In die Tasche geschaut
N26-Bank sperrt datensparsame Kunden aus
Die meisten Banken führen Girokonten, ohne sensible Daten wie Einkommensquelle und Gesamtvermögen der Kunden zu kennen. Die Online-Bank N26 verlangt mehr und sperrt auskunftsscheue Kunden einfach aus.
Stefan B. hat seit ihrer Gründung im Jahr 2015 ein Girokonto bei der Online-Bank N26. Es ist nicht sein einziges Konto und als Hauptkonto hat er es nie verwendet – zum Glück, wie er heute sagt. In den letzten Jahren nutzte er es nur noch sporadisch, seit Juli 2021 gab es keine Buchungen mehr. Am 6. Januar erhielt der Kunde eine E-Mail von der Bank mit der Aufforderung, seine persönlichen Daten zu bestätigen. Dafür setzte die Bank eine Frist bis zum 5. Februar und kündigte zugleich an, den Zugriff auf das Konto zu beschränken, falls er die Daten nicht innerhalb dieser Frist bestätigte. Ausgehende Buchungen sollten ab dann nicht mehr möglich sein, drohte das Kreditinstitut.
Kein Problem, dachte Stefan B., und machte sich noch am selben Tag via N26-App daran, der Aufforderung nachzukommen. Dass die Bank seinen Namen, sein Geburtsdatum und seine aktuelle Anschrift benötigt, konnte der Kunde nachvollziehen. Dass sie jedoch auf einer der Dialogseiten detailliert nach der Hauptquelle seines Einkommens, der Höhe und der Art der Beschäftigung sowie nach der Höhe seines gesamten Vermögens fragte, machte Stefan B. stutzig. Wozu wollte die Bank, bei der er lediglich ein Girokonto ohne Kreditrahmen unterhielt, all diese Dinge über ihn wissen?
Er brach die Bearbeitung an dieser Stelle ab und bat die Bank per Chat in der N26-App um Auskunft, zu welchem Zweck sie diese Daten erheben wolle. Am 21. Januar erhielt er eine Antwort: „Die Gesetze zur Bekämpfung der Geldwäsche verlangen von den Banken, aktuelle Informationen über ihre Kunden zu sammeln, um die Nutzung des Finanzsystems zum Zwecke der Geldwäsche und der Terrorismusfinanzierung zu verhindern.“ N26 sei gesetzlich dazu verpflichtet, einige zusätzliche Informationen einzuholen.
Nix Konkretes
Mit dieser pauschalen Aussage wollte sich Stefan B. nicht zufriedengeben. Er verlangte am 22. Januar per App konkrete Informationen, auf welcher Rechtsgrundlage die Bank Daten über sein Einkommen und sein aktuelles Gesamtvermögen erheben wolle. Dazu forderte er die Bank auf, die Gesetze oder Vorschriften genau zu benennen, die dies angeblich erforderlich machen, und dabei die exakten Textstellen zu nennen.
Am 26. Januar antwortete die Bank erneut mit angeblichen „gesetzlichen“ Vorschriften, die sie als voll „lizenzierte“ Bank zu der Erhebung verpflichten würden, „um Kriminalität vorzubeugen“. Da N26 auch diesmal die konkreten Stellen in den Vorschriften schuldig blieb, stellte Stefan B. seine Frage am selben Tage erneut.
In ihrer Antwort vom 31. Januar verwies die Bank nun auf ihre Datenschutzerklärung: Darin stehe, dass „die Rechtsgrundlage für die Verarbeitung dieser Daten (einschließlich Einkommen und Gesamtvermögen) Artikel 6 Absatz 1 Buchstabe b) DSGVO“ sei. Die Verarbeitung dieser Daten sei erforderlich, damit die Bank ihre rechtlichen Verpflichtungen erfüllen könne, „die aus Gesetzen zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung herrühren“.
Die genannte Norm besagt aber lediglich, dass die Verarbeitung der Daten nur dann rechtmäßig ist, wenn sie zur Durchführung eines Vertrages erforderlich ist. Dass man für das Führen eines Girokontos derartige Angaben benötigt, leuchtet dem durchschnittlichen Bankkunden kaum ein, zumal es eher unüblich ist, dass Banken von Girokunden solche Angaben verlangen.
Da ihn die Antwort nicht zufriedenstellte und er seine Stammdaten ohne die zusätzlichen Angaben auch nicht bestätigen konnte, räumte Stefan B. vorsorglich sein Konto bei der N26 leer und harrte der Dinge, die da kommen würden. Wie erwartet teilte ihm die Bank am 5. Februar mit, dass sein Konto nunmehr eingeschränkt sei.
Bereits im Januar hatte sich der verärgerte Kunde an die BaFin mit einer Beschwerde über die Datensammelwut der Online-Bank gewandt, außer einer Eingangsbestätigung aber nichts mehr von dort gehört. Deshalb kontaktierte er nunmehr c’t.
Viele Fragen
Wir fragten zunächst allgemein bei der Pressestelle der N26 an, welche gesetzlichen Vorschriften denn erzwingen, im Zuge der Bestätigung vorhandener Kundendaten Angaben über die Einkommens- und Vermögensverhältnisse der Kunden zu verlangen. Zugleich baten wir die für die datenschutzrechtliche Aufsicht am Sitz der Bank zuständige Berliner Landesbeauftragte (LfDI) und die BaFin um eine Einschätzung, ob die Datenerhebung der Bank rechtmäßig und tatsächlich durch Vorschriften zur Bekämpfung von Kriminalität erzwungen sei.
Die LfDI teilte uns mit, dass derartige Fragen zum Einkommen „im Regelfall für eine Bonitätsprüfung anlässlich der Eröffnung eines einfachen Girokontos als nicht erforderlich angesehen“ würden. Der von Stefan B. geschilderte Sachverhalt sei bereits Gegenstand zweier Beschwerden, die die Behörde derzeit prüfe.
Die BaFin ließ uns wissen, dass bankenaufsichtliche Gesetze oder Vorschriften des Geldwäschegesetzes (GwG) Banken nur unter bestimmten Voraussetzungen verpflichten, von Inhabern eines Girokontos Daten zur Einkommensquelle und zum Gesamtvermögen zu erheben. Es sei grundsätzlich eine geschäftspolitische Entscheidung der Bank, welche Informationen sie von Kunden erfragen wolle, um aus einer Kundenbeziehung möglicherweise erwachsende Risiken einschätzen zu können. Auch könnten Ereignisse im Rahmen der Geschäftsbeziehung die Erhebung von weiteren Daten durch das Institut in Einzelfällen notwendig machen.
Mit dieser Aussage konfrontierten wir nun auch die Pressestelle der N26-Bank und fragten nach, warum sie ausgerechnet vom Kunden Stefan B. diese Angaben haben müsse, um das von ihm ausgehende Risiko krimineller Geschäfte beurteilen zu können.
Auf alle diese Fragen erhielten wir allgemeine Ausführungen zu den sich aus dem Geldwäschegesetz ergebenden Sorgfaltspflichten der Banken. Die Bank erfrage „grundsätzlich“ ausschließlich personenbezogene Daten, die „zur Erfüllung eigener rechtlicher Verpflichtungen und der Gewährleistung eines effektiven Risikomanagements erforderlich sind“. Dabei würden die erfassten Daten im Einklang mit den geltenden Datenschutzbestimmungen verarbeitet.
Auf den konkreten Fall von Stefan S. ging die Bank überhaupt nicht ein. Man sei dazu gezwungen die Nutzung eines Kontos einzuschränken, wenn man die Daten im Rahmen der Abfrage nicht bestätigen könne, hieß es dazu allgemein. Betroffene könnten ihre Informationen aber auch nach Ablauf der Frist jederzeit „entsperren“, indem sie ihre Daten bestätigen oder aktualisieren. Anschließend könnten sie wieder wie gewohnt auf das Konto zugreifen.
Stefan B. hat also nur die Wahl, ob er der Bank Daten anvertrauen will, die diese ohne einen triftigen Grund über ihn erheben will. Oder ob er sich schlicht eine andere Bank sucht, die auf derartige Daten ohne Verletzung ihrer vermeintlichen Sorgfaltspflichten verzichten kann. Die meisten anderen Banken und Sparkassen können das. (tig@ct.de)