17. Datenschutz- und Informationsfreiheitsbericht

Handel und Wirtschaft
als Kreditgeberin vermittelt werden. In den USA sind inzwischen
beispielsweise Baufinanzierungen aus einer Hand – wie in Deutschland
noch traditionell der Fall – gänzlich unbekannt. Die Kreditnehmenden
wissen dort oft nicht, welches Institut hinter der Finanzierung ihrer
Vorhaben steht.
Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hält eine Auslagerung
des Kreditbereichs unter bestimmten im Kreditwesengesetz
(KWG) geregelten Voraussetzungen grundsätzlich für möglich. Neben den
Anforderungen des KWG, deren Einhaltung von der BaFin beaufsichtigt
werden, sind jedoch auch datenschutzrechtliche Vorschriften zu beachten.
Dabei stellt sich zunächst die Frage, ob die Auslagerung des Kreditgeschäfts
in eine Kreditfabrik als Auftragsdatenverarbeitung oder im Rahmen einer
so genannten Funktionsübertragung erfolgt. Bei einer Auftragsdatenverarbeitung
könnte für die mit der Auslagerung verbundene Weitergabe der
Kundendaten an die Kreditfabrik auf eine besondere Rechtsgrundlage verzichtet
werden. Ist dagegen mit der Auslagerung des Kreditbereichs die
Übertragung selbständiger Funktionen verbunden, ist wegen des Bankgeheimnisses
in jedem Einzelfall die Einwilligung der Antragstellerinnen und
Antragsteller in die Übermittlung ihrer Daten an die Kreditfabrik erforderlich.
Die Unterscheidung zwischen Auftragsdatenverarbeitung und Funktionsübertragung
ist darüber hinaus entscheidend dafür, welche Stelle für die
Einhaltung der datenschutzrechtlichen Vorgaben und die Wahrung der
Rechte der Betroffenen wie zum Beispiel die Erfüllung des Auskunftsanspruchs
verantwortlich ist. Im Falle einer Auftragsdatenverarbeitung bleibt
im Verhältnis zu den Kundinnen und Kunden die auslagernde Bank nach
außen verpflichtet. Übernimmt dagegen die Kreditfabrik selbständige Funktionen,
wird sie selbst zur verantwortlichen Stelle und muss in Bezug auf
die bei ihr vorgenommene Datenverarbeitung Auskunfts-, Löschungs- und
Berichtigungsansprüche der Betroffenen erfüllen.
Eine pauschale Aussage zur Abgrenzung kann nicht getroffen werden. Entscheidend
ist die individuelle Gestaltung der Beziehung zwischen der auslagernden
Bank und der Kreditfabrik. Dabei spielt allerdings keine Rolle, ob
die Kreditfabrik als konzernangehörige Tochtergesellschaft der Bank die
Kreditbearbeitung übernimmt. Die gesellschaftsrechtlichen und wirtschaftlichen
Zusammenhänge bleiben bei der datenschutzrechtlichen Beurteilung
unberücksichtigt.
Die mit der Einschaltung einer Kreditfabrik verfolgten Automatisierungseffekte
werden nicht zuletzt durch den Einsatz von Verfahren zum Credit-
LDI NRW 17. Datenschutzbericht 2005 65