FinTS/PSD2: Kriterien für Nutzungsverbot durch Dritte

Allgemeiner Konsens in der Diskussion um die Nutzung von FinTS3 durch Dritte ist ja - grob gesagt: Ab 14.09.2019 nicht mehr erlaubt. Dritte müssen die PSD2-API nutzen.

Mich würde aber mal interessieren, aus welchen rechtlichen Anforderungen konkret das hervorgeht. Und vor allem: Ab wann genau das gilt.

Beispiel 1: User benutzt ein Bankingprogramm. Er ist kein Computer-Experte oder Programmierer. Er kann also weder seine Hardware noch seine Software analysieren. Beide stammen von Dritten. Er muss ihnen vertrauen. Er darf FinTS nutzen.

Beispiel 2: User nutzt einen web-basierten Dienst auf dem er seine Bank-Zugangsdaten im Rahmen irgend eines Vorgangs (z.Bsp. Online-Bonitätsprüfung) eingibt. Der Web-Dienst reicht die Login-Daten 1:1 per FinTS an die Bank weiter, führt die Kontenabfrage durch und errechnet aus den Daten ein Ergebnis. Der Web-Dienst speichert weder die Zugangsdaten noch die Kontodaten. Sie werden nur für die Dauer der Kommunikation mit dem FinTS-Server genutzt und danach verworfen. Lediglich das errechnete Ergebnis bleibt erhalten. Z.Bsp. ein Bonitäts-Score, der keinerlei Kontodaten mehr enthält. Sowohl Hardware als auch Software stammen von einem Dritten. Der Kunde muss ihnen vertrauen.

Muss in Beispiel 2 die PSD2-API genutzt werden? Wenn ja, warum? In beiden Fällen läuft es auf Systemen, denen der Kunde vertrauen muss. Lediglich der Aufstellungsort des Rechners ist ein anderer. Ich könnte Beispiel 1 dann aber auch so erweitern: Der User nutzt keinen Rechner, der auf seinem Schreibtisch steht sondern einen virtuellen Cloud-Desktop. Bei Microsoft kann man sich sowas z.Bsp. mieten. Oder alternativ ein Terminalserver.

Die Juristen, die die PSD2-Vorgaben geschrieben haben, mussten das ja in einer nicht-technischen und allgemein-gültigen Juristen-Sprache verfassen. Daher meine Frage: Weiss jemand, aus welchen Sätzen der EU-Richtlinie konkret sich die Anforderung zur Nutzung der PSD2-API in o.g. Szenario ergibt und kann diese zwischen den beiden genannten Beispielen überhaupt unterscheiden?

Bei DATEV werden die Daten ja aber auch tatsächlich gespeichert.

Die pauschale Unterscheidung zwischen lokalem Rechner und (web-basiertem) Dienst ist in Zeiten der Cloud ja gar nicht mehr so einfach zu ziehen. Es gibt virtuelle Desktops, Cloud-Laufwerke, Remote-Zugriff auf Desktops. Ich denke jedenfalls, dass es schwer ist, die Grenze zwischen den beiden Beispielen juristisch brauchbar zu formulieren. Daher würde mich mal die konkrete Formulierung in der EU-Regulierung interessieren, aus der sich das ergeben soll.

der Link ist ja nur ex. und es geht ja nicht was der Anbieter (hier DATEV) macht

(unabhängig von vorgenanntem)
und nochmals zu deinem Beispiel 2, ein Dritter hat kurzzeitig Zugriff auf die Daten und wenn nur für Sekunden ist, für die Auswertung, dies ist nicht erlaubt.
deine Darstellung von virtuell usw. ist doch wieder was anderes
es geht darum das nur eine 1:1 über FinTS möglich (Bank = Endkunde) ist oder eben über die Drittanbieter-Schnittstelle.

Das würde aber voraussetzen, dass die lokale Banking-Software völlig autark ist. Sie dürfte also nie mit dem Hersteller-Server kommunizieren (Online-Updates? Lizenz-Check?). Worauf ich hinaus will: In Beispiel 2 wird dem Anbieter unterstellt, dass er Zugriff auf die Daten hat. In Beispiel 1 wird aber nicht mal in Erwägung gezogen, dass er den Zugriff haben könnte. Das sind unterschiedliche Bewertungsmaßstäbe, die nur darauf basieren, dass die Hardware einmal beim Kunden steht und einmal remote ist. Aber wen interessiert in Zeiten der Cloud noch, wo die Hardware steht?

Eben, es ist völlig willkürlich. Über weite Strecken scheint es mir, als ob die ganzen EU-Vorschriften von Leuten mit Alu-Hut ausgedacht wurden.

Es geht ja noch weiter: Selbst auf der WebSite der Bank sind gewissermaßen dritte beteiligt: Der Browserhersteller, der Webseiten-Programmierer, Plugin-Lieferanten und und und...

Der 1:1 Datenabruf wäre auch in Beispiel 2 gegeben, wenn der Dienst die Daten nirgends speichert sondern 1:1 an den FinTS-Server durchreicht.


Ne, mit ging es in der Tat nicht darum, wer das prüft. Sondern ich wollte mal hinterfragen, wo genau diese Anforderung mit dem Nutzungsverbot durch Dritte eigentlich genau steht. Wir nehmen die hier im Forum immer so als gegeben hin. Weil das halt alle so sagen. Mich würde aber mal die konkrete Formulierung im Gesetzestext interessieren. Und daraus ableitend die Frage, ob ein Fall wie der in Beispiel 2 genannte, dort tatsächlich ableitbar ist.

Der Gesetzestext ist IMHO der hier: http://dip21.bundestag.de/dip21/btd/18/114/1811495.pdf
Das ist die Gesetzesvorlage für die Umsetzung der PSD2 in Deutschland.

Das in Beispiel 2 unterstellt ja, dass es sich um einen Kontoinformationsdienst handelt.

Die relevante Stelle ist aus meiner Sicht auf Seite 108 ganz oben zu finden:

"Kontoinformationsdienste bieten dem Zahlungsdienstnutzer konsolidierte Online-Informationen zu einem oder
mehreren Zahlungskonten bei einem oder mehreren anderen Zahlungsdienstleistern, die über Online-Schnittstel-
len des kontoführenden Zahlungs-dienstleisters zugänglich sind. Der Zahlungsdienstnutzer oder sein Beauftragter
erhält dadurch zu einem bestimmten Zeitpunkt einen Gesamtüberblick über seine Zahlungskonten.
An einer Mitteilung von Informationen fehlt es in der Regel dann, wenn der Kontoinformationsdienstleister zwar
den Zugang zum Zahlungskonto herstellt, aufgrund der technischen Ausgestaltung aber keinen Zugriff auf die
Kundendaten hat."

Zum einen: "Kontoinformationsdienst" ist weiter oben lediglich als "Online-Dienst" definiert. Die Begriffsdefinition finde ich zu dünn.

Zum anderen: "...aufgrund der technischen Ausgestaltung aber keinen Zugriff auf die
Kundendaten hat...". Wie kann ich mir das vorstellen? Ab wann liegt eine "technische Ausgestaltung" in der Form vor, dass man davon ausgehen kann, dass er die Daten nicht sehen kann. Oder auf der anderen Seite: Warum wird bei einer lokal installierten Banking-Software einfach unterstellt, dass die technische Ausgestaltung in der Form vorliegt, dass kein Zugriff möglich ist.

und ich habe lange naiverweise gedacht, die DATEV plane genau so etwas als Lösung für den Großteil der "HBCI"-Cloud-Kund*innen, weil die permanent weiter von einer kommenden HBCI-Lösung über die finAPI GmbH sprachen. Ein Browser-Plugin als Datenbrücke hätte ja meiner Meinung nach auch gereicht, ähnlich dem Secoder-Plugin was früher die Genossenschaftsbanken hatten.
Gruß
Raimund

Wundert hoffentlich Niemanden.... Auch wenn der Test an diversen Stellen von ziemlicher Ahnungslosigkeit bzgl der PSD2 Schnittstelle zeugt.