Heute morgen kam es mir erneut in den Sinn, dass ich ja schon länger mal vorhatte, einen Onlinezugang für mein Sparkassenkonto zu beantragen. Auf der Homepage gab es auch gleich den passenden Link. Flugs alles ausgefüllt und zum Glück schon den ersten Kaffee intus gehabt. Denn zwischendrin wird einem dabei ein nettes Detail untergeschoben.

Auf Seite 2 des Antragsformularvorausfüllens kommt die übliche AGB-Frage. Das Preisverzeichnis spricht ebenfalls für sich. Und die Verbraucherinformationen enthalten weitere Hinweise dazu, was es mit dem Onlinebanking auf sich hat usw.

Man kennt das. Man setzt sein Häkchen. Es folgt Seite 3.
Hier ist nun die abschließende Übersicht aller eingebenen Daten. Und die leise Frage, an welcher Stelle ich denn eigentlich mein Häkchen für die “Einwilligungserklärung zur Nutzung von Daten” gesetzt habe?!?!

Im Detail enthält die Einwilligungserklärung folgendes:

Um die Beratungsleistungen der Bank mir gegenüber zu optimieren und mich ausschließlich über ihre Produkte zu informieren, ermächtige ich die Landesbank Berlin AG, Transaktionsdaten aus dem Zahlungsverkehr (z.B. Auftraggeber von Lastschriften oder deren Verwendungszweck) und die Produktinanspruchnahme zu speichern und diese zu o.g. Zweck auszuwerten.

Diese Daten werden vertraulich behandelt und für diesen Zweck nach spätestens 24 Monaten gelöscht.

Ausgenommen von dieser Einwilligung sind sensible Daten gemäß § 3 Abs. 9 BDSG.
Diese Einwilligung kann jederzeit widerrufen werden.

§ 3 Abs. 9 BDSG besagt übrigens:
“(9) Besondere Arten personenbezogener Daten sind Angaben über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben.”

Mein WTF wurde gleich ums Doppelte größer, da es seit 2007(?) erforderlich ist, dass für Werbung explizit und getrennt von den AGB die Zustimmung des Kunden einzuholen ist. Und Produktinformation fällt für mich unter Werbung für die eigenen Produkte. Das entnehme ich auch dem Hinweis auf die Widerrufsmöglichkeit. Aber vielleicht kennt sich jemand noch genauer aus.
Grundsätzlich vermute ich, dass jede Bank so etwas ähnliches sowieso schon macht. Aber es ist krass, wenn nicht gar gesetzeswidrig, dass die Zustimmung einfach so untergeschoben wird und es keinerlei Möglichkeit gibt, diese in Schritt 2 explizit zu geben.

Achtet auch mal auf die kleine Relativierung “… und für diesen Zweck nach spätestens 24 Monaten gelöscht” und die Möglichkeiten, die das rein theoretisch für wildes, legales Datensammeln über die 24 Monate hinaus eröffnet.