"Know Your Customer" und Datenschutz

Verfahren für sichere Online-Transaktionen

Online-Shopping, Banking und digitale Dienstleistungen sind zu einem integralen Bestandteil des täglichen Lebens geworden, bergen jedoch Risiken wie Identitätsdiebstahl und Zahlungsbetrug. Um diesen Bedrohungen entgegenzuwirken, implementieren viele Unternehmen KYC-Verfahren, um die Identität ihrer Kund:innen vor Abschluss von Online-Transaktionen zu überprüfen. Mittlerweile alltäglich sind verwendete Techniken sind z.B. die Zwei-Faktor-Authentifizierung, aber auch eID-Verfahren und digitale Signaturen nehmen zu. Während diese Überprüfungen zum beidseitigen Schutz von Verbraucher:innen und Unternehmen beitragen können, werfen sie auch Fragen zum Datenschutz und bei anderen Verbraucherrechten auf. 

Was ist KYC und warum wird es verwendet?

KYC ist der Prozess der Überprüfung der Identität von User:innen vor Abschluss einer Online-Transaktion. Dies ist im Bank- und Finanzsektor üblich, wird aber zunehmend auch von der E-Commerce, Telekommunikationsanbietern und Onlineplattformen eingesetzt. Der Zweck besteht darin, zu beurteilen, ob jemand zur "guten Kundschaft gehört, aber auch um Betrug, Geldwäsche und andere illegale Aktivitäten zu verhindern.

Über die Betrugserkennung hinaus nutzen Unternehmen KYC auch für Marketing und Kundensegmentierung. Basierend auf ihrem Kaufverhalten können einige Kunden personalisierte Angebote erhalten, während anderen der Zugang zu bestimmten Zahlungsmethoden verweigert oder sogar ihre Konten eingeschränkt werden können. Verbraucher:innen haben dem EVZ-Netzwerk Fälle gemeldet, in denen wiederholte Beschwerden oder Rücksendungen zu Kontosperrungen geführt haben, oft ohne Rechtfertigung.

Unternehmen erfassen üblicherweise Folgendes:

• Name und Postanschrift
• E-Mail-Adresse und Telefonnummer
• IP-Adresse und Gerätetyp (PC, Smartphone, Betriebssystem)
• Zahlungskarten- oder Bankkontodaten
• Zeitpunkt
• fallweise den Standort

Viele Unternehmen verwenden Scoring-Systeme, um die Zahlungsfähigkeit und Zuverlässigkeit von Kund:innen zu beurteilen, oft über externe Datenbanken wie Schufa in Deutschland oder KSV in Österreich.

KYC-Anforderungen variieren in den EU-Ländern

Die Regeln zur Identitätsprüfung sind innerhalb der EU unterschiedlich, einige Beispiele:

• Österreich: Gemäß dem Finanzmarkt und Geldwäschegesetz müssen Kreditinstitute u.ä. Maßnahmen zur Identifizierung und Überprüfung der Identität ihrer Kund:innen ergreifen. Bei Online Konten regelt das die Identifikationsverordnung (Online-IDV) und legt Fälschungssicherheit, Datenschutz und auch fest, wann eine Identifikation abzubrechen ist. Das österreichischen Datenschutzgesetz (DSG) erlaubt das Einfordern zusätzlicher Informationen oder Ausweiskopien dann, wenn begründete Zweifel an der Identität bestehen. Händler dürfen allerdings nicht ohne triftigen Grund einen Identitätsnachweis verlangen, dies darf nicht unverhältnismäßig, willkürlich oder diskriminierend sein. Berechtigte Interessen, die eine Identifikationsnachweis erlauben, gibt es beispielsweise bei der Überprüfung der Volljährigkeit (z.B. Verkauf von Alkohol, Tabakwaren) oder zur Erfüllung gesetzlicher Vorgaben für bestimmte Vertragstypen oder zur Verhinderung von Betrug. Bei sehr teuren Produkten, oder bei Produkten die leicht weiterverkauft werden können, ist eine Identitätsfeststellung auch gestattet.
• Deutschland: Verbraucher:innen können aufgefordert werden, eine Kopie ihres Personalausweises vorzulegen, müssen jedoch darüber informiert werden, dass sie irrelevante Informationen (z. B. Seriennummer) unkenntlich machen können. Andere Personen als der Ausweisinhaber dürfen die Kopie nicht an Dritte weitergeben.
• Frankreich: Händler:innen können bei Kartenzahlungen einen Identitätsnachweis verlangen, Verbraucher:innen können die Vorlage jedoch verweigern.
• Tschechien: Gesetze zur Bekämpfung der Geldwäsche erlauben das Kopieren von Ausweisdokumenten ohne Zustimmung des Verbrauchers.
• Bulgarien: Im Allgemeinen darf der Handel keine Kopien von Ausweisdokumenten verlangen, außer in bestimmten Sektoren wie Bankwesen oder Glücksspiel.

Tipps: 

Wenn man eine Kopie eines Ausweisdokuments vorlegen muss, ist es eine gute Idee die Kopie mit einem Wasserzeichen Tool zu bearbeiten. Diese Tools blenden personalisierten Text ein. Somit lässt sich die Kopie mit einem Hinweis auf den Zweck versehen (z. B. "Diese Kopie dient nur zur Überprüfung meiner Bestellung Nr. xxx beim Verkäufer xxx"). Es hilft außerdem damit den Gültigkeitszeitraum bis zu einem Datum zu beschränken. Die unbefugte Verwendung personenbezogener Daten und anderer Missbrauch lässt sich so stark einschränken.

• Kontrollieren Sie, dass sie auf keiner Fakeseite sensible Daten über Ihre Identität preisgeben.
• Seien Sie im Allgemeinen vorsichtig bei Ausweisaufforderungen. Nicht alle Unternehmen sind gesetzlich berechtigt, Kopien von Ausweisdokumenten anzufordern. 
• Fragen Sie nach, warum Ihre Daten benötigt werden.
• Überprüfen Sie Ihre Rechte gemäß der Datenschutz-Grundverordnung (DSGVO). Achten Sie dabei auf automatisierte Kundenbewertungen und gegebenenfalls auf Möglichkeiten diese abzulehnen. Sogenanntes Kunden Scoring kann zu Ihrem Nachteil erfolgen (z.B. bei Gesundheitsdaten oder Alter).

Verbraucherrechte gemäß der DSGVO

Gemäß der Datenschutz-Grundverordnung (DSGVO) müssen Unternehmen sicherstellen, dass jede Erhebung und Verarbeitung personenbezogener Daten notwendig, verhältnismäßig und transparent ist. Als Verbraucher:in können Sie Zugang zu Ihren Daten, deren Berichtigung oder Löschung verlangen.

Im Januar 2025 verhängte die niederländische Aufsichtsbehörde eine Geldstrafe von 4,75 Millionen Euro gegen ein bekanntes Streaming-Portal, weil es seine Kund:innen nicht darüber informiert hatte, wie deren Daten verwendet, weitergegeben, aufbewahrt und geschützt werden, weder in einer Datenschutzerklärung noch als Antwort auf direkte Anfragen. Entscheide der europäischen Datenschutzbehörde (EDPA - European Data Protection Board) können öffentlich abgerufen werden, etwa hier zu den Verstößen in Österreich.

Europäische Entwicklungen: Digitale Identität und KYC

Die Europäische Digitale Identitätsbörse, eine Initiative der Europäischen Kommission, zielt darauf ab, EU-Bürger:innen ein sicheres, interoperables (Fähigkeit zum Zusammenspiel verschiedener Systeme, Techniken oder Organisationen) und datensparendes digitales Identifikationssystem in der gesamten EU bereitzustellen. Verbraucher:innen können sich mit der Börse digital ausweisen und Verträge rechtsgültig unterzeichnen. Geplant ist die Einführung für 2026.

Während dies Online-Transaktionen in Zukunft bequemer machen wird, indem die Datenspeicherung bei mehreren Unternehmen entfällt, erwarten wir natürlich auch, die volle Kontrolle über unsere personenbezogenen Daten zu behalten und das Recht zu haben, Entscheidungen auf der Grundlage automatisierter Bewertungen anzufechten. Gleichzeitig bleibt zu überlegen, welche Informationen wir zu welchem Zweck und mit wem teilen. Unachtsamkeit und verantwortungsloses Verhalten können immer zu Identitätsdiebstahl und Missbrauch unserer Daten führen, denn technische Absicherungen sind nie perfekt.

Fazit: KYC muss Sicherheit und Verbraucherrechte in Einklang bringen

Während KYC zur Betrugsbekämpfung beitragen kann, müssen Unternehmen sicherstellen, dass die Datenerhebung fair, transparent und im Einklang mit den DSGVO-Bestimmungen erfolgt. Konsument:innen sollten stets darüber informiert werden, wie ihre Daten verwendet werden, und die Möglichkeit haben, unfaire Bewertungen oder Einschränkungen anzufechten.

Für weitere Informationen über Verbraucherrechte bei grenzüberschreitenden Transaktionen wenden Sie sich gerne an uns. Wir sind Teil des Netzwerks der Europäischen Verbraucherzentren (EVZ-Netzwerk), welches 2024 über 133.000 Anfragen von europäischen Verbraucher:innen beantwortet hat.