Finanzsektor in den VAE: Kundendatenschutz nach den CBUAE-Verbraucherschutzregeln und die Auslagerungsverordnung für Banken

Problem in der Praxis

Der erste Fehler ist die Annahme, das Bundesgesetz zum Schutz personenbezogener Daten (Bundesdekretgesetz 45/2021, im Track kurz Bundes-PDPL, siehe vae-002) sei für eine Bank in den VAE der Maßstab. Nach Art. 2 Abs. 2 des arabischen Texts (eigene, sinngemäße Übersetzung) gilt das Gesetz unter anderem nicht für persönliche Bank- und Kreditdaten und -informationen, für deren Schutz und Verarbeitung eine eigene Gesetzgebung besteht, und nicht für Unternehmen in Freizonen mit eigener Datenschutzgesetzgebung. Die Ausnahme hängt also an einer Bedingung und an einer Datenkategorie, nicht an der Rechtsform "Bank". Für Kundendaten von Banken stehen deshalb die Regeln der CBUAE im Vordergrund; ob sie die in Art. 2 gemeinte Gesetzgebung sind, sagt das Bundes-PDPL nicht ausdrücklich.

Der zweite Fehler betrifft Dienstleister. Ein deutscher Anbieter von Kernbank-Software, Cloud-Hosting oder Security-Operations-Leistungen liest die CBUAE-Texte oft nicht, weil sie sich an Banken richten. Die Pflichten kommen trotzdem: als Vertragsinhalte, die die Bank zwingend vereinbaren muss, als Standortvorgaben für vertrauliche Daten und als Prüf- und Zugangsrecht der Zentralbank beim Dienstleister selbst. Wer ein Betriebsmodell aus Deutschland anbietet, stößt auf die Regel, dass vertrauliche Kundendaten die VAE nur mit Zustimmung der CBUAE, vorheriger schriftlicher Einwilligung jedes betroffenen Kunden und dessen schriftlicher Bestätigung zum möglichen Zugriff in ausländischen Gerichtsverfahren verlassen.

Der dritte Fehler betrifft Konzerne. Die Auslagerungsverordnung erfasst ausdrücklich Vereinbarungen mit verbundenen Parteien. Eine deutsche Bank, die ihre Einheit in den VAE aus Frankfurt mit IT, Risikomanagement oder Revision versorgt, kann damit eine Auslagerung im Sinne der Verordnung betreiben, mit Register, Nichtbeanstandung und Datenstandortregeln.

CISO-Einordnung

Die Aufsichtsbehörde und ihre Rechtsgrundlagen. Die CBUAE erlässt beide Regelwerke auf Grundlage des Bundesdekretgesetzes 14/2018 über die Zentralbank und die Organisation der Finanzinstitute und Finanztätigkeiten (Central Bank Law); die Verbraucherschutzverordnung stützt sich ausdrücklich auf dessen Art. 121 und bezeichnet Art. 120 als Grundlage der Pflicht, Kundendaten zu schützen und vertraulich zu behandeln. Der Wortlaut des Bundesdekretgesetzes 14/2018 liegt nicht als Snapshot vor. Beide Verordnungen behalten der CBUAE vor, über die genannten Mindestinhalte hinaus weitere Anforderungen zu stellen. Auslegungsstelle ist jeweils die Regulatory Development Division der CBUAE.

Verbraucherschutz: Adressaten und Reichweite. Die Consumer Protection Regulation richtet sich nach ihrem Geltungsbereich an alle von der CBUAE lizenzierten Finanzinstitute, und zwar für ihre lizenzierten Tätigkeiten nach Art. 65 des Bundesdekretgesetzes 14/2018, soweit sie Finanzprodukte oder Finanzdienstleistungen an Verbraucher erbringen. Verbraucher sind natürliche Personen und Einzelunternehmer (ausdrücklich keine Gesellschaften mit beschränkter Haftung), auch künftige Kunden und unabhängig davon, ob die Leistung etwas kostet. Lizenzierte Finanzinstitute sind nach der Begriffsbestimmung Banken und andere nach dem Bundesdekretgesetz 14/2018 lizenzierte Finanzinstitute, einschließlich islamischer Institute, gleich ob sie in den VAE oder in anderen Rechtsordnungen gegründet sind oder Zweigstellen, Tochtergesellschaften oder Repräsentanzen in den VAE haben. Ob eine reine Repräsentanz ohne lizenzierte Tätigkeit gegenüber Verbrauchern tatsächlich Pflichten nach der Verordnung trägt, lässt der Text offen, weil der Geltungsbereich an die lizenzierte Tätigkeit anknüpft.

Verbindlichkeit der Standards und Rang. Die Verordnung ist nach ihrer Einleitung prinzipienbasiert; die Consumer Protection Standards bilden nach ihrer eigenen Einleitung einen Teil der Verordnung, sind von allen lizenzierten Finanzinstituten bei lizenzierten Tätigkeiten einzuhalten und ebenso verbindlich und durchsetzbar wie die Verordnung. Die Verordnung gilt zusätzlich zu Anforderungen anderer Aufsichtsbehörden; bei einem Widerspruch gehen nach ihrem eigenen Wortlaut die Verordnung und die Standards vor, ebenso gegenüber früheren Vorgaben der CBUAE. Wie sich dieser Vorrang zu Bundesgesetzen verhält, sagt der Text nicht. Die Verordnung wird im Amtsblatt veröffentlicht und wird einen Monat nach der Veröffentlichung wirksam; die Institute hatten ihre Regelungen binnen höchstens einem Jahr ab Veröffentlichung anzupassen. Das Datum der Veröffentlichung im Amtsblatt steht nicht im Snapshot, die Standards tragen kein eigenes Datum. Verstöße können nach Art. 13 aufsichtliche Maßnahmen, Sanktionen und Strafen nach Ermessen der CBUAE nach sich ziehen, etwa Geldbußen oder die Einschränkung oder Ersetzung von Befugnissen der Geschäftsleitung oder von Mitgliedern des Boards.

Kundendatenschutz: Organisation und Sicherheit. Verordnung und Standards verlangen eine eigene Funktion für Datenmanagement und Datenschutz mit Richtlinien, Verfahren, Systemen und Kontrollen gegen Missbrauch, unbefugten Zugriff und unzulässige Verarbeitung. Das Board weist die Verantwortung einer leitenden Position zu, die unmittelbar an die Geschäftsleitung berichtet. Daneben fordern die Standards Datenminimierung und Zweckbindung, Zugriff auf Kundendaten nur für befugte Geschäftsbereiche und deren Personal, Zugriffsprotokolle mit Namen und Zeitpunkt, die der CBUAE auf Anforderung vorzulegen sind, mehr als einen Identitätsnachweis bei Online-Identifizierung, jährliche Schulungserinnerungen für das Personal und Kontrollen, die der Kritikalität und Sensibilität der Systeme und Daten entsprechen. Für Dienstleister wichtig: Werden Kundendaten außerhalb des eigenen Netzes des Instituts geteilt und gespeichert, etwa bei Authorized Agents, sind sie zu verschlüsseln und sicher zu übertragen, und ausgelagerte Technik, die personenbezogene Daten nutzt oder speichert, muss höchsten Sicherheitsstandards genügen und regelmäßig geprüft und auf Schwachstellen untersucht werden.

Einwilligung und Weitergabe. Gegenüber dem Verbraucher besteht eine gesetzliche Vertraulichkeitspflicht mit zwei Ausnahmen: eine von einer zuständigen Stelle rechtmäßig angeordnete Offenlegung und eine Offenlegung mit ausdrücklicher Einwilligung des Verbrauchers oder über einen von ihm benannten Vertreter. Vor der Bitte um Einwilligung in eine Weitergabe ist schriftlich offenzulegen, wozu und an wen die Daten gehen; die Einwilligung muss frei und ausdrücklich erteilt werden, und der Verbraucher ist auf sein Recht zur Verweigerung hinzuweisen. Für Direktmarketing und für die Übermittlung an Authorized Agents zu Direktmarketingzwecken ist vorher eine informierte, ausdrückliche Einwilligung einzuholen, deren Kopie bis fünf Jahre nach Ende der Kundenbeziehung aufzubewahren ist. Der Verbraucher kann seine Einwilligung jederzeit widerrufen, für die Verarbeitung allerdings nur, soweit die Daten nicht für den Betrieb seiner Produkte und Dienstleistungen benötigt werden, und für die Weitergabe an Agents und andere Dritte etwa zu Vertriebs- und Marketingzwecken; der Widerruf wirkt, soweit nichts anderes bestimmt ist, binnen 30 Kalendertagen und lässt frühere Verarbeitung unberührt. Hat ein Verbraucher in die Weitergabe an einen Dritten eingewilligt, muss der Vertrag mit dem Dritten festhalten, dass dieser kein Recht hat, die Daten weiterzugeben oder für andere, nicht autorisierte Zwecke zu nutzen, soweit das Recht der VAE es nicht verlangt. "Schriftlich" umfasst nach der Begriffsbestimmung auch elektronische Form, soweit die Anforderungen des Bundesgesetzes 1/2006 erfüllt sind. Daten an staatlich zugelassene Kreditauskunfteien sind zu liefern, soweit es vorgeschrieben ist; die Verbraucher sind darüber zu informieren.

Meldung von Datenschutzverletzungen. Die Verordnung verlangt, die CBUAE über alle erheblichen Verletzungen von Kundendaten zu unterrichten und Verbraucher ohne unangemessene Verzögerung zu benachrichtigen, wenn eine Verletzung ihre finanzielle und persönliche Sicherheit gefährden kann; die Standards fügen die Benachrichtigung bei möglichem Reputationsschaden des Verbrauchers hinzu. Nach den Standards ist die CBUAE über alle erheblichen Verletzungen personenbezogener Daten unverzüglich und über wesentliche Datenverletzungen, Verluste, Zerstörungen oder Veränderungen bei ihrem Eintreten in der von ihr vorgegebenen Form zu unterrichten. Eine Stundenfrist nennen die Snapshots nicht. Das Institut haftet für direkte Kosten, die dem Verbraucher durch tatsächlichen Schaden aus der Verletzung entstehen. Verletzungen sind zu dokumentieren, einschließlich disziplinarischer Maßnahmen gegen Personal, Agents oder Auftragnehmer, und fünf Jahre für die CBUAE vorzuhalten.

Aufbewahrung und Datenstandort im Verbraucherschutz. Personenbezogene Daten und Kundenunterlagen sind mindestens fünf Jahre sicher aufzubewahren, gerechnet ab dem jüngsten einschlägigen Ereignis aus Beendigung der Geschäftsbeziehung, Schließung des Kontos oder, bei einem Verbraucher ohne Geschäftsbeziehung, Abschluss eines Gelegenheitsgeschäfts; Vertraulichkeits- und Sicherheitsvorgaben gelten bis zur Vernichtung fort; danach sind alle angemessenen Schritte zur Löschung zu treffen, wenn sie weder für den Zweck noch gesetzlich weiter benötigt werden. Die Standards verlangen außerdem, alle Kunden- und Transaktionsdaten in den VAE zu halten und zu speichern, wie es die CBUAE vorschreibt, mit einer sicheren Sicherungskopie an einem getrennten Ort für die Dauer der Aufbewahrung. Weitere Vorgaben der CBUAE zu dieser Speicherpflicht liegen nicht als Snapshot vor.

Auslagerungsverordnung: Adressaten und Konzern. Die Outsourcing Regulation for Banks gilt mit ihren begleitenden Standards für alle in den VAE tätigen Banken, also juristische Personen mit Lizenz nach dem Central Bank Law, die vorrangig Einlagen annehmen. Banken mit Sitz in den VAE und Konzernbeziehungen, einschließlich Tochtergesellschaften, verbundener Unternehmen oder Auslandszweigstellen, müssen die Regeln auf Einzel- und Gruppenebene einhalten. Auslagerung ist jede Vereinbarung mit einer anderen Partei innerhalb oder außerhalb der VAE, ausdrücklich auch mit einer der Bank verbundenen Partei, über die fortlaufende Erbringung einer Tätigkeit, die die Bank selbst ausübt oder ausüben könnte. Vertrauliche Daten sind Konto- oder sonstige Daten eines identifizierten oder identifizierbaren Bankkunden; eine Beschränkung auf natürliche Personen enthält diese Begriffsbestimmung nicht. Für andere lizenzierte Finanzinstitute als Banken enthält der Snapshot keine Auslagerungsverordnung; für sie bleiben, soweit sie Verbraucher bedienen, die Vorgaben der Verbraucherschutzstandards zu Agents und Dritten.

Governance und Register. Die Bank trägt die volle Verantwortung für die Risiken jeder Auslagerung und für die Einhaltung aller auf die ausgelagerte Tätigkeit anwendbaren Gesetze. Sie braucht ein Verfahren zur Wesentlichkeitsbewertung, eine vom Board gebilligte Richtlinie, nach der wesentliche Auslagerungen vom Board oder einem Board-Ausschuss genehmigt werden, Regeln zu Interessenkonflikten und Zuständigkeiten, eine bankweite oder gegebenenfalls gruppenweite Risikosicht einschließlich konzerninterner Leistungen, und die Einbindung ausgelagerter kritischer Funktionen in Notfall- und Wiederanlaufpläne, auch mit eigenen Plänen der Dienstleister. Dienstleister müssen ein angemessenes Niveau an Informationssicherheit, Risikomanagement und Leistungserbringung halten. Das Register erfasst alle wesentlichen und nicht wesentlichen Auslagerungen auf Einzel- und Gruppenebene, mindestens mit Angaben zum Dienstleister, Laufzeit, Leistungsbeschreibung, Wesentlichkeit und der Frage, ob vertrauliche Daten betroffen sind. Ausgelagerte Tätigkeiten bleiben voll im Prüfungsumfang von Interner Revision und Compliance.

Datenschutz und Vertragsinhalte. Bank und Kunden bleiben Eigentümer ihrer Daten. Die Bank muss ihre Daten vor unbefugtem Zugriff schützen, auch vor dem des Dienstleisters und seines Personals, und bei Unterauslagerung mit vertraulichen Daten sicherstellen, dass der Unterauftragnehmer die Anforderungen voll einhält. Jede Auslagerung braucht einen förmlichen Vertrag. Er muss nach Art. 5 unter anderem das Dateneigentum festhalten, der Bank uneingeschränkten Zugriff auf ihre Daten während der Laufzeit und bei Vertragsende sichern, Vertraulichkeitsvereinbarungen und die Vernichtung der Daten nach Vertragsende regeln, Datenschutzstandards einschließlich in den VAE national anerkannter Information-Assurance-Standards festlegen, jede Weitergabe vertraulicher Daten an Dritte ohne vorherige ausdrückliche Genehmigung der Bank oder, je nach Fall, des Kunden ausschließen, Umfang und Bedingungen von Unterauslagerung bestimmen, der CBUAE und ihren Beauftragten Zugang zum Dienstleister einschließlich Prüfungen vor Ort und Auskünften geben und den Dienstleister verpflichten, Verletzungen der Bankdaten, insbesondere vertraulicher Daten, ohne unangemessene Verzögerung an die Bank zu melden. Welche Standards als national anerkannt gelten, nennt die Verordnung nicht (zur Information Assurance Regulation der TDRA siehe vae-006).

Auslagerung ins Ausland und Datenstandort. Art. 6 ist der Teil mit der größten Wirkung für deutsche Anbieter und Konzerne. Der Master System of Record, also die Gesamtheit der Daten einschließlich aller vertraulichen Daten, die die Bank für ihre Kerntätigkeiten, ihr Risikomanagement und ihre Rechtspflichten braucht, ist fortlaufend in den VAE zu halten und zu speichern. Zweigstellen ausländischer Banken dürfen das ausnahmsweise und vorbehaltlich der Zustimmung der CBUAE durch eine mindestens täglich aktualisierte Kopie in den VAE erfüllen. Vertrauliche Kundendaten dürfen die VAE nur mit Zustimmung der CBUAE und vorheriger schriftlicher Einwilligung des Kunden verlassen; zusätzlich muss der Kunde schriftlich bestätigen, dass im Ausland im Rahmen gerichtlicher Verfahren auf seine Daten zugegriffen werden kann. Eine Auslagerung mit vertraulichen Daten an einen Dienstleister ist unzulässig, wenn dessen Sitzstaat nicht dasselbe Schutzniveau bieten kann wie eine Speicherung in den VAE; das gilt für alle für den Vertrag maßgeblichen Rechtsordnungen. Unzulässig ist auch die Speicherung in einer Rechtsordnung, deren Bankgeheimnis oder sonstige Gesetze den aufsichtlich nötigen Datenzugang beschränken. Vor einer Auslagerung ins Ausland muss die Bank die Einhaltung aller einschlägigen Datenschutzgesetze sicherstellen, Länder-, Rechts- und Reputationsrisiken ausdrücklich bewerten, für jede Beziehung mit Datenweitergabe ins Ausland konkrete Sicherheitsanforderungen festlegen und ihr Personal darin schulen; Unterauftragnehmer sind an dieselben Pflichten zu binden. Gegenüber Dienstleistern im Ausland kann die CBUAE ihre Befugnisse in Zusammenarbeit mit den Behörden der jeweiligen Rechtsordnung ausüben. Ob Deutschland das geforderte Schutzniveau bietet, beurteilt die Verordnung nicht; die Bewertung trifft die Bank.

Nichtbeanstandung, Meldung, Durchsetzung. Vor der Auslagerung jeder wesentlichen Tätigkeit, auch an eine verbundene Partei, braucht die Bank eine vorherige Nichtbeanstandung der CBUAE. Die CBUAE prüft jeden Antrag einzeln, wird aber nach Art. 8 im Allgemeinen keine Auslagerung von Kernbanktätigkeiten und zentralen Leitungs- und Kontrollfunktionen zulassen, darunter die Aufsicht durch die Geschäftsleitung, Risikomanagement, Compliance, Interne Revision und die Steuerung risikonehmender Funktionen wie Kredit, Anlage und Treasury. Die Bank berichtet regelmäßig in der von der CBUAE vorgegebenen Form und Häufigkeit, legt das Register und weitere Informationen auf Anforderung vor und meldet der CBUAE unverzüglich, sobald sie von einer wesentlichen Vertragsverletzung oder einer anderen Entwicklung bei einer ausgelagerten wesentlichen Geschäftstätigkeit erfährt, die erhebliche Auswirkungen auf Betrieb, Ruf oder Finanzlage hat oder voraussichtlich haben wird. Verstöße können aufsichtliche Maßnahmen und Sanktionen nach sich ziehen, etwa Geldbußen, Eingriffe in Befugnisse von Geschäftsleitung und Board, eine Interimsverwaltung oder ein Berufsverbot im Bankensektor der VAE; die CBUAE kann zudem die Beendigung einer Auslagerung verlangen, wenn sie nicht oder nicht mehr regelkonform ist oder unangemessene Risiken für die Bank, die Sicherheit vertraulicher Daten oder das Finanzsystem birgt.

Zeitlicher Rahmen der Auslagerungsverordnung. Die Verordnung wird im Amtsblatt veröffentlicht und tritt einen Monat danach in Kraft; das Veröffentlichungsdatum steht nicht im Snapshot. Nach Inkrafttreten geschlossene oder verlängerte Auslagerungen mussten sofort voll entsprechen, alle übrigen einschließlich der vorher geschlossenen spätestens zum 31.12.2023. Die begleitenden Auslagerungsstandards sowie die Risk Management Regulation und die Operational Risk Management Regulation, mit denen die Verordnung zu lesen ist, liegen nicht als Snapshot vor.

Die Weiche zum Bundes-PDPL. Art. 2 Abs. 2 des Bundes-PDPL schließt nach dem arabischen Text persönliche Bank- und Kreditdaten aus, für die eine eigene Gesetzgebung zu Schutz und Verarbeitung besteht. Der Wortlaut nennt eine Datenkategorie, nicht die Bank als Organisation; ob etwa Personaldaten einer Bank oder Daten von Interessenten ohne Bankbezug darunter fallen, sagt er nicht. Ebenso wenig bestimmt er ausdrücklich, ob die CBUAE-Verordnungen die gemeinte Gesetzgebung sind; die Verbraucherschutzverordnung verweist ihrerseits auf Art. 120 des Bundesdekretgesetzes 14/2018. Für Institute in Freizonen mit eigenem Datenschutzrecht greift die gesonderte Ausnahme für Freizonen (siehe vae-003). Die Auslagerungsverordnung verlangt unabhängig davon die Einhaltung aller anwendbaren Gesetze der VAE bei der Datenverarbeitung und aller einschlägigen Datenschutzgesetze vor einer Auslagerung ins Ausland.

Umsetzungsperspektive

1. Rolle klären. Ist die Einheit in den VAE eine Bank im Sinne der Auslagerungsverordnung, ein anderes lizenziertes Finanzinstitut oder nur eine Repräsentanz? Erbringt sie lizenzierte Tätigkeiten gegenüber Verbrauchern? Daran hängen Auslagerungsverordnung und Verbraucherschutzregeln.
2. Konzernleistungen als Auslagerung prüfen. Jede fortlaufende Leistung aus Deutschland an die Einheit in den VAE gegen die Begriffsbestimmung prüfen, Register führen und wesentliche Fälle vor Beginn der CBUAE zur Nichtbeanstandung vorlegen.
3. Datenflüsse kartieren. Wo liegen Master System of Record, Kunden- und Transaktionsdaten und Sicherungskopien? Welche vertraulichen Daten verlassen die VAE, auch durch Fernzugriff, Support oder Protokolldaten, und liegen dafür Zustimmung der CBUAE, schriftliche Einwilligungen und Bestätigungen der Kunden vor?
4. Verträge nachziehen. Auslagerungsverträge um die Pflichtinhalte ergänzen, insbesondere Zugangs- und Prüfrecht der CBUAE beim Dienstleister, Meldung von Datenverletzungen, Unterauslagerungsbedingungen und Datenrückgabe oder Vernichtung bei Vertragsende.
5. Meldewege verbinden. Interne Meldewege so bauen, dass Dienstleister Verletzungen an die Datenschutzfunktion des Instituts melden und das Institut CBUAE und Verbraucher in der vorgegebenen Form erreicht.
6. Als Dienstleister das Angebot spiegeln. Ein deutscher Anbieter prüft, ob sein Betriebsmodell die Standortregeln einhält, ob er das Prüfrecht der CBUAE vertraglich akzeptieren kann und welche Unterauftragnehmer vertrauliche Daten sehen.

Typische Fehler

1. Das Bundes-PDPL wird als alleiniger Maßstab für Bankkundendaten genommen, obwohl Art. 2 Abs. 2 Bank- und Kreditdaten mit eigener Gesetzgebung ausnimmt; umgekehrt wird die Ausnahme auf alle Daten einer Bank ausgedehnt, obwohl der Wortlaut nur eine Datenkategorie nennt.
2. Konzerninterne Leistungen werden nicht als Auslagerung behandelt, obwohl die Verordnung verbundene Parteien ausdrücklich einschließt.
3. Die Einwilligung des Kunden wird als ausreichend für eine Datenübermittlung ins Ausland angesehen; nötig sind daneben die Zustimmung der CBUAE und die schriftliche Bestätigung des Kunden zum Zugriff in ausländischen Verfahren.
4. Die Zweigstellenausnahme mit täglich aktualisierter Kopie wird ohne Zustimmung der CBUAE in Anspruch genommen oder auf Tochtergesellschaften übertragen.
5. Der Dienstleistervertrag enthält kein Zugangs- und Prüfrecht der CBUAE.
6. Für Meldungen an die CBUAE werden Stundenfristen aus europäischen Regelwerken übernommen, die die CBUAE-Texte nicht enthalten.
7. Daten von Firmenkunden werden aus der Betrachtung genommen, weil der Verbraucherschutz nur natürliche Personen und Einzelunternehmer erfasst, obwohl die Begriffsbestimmung vertraulicher Daten in der Auslagerungsverordnung nicht auf natürliche Personen beschränkt ist.

Risiken und Trade-offs

Die Standortregeln erzwingen eine Abwägung zwischen einem Betrieb in den VAE, einer Datenhaltung in den VAE mit Zugriff aus Deutschland unter den Bedingungen für Auslandsweitergaben und dem Verzicht auf bestimmte Leistungen für Banken in den VAE. Ein zentrales Konzernmodell mit Risikomanagement, Compliance und Revision in Deutschland ist mit der Erwartung der CBUAE schwer vereinbar, solche Funktionen im Allgemeinen nicht auszulagern; die CBUAE entscheidet jedoch im Einzelfall.

Für Dienstleister verschiebt das Prüfrecht der CBUAE Aufwand und Haftungsfragen in die eigene Organisation. Wer es ablehnt, scheidet als Partner für Banken in den VAE faktisch aus, weil die Bank die Klausel vereinbaren muss. Wer es akzeptiert, sollte Prüfungen vor Ort und Auskunftsersuchen in seinen Abläufen vorsehen.

Entscheidungspunkte

• Welche Leistungen aus Deutschland an unsere Einheit in den VAE sind Auslagerungen, welche davon wesentlich, und wer beantragt die Nichtbeanstandung?
• Halten wir vertrauliche Kundendaten vollständig in den VAE, oder holen wir Zustimmung der CBUAE und Einwilligungen der Kunden für Zugriffe aus Deutschland ein?
• Nutzt eine Zweigstelle die Ausnahme mit täglich aktualisierter Kopie, und liegt die Zustimmung der CBUAE vor?
• Bieten wir als Dienstleister Leistungen für Banken in den VAE an, und akzeptieren wir dafür das Zugangs- und Prüfrecht der CBUAE?
• Wer klärt, welche Daten unserer Einheit unter die Ausnahme in Art. 2 Abs. 2 Bundes-PDPL fallen und welche nicht?

Praktische Empfehlungen

• Je Einheit in den VAE eine Anwendbarkeitsnotiz führen: Bank ja oder nein, lizenzierte Tätigkeit gegenüber Verbrauchern ja oder nein, Freizone ja oder nein.
• Das Auslagerungsregister konzernweit führen und konzerninterne Leistungen einbeziehen.
• Datenflusskarten um die Frage ergänzen, ob vertrauliche Kundendaten die VAE verlassen, auch durch Fernwartung und Protokollierung.
• Standardklauseln für Dienstleisterverträge mit Banken in den VAE an den Pflichtinhalten der Auslagerungsverordnung ausrichten und juristisch prüfen lassen.
• Fristen und Verfahren für Meldungen an die CBUAE nur aus den aktuellen Vorgaben der CBUAE ableiten, nicht aus DORA, MaRisk oder DSGVO.

Relevante Normreferenzen

• CBUAE Consumer Protection Regulation, Rundschreiben 8/2020 vom 25.11.2020: Geltungsbereich, Art. 1 (Begriffe, darunter Verbraucher, lizenzierte Finanzinstitute, personenbezogene Daten, Schriftform), Art. 6 (Schutz von Kundendaten und Vermögenswerten), Art. 12 (Verhältnis zu anderen Vorgaben), Art. 13 (Durchsetzung), Art. 15 (Veröffentlichung und Wirksamkeit).
• CBUAE Consumer Protection Standards (Teil der Verordnung 8/2020): Einleitung (Verbindlichkeit), Art. 6 (Kundendatenschutz, Einwilligung, Weitergabe an Agents und Dritte, Aufbewahrung und Datenstandort, Meldung an die CBUAE).
• CBUAE Outsourcing Regulation for Banks, Rundschreiben 14/2021 vom 31.05.2021: Geltungsbereich, Art. 1 bis 9, Art. 11 und Art. 13.
• Bundesdekretgesetz 45/2021 zum Schutz personenbezogener Daten (Bundes-PDPL), Art. 2 Abs. 2 (Ausnahmen), arabischer Text.
• Abgrenzung: Das Bundes-PDPL im Übrigen steht in vae-002, die Finanzfreizonen DIFC und ADGM in vae-003, die Information Assurance Regulation in vae-006, die Gesamtübersicht in vae-001. Europäische Finanzaufsicht zu IKT-Risiken und Drittdienstleistern steht im Track dora, deutsche Mindestanforderungen an das Risikomanagement im Track marisk; die CBUAE-Regeln werden dort nicht gleichgesetzt. Europäisches Datenschutzrecht steht im Track dsgvo, saudische Finanzaufsicht in saudi-arabien-007; eine Übertragung saudischer Regeln auf die VAE findet nicht statt.