17. Datenschutz- und Informationsfreiheitsbericht

Technik
2.7.2 Unerkannte Datenübermittlung beim Homebanking
Für heftige Empörung unter Käuferinnen und Käufern sorgte eine neue
Version der Homebanking-Software eines bekannten Herstellers. Ohne
hinreichende Information wurden bei Bank-Transaktionen Daten
zunächst an den firmeneigenen Server übermittelt.
Bei der Durchführung von Bank-Transaktionen wurde vor der eigentlichen
Verbindung mit dem jeweiligen Bank-Server ohne Kenntnis der Nutzerinnen
oder Nutzer zunächst eine Verbindung zum Web-Server der Softwarefirma
aufgebaut, um Transaktionsdaten mit Ausnahme von PIN und
TAN auf Plausibilität zu überprüfen. Auf diesen – aus Firmensicht
nützlichen und programmabhängigen – Webservice wurde lediglich vage im
Bedienungshandbuch hingewiesen. Eine gültige Einwilligung lag deshalb
nicht vor. Ebenfalls war die Notwendigkeit der Speicherung dieser Daten für
geschäftliche Zwecke nach § 28 oder § 29 BDSG nicht gegeben.
Nach Intervention konnte eine vertretbare Lösung erreicht werden:
Anwenderinnen und Anwender der Homebanking-Software besitzen nach
aktualisiertem Versionsstand nunmehr die Wahlmöglichkeit zwischen einer
„Standard“- und einer „Komfort“-Lösung, wobei „Standard“ voreingestellt
ist. Bei der Standard-Lösung werden lediglich die für eine Funktionalität des
Programms zwingend benötigten Daten (Parameter der Versionsnummer der
Software und der genutzten Bankmakros, Bankleitzahl sowie die Zugangs-
und Transaktionsart) dem Server übermittelt. Der Server überprüft die
Gültigkeit der Bankleitzahl sowie die Zulässigkeit von Zugangs- und
Transaktionsart. Es werden also weder personenbezogene Daten übertragen
noch ist eine nachträgliche Herstellbarkeit des Personenbezugs möglich. Die
Komfort-Lösung entspricht der bisherigen Funktionsweise. Hierbei werden
alle Transaktionsdaten außer PIN und TAN an den Server der Softwarefirma
zwecks Überprüfung übermittelt. Hierüber werden die Nutzerinnen und
Nutzer jetzt aber konkret informiert und müssen der Nutzung dieses
Verfahrens entsprechend zustimmen.
Softwareprodukte mit einem Online-Datenaustausch müssen genau darüber
Auskunft geben, welche Daten zu welchen Zeiten an welche Server übermittelt
werden. Kunden und Kundinnen sind entsprechend zu informieren
und die erforderlichen Einwilligungen sind einzuholen.
26
LDI NRW 17. Datenschutzbericht 2005