Einleitung und Rechtsgrundlage

Am 28. Juni 2023 verabschiedete die Europäische Kommission einen Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über einen Rahmen für den Zugang zu Finanzdaten und zur Änderung der Verordnungen (EU) Nr. 1093/2010, (EU) Nr. 1094/2010, (EU) Nr. 1095/2010 und (EU) 2022/2554 (1) (nachfolgend der „Verordnungsvorschlag“). Die Europäische Zentralbank (EZB) ist der Auffassung, dass der Verordnungsvorschlag in ihren Zuständigkeitsbereich fällt, und macht daher von dem ihr in Artikel 127 Absatz 4 Satz 2 und in Artikel 282 Absatz 5 des Vertrags über die Arbeitsweise der Europäischen Union (nachfolgend „AEUV“) verliehenen Recht Gebrauch, auf eigene Initiative eine Stellungnahme zum Verordnungsvorschlag abzugeben.

Die Zuständigkeit der EZB zur Abgabe einer Stellungnahme beruht auf Artikel 127 Absatz 4 und Artikel 282 Absatz 5 AEUV, da der Verordnungsvorschlag Bestimmungen enthält, welche die Aufgaben der EZB im Zusammenhang mit der Aufsicht über Kreditinstitute gemäß Artikel 127 Absatz 6 AEUV betreffen. Diese Stellungnahme wurde gemäß Artikel 17.5 Satz 1 der Geschäftsordnung der Europäischen Zentralbank vom EZB-Rat verabschiedet.

1.   Allgemeine Anmerkungen

1.1.

Der Verordnungsvorschlag ist ein wichtiger Bestandteil der europäischen Datenstrategie (2). Mit der Schaffung eines soliden rechtlichen Rahmens, um den Austausch von Kundendaten im Finanzsektor über Zahlungskonten hinaus zu verwalten, soll Kunden, einzelnen Verbrauchern und Unternehmen der Zugang zu personalisierten, datengesteuerten Produkten und Dienstleistungen ermöglicht werden, die ihren spezifischen Bedürfnissen besser entsprechen. Die EZB begrüßt das Ziel des Verordnungsvorschlags, einen Rahmen für den Zugang zu und die Nutzung von Kundendaten einzuführen. Dadurch dürften Innovationen gefördert, Finanzdienstleistungen wettbewerbsfähiger gemacht und den Kunden mehr Kontrolle über ihre eigenen Finanzdaten eingeräumt werden. Der Vorschlag könnte auch insoweit zur Entwicklung der Kapitalmarktunion beitragen, als er die Anbieter dazu ermutigt, ein breiteres Spektrum an Dienstleistungen anzubieten, die besser auf die Bedürfnisse der Kunden zugeschnitten sind, und im Zuge der gesteigerten Wettbewerbsfähigkeit des Marktes Gebühren zu senken.

1.2.

Der Verordnungsvorschlag folgt einem kundenfokussierten Ansatz, indem Instrumente bereitgestellt werden, die eine Kontrolle über Kundenfinanzdaten ermöglichen. In dieser Hinsicht räumt der Verordnungsvorschlag Kunden das Recht ein, zu verlangen, dass Dateninhaber (3) Kundendaten zu den Zwecken und unter den Bedingungen mit Datennutzern (4) austauschen, welche die Kunden (5) ausdrücklich gestattet haben, sodass sichergestellt ist, dass ein Datenaustausch stets erst nach der kundenseitigen Erteilung der Berechtigung dazu erfolgt. Zu diesem Zweck erlegt der Verordnungsvorschlag den Dateninhabern die Verpflichtung auf, a) einen solchen Zugang (6) und b) Dashboards für die Zugriffsberechtigung auf Finanzdaten (7) für Kunden bereitzustellen, über die sie die von ihnen erteilten Berechtigungen überwachen und verwalten können. Dieses Regelwerk, mit dem die Transparenz verbessert und das Vertrauen der Kunden in den Datenaustauschprozess gestärkt werden soll, wird ergänzt durch zusätzliche Schutzvorkehrungen. Diese umfassen unter anderem die Sicherstellung eines verantwortungsvollen Umgangs mit Daten durch Beschränkung des Zugangs zu Kundendaten auf bereits zugelassene Finanzinstitute und auf neu zugelassene Finanzinformationsdienstleister (8), die eine neue Kategorie von Dienstleistern (9) darstellen. Darüber hinaus sind die Europäische Bankenaufsichtsbehörde (EBA) und die Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (EIOPA) in Kooperation mit dem Europäischen Datenschutzausschuss verpflichtet, gezielte Leitlinien zur Festlegung des Umfangs der Datennutzung zu erarbeiten, welche die Verbraucher vor unfairer Behandlung oder der Gefahr eines Ausschlusses schützen. (10) Der Verordnungsvorschlag sieht ferner die Standardisierung von Kundendaten vor und legt Anforderungen für die Schaffung und Verwaltung von Systemen für den Austausch von Finanzdaten fest, um den Datenaustausch zu vereinfachen und gleiche Wettbewerbsbedingungen durch die Entwicklung eines vertraglichen Rahmens für den Zugang, die Transparenz, das Entgelt, die Haftung und die Streitbeilegung zu gewährleisten. Gemäß dem Verordnungsvorschlag müssen zudem die zuständigen Behörden die Einhaltung dieser Anforderungen an die Governance prüfen. (11)

1.3.

Die EZB stellt fest, dass Kundendaten, die Dateninhaber den Datennutzern auf Ersuchen eines Kunden zur Verfügung stellen müssen, sowohl Daten zu Hypothekarkreditverträgen, Darlehen und Konten, ausgenommen Zahlungskonten, umfassen können, als auch Daten, die zur Beurteilung der Kreditwürdigkeit eines Unternehmens im Rahmen eines Kreditantragsverfahrens oder bei einem Antrag auf Bonitätsprüfung erhoben werden. (12) Gemäß der Verordnung (EU) 2016/867 der Europäischen Zentralbank (EZB/2016/13) (13) (nachfolgend die „AnaCredit-Verordnung“) erhobene Daten, die mit Kreditinstituten über das Rückmeldeverfahren auf der Grundlage von Artikel 11 der AnaCredit-Verordnung ausgetauscht wurden, dürfen nicht auf der Grundlage der Artikel 4 und 5 des Verordnungsvorschlags mit Datennutzern weiter ausgetauscht werden. Ein solcher Austausch würde gegen Artikel 11 Absatz 1 der AnaCredit-Verordnung verstoßen, der die Nutzung dieser Daten ausschließlich auf die Steuerung von Kreditrisiken durch die Kreditinstitute und die Verbesserung der Qualität der Kreditdaten beschränkt und die Offenlegung gegenüber anderen Parteien – außer unter bestimmten begrenzten Umständen – ausdrücklich untersagt. Die EZB würde deshalb eine explizite Aussage zur Klarstellung im Verordnungsvorschlag begrüßen, dass die mit Kreditinstituten über das Rückmeldeverfahren auf der Grundlage von Artikel 11 der AnaCredit-Verordnung ausgetauschten Daten vom Austausch mit Kunden oder Datennutzern nach Artikel 4 und 5 des Verordnungsvorschlags ausgeschlossen sind.

1.4.

Der Verordnungsvorschlag verpflichtet die Mitgliedstaaten zur Benennung von zuständigen Behörden, die für die Wahrnehmung der im Verordnungsvorschlag vorgesehenen Funktionen und Aufgaben verantwortlich sind. (14) In Bezug auf Finanzinstitute werden im Verordnungsvorschlag die in Artikel 46 der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates (15) (nachfolgend die „DORA-Verordnung“) (16) aufgeführten zuständigen Behörden als zuständige Behörden definiert. Die zuständigen Behörden haben die Einhaltung des Verordnungsvorschlags im Einklang mit den Befugnissen sicherzustellen, die gemäß dem Verordnungsvorschlag und den in Artikel 46 der DORA-Verordnung (17) aufgeführten Rechtsakten gewährt wurden. Dieser Artikel sieht vor, dass in Bezug auf Kreditinstitute, die gemäß Artikel 6 Absatz 4 der Verordnung (EU) Nr. 1024/2013 des Rates (18) (nachfolgend die „SSM-Verordnung“) als bedeutend eingestuft wurden, die Einhaltung der DORA-Verordnung durch die EZB im Einklang mit den mittels der SSM-Verordnung übertragenen Befugnisse und Aufgaben sicherzustellen ist (19). Es ist unbedingt zu beachten, dass der Fokus der DORA-Verordnung auf der operationalen Resilienz liegt, während der Schwerpunkt des Verordnungsvorschlags in erster Linie auf dem Verbraucherschutz liegt. Dieser Unterschied könnte verschiedene Zuständigkeiten voraussetzen.

1.5.

Vor diesem Hintergrund sollte die Rolle der EZB gemäß dem Verordnungsvorschlag im Hinblick auf ihre aufsichtlichen Zuständigkeiten klargestellt werden (siehe Nummer 2).

2.   Klarstellung der aufsichtlichen Zuständigkeiten der EZB

2.1.

Der Verordnungsvorschlag sieht vor, dass die EZB dessen Einhaltung durch bedeutende Kreditinstitute beaufsichtigt. Die EZB hat Bedenken, dass der Verordnungsvorschlag ihr dadurch Aufsichtsaufgaben zuweist, die ihrer Art nach nicht die Aufsicht über Kreditinstitute betreffen, sondern den Verbraucherschutz. Dies steht nicht im Einklang damit, dass der Rat einstimmig gemäß Artikel 127 Absatz 6 AEUV der EZB nur bestimmte Aufsichtsaufgaben übertragen kann. Entsprechend weist die SSM-Verordnung der EZB zu Aufsichtszwecken die Aufgabe zu, die Einhaltung aller einschlägigen Rechtsakte der Union, die Anforderungen an Kreditinstitute unter anderem hinsichtlich solider Risikomanagementverfahren und interner Kontrollmechanismen festlegen, durch bedeutende Kreditinstitute zu gewährleisten. (20) Die Aufsichtsfunktion der EZB beschränkt sich in diesem Zusammenhang darauf, sicherzustellen, dass die Kreditinstitute Konzepte und Verfahren zur Bewertung und Steuerung der aufsichtlichen Risiken, denen sie ausgesetzt sind, einschließlich der mit verschiedenen Aspekten der Geschäftsmodelle, Governance und operationellen Risiken von Banken einhergehenden Risiken, umsetzen. Diese der EZB übertragenen Aufgaben dienen der Gewährleistung der Sicherheit und Solidität der Kreditinstitute und der Stabilität des Finanzsystems. (21) Die EZB kann nur insoweit als zuständige Behörde angesehen werden, als dies für die Wahrnehmung der ihr durch den AEUV und die SSM-Verordnung übertragenen Aufgaben erforderlich ist (22).

2.2.

Der Verordnungsvorschlag dient dem Ziel des Verbraucherschutzes und nicht der Gewährleistung der Sicherheit und Solidität der Kreditinstitute. Dieses Ziel soll erreicht werden, indem 1) Regeln für den Austausch und den Zugang zu den Finanzdaten von Kunden festgelegt werden und 2) versucht wird, sicherzustellen, dass diese Regeln den Anforderungen und Verpflichtungen Rechnung tragen, die für mehr Kontrolle und Transparenz erforderlich sind. Folglich fällt die Beaufsichtigung der Einhaltung der im Verordnungsvorschlag festgelegten Anforderungen durch bedeutende Kreditinstitute nicht in den aufsichtlichen Zuständigkeitsbereich der EZB gemäß AEUV und der SSM-Verordnung. Diese Schlussfolgerung steht im Einklang mit Erwägungsgrund 28 der SSM-Verordnung, in dem klargestellt wird, dass der Verbraucherschutz nicht zu den der EZB übertragenen Aufsichtsaufgaben gehört, sondern im Zuständigkeitsbereich der nationalen Behörden verbleibt. Deshalb sollte der Wortlaut des Verordnungsvorschlags eindeutig klarstellen, dass die EZB nicht als mit Verbraucherschutzaufgaben betraute zuständige Behörde benannt wird (23), auch nicht in ihrer Rolle als konsolidierende Aufsichtsbehörde (24).

2.3.

Die EZB betont dennoch die Notwendigkeit der Schaffung einer klaren Rechtsgrundlage, um die Zusammenarbeit zu gewährleisten. (25) Hierzu gehört auch die Erleichterung des entsprechenden Informationsaustauschs zwischen der EZB und den gemäß dem Verordnungsvorschlag benannten zuständigen Behörden. Diese Schlussfolgerung deckt sich mit Erwägungsgrund 29 der SSM-Verordnung, in dem ausgeführt wird, dass die EZB, soweit angemessen, uneingeschränkt mit den nationalen Behörden zusammenarbeiten sollte, die dafür zuständig sind, ein hohes Verbraucherschutzniveau sicherzustellen.

2.4.

Auf dieser Grundlage, schlägt die EZB vor, Artikel 3 Absatz 4, Artikel 17 Absatz 4, Artikel 18 Absatz 1 Buchstabe b Ziffer v sowie Artikel 26 Absatz 1 des Verordnungsvorschlags zu ändern, um sicherzustellen, dass die Zuständigkeiten der EZB gemäß dem Verordnungsvorschlag die der EZB gemäß AEUV und der SSM-Verordnung übertragenen Aufgaben widerspiegeln. Sofern die EZB Änderungen des Verordnungsvorschlags empfiehlt, ist ein spezifischer Redaktionsvorschlag mit Begründung in einem gesonderten technischen Arbeitsdokument aufgeführt. Das technische Arbeitsdokument steht in englischer Sprache auf EUR-Lex zur Verfügung.

---

(1)  COM(2023) 360 final.

(2)  COM(2020) 66 final.

(3)  Siehe Artikel 3 Absatz 5 des Verordnungsvorschlags.

(4)  Siehe Artikel 3 Absatz 6 des Verordnungsvorschlags.

(5)  Siehe Artikel 3 Absatz 2 und Artikel 5 des Verordnungsvorschlags.

(6)  Siehe Artikel 4 und 5 des Verordnungsvorschlags.

(7)  Siehe Artikel 8 des Verordnungsvorschlags.

(8)  Siehe Artikel 6 des Verordnungsvorschlags.

(9)  Siehe Artikel 12 bis 14 des Verordnungsvorschlags.

(10)  Siehe Artikel 7 des Verordnungsvorschlags.

(11)  Siehe Artikel 9 und 10 des Verordnungsvorschlags.

(12)  Siehe Artikel 2 Absatz 1 Buchstaben a und f sowie Artikel 4 und 5 des Verordnungsvorschlags.

(13)  Verordnung (EU) 2016/867 der Europäischen Zentralbank vom 18. Mai 2016 über die Erhebung granularer Kreditdaten und Kreditrisikodaten (EZB/2016/13) (ABl. L 144 vom 1.6.2016, S. 44).

(14)  Siehe Artikel 17 Absatz 1 des Verordnungsvorschlags.

(15)  Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011 (ABl. L 333 vom 27.12.2022, S. 1).

(16)  Siehe Artikel 17 Absatz 4 des Verordnungsvorschlags.

(17)  Siehe Artikel 17 Absatz 4 des Verordnungsvorschlags.

(18)  Verordnung (EU) Nr. 1024/2013 des Rates vom 15. Oktober 2013 zur Übertragung besonderer Aufgaben im Zusammenhang mit der Aufsicht über Kreditinstitute auf die Europäische Zentralbank (ABl. L 287 vom 29.10.2013, S. 63).

(19)  Siehe Artikel 46 Buchstabe a der DORA-Verordnung.

(20)  Siehe Artikel 4 Absatz 1 Buchstabe e der SSM-Verordnung.

(21)  Siehe Erwägungsgrund 30 der SSM-Verordnung.

(22)  Die Beobachtung, dass der EZB nur bestimmte Aufsichtsaufgaben übertragen werden können, erfolgt unbeschadet der Möglichkeit für die Mitgliedstaaten, die im Verordnungsvorschlag dargelegten Aufsichtsaufgaben an die nationalen Aufsichtsbehörden zu übertragen.

(23)  Siehe Nummer 2 der Stellungnahme CON/2021/40 der Europäischen Zentralbank vom 29. Dezember 2021 zu einem Vorschlag für eine Verordnung zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (ABl. C 115 vom 11.3.2022, S. 5).

(24)  Siehe Artikel 18 Absatz 1 Buchstabe b Ziffer v des Verordnungsvorschlags.

(25)  Siehe Nummer 3 der Stellungnahme CON/2022/4 der Europäischen Zentralbank vom 16. Februar 2022 zu einem Vorschlag für eine Verordnung zur Errichtung der Behörde zur Bekämpfung der Geldwäsche und Terrorismusfinanzierung (ABl. C 210 vom 25.5.2022, S. 5).