DSGVO und Consent-Management: Das Fundament für KI-gestütztes Banking

Consent-Management als Fundament, nicht als Hindernis

Je mehr KI-Systeme Kundendaten für Scoring, Next-Best-Action und automatisierte Journeys nutzen, desto größer wird die Bedeutung eines granularen, technisch belastbaren Consent-Managements. Viele Banken behandeln die DSGVO noch als rechtliche Compliance-Übung, die Marketing- und KI-Initiativen bremst. Richtig umgesetzt ist Consent-Management jedoch die Voraussetzung dafür, dass KI-gestützte Kundenansprache überhaupt in großem Maßstab und ohne Reputationsrisiko funktioniert.

Warum pauschale Einwilligungen nicht mehr ausreichen

Historisch haben viele Institute Einwilligungen pauschal eingeholt: eine Checkbox für "Marketing per E-Mail und Telefon", ohne Differenzierung nach Zweck, Kanal oder Datentyp. Mit zunehmender Komplexität von KI-gestützten Anwendungsfällen – etwa der Nutzung von Transaktionsdaten für Verhaltensprofile oder der automatisierten Ableitung von Lebensereignissen – wird diese Pauschalzustimmung sowohl rechtlich fragil als auch praktisch unzureichend. Die DSGVO verlangt Zweckbindung: Eine Einwilligung für "Newsletter" deckt nicht automatisch die Nutzung von Kartenumsätzen für ein KI-Scoring-Modell ab. Institute, die hier ungenau arbeiten, tragen ein erhöhtes Risiko für Beschwerden bei Datenschutzbehörden und daraus resultierende Bußgelder.

Granularität als Lösung

Ein modernes Consent-Management-System unterscheidet mehrere Dimensionen: den Zweck der Datennutzung (Produktempfehlung, Risikoscoring, Marktforschung), den Kanal (E-Mail, App-Push, Telefon, Brief), die Datenkategorie (Stammdaten, Transaktionsdaten, Verhaltensdaten aus der App) sowie die Widerrufsmöglichkeit für jede einzelne Kombination. Technisch bedeutet dies, dass jede Kundendateneinheit, die in ein Modell oder eine Kampagne einfließt, mit einem aktuellen, granularen Consent-Status verknüpft sein muss – nicht als statische Datenbankspalte, sondern als dynamisch geprüftes Attribut zum Zeitpunkt jeder Datennutzung.

Consent als Teil der Trigger-Logik

In einer trigger-basierten Architektur muss die Consent-Prüfung in Echtzeit erfolgen, bevor eine automatisierte Aktion ausgelöst wird. Widerruft ein Kunde die Einwilligung zur Verhaltensanalyse, müssen alle laufenden und geplanten Trigger, die auf diesem Consent basieren, unmittelbar gestoppt werden – nicht erst beim nächsten Batch-Lauf. Eine deutsche Regionalbank, die Consent-Prüfung direkt in die Event-Verarbeitung ihrer Trigger-Plattform integriert, kann die Reaktionszeit auf einen Widerruf von durchschnittlich mehreren Tagen auf unter eine Stunde verkürzen – ein Unterschied, der bei einer Beschwerde oder Prüfung durch die Datenschutzbehörde direkt relevant wird.

Erklärbarkeit als Konsequenz aus Art. 22 DSGVO

Artikel 22 der DSGVO regelt automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für die betroffene Person. Während viele Marketing-Anwendungsfälle nicht direkt unter diese strenge Regelung fallen, gilt für alle KI-gestützten Kundenentscheidungen das übergeordnete Transparenzgebot: Kunden müssen auf Anfrage nachvollziehen können, warum ihnen ein bestimmtes Angebot gemacht oder eine bestimmte Behandlung zugewiesen wurde. Dies setzt voraus, dass Next-Best-Action- und Scoring-Modelle nicht als vollständige Black-Box operieren, sondern zumindest die wesentlichen Einflussfaktoren einer Entscheidung dokumentieren und auf Anfrage kommunizierbar machen.

Betroffenenrechte in einer KI-gestützten Umgebung

Auskunfts-, Berichtigungs- und Löschungsanfragen (Art. 15, 16, 17 DSGVO) stellen für CDP-Architekturen eine besondere Herausforderung dar, weil Kundendaten oft in mehreren abgeleiteten Formen existieren – Rohdaten, aggregierte Scores, Modellfeatures, Kampagnenhistorie. Eine Löschanfrage muss technisch alle diese Ableitungen erfassen, nicht nur die Quelldaten. Institute, die ihre Datenarchitektur nach dem Prinzip des Customer Data Product Managements mit klarer Data Lineage aufbauen, können solche Anfragen in der Regel innerhalb der gesetzlichen Frist von einem Monat zuverlässig bearbeiten, während unstrukturierte Datenlandschaften hier ein erhebliches operatives Risiko darstellen.

Der Business Case für sauberes Consent-Management

Über die reine Risikominimierung hinaus verbessert granulares Consent-Management auch die Kampagnenperformance: Kunden, die gezielt für bestimmte, für sie relevante Kommunikationsarten zugestimmt haben, zeigen typischerweise 25–40 % höhere Interaktionsraten als Kunden, die pauschal und ohne echtes Verständnis zugestimmt haben. Zufriedenheitswerte im Zusammenhang mit Marketingkommunikation steigen entsprechend, wenn Kunden das Gefühl haben, Kontrolle über Art und Häufigkeit der Ansprache zu haben.

Private-Cloud- und On-Premise-Aspekte

Für Banken, die aus regulatorischen oder strategischen Gründen auf Private-Cloud- oder On-Premise-Architekturen setzen, stellt sich Consent-Management zusätzlich als Frage der technischen Datenhoheit. Wenn Consent-Status, Kundendaten und Verarbeitungslogik vollständig innerhalb der eigenen Infrastruktur beziehungsweise in einer vertraglich abgesicherten Private-Cloud-Umgebung verbleiben, vereinfacht dies den Nachweis, dass Datenverarbeitung ausschließlich innerhalb des vereinbarten rechtlichen und geografischen Rahmens erfolgt. Dies ist insbesondere relevant, wenn Aufsichtsbehörden im Rahmen von DORA-Prüfungen Nachweise über die Kontrolle kritischer IKT-Dienstleister verlangen.

Institute, die Consent-Management, Scoring und Trigger-Logik in einer einheitlichen, selbst kontrollierten Umgebung betreiben, können zudem schneller auf regulatorische Änderungen reagieren, weil Anpassungen an der Verarbeitungslogik nicht über mehrere externe Anbieter koordiniert werden müssen. Dies reduziert die durchschnittliche Umsetzungszeit für neue Compliance-Anforderungen von mehreren Monaten auf wenige Wochen.

Fazit

Consent-Management ist im KI-gestützten Banking kein juristisches Beiwerk, sondern ein integraler Bestandteil der Dateninfrastruktur. Institute, die Einwilligungen granular verwalten und in Echtzeit in ihre Trigger- und Modelllogik integrieren, minimieren regulatorische Risiken und steigern gleichzeitig die Relevanz und Akzeptanz ihrer automatisierten Kundenkommunikation.