Datensparsamkeit: welche Felder eine Bank wirklich braucht

Das Formular fragt fünfzehn Felder ab. Das Gesetz verlangt sechs. In dieser Lücke lebt die Datensparsamkeit, und die meisten füllen das ganze Formular trotzdem aus, weil Widerspruch konfrontativ und langsam wirkt. Er ist weder das eine noch das andere, sobald Sie wissen, welche Felder tragend und welche dekorativ sind. Diese Anleitung geht Feld für Feld durch, was eine Bank oder ein Verpflichteter nach Geldwäscherecht tatsächlich braucht, was sie lediglich bevorzugt, und mit welcher Rechtsgrundlage Sie den Rest ablehnen.

Das Prinzip ist nicht abstrakt. Art. 5 Abs. 1 lit. c DSGVO macht Datensparsamkeit zur bindenden Regel: personenbezogene Daten müssen „dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt" sein. Ein KYC-Formular ist eine Datenerhebung, und jedes Feld darauf braucht eine Rechtfertigung. Das Geldwäscherecht (im DACH-Raum das GwG und seine nationalen Pendants) setzt einen Pflichtkern. Alles darüber ist eine Entscheidung der Bank, und eine Entscheidung muss begründbar sein.

Der Pflichtkern

Für ein gewöhnliches Onboarding einer natürlichen Person ist die geldwäscherechtliche Untergrenze schmal. Über diese Felder werden Sie keine Diskussion gewinnen, weil das Gesetz sie benennt:

• Vollständiger Name — Vor- und Nachname wie im Ausweisdokument.
• Geburtsdatum — das zentrale Unterscheidungsmerkmal für den Identitätsabgleich.
• Wohnanschrift — für das Kundenprofil und die Risikobewertung.
• Staatsangehörigkeit — relevant für Sanktions- und PEP-Screening.
• Art und Nummer des Ausweisdokuments — der Nachweis, dass die Identität geprüft wurde.

Das ist das Rückgrat der Sorgfaltspflichten. Wer ein Konto eröffnet, muss alle fünf liefern und gegen ein Dokument verifizieren lassen. Diese Felder zurückzuhalten ist keine Datensparsamkeit, sondern die Verweigerung des Geschäfts.

Die verhandelbaren Felder

Interessant wird alles, was das Formular darüber hinaus abfragt. Hier muss die Bank die Erforderlichkeit darlegen — und kann das häufig nicht.

Feld	Pflicht?	Rechtsgrundlage zur Verweigerung
Geburtsort	Meist nicht	Nur Namensunterscheidung; konkrete Pflicht erfragen
Lichtbild auf Ausweiskopie	Situativ	Art. 5 Abs. 1 lit. c; entbehrlich bei anderweitig geprüfter Identität
Steuer-ID	Nur bei Meldepflicht	Erforderlichkeit aus anderem Gesetz, nicht GwG
Familienstand	Fast nie	Keine geldwäsche- oder steuerrechtliche Grundlage bei Standardkonten
Arbeitgeber / Beruf	Risikobasiert	Nur bei ausgelöster Mittelherkunftsprüfung
Geburtsname der Mutter	Nein	Altlast aus Sicherheitsfragen, kein KYC-Feld

Das Muster: Ein Feld ist haltbar, wenn eine benannte Pflicht es für dieses Produkt und diesen Kunden verlangt. „Das fragen wir immer" ist keine Rechtsgrundlage. „Das System hat ein Feld dafür" ebenso wenig.

Das Dokument selbst durchgehen

Die größte Überfassung passiert bei der Ausweiskopie. Ein Reisepass oder Personalausweis trägt weit mehr als die fünf Kernfelder — die maschinenlesbare Zone, die Unterschrift, mitunter biometrische Merkmale. Beim flachen Scan geben Sie alles davon heraus.

Datensparsamkeit gilt für die Kopie, nicht nur für das Formular. Sie dürfen schwärzen, was für den genannten Zweck nicht erforderlich ist. Eine Adressprüfung braucht selten die Dokumentnummer; eine Dokumentnummernprüfung selten das Lichtbild. Der praktische Schritt ist, vor dem Versand zu schwärzen — ausführlich im Beitrag zum sicheren Schwärzen von Ausweiskopien. Die Bank kann immer noch widersprechen und das ungeschwärzte Feld verlangen — aber jetzt trägt sie die Begründungslast, und genau dorthin gehört sie.

Wissen, was eine Bank rechtmäßig fordern darf

Die Kehrseite der Sparsamkeit ist Kalibrierung: Sie können nicht glaubhaft widersprechen, wenn Sie die tatsächliche Basislinie nicht kennen. Eine Bank mit verstärkten Sorgfaltspflichten bei einem Hochrisikoprofil braucht legitim mehr als eine mit vereinfachten Pflichten bei niedrigem Risiko. Felder, die beim einfachen Girokonto verhandelbar sind, werden zur Pflicht, sobald eine Transaktion einen Schwellenwert überschreitet oder ein PEP-Flag auslöst.

Kalibrieren Sie also vor dem Schwärzen oder Verweigern gegen den echten Anforderungssatz. Ich pflege dafür eine Arbeitsreferenz, was Banken im KYC tatsächlich verlangen dürfen — sie unterscheidet prinzipientreue Sparsamkeit von obstruktiver Kleinlichkeit. Ziel ist, die nötigen Felder sauber zu geben und nur das wirklich Unnötige zu bestreiten.

Das Verweigerungs-Skript

Wenn Sie ein Feld ablehnen, tun Sie es so, dass die Compliance-Abteilung es verarbeiten kann. Ein vages „lieber nicht" wird eskaliert und blockiert das Onboarding. Ein präziser Einwand ist schneller:

1. Benennen Sie das Feld, das Sie zurückhalten.
2. Nennen Sie das Prinzip — Art. 5 Abs. 1 lit. c DSGVO, Datensparsamkeit.
3. Erfragen Sie die Pflicht — „Welche konkrete Anforderung macht dieses Feld für dieses Produkt erforderlich?"
4. Bieten Sie den Kern an — bestätigen Sie, dass Sie alle Pflichtfelder liefern, damit die Ablehnung gezielt und nicht obstruktiv wirkt.

In der Praxis verschwindet die Hälfte der überfassten Felder in dem Moment, in dem jemand die Rechtsgrundlage suchen muss und keine findet. Die andere Hälfte kommt mit echter Begründung zurück, und dann liefern Sie. Beide Ergebnisse sind richtig. Datensparsamkeit heißt nicht, weniger zu geben, sondern genau das Notwendige und nicht mehr.

Zweckbindung ist das Feld, das Sie zu prüfen vergessen

Hinter der Sparsamkeit steht ein zweites Prinzip, das ändert, welche Felder überhaupt haltbar sind: die Zweckbindung, Art. 5 Abs. 1 lit. b DSGVO. Für KYC erhobene Daten dürfen für KYC verarbeitet werden. Sie dürfen nicht still für Marketing-Segmentierung, Bonitätsbewertung oder „Serviceverbesserung" zweckentfremdet werden, sofern dafür keine eigene Rechtsgrundlage greift.

Auf Feldebene zählt das, weil ein Feld, das für den genannten Zweck erforderlich ist, trotzdem Überfassung sein kann, wenn die Stelle es in Wahrheit für einen zweiten, ungenannten Zweck sammelt. Der Beruf ist das klassische Beispiel: legitim für eine Mittelherkunftsprüfung, aber häufig erfasst, um Kunden kommerziell zu profilieren. Sehen Sie ein Feld, das die geldwäscherechtliche Untergrenze nicht verlangt, lautet die richtige Frage nicht nur „ist das für KYC nötig", sondern „was sonst machen Sie damit".

Der praktische Test für jedes Grenzfall-Feld:

• Steht es auf der geldwäscherechtlichen Untergrenze? Wenn ja, liefern.
• Gibt es eine benannte Pflicht für dieses Produkt? Wenn ja, liefern.
• Ist der genannte Zweck KYC, und nur KYC? Ist die Antwort schwammig, ist diese Schwammigkeit die Überfassung.

Zwei Felder können auf dem Formular identisch aussehen und je nach Antwort auf die dritte Frage völlig unterschiedlich legitim sein. Sparsamkeit ohne Zweckbindung ist nur die halbe Analyse.

Die Kalibrierung speichern, damit Sie sie nur einmal machen

Das Ermüdende ist, dass diese Verhandlung sich bei jeder neuen Stelle zurücksetzt. Sie leiten den Kern neu her, schwärzen neu, führen das Skript neu aus. Ein Verifizieren-einmal-Modell beseitigt die Wiederholung: Sie verifizieren Ihre Identität einmal, halten die Daten in einem verschlüsselten EU-Tresor und teilen sie feldweise mit Reichweitenbegrenzung. Mit ShareKYC teilen Sie nur die Felder, die eine Gegenstelle tatsächlich braucht — Name und Geburtsdatum an die eine, das vollständige Dokument an die andere — mit Ablauf, Zugriffslimit, deaktiviertem Download und Protokoll, wer was geöffnet hat. Die Sparsamkeitsentscheidung fällt einmal und wird dann vom Share selbst durchgesetzt, statt bei jedem Formular neu verhandelt.

Das verschiebt auch das Kräfteverhältnis. Wenn Sie die Reichweite des Shares kontrollieren, ist die Ablehnung eines unnötigen Felds eine Einstellung, keine Konfrontation. Die Gegenstelle erhält genau die Attribute, die Sie als notwendig bestimmt haben, und Sie behalten den Nachweis, was Sie offengelegt haben.

Es gibt auch einen Dokumentationsvorteil. Übersteigert eine Gegenstelle später die Aufbewahrung oder missbraucht das Gesendete, ist ein Protokoll genau welcher Felder Sie wann an wen offengelegt haben der Beweis, der aus einer vagen Beschwerde eine konkrete macht. Im Kopf getroffene Sparsamkeit hinterlässt keine Spur; durch einen begrenzten, protokollierten Share durchgesetzte Sparsamkeit ist beweisbar. Wenn Sie die Rechte aus DSGVO-Rechte im KYC ausüben — Auskunft, Löschung, Widerspruch — lässt dieser Nachweis Sie präzise angeben, was die Stelle hält, statt sie fragen zu müssen.

Fazit

Datensparsamkeit im KYC ist eine Disziplin Feld für Feld, kein Schlagwort. Kennen Sie den Pflichtkern — Name, Geburtsdatum, Anschrift, Staatsangehörigkeit, Dokument — liefern Sie ihn sauber und behandeln Sie alles andere als Anfrage, die eine Rechtsgrundlage braucht. Schwärzen Sie das Dokument auf den Zweck, kalibrieren Sie gegen den echten Anforderungssatz und nutzen Sie ein präzises Verweigerungs-Skript, damit Ablehnungen gezielt statt obstruktiv wirken. Wer die Entscheidung lieber einmal trifft und automatisch durchsetzt: ShareKYC teilt genau die Felder, die jede Gegenstelle braucht, und nicht mehr.