Die EU-Verordnung für Financial Data Access (Fida) steht vor der Einführung – und zumindest insoweit sind sich Beobachter einig: Wenn Fida kommt, wird sie den hiesigen Finanzsektor grundlegend verändern. Nach zwischenzeitlich Meldungen über einen Stopp des Projekts hat die EU-Kommission nun bestätigt, dass sie die Verordnung im Trilog-Verfahren weiterverfolgt. Beobachter rechnen im dritten oder vierten Quartal dieses Jahres mit der Verabschiedung.

Die Unternehmensberatung KPMG hat jetzt eine Erläuterung veröffentlicht, die Unternehmen anleitet, was mit Fida auf sie zukommt. 

Fida gibt Rahmen für den Datenaustausch

Die Fida-Verordnung soll einen einheitlichen Rechtsrahmen für den Austausch von Kundendaten über Schnittstellen (APIs) schaffen und damit Open Finance vorantreiben: die Vision transparent zugänglicher Finanzdaten, ganz im Verbrauchersinne. Die Verordnung verspricht erhebliche Konsequenzen für alle Marktteilnehmer an Europas Finanz- und Versicherungsmärkten. 

Die Fida-Verordnung zielt auf die Daten aus Giro- und Sparkonten, Dardehen, Hypothekarkreditverträge, Wertpapierdepots, Versicherungsverträgen und Kryptowerten ab. Diese Daten sollen nicht nur dem jeweiligen Anbieter vorliegen, sondern auch Dritten verfügbar werden.

Dabei wird unterschieden zwischen Dateninhabern (Data Holder) – Kreditinstitute, Versicherungen oder Wertpapierfirmen – und Datennutzern (Data User) – Organisationen, die Zugriff auf die Daten erhalten können, um Verbrauchern potenziell interessante Gegen- oder Zusatzangebote machen zu können. Wichtige Hürde: Der Kunde muss dem Datenzugriff zustimmen. Datennutzer müssen zudem offiziell als Finanzinstitut oder Finanzinformationsdienstleister (FISP) zugelassen sein.  

Die Kundendaten sollen „unverzüglich, unentgeltlich, kontinuierlich und in Echtzeit“ zur Verfügung gestellt werden, fordert Fida. Für viele Banken, Fondshäuser und Versicherungen bedeutet das einen erheblichen Entwicklungsaufwand. Denn sie müssen sowohl Schnittstellen einrichten als auch Dashboards bereitstellen, in denen Kunden ihre Einwilligung zur Datenweitergabe einsehen und verwalten können. 

„Schemes“ als Grundlage

Ein zentrales Element der Fida-Verordnung sind die sogenannten Financial Data Sharing Schemes (FDSS, kurz „Schemes“). Diese Austauschplattformen sind Grundlage für den Datenaustausch zwischen den verschiedenen Akteuren. Sie definieren technische Standards, Haftungsregeln und legen die Prozesse fest, nach denen der Datentransfer stattfinden soll. Beispiel: Ein Scheme könnte etwa die Regeln für den Datenaustausch in Deutschland im Bereich der Kfz-Versicherungen festlegen. 

Da die Fida-Verordnung nur den groben Rahmen vorgibt, bleibt viel Raum für Gestaltung. Finanzakteure, Interessenvertreter und Verbraucherschützer sind aufgerufen, sich kreativ in die Gestaltung des Datenaustausches, der Schemes, einzubringen. Allerdings fordert der zuletzt vorgelegte Entwurf des Rats der EU auch, dass es keinen Wildwuchs von Einzelstandards geben darf. „Ein Scheme soll darauf abzielen, mindestens 25 Prozent der relevanten Kundschaft eines Produktes in einem geographischen Markt zu repräsentieren – die drei wichtigsten Dateninhaber sind der Aufsicht mitzuteilen“, erläutert KPMG.

Gestaffelte Umsetzungsfristen

Der aktualisierte Verordnungsentwurf sieht eine dreiphasige Umsetzung vor:

  • 24 Monate Gesamtfrist: Für Kundendaten zu Verbraucherkreditverträgen, Konten, Sparguthaben und Kfz-Versicherungen. Die Unternehmen müssen nach 18 Monaten einem Scheme beigetreten sein.
  • 36 Monate Gesamtfrist: Für Kundendaten über Kreditverträge für Wohnimmobilien, Investitionen in Finanzinstrumente, Krypto-Anlagen und Altersvorsorgeprodukte. Die Frist für Scheme-Beitritt beträgt 30 Monate.
  • 48 Monate Gesamtfrist: Für übrige Kundendaten. Die Frist für Scheme-Beitritt beträgt 42 Monate.

Transparenz und Kontrolle für Kunden

Ein wesentlicher Aspekt der Fida-Verordnung: Kunden sollen trotz der möglichen Öffnung stets die Kontrolle über ihre Daten behalten. Dateninhaber müssen ein Dashboard bereitstellen, in dem Kunden ihre Einwilligungen zur Datenweitergabe einsehen und verwalten können. „Die Einwilligungen müssen spezifisch, zweckgebunden und zeitlich eingrenzbar sein können“, erläutern die KPMG-Autoren. Der Widerruf muss grundsätzlich kostenfrei sein.

Beteiligte Unternehmen müssen zudem auf Datenqualität und Datensicherheit achten, es sind Regeln der Datenschutzgrundverordnung (DSGVO) und der Cyber-Sicherheitsregulierung Dora zu beachten. Für Unternehmen, die die Fida-Regeln unterlaufen, kann es teuer werden: Bis zu 2 Prozent des Gesamtumsatzes können als Strafe fällig werden, zudem müssen Datennutzer mit dem Entzug ihrer Lizenz rechnen.

Wer Daten zugänglich macht, damit andere sie nutzen können, soll jedoch auch eine finanzielle Kompensation dafür erhalten. Ebenso kann jeder Dateninhaber auch selbst zum Datennutzer werden – indem er selbst aktiv den unter Fida verfügbaren Datenschatz für sich nutzt. Jede klassische Bank, jede Versicherung oder Fondsgesellschaft kann sich somit unter Fida auch selbst neue Geschäftsfelder erschließen.

Doch was genau können Finanzakteure schon heute vorbereitend tun? „Für Dateninhaber besteht die wesentliche Herausforderung darin, Prozesse, Datenarchitektur, IT-Systeme und Datenmanagement in einem sehr kurzen Umsetzungszeitraum so anzupassen, dass die Fida-Anforderungen fristgerecht erfüllt und Compliance-Risiken vermieden werden, insbesondere mit Blick auf die geforderte Echtzeit-Bereitstellung der Daten“, heißt es von KPMG. Die Autoren führen konkret das Master Data Management, die Datenqualität, Data Governance und Data Platforms als Bereiche an, in denen sie besondere Herausforderungen für Unternehmen vermuten.

Anders sind die Probleme bei potenziellen Datennutzern gelagert: „Um die Chancen tatsächlich zu nutzen und weitere Marktpotenziale und -anteile zu realisieren, müssen Datennutzer in der Lage sein, mittels entsprechender IT-Systeme, Prozesse und Governance, die Daten entsprechend aufzunehmen, zu verarbeiten und attraktive, datenbasierte Produkte (...) zu entwickeln“, heißt es von KPMG. 

Schon jetzt sollten sich Dateninhaber, Datennutzer, aber auch Branchenverbände und Technologie-Unternehmen überlegen, ob sie selbst aktiv werden und an einem Scheme mitarbeiten wollen – oder sich im Nachgang einem ohne ihr Zutun entwickelten Scheme anschließen wollen. Insgesamt raten die KPMG-Experten, das Thema schon jetzt intensiv anzugehen, um Geschäftschancen auszuloten und technologisch und nach Compliance für Fida bereit zu sein. KPMG hat dafür zwei Checklisten erstellt. 

Fida: Das sollten Dateninhaber prüfen

  • „Welche Relevanz hat Fida für meine Organisation?
  • Welche Herausforderungen und Chancen bietet Fida?
  • Welche Daten sind relevant für den Austausch?
  • Sind alle Daten digitalisiert und können in der richtigen Qualität, Granularität, Format etc. bereitgestellt werden?
  • Wie wird eine Scheme-Definition erfolgen und in welchem Umfang kann ich Einfluss nehmen?
  • Für welche Produkte werden Schemes gebildet und wie kann eine sinnvolle Bündelung erfolgen?
  • Besteht Handlungsbedarf im Bereich IT-Systeme und Datenmanagement zur sicheren, effizienten und fristgerechten Datenbereitstellung?
  • Wie sieht eine „Cost-based Compensation“ für die Datenbereitstellung gegenüber Datennutzern aus?“

Fida: Das sollten Datennutzer prüfen

  • „Welche Relevanz hat Fida für meine Organisation?
  • Welche neuen Geschäftsmodelle & Produkte wird Fida in meinem Geschäftsfeld ermöglichen?
  • Wie wird eine Scheme-Definition erfolgen und in welchem Umfang kann ich Einfluss nehmen?
  • Ist meine Produktentwicklung entsprechend aufgestellt?
  • Benötigt mein Unternehmen eine Erlaubnis, um als Datennutzer aktiv zu werden?
  • Besteht Handlungsbedarf im Bereich IT-Systeme und Datenmanagement, um die Daten sicher aufnehmen und verarbeiten zu können?
  • Wie werde ich Consent-Anfragen sowie neue Produkte bewerben und an meine Kunden ausspielen?“