ist auf diejenigen Inhalte beschränkt, die für die Zwecke benötigt werden, für die der Verbraucher seine Zustimmung gegeben hat.
- BaFin-Zulassung erforderlich: In Deutschland dürfen nur solche Anbieter im Auftrag des Verbrauchers Kontoinformationen abrufen, die eine speziellen Erlaubnis der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) haben, welche auch die Banken kontrolliert. Die PSD2-Richtlinie unterscheidet dabei zwei Typen von Diensten: Zahlungsauslösedienste und Kontoinformationsdienste.
Je konkreter der Nutzen, desto aufgeschlossener die Verbraucher
Deutsche sind in Bezug auf die Nutzung persönlicher Daten wie Gesundheits- oder Finanzdaten im Vergleich zu digitalen Vorreitern wie z.B. Dänemark, Estland oder Schweden noch eher zurückhaltend. Doch der Anteil derjenigen, die sich partout nicht vorstellen können ihre Kontodaten zu teilen, nimmt ab – so das Ergebnis einer im September 2020 veröffentlichten Studie von PwC Strategy&. Bereits jeder fünfte Deutsche (20%)* ist heute bereit, Einblicke in seine Kontoinformationen zu gewähren, wenn er im Gegenzug Vergünstigungen, zusätzliche Leistungen o.ä. bekommt (Praxisbeispiele weiter unten). Laut einer Studie des Marktforschungsinstituts Heute und Morgen von November 2018 ist die Bereitschaft bei Versicherungsunternehmen, bei denen die Befragten bereits Kunde sind, mit am höchsten (23%)**. Gestärkt wird das Vertrauen in Versicherungsunternehmen durch die Tatsache, dass diese ebenfalls von der Bafin kontrolliert werden.
Tim Kunde
PRAXISBEISPIELE
SO MACHT DIE PSD2-RICHTLINIE IHNEN DAS LEBEN LEICHTER:
Übrigens: Im Online-Banking vieler Banken und Sparkassen gibt es eine Funktion, mit der Sie sehen können, welche Kontoinformations- oder Zahlungsauslösedienste in Ihrem Auftrag auf Ihr Konto zugegriffen haben und mit der Sie die Zugriffe verwalten können.
Vorteile der PSD2-Richtlinie für Versicherte:
Auch im Versicherungskontext wird die PSD2-Richtlinie eingesetzt, unter anderem im Bereich der so genannten „digitalen Bancassurance”. Dabei werden Versicherungen in das Online-Angebot von Banken integriert, so dass die Verbraucher ihre Finanz- und Versicherungsangelegenheiten schnell, einfach und effizient an einem zentralen Ort erledigen können. Mit der Hilfe von digitalen Bankkontoanalysen können den Kunden bequemere, passendere und günstigere Versicherungslösungen angeboten werden:
- Digitale Versicherungsordner: Viele Verbraucher wollen ihre Versicherungsverträge nicht mehr in Aktenordnern, sondern digital verwalten. Durch die PSD2-Richtlinie wird die Übertragung von Verträgen in einen digitalen Versicherungsordner erheblich vereinfacht: Die Verbraucher brauchen ihre Versicherungsdokumente nicht mehr parat zu haben und die Vertragsdetails manuell einzutragen. Stattdessen werden versicherungsrelevante Informationen wie die Versicherungsscheinnummer automatisch aus den Buchungen auf dem Bankkonto erkannt und in einer digitalen Versicherungsübersicht dargestellt.
- Passgenaue Absicherung: Auch wichtige Lebensereignisse können erkannt und sinnvolle Anpassungen des Versicherungsschutzes vorgeschlagen werden. Geht neuerdings Kindergeld auf dem Bankkonto ein, kann der Versicherer beim Kunden nachfragen, ob es Familienzuwachs gegeben hat und gegebenenfalls den Versicherungsschutz auf Familientauglichkeit überprüfen. Hat sich die Miete verändert, ist der Kunde vielleicht umgezogen und die Deckung der Hausratversicherung muss überprüft werden. Auf Basis der Kontoinformationen lassen sich so zeitnah individuell zugeschnittene und damit relevante Versicherungsangebote unterbreiten.
- Günstigere Verträge: Aus den Kontoinformationen können überteuerte Alt-Verträge identifiziert werden und Alternativen mit besserem Preis-Leistungs-Verhältnis angeboten werden, die der Kunde per Klick direkt im Online-Banking annehmen kann, in das er sich ohnehin regelmäßig einloggt.
Vorteile der PSD2-Richtlinie für Versicherungsunternehmen und Banken:
- Versicherungsunternehmen können ihren Kunden auf der Grundlage der neuen Informationen bequemere, passendere und günstigere Versicherungslösungen anbieten. Sie haben außerdem die Möglichkeit, die Kontaktfrequenz mit ihren Kunden deutlich zu steigern und in ihrem Alltag relevanter zu werden.
- Banken können das klassische Bankgeschäft ergänzen, indem sie externe Angebote von Versicherern und Insurtechs in ihre eigenen Plattformen integrieren, ihren Kunden sinnvolle Services anbieten und somit die Kundenzufriedenheit und Kundenbindung steigern.
PSD2 als ein Baustein im Angebotsspektrum von Friendsurance
Im Geschäftsbereich “Friendsurance Business” entwickelt und betreibt das Berliner Tech-Unternehmen B2B2C-Plattformen zum digitalen Versicherungsvertrieb für Versicherer, Banken und andere Partner. Das Angebot umfasst:
- Eine skalierbare und modulare Technologie-Plattform mit verschiedenen Features, um Versicherungen digital zu managen und zu optimieren. Friendsurance ermöglicht eine tiefe und nahtlose Integration in die Umgebung des jeweiligen Partners.
- Verschiedenste Kooperationsmodelle im Bereich Digital Bancassurance (Vertreter- und Maklerlizenz sowie Whitelabel-Lösungen, maßgeschneiderte Lösungen und Mischmodelle, bei denen die Whitelabel-Lösung mit maßgeschneiderten Modulen kombiniert werden kann)
- Unterstützung bei der Digitalisierung weiterer Versicherungsvertriebskanäle
- Ein tiefes Verständnis für Kundenbedürfnisse aufgrund langjähriger Erfahrungen im B2C-Geschäft sowie eine breite Palette von Kundenservices und CRM-Tools für ein verbessertes Kundenerlebnis.
- PSD2-konforme Bankkontoanalysen, um Kundenbedürfnisse, Versorgungslücken und Optimierungspotenziale automatisch zu erkennen.
Digitale Kontoanalyse: Höchste Anforderungen an Datenschutz und Datensicherheit
Auch bei den digitalen Bancassurance-Lösungen von Friendsurance können Kontoinformationen gemäß der PSD2-Richtlinie zum Einsatz kommen, wenn der Kunde sein ausdrückliches Einverständnis dazu gibt: Zum einen bei der Erstellung des digitalen Versicherungsordners, zum anderen bei der Erkennung von Lebensereignissen. Friendsurance verfolgt dabei das Prinzip der Datensparsamkeit und der Kunde wird über alle erfassten Informationen umfassend aufgeklärt und muss der Verarbeitung seiner Daten explizit zustimmen.
Da Kontoinformationen in Deutschland nur von so genannten Kontoinformationsdiensten mit einer speziellen Erlaubnis der Bundesanstalt für Finanzdienstleistungsaufsicht abgerufen werden dürfen, arbeitet Friendsurance ausschließlich mit staatlich regulierten Anbietern mit entsprechender Lizenz zusammen. Friendsurance selbst hat zu keinem Zeitpunkt Zugriff auf die Kontozugangsdaten seiner Kunden.
Die so generierten Kontoinformationen verarbeitet Friendsurance mit eigenen, speziell für den Versicherungskontext erarbeiteten Algorithmen. Es werden dabei nur Daten verarbeitet, die für diesen speziellen Anwendungsfall relevant sind. Eine Weitergabe an Dritte erfolgt nicht.
Alle gesetzlichen Datenschutzanforderungen werden eingehalten und der Kunde erhält ein höchstmögliches Maß an Datensicherheit: Friendsurance arbeitet streng nach den Vorschriften des Verbraucherschutzes und erfüllt alle rechtlichen Anforderungen des Zahlungsdiensteaufsichtsgesetzes (ZAG) sowie der Datenschutz-Grundverordnung (DSGVO). Alle datenbezogenen Prozesse werden zudem von der Rechtsabteilung und dem Datensicherheitsexperten des Unternehmens initial freigegeben und im Anschluss laufend überwacht. Überdies steht Friendsurance im engen Austausch mit allen Regulierungsbehörden.
Dr. Sebastian Herfurth
Stand: 09.02.2021