32. Jahresbericht der Landesbeauftragten für Datenschutz (pdf ...

kehrungen, wie etwa eine Ausrichtung der Displays zur Wand, existierten bei den
SB-Terminals in den überprüften Filialräumlichkeiten nicht. Verschärft wurde die
Situation zum Teil noch durch besondere räumliche Gegebenheiten, welche die
Einhaltung eines Diskretionsabstandes zwischen SB-Terminalnutzenden und gegebenenfalls
weiteren wartenden Kundinnen und Kunden erschwerten. Zusammenfassend
musste festgestellt werden, dass wirksame Vorkehrungen zum Ausschluss
eines Mitlesens der Eingaben beziehungsweise Anzeigen durch Dritte bei
den SB-Terminals in den überprüften Filialräumlichkeiten nicht existierten.
Nach dem Bundesdatenschutzgesetz beziehungsweise auch dem Landesdatenschutzgesetz
ist jede verantwortliche Stelle verpflichtet, datenschutzrechtlichen
Anforderungen genügende technische und organisatorische Schutzvorkehrungen
bei einer automatisierten Datenverarbeitung zu treffen. Hierzu gehört insbesondere
auch eine – wirksame – Sicherung gegen unbefugtes Mitlesen beim Umgang mit
personenbezogenen Daten. Die vorgefundene Situation bei den SB-Terminals genügte
diesen datenschutzrechtlichen Anforderungen offenkundig nicht. Die betroffenen
Kreditinstitute wurden darauf hingewiesen, dass die automatisierte Datenverarbeitung
an den SB-Terminals unter dem Gesichtspunkt der sogenannten Zugriffskontrolle
nicht im Einklang mit geltendem Datenschutzrecht steht. Sie wurden
zur Beseitigung des insoweit unzulässigen Zustands aufgefordert.
Die betroffenen Kreditinstitute sicherten zu, im Wege technischer Veränderungen
des Schriftbildes für Abhilfe zu sorgen. Diese Veränderungen werden nicht dezentral
durch die Kreditinstitute, sondern durch einen zentralen IT-Dienstleister umgesetzt.
Dies ist die Begründung der Kreditinstitute dafür, dass der Abschluss dieser
Maßnahme noch aussteht. In einem ersten Schritt wurden einstweilige Schutzmaßnahmen,
etwa das Anbringen neuer Diskretionsmarken, ergriffen. Es bleibt
nunmehr abzuwarten, ob die technische Veränderung des Schriftbildes ausreichenden
Schutz schafft. Wir werden dies genau beobachten und gegebenenfalls auf weitere
Schutzmaßnahmen dringen, bis Mitlesemöglichkeiten Dritter an den SB-Terminals
so weit wie möglich ausgeschlossen sind.
13.9.2 Einzug der EC-Karte am Bankautomaten nach Todesfall
Einige Tage nach dem Tod einer nahe stehenden Person wollte ein Angehöriger,
dem zu Lebzeiten eine Vollmacht für das Konto der verstorbenen Person eingeräumt
worden war, noch die Kontoauszüge bei dem kontoführenden Kreditinstitut am
Automaten ausdrucken. Eine Sterbeurkunde oder gar ein Erbschein waren dem
kontoführenden Kreditinstitut zu diesem Zeitpunkt noch nicht vorgelegt worden.
Gleichwohl wurde die EC-Karte aufgrund einer entsprechenden Anweisung des
Kreditinstituts am Automaten eingezogen. Der Angehörige wunderte sich hierüber
und wandte sich mit der Frage an uns, ob Kreditinstitute von amtlicher Seite über
Todesfälle informiert würden.
Kreditinstitute erhalten jedoch keine Mitteilung von Amts wegen über einen Todesfall.
Die einschlägigen Gesetze, namentlich das Personenstandsgesetz und die
ausführende Personenstandsverordnung, sehen keine offizielle Benachrichtigung
privater Stellen vor. Eine derartige Benachrichtigung würde im Übrigen in der Praxis
auch voraussetzen, dass die entsprechenden amtlichen Stellen (in erster Linie das
Standesamt, sodann Meldeamt, Nachlassgericht und so weiter) durchgängig über
sämtliche Bankverbindungen der oder des Verstorbenen Bescheid wüssten, um die
Nachricht vom Tod weitergeben zu können. Kreditinstitute werten jedoch unter Umständen
die Todesanzeigen örtlicher Tageszeitungen aus. Auch vorliegend war in
einer Tageszeitung einige Tage nach dem Tod eine Todesanzeige erschienen.
Allerdings kann die Richtigkeit einer Todesanzeige oder sonstiger Mitteilungen über
einen Todesfall bei Bedarf über eine Registerauskunft überprüft werden. Sowohl
das Personenstandsgesetz als auch das Meldegesetz kennen ein Recht auf Auskunft
aus dem Personenstandsregister, hier konkret Sterberegister beziehungsweise Melderegister,
sofern die Interessentin oder der Interessent ein rechtliches Interesse
glaubhaft macht. Kreditinstitute besitzen ein derartiges Interesse an der Kenntnis
eines Todesfalles, da sie zivilrechtlich grundsätzlich nur durch Leistungen an den
oder die tatsächlichen Erben von ihren Verpflichtungen frei werden, im Übrigen
gemäß § 33 Erbschaftssteuergesetz grundsätzlich dazu verpflichtet sind, die bei ihnen
befindlichen Vermögensgegenstände der Erblasserin oder des Erblassers dem
zuständigen Finanzamt gegenüber – regelmäßig binnen eines Monats – anzuzeigen.
In den meisten Fällen werden die Kreditinstitute jedoch erst durch Familienangehörige
über einen Todesfall in der Familie unterrichtet.
— 74 —