Ein Kundenbereich, der Verträge, Identitätsnachweise oder Vermögensübersichten ohne geeignete Sicherheitsarchitektur speichert, setzt den Dienstleister einer doppelten Sanktion aus: finanziell (CNIL) und vertraglich (Nichtigkeit des Vertrags). Seit einem Urteil des Berufungsgerichts von Douai im Mai 2026 wird der Datenschutz als so grundlegende Pflicht des Dienstleisters angesehen, dass eine nicht konforme Website mit der DSGVO zur einfachen Annullierung des Vertrags mit dem Kunden führen kann.
Verschlüsselung von Vertragsdokumenten in einem sicheren Kundenbereich
Die Speicherung von Verträgen im PDF-Format in einem Verzeichnis, das nur durch ein einfaches Passwort geschützt ist, stellt keine akzeptable Sicherheitsmaßnahme im Sinne der DSGVO dar. Wir empfehlen eine AES-256-Verschlüsselung im Ruhezustand und TLS 1.3 im Transit, die auf jedes Dokument einzeln und nicht nur auf das Speichervolumen angewendet wird.
Der Unterschied ist technisch, aber schwerwiegend. Eine volumenbasierte Verschlüsselung schützt gegen den physischen Diebstahl des Servers. Eine dateibasierte Verschlüsselung schützt auch vor einer Anwendungskompromittierung: Selbst wenn ein Angreifer auf die Datenbank zugreift, bleibt jeder Vertrag ohne den spezifischen Schlüssel des Kunden unlesbar.
Für Kundenbereiche, die elektronische Signaturen integrieren, muss der Unterauftragnehmervertrag mit dem Signaturdienstleister ausdrücklich die Modalitäten der Verschlüsselung und der Aufbewahrung von Nachweisen erwähnen. Das Fehlen dieses Vertrags gehört zu den Verstößen, die die CNIL über ihr vereinfachtes Verfahren ahnden kann, mit Bußgeldern von bis zu 20.000 Euro.
Es ist möglich, auf den Kundenbereich Merci Victor zuzugreifen, um zu beobachten, wie diese Kette von Verschlüsselung und Vertragsgestaltung in einem konkreten Fall umgesetzt wird.
Starke Authentifizierung und Verwaltung des Zugriffs auf persönliche Daten
Die Multi-Faktor-Authentifizierung (MFA) ist für einen Kundenbereich, der mit sensiblen Daten umgeht, keine Option mehr. Ein Benutzername/Passwort-Paar, selbst wenn es robust ist, hält einem Credential Stuffing-Angriff nicht stand, wenn die Anmeldedaten auf einem anderen Dienst geleakt sind.
Wir beobachten, dass viele Vermögensverwaltungs-Kundenbereiche sich mit einer SMS als zweitem Faktor begnügen. SMS bleibt anfällig für SIM-Swapping. Ein TOTP-Faktor (App wie Google Authenticator oder Äquivalent) oder ein FIDO2-Schlüssel bieten eine deutlich höhere Widerstandsfähigkeit.
Segmentierung der Zugriffsrechte
Ein Vermögensberater, ein Verwaltungsassistent und der Kunde selbst sollten nicht dieselben Dokumente sehen. Die Granularität der Berechtigungen sollte auf die Ebene der Akte und nicht auf das globale Konto heruntergebrochen werden. Ein korrekt implementiertes RBAC-Modell (Role-Based Access Control) reduziert die Angriffsfläche im Falle einer Kompromittierung eines internen Kontos.
- Der Kunde hat Zugriff auf seine Verträge, Kontoauszüge und Identitätsnachweise, mit vollständiger Nachverfolgbarkeit jeder Konsultation
- Der Berater hat Zugriff auf die für die Verwaltung des Mandats erforderlichen Dokumente, ohne die Identitätsnachweise zu sehen, es sei denn, es besteht ein validierter kurzfristiger Bedarf
- Der technische Administrator verwaltet die Konten und Berechtigungen, ohne auf den verschlüsselten Inhalt der Dokumente zuzugreifen
Diese Trennung ist kein organisatorischer Luxus. Sie ist eine direkte Anforderung des Artikels 25 der DSGVO (Datenschutz durch Technikgestaltung).
DSGVO-Konformität und vertragliche Gültigkeit: Was die Rechtsprechung von 2026 ändert
Das oben genannte Urteil des Berufungsgerichts von Douai markiert einen Wendepunkt für alle Dienstleister, die einen digitalen Kundenbereich anbieten. Bisher führte ein Verstoß gegen die DSGVO zu einer administrativen Sanktion. Nunmehr kann die Nichteinhaltung als Grundlage für die Annullierung des Vertrags zwischen dem Dienstleister und seinem Kunden dienen, mit der Begründung, dass der Datenschutz eine grundlegende vertragliche Verpflichtung darstellt.
Für ein Vermögensverwaltungsunternehmen bedeutet dies, dass der Kunde die Nichtigkeit seines Mandats verlangen kann, wenn der Kundenbereich die Sicherheitsanforderungen der DSGVO nicht erfüllt. Das Risiko ist nicht mehr nur eine Geldstrafe: es ist der Verlust des Vertrags selbst.
Verzeichnis der Verarbeitungstätigkeiten und Unterauftragnehmerverträge
Das vereinfachte Sanktionsverfahren der CNIL zielt in erster Linie auf drei häufige Verstöße bei kleinen Strukturen ab:
- Das Fehlen eines Verzeichnisses der Verarbeitungstätigkeiten, das genau dokumentiert, welche Daten im Kundenbereich gesammelt, gespeichert und konsultiert werden
- Das Fehlen eines Unterauftragnehmervertrags, der den Anforderungen des Artikels 28 der DSGVO mit jedem technischen Dienstleister (Hosting, Signaturtool, E-Mail-Versanddienst) entspricht
- Eine unzureichende Sicherung der Zugriffe, insbesondere das Fehlen einer Multi-Faktor-Authentifizierung in Bereichen, die finanzielle oder Identitätsdaten enthalten
Die Beträge können bis zu 300.000 Euro bei einer schlecht verwalteten Datenverletzung erreichen. Für eine kleine Struktur kann dieses Maß an Sanktionen die Lebensfähigkeit der Tätigkeit gefährden.
Integration von KI im Kundenbereich: Verstärkte Dokumentationspflichten
Kundenbereiche, die Funktionen der künstlichen Intelligenz (Support-Chatbot, Investorenprofil-Scoring, Personalisierung von Empfehlungen) integrieren, stehen im Fokus der CNIL im Rahmen ihres Kontrollprogramms 2026. Jede automatisierte Verarbeitung muss dokumentiert werden, einschließlich ihrer Auswirkungen auf personenbezogene Daten.
Eine häufige Falle besteht darin, einen Chatbot, der von einem Sprachmodell gespeist wird, einzuführen, ohne eine Folgenabschätzung (AIPD) durchgeführt zu haben. Sobald der Chatbot auf die vertraglichen oder vermögensbezogenen Daten des Kunden zugreift, um seine Antworten zu personalisieren, wird die AIPD obligatorisch. Ohne sie ist die Verarbeitung rechtswidrig.
Algorithmische Transparenz
Der Kunde muss wissen, wann er mit einem automatisierten System interagiert und welche Daten die Antworten, die er erhält, speisen. Diese Transparenzpflicht ergänzt die klassischen Informationshinweise der DSGVO. Ein Kundenbereich, der KI verwendet, ohne den Benutzer klar zu informieren, kumuliert zwei Verstöße: mangelnde Transparenz über die Verarbeitung und mangelnde Information über die algorithmische Logik.
Die Konformität eines sicheren Kundenbereichs beruht auf drei technischen Säulen, die sich gegenseitig stärken: granulare Verschlüsselung der Dokumente, starke Authentifizierung mit Segmentierung der Zugriffe und strenge Dokumentation jeder Verarbeitung. Seit 2026 führt das Vernachlässigen einer dieser Säulen nicht mehr nur zu einer administrativen Geldstrafe, sondern gefährdet die Gültigkeit der Verträge, die der Bereich schützen soll.