Datenanbieter wie Banken und Kreditgenossenschaften könnten bald dazu verpflichtet werden, strukturierte Application Programming Interfaces (APIs) für den Austausch von Kundendaten bereitzustellen, während die Fintechs und Plattformen, die diese Daten erhalten, ihre eigenen Standards in Bezug auf Einwilligung und Datennutzung erfüllen müssen. Zusammen verändern diese Anforderungen, wie sich Finanzdaten in den USA bewegen. Sie drängen die Branche vom Screen Scraping weg und hin zu berechtigungsbasierten, auditierbaren Datenverbindungen.

Nachfolgend werden wir erörtern, was Sektion 1033 beinhaltet. Wir werden auch darauf eingehen, wie die Open-Banking-Regulierung die Verpflichtungen zwischen Datenanbietern und Dritten aufteilt und was Unternehmen auf beiden Seiten dieser Beziehung tun müssen, um die Compliance zu gewährleisten.

Das Wichtigste auf einen Blick

• Sektion 1033 gibt Kundinnen und Kunden das rechtliche Recht, auf ihre Finanzdaten zuzugreifen und sie über strukturierte API-basierte Verbindungen anstelle von Screen Scraping mit Dritten zu teilen.

• Banken, Kreditgenossenschaften, Fintechs und Datenaggregatoren haben unter der endgültigen Regel jeweils unterschiedliche Compliance-Verpflichtungen in Bezug auf den Datenzugriff und die Zustimmung.

• Unternehmen müssen ihre aktuellen Methoden zur Datenfreigabe, Einwilligungstexte und Anbieterbeziehungen rechtzeitig vor ihren jeweiligen Compliance-Fristen prüfen.

Was ist die CFPB-Sektion 1033?

Sektion 1033 ist eine Bestimmung des Dodd-Frank Act, die Kundinnen und Kunden das Recht gibt, auf ihre eigenen Finanzkontodaten zuzugreifen und sie mit Dritten ihrer Wahl zu teilen. Ein Bundesgericht hat eine einstweilige Verfügung erlassen, die die Durchsetzung von Sektion 1033 im Jahr 2025 stoppte, und die Regel wird derzeit überprüft.

Welche Rechte bezüglich Finanzdaten von Verbraucherinnen und Verbrauchern begründet Sektion 1033?

Sektion 1033 gibt Kundinnen und Kunden das Recht, auf mehrere Kategorien ihrer eigenen Finanzdaten zuzugreifen und diese Daten an Dritte weiterzuleiten, ohne die eigenen Schnittstellen ihrer Banken nutzen zu müssen. Hier sind einige dieser Kategorien:

• Transaktionsverlauf und Kontostände: Einzahlungen, Auszahlungen und Zahlungen, die mindestens 24 Monate zurückreichen

• Allgemeine Geschäftsbedingungen (AGB): Zinssätze, Gebührenordnungen, Kreditlimits und mehr

• Kontoidentitätsinformationen: Grundlegende Informationen, die mit Konten verknüpft sind, wie z. B. Namen, E-Mail-Adressen und Telefonnummern

• Rechnungszahlungs- und Zahlungsinitiierungsdetails: Informationen, die mit anstehenden Zahlungen verknüpft sind

Kundinnen und Kunden autorisieren diese Datenfreigabe im Allgemeinen über den Drittanbieter selbst und können diese Autorisierung jederzeit widerrufen. Datenanbieter müssen den Widerruf einfach machen.

Was sind die Hauptanforderungen für Finanzinstitute und Dritte gemäß Sektion 1033?

Die Open-Banking-Regel zur Durchsetzung von Sektion 1033 legt unterschiedliche Verpflichtungen für Datenanbieter und Drittanbieter fest. Alle arbeiten jedoch auf dasselbe Ziel hin: die Übertragung von Daten durch kontrollierte, auditierbare Kanäle anstelle von Ad-hoc-Lösungen zu ermöglichen.

Für Datenanbieter schreibt die Regel Folgendes vor:

• Dedizierte Schnittstellen: Datenanbieter müssen zwei separate Schnittstellen aufbauen und unterhalten – eine für Kundinnen und Kunden (z. B. ein Bankportal) und eine für autorisierte Drittentwickler (z. B. eine API).

• Keine Gebühren: Datenanbieter dürfen Kundinnen und Kunden oder Dritten keine Gebühr für den Zugriff auf geschützte Daten berechnen.

• Kontaktinformationen: Datenanbieter müssen Kundinnen und Kunden sowie Dritten bestimmte Informationen zur Verfügung stellen, einschließlich Kontaktinformationen für Fragen zum Zugriff auf geschützte Daten.

Für autorisierte Drittanbieter gelten die Verpflichtungen in die andere Richtung:

• Ausdrückliche Zustimmung: Dritte müssen die ausdrückliche, spezifische Zustimmung der Kundinnen und Kunden einholen.

• Grenzen der Datennutzung: Dritte dürfen die Daten nur für den Zweck verwenden, den die Kundin oder der Kunde autorisiert hat.

• Dauerbegrenzungen: Die Autorisierung läuft nach einem Jahr ab und muss danach erneuert werden.

Wie verändert Sektion 1033 die Open-Banking-Umgebung?

Die USA verlassen sich seit über einem Jahrzehnt auf Screen Scraping: Eine Kundin oder ein Kunde übergibt ihre oder seine Anmeldedaten für das Bankkonto an eine Drittanbieter-App, und diese App meldet sich an und zieht Daten direkt von der Kontoseite ab. Es funktioniert, ist aber fragil. Neugestaltungen von Bank-Websites führen zu Fehlern, Sicherheitsteams markieren dies als verdächtige Anmeldeaktivität, und die zurückgegebenen Daten sind nur so gut wie das, was an diesem Tag zufällig auf einer Webseite sichtbar ist.

Sektion 1033 drängt das gesamte Modell stattdessen hin zu API-basiertem Zugriff. Datenanbieter müssen strukturierte Endpunkte bereitstellen, die die in der Regel spezifizierten Datenfelder zurückgeben, damit sich Drittanbieter nicht mehr auf die Weitergabe von Zugangsdaten verlassen müssen, sondern auf berechtigungsbasierte, eingeschränkte Verbindungen umsteigen können. Eine widerrufene API-Berechtigung ist ein sauberer Schnitt, was bei einer gescrapten Anmeldesitzung in der Regel nicht der Fall ist, da der Drittanbieter das tatsächliche Passwort ohnehin nie besaß.

Was die Verlagerung hin zu API-basiertem Zugriff für Datenaggregatoren bedeutet

Finanzdatenaggregatoren (d. h. die Unternehmen, die zwischen Banken und den Fintech-Apps stehen, die Kundinnen und Kunden nutzen) spüren diese Veränderung direkt. Ihre Geschäfte basieren auf Scraping-Infrastrukturen über Bank-Websites hinweg, und die Regel drängt sie stattdessen hin zu standardisierten APIs, was weniger Wartung für Scraper bedeutet.

Was das für Fintech-Plattformen bedeutet

Fintech-Plattformen, die für die Kontoverifizierung, die Risikoevaluation von Krediten oder für Budgetierungsfunktionen auf Aggregatoren angewiesen sind, werden diese Verschiebung spüren, selbst wenn sie die API-Ebene nicht selbst berühren, da sich die Zuverlässigkeit und Qualität der erhaltenen Daten damit ändert. Daten, die früher oft inkonsistent eintrafen, werden nun über eine definierte Schnittstelle mit definierten Feldern eintreffen. Eine Plattform, die in Echtzeit Entscheidungen basierend auf diesen Daten trifft (z. B. die Genehmigung eines Kredits, die Markierung eines Kontos zur Überprüfung), benötigt diese Konsistenz ebenso sehr wie die rechtliche Anforderung dahinter.

Was müssen Unternehmen tun, um sich auf Sektion 1033 vorzubereiten?

Unternehmen auf beiden Seiten der Datenfreigabebeziehung, unabhängig davon, ob sie die Schnittstelle erstellen oder Daten darüber konsumieren, müssen konkrete Arbeit leisten, bevor ihre geltenden Fristen abgelaufen sind, die derzeit nicht festgelegt sind.

Dies sind einige der Schritte, die sie unternehmen müssen:

• Bestehende Methoden zur Datenfreigabe abbilden: Identifizieren Sie jeden Ort, an dem das Unternehmen derzeit Finanzdaten von Kundinnen und Kunden über Screen Scraping, die Weitergabe von Anmeldedaten oder informellen API-Zugriff sendet oder empfängt. Markieren Sie, welche dieser Beziehungen in den Anwendungsbereich der Regel fallen.

• Einwilligungstexte überprüfen: Autorisierungsanfragen müssen ihren Zweck so klar angeben, dass Kundinnen und Kunden genau verstehen, was sie zustimmen. Das bedeutet, dass generische Formulierungen wie „Wir benötigen Zugriff auf Ihr Konto“ keinen Bestand haben werden.

• Praktiken zur Datenaufbewahrung überprüfen: Die Anforderungen zur Datenminimierung bedeuten, dass Unternehmen eine echte Antwort darauf benötigen, wie lange sie Kundendaten aufbewahren und warum.

• Beziehungen zu Drittanbietern und Anbietern bewerten: Unternehmen müssen verstehen, wie ihre Partner mit den empfangenen Daten umgehen.

• Anwendbare Compliance-Termine bestätigen: Unternehmen müssen ihre spezifischen Zeitpläne anhand der aktuellen CFPB-Richtlinien überprüfen. Die Fristen sind nach Unternehmensgröße gestaffelt und haben sich aufgrund rechtlicher Herausforderungen verschoben.

Welche Tools können bei der Compliance mit Sektion 1033 unterstützen?

Unternehmen müssen API-Infrastrukturen oder Einwilligungsmanagement nicht von Grund auf neu erstellen. Einige Tool-Kategorien decken die meisten Anforderungen der Regel ab:

• Tools für berechtigungsbasierten Datenzugriff: Direkte Verbindung zu Finanzinstituten über APIs anstelle von Screen Scraping. Dadurch werden strukturierte Konto- und Transaktionsdaten über eine von Kundinnen und Kunden autorisierte Verbindung zurückgegeben.

• Einwilligungs- und Autorisierungsverwaltungssysteme: Erfassen, was Kundinnen und Kunden zugestimmt haben, wann und zu welchem Zweck. Dies ist wichtig angesichts der Anforderungen der Regel an eine Offenlegung in einfacher Sprache und einen einfachen Widerruf.

• Identitätsüberprüfungstools: Helfen Datenanbietern zu bestätigen, dass eine Anfrage von einem autorisierten Drittanbieter und nicht von einem Betrüger stammt. Dies ist ein reales Risiko, sobald sich der Kontozugriff von einer physischen Filiale auf einen API-Aufruf verlagert.

Die richtige Kombination hängt davon ab, auf welcher Seite der Datenbeziehung ein Unternehmen steht und wie viel seiner bestehenden Infrastruktur bereits über APIs im Vergleich zu älteren Integrationsmethoden läuft. Ein Unternehmen, das bereits einen Zahlungsdienstleister für die Kontoverifizierung oder Banküberweisungen nutzt, muss wahrscheinlich weniger neu aufbauen als eines, das sich noch auf manuelle Dokumenten-Uploads oder gescrapte Anmeldesitzungen verlässt.

So kann Stripe Financial Connections Sie unterstützen

Stripe Financial Connections umfasst mehrere APIs, mit denen Sie eine sichere Verbindung zu den Bankkonten Ihrer Kundinnen und Kunden herstellen und deren Finanzdaten abrufen können. Das hilft Ihnen dabei, innovative Finanzprodukte und -dienstleistungen zu entwickeln.

Mit Financial Connections können Sie unter anderem Folgendes umsetzen:

• Vereinfachtes Onboarding: Bieten Sie einen nahtlosen, sofortigen Verifizierungsprozess für Bankkonten, der keine manuelle Identitäts- und Kontoverifizierung erfordert.

• Zugriff auf umfangreiche Finanzdaten: Rufen Sie umfassende Informationen über die Bankkonten und Kundinnen und Kunden ab, einschließlich Kontostände, Transaktionen und Kontodetails.

• Automatisierung wiederkehrender Zahlungen: Ermöglichen Sie Ihren Kundinnen und Kunden, ihre Bankkonten für wiederkehrende Zahlungen sicher zu verknüpfen und die Erfolgsquote von Zahlungen zu verbessern.

• Verbessertes Risikomanagement: Analysieren Sie die Finanzdaten Ihrer Kundinnen und Kunden, um fundiertere Entscheidungen über Kredite, Darlehen und andere Finanzprodukte zu treffen.

• Rechtskonformität: Financial Connections hilft Ihnen, die rechtlichen Vorgaben bezüglich Kundenprüfung (Know Your Customer, KYC) und Geldwäschebekämpfung (Anti-Money Laundering, AML) zu erfüllen.

• Zuverlässige Innovation: Entwickeln Sie neue Finanzprodukte und -dienste auf der sicheren und zuverlässigen Infrastruktur von Financial Connections.

Erfahren Sie mehr über Financial Connections oder starten Sie noch heute.