APD Belgien: IAB, Finanzsektor & NIS2
Belgiens Datenschutzbehörde hat eine einzigartige Stellung in der EU. Das Land beherbergt die Hauptsitze der EU und der NATO. Es gibt dort mehr globale Banken und Finanzinstitutionen als in jedem anderen EU-Staat außer Luxemburg. Das verleiht der Autorité de protection des données/Gegevensbeschermingsautoriteit (APD/GBA) großen Einfluss.
Das IAB-Europe-Urteil
Im Februar 2022 entschied die belgische Behörde gegen IAB Europe. Der Fall betraf das Transparency and Consent Framework (TCF). Das TCF steuert etwa 220 Milliarden Euro im digitalen Werbemarkt der EU pro Jahr.
Was die Behörde feststellte: Der TCF-Consent-String ist ein personenbezogenes Datum. Er ist mit der pseudonymen ID des Nutzers verknüpft. IAB Europe wurde als gemeinsamer Verantwortlicher eingestuft. Das machte es haftbar für den Umgang von Publishern und Werbeunternehmen mit diesen Daten.
Die Geldbuße von 250.000 Euro war gering. Die eigentliche Wirkung war viel größer. Die Behörde verlangte eine vollständige Überarbeitung des TCF. Alle EU-Publisher, die ein Consent-Tool nutzen, spürten dies. Ebenso alle Werbetreibenden.
Die Lehre daraus: Branchenweite Technologie kann gegen die DSGVO verstoßen. Nicht nur einzelne Unternehmen tragen das Risiko. Die gesamte Kette kann zur Verantwortung gezogen werden. Kein Glied dieser Kette ist sicher vor Prüfung.
Finanzsektor: NIS2 und DSGVO gemeinsam
Belgien beherbergt die EU-Bankaufsichtsbehörde, EIOPA und den globalen SWIFT-Sitz. Banken und Versicherer dort müssen sowohl DSGVO-Artikel 32 als auch NIS2-Artikel 21 erfüllen. Diese zwei Gesetze haben viel gemeinsam.
NIS2-Artikel 21 schreibt vor:
- Risikoprüfungen in menschlichen, physischen und digitalen Bereichen
- Meldung von Vorfällen innerhalb von 24 Stunden
- Pläne zur Geschäftskontinuität
- Sicherheitsprüfungen der Lieferkette
- Verschlüsselung für Daten während der Übertragung und im Ruhezustand
- Multi-Faktor-Zugangskontrollen
DSGVO-Artikel 32 schreibt vor:
- Datenmaskierung und Verschlüsselung personenbezogener Daten
- Fähigkeit, den Zugang nach einem Vorfall wiederherzustellen
- Regelmäßige Tests der Sicherheitskontrollen
- Risikobezogene technische Schutzmaßnahmen
Diese Maßnahmen finden sich in beiden Gesetzen: Verschlüsselung, Zugangskontrolle, Vorfallreaktion und Lieferkettensicherheit. Starke DSGVO-Artikel-32-Programme decken die meisten Anforderungen des NIS2-Artikels 21 ab. Ein gemeinsamer Satz von Kontrollen ist der effizienteste Weg. Lesen Sie unseren DSGVO-Leitfaden für eine vollständige Übersicht beider Gesetze.
Durchsetzung 2024: Wichtige Themen
Belgiens Behörde erließ 2024 insgesamt 82 Entscheidungen. Die Fälle im Finanzsektor stiegen gegenüber 2023 um 56 %. Vier Themen stechen hervor.
Profiling ohne Einwilligung: Banken, die Transaktionsdaten für Ausgabenanalysen oder Produktangebote nutzen, müssen die DSGVO einhalten. Die Behörde lehnte „Serviceverbesserung" als gültigen Grund ab, wenn das Profiling auf solchen Daten basiert.
KI-Kreditscoring: DSGVO-Artikel 22 regelt automatisierte Kreditentscheidungen. Er fordert menschliche Überprüfung und klare Begründungen. Mehrere Fintech-Unternehmen fehlten diese Schutzmaßnahmen. Das war ein zentraler Schwerpunkt.
Zusammenführung von Daten nach Übernahmen: Banken, die nach Akquisitionen Datensätze zusammenführten, verstießen häufig gegen den Zweckbindungsgrundsatz. Die ursprüngliche Einwilligung deckte die neue kombinierte Nutzung nicht ab.
Auslagerung ohne Transferinstrumente: Firmen, die IT-Arbeit ohne geeignete rechtliche Instrumente in Drittländer vergaben, wurden zur Verantwortung gezogen. Fälle betrafen Indien, Marokko und die Philippinen.
Für Unternehmen mit belgischen Banktätigkeiten: Gemeinsame DSGVO- und NIS2-Kontrollen sind die beste Verteidigung vor einer Prüfung. Unser Sicherheits- und Compliance-Überblick zeigt, wie anonym.legal mit Daten umgeht.
Quellen
- APD/GBA: Belgische Datenschutzbehörde — VERIFIED-EXTERNAL
- APD: IAB Europe TCF-Entscheidung, Februar 2022 — VERIFIED-EXTERNAL
- EBA: NIS2-Umsetzungsleitfaden — VERIFIED-EXTERNAL