Wie erstellt man einen DSGVO-konformen KYC-Onboarding-Prozess ohne Programmierung?

Artikel 25 der DSGVO verpflichtet jeden Verantwortlichen für die Verarbeitung personenbezogener Daten, Datenschutzmaßnahmen von Anfang an in das Systemdesign zu integrieren und nicht erst nachträglich hinzuzufügen. Für Compliance- und Produktteams, die die Identitätsprüfung im Onboarding-Prozess durchführen, stellt dies eine spezifische Herausforderung dar: Die Einwilligungsprüfung, der Datenumfang und die Aufbewahrungsfrist müssen korrekt konfiguriert sein, bevor der erste Kunde den Prozess durchläuft. Die gesamten DSGVO-Bußgelder haben bis 2026 7.1 Milliarden Euro überschritten.Drachenwerk), wobei die Durchsetzung der Vorschriften im Finanzdienstleistungssektor von Jahr zu Jahr zunimmt. Dieser Artikel zeigt, wie ein konformer Onboarding-Prozess konfiguriert werden kann, der sowohl der DSGVO als auch den Anforderungen der Finanzdienstleistungsbranche entspricht. Bekämpfung der Geldwäsche (AML) Verpflichtungen Schritt für Schritt, ohne eine einzige Zeile Code zu schreiben.

Ein DSGVO-konformer KYC-Onboarding-Prozess ist ein Identitätsprüfungsverfahren, das sowohl dem Datenschutzrecht als auch Ihren AML-Pflichten entspricht. Er erfasst ausschließlich die personenbezogenen Daten, die die AML-Vorschriften vorschreiben, dokumentiert die ausdrückliche Einwilligung des Nutzers vor Beginn der Verarbeitung und wendet für jede verarbeitete Datenkategorie festgelegte Aufbewahrungs- und Löschfristen an.

Was genau verlangt die DSGVO von Ihrem KYC-Prozess?

Die DSGVO verbietet KYC nicht. Sie legt jedoch fest, wie KYC gestaltet werden muss. Drei Artikel sind für die Identitätsprüfung maßgeblich, und das Verständnis ihrer Anforderungen ist der Ausgangspunkt für die Entwicklung eines Prozesses, der sowohl die Prüfung durch die Datenschutzbehörde als auch die Geldwäscheprüfung besteht. Die Verpflichtungen bezüglich Rechtsgrundlage, Datenminimierung und Datenschutz durch Technikgestaltung gelten parallel, nicht nacheinander.

Überschneidung von Rechtsgrundlage und Geldwäschebekämpfung

Für AML-Vorschriften KYC-OnboardingDie Rechtsgrundlage für die Verarbeitung ist typischerweise Artikel 6 Absatz 1 Buchstabe c Gemäß der Datenschutz-Grundverordnung (DSGVO) ist die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich. Diese Verpflichtung ergibt sich aus der 6. Geldwäscherichtlinie (6AMLD) und den nationalen Geldwäschegesetzen. Ab 2025 schreibt die EU-Geldwäscheverordnung zudem die elektronische Kundenidentifizierung für die Neukundenaufnahme vor, was bedeutet, dass ein digitaler Verifizierungsprozess der erwartete Weg zur Einhaltung der Vorschriften und keine optionale Erweiterung ist.coredo.eu, 2025).

Die Einwilligung gemäß Artikel 6 Absatz 1 Buchstabe a spielt eine andere Rolle. Die Geldwäscheprüfung selbst basiert nicht auf einer Einwilligung, da diese widerrufen werden kann und die Identitätsprüfung für regulierte Zwecke nicht optional gestaltet werden darf. Die Einwilligung im Rahmen eines KYC-Prozesses umfasst die Offenlegung vor der Prüfung: Der Nutzer sieht, welche Daten erhoben werden und warum, bevor die Überprüfung beginnt. Diese Offenlegung ist aufgrund der Transparenzpflichten gemäß Artikel 5 Absatz 1 Buchstabe a DSGVO erforderlich, unabhängig von der Frage der Rechtsgrundlage.

Datenminimierung und der Standardfall nach Artikel 25

Artikel 5 Absatz 1 Buchstabe c beschränkt die Datenerhebung auf das, was „angemessen, relevant und auf das Notwendige beschränkt“ ist. Artikel 25 Erfordert, dass technische Maßnahmen standardmäßig die Erfassung des minimalen Datensatzes vorsehen – und zwar nicht per Richtlinienvorschrift, sondern per Design. Zusammengenommen bedeutet dies, dass Sie keinen vollständigen Führerschein beantragen können, wenn ein maschinenlesbares Feld (MRZ) im Reisepass Ihre AML-Prüfung erfüllt. Leitlinien 4/2019 des Europäischen Datenschutzausschusses (EDPB) zu Artikel 25 Bestätigen Sie, dass „standardmäßig“ bedeutet, dass das System restriktiv konfiguriert wird, bevor irgendjemand die Einstellungen ändert, und nicht, dass es zunächst umfassend konfiguriert und dann wieder rückgängig gemacht wird.

Warum scheitern die meisten KYC-Onboarding-Prozesse immer noch an DSGVO-Prüfungen?

Die Compliance-Lücke in den meisten Onboarding-Prozessen hat nichts mit Verifizierungstechnologie zu tun. Die Feststellungen von Datenschutzbehörden zu KYC-Implementierungen konzentrieren sich meist auf zwei Konfigurationsfehler, die Teams unabhängig von den verwendeten Tools immer wieder wiederholen. Beide Fehler lassen sich bereits beim Kompilieren vermeiden, wenn… Datenschutz Einschränkungen werden als Designvorgaben und nicht als Überprüfung nach der Markteinführung behandelt.

Datenerfassung vor dem Offenlegungsbildschirm starten

Der häufigste Fehler besteht darin, die Kameraaufforderung vor der Einwilligungserklärung anzuzeigen. Ein Nutzer, der seine Kamera hochlädt, … ID-Dokument Bevor eine klare Darlegung vorliegt, welche Daten erhoben werden, wer sie verarbeitet und auf welcher Rechtsgrundlage dies geschieht, hat die in Artikel 5 Absatz 1 Buchstabe a DSGVO geforderte Transparenzprüfung nicht bestanden. Selbst wenn die Rechtsgrundlage für die AML-Prüfung Auch wenn es sich um eine rechtliche Verpflichtung und nicht um eine Einwilligung handelt, muss der Offenlegungsschritt dennoch zuerst erfolgen. Die Einwilligungsprüfung ist keine bloße Formalität. Sie ist die technische Kontrolle, die den weiteren Ablauf rechtmäßig macht.

Betrieb ohne getesteten Aufbewahrungsplan

Artikel 17 Das Recht der betroffenen Personen auf Löschung wird durch das Geldwäschegesetz (AML) während der obligatorischen Aufbewahrungsfrist eingeschränkt. Diese beträgt in der Regel fünf Jahre nach Beendigung der Geschäftsbeziehung gemäß der 6. Geldwäscherichtlinie (6AMLD), kann aber je nach Rechtsordnung variieren. Der häufigste Fehler in den meisten Prozessen besteht darin, dass bei der Konfiguration kein Löschplan festgelegt oder zwar ein Plan erstellt, aber nie getestet wurde. Ein Prozess, der Daten nie planmäßig gelöscht hat, gilt aus Prüfungssicht als Prozess ohne Aufbewahrungsrichtlinie.

Wie baut man den Ablauf in fünf Schritten auf?

Die folgenden fünf Schritte übersetzen die oben genannten DSGVO-Vorgaben in eine konkrete Konfigurationssequenz. Jeder Schritt entspricht einem Teil des Onboarding-Prozesses, den Compliance- und Produktteams mithilfe eines Workflow-Builders für die Verifizierung ohne Programmieraufwand einrichten können. Die spezifischen Dokumenttypen und Aufbewahrungsfristen variieren je nach Ihrem AML-Regime, die Konfigurationssequenz ist jedoch branchenunabhängig.

Schritt 1: Fügen Sie vor der Datenerfassung einen Hinweisbildschirm hinzu.

Der erste Bildschirm, den Ihr Nutzer sieht, muss die Offenlegungsseite sein, nicht die Kameraaufforderung. Diese sollte folgende Informationen enthalten: welche personenbezogenen Daten erhoben werden, wer diese verarbeitet (Ihre Organisation und der Verifizierungsanbieter als Auftragsverarbeiter), die Rechtsgrundlage für die Verarbeitung und die geltende Aufbewahrungsfrist. Die Seite muss nicht lang sein, sondern lediglich präzise. Konfigurieren Sie den Ablauf so, dass die Verifizierung erst beginnen kann, nachdem der Nutzer die Offenlegung aktiv bestätigt hat.

Schritt 2: Beschränken Sie die zu erfassenden Dokumentfelder.

Ordnen Sie Ihre AML-Anforderungen den minimalen Dokumentdaten zu, die diese erfüllen. Für Standardzwecke Sorgfaltspflicht gegenüber dem Kunden (CDD)Name, Geburtsdatum, Dokumentennummer und Ablaufdatum eines amtlichen Ausweises genügen in der Regel den Anforderungen. Konfigurieren Sie den Verifizierungsschritt so, dass nur diese Felder erfasst werden, und dokumentieren Sie die Zuordnung in Ihrer Datenschutz-Folgenabschätzung (DSFA), damit der Umfang auf Anfrage einer Aufsichtsbehörde nachvollziehbar ist.

Schritt 3: Legen Sie den Aufbewahrungsplan vor der Inbetriebnahme fest.

Konfigurieren Sie die Datenaufbewahrungsrichtlinie, bevor der Prozess die erste Live-Prüfung durchführt. Legen Sie die Aufbewahrungsfrist entsprechend Ihrer AML-Verpflichtung fest, üblicherweise fünf Jahre nach Beendigung der Geschäftsbeziehung gemäß 6AMLD. Aktivieren Sie die automatische Löschung oder Anonymisierung nach Ablauf dieser Frist. Testen Sie die Funktion anschließend in einer Testumgebung: Senden Sie einen Testdatensatz, stellen Sie die Frist auf das Löschdatum ein und überprüfen Sie, ob die Löschung wie konfiguriert durchgeführt wird.

Schritt 4: Bestätigen Sie Ihre Datenverarbeitungsvereinbarung.

Der DSGVO Artikel 28Jeder Drittanbieter, der in Ihrem Auftrag personenbezogene Daten verarbeitet, muss auf Grundlage einer Vereinbarung zur Auftragsverarbeitung (AVV) handeln. Bevor Sie eine Live-Verifizierung über einen Anbieter durchführen, vergewissern Sie sich, dass die AVV unterzeichnet ist und die verarbeiteten Datenkategorien, die Verarbeitungszwecke, die eingesetzten Unterauftragnehmer und die angewandten Sicherheitsmaßnahmen abdeckt. Für biometrische Daten, die gemäß Artikel 9 als besondere Kategorien personenbezogener Daten gelten, sollte die AVV zudem festlegen, wie diese Daten während der Verarbeitung behandelt und wann sie gelöscht werden.

Schritt 5: Integrieren Sie ein Audit-Log in den Ablauf

Jeder Einwilligungsnachweis, jede Verifizierungsentscheidung und jede Datenlöschung sollte einen zeitgestempelten Protokolleintrag erzeugen. Das Audit-Protokoll dient Ihnen als Nachweis bei behördlichen Anfragen. Konfigurieren Sie den Ablauf so, dass diese Einträge an einem Ort gespeichert werden, auf den Ihr Compliance-Team ohne IT-Unterstützung direkt zugreifen kann. Testen Sie die korrekte Protokollierung, bevor Sie die Anwendung produktiv einsetzen. Das Protokoll muss nicht komplex sein, sondern lediglich vollständig und manipulationssicher.

Wie Shufti Compliance-Teams bei der Konfiguration eines DSGVO-konformen Onboardings unterstützt?

Die Konfiguration eines DSGVO-konformen KYC-Prozesses mittels benutzerdefiniertem Code erfordert die Entwicklung des Einwilligungsformulars, der Aufbewahrungslogik und des Audit-Trails als separate Projekte. Für die meisten Compliance-Teams bedeutet dies, auf bereits ausgelastete Entwicklungssprints warten zu müssen. Reisebauer ist Shuftis No-Code-Verifizierungsworkflow-Tool, mit dem Compliance- und Produktteams den in diesem Artikel beschriebenen Ablauf direkt über das Dashboard konfigurieren können, ohne ein einziges Engineering-Ticket öffnen zu müssen.

Die Einwilligungserklärung, die Auswahl der Dokumentfelder, der Aufbewahrungsplan für Daten und das Audit-Log sind als separate Elemente im Datenfluss konfigurierbar. Shufti agiert als DSGVO-konformer Datenverarbeiter und stellt eine Datenverarbeitungsvereinbarung bereit, die Ihre Pflichten gemäß Artikel 28 DSGVO abdeckt, einschließlich der Offenlegung von Unterauftragnehmern, der Dokumentation des Verarbeitungszwecks und der Spezifikationen für Sicherheitsmaßnahmen. Biometrische Daten werden während der folgenden Schritte erfasst: Identitätsprüfung wird nach Abschluss der Verifizierungsentscheidung gelöscht und standardmäßig nicht darüber hinaus aufbewahrt.

Die Verifizierung von Shufti umfasst mehr als 10,000 Dokumenttypen in über 240 Ländern. Das bedeutet, dass der gleiche DSGVO-konforme Prozess, den Sie für EU-Kunden erstellen, auch für Ihr internationales Onboarding innerhalb der gleichen Aufbewahrungs- und Einwilligungsarchitektur funktioniert.