Thema "Betreff: Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung" in Konto, Depot & Karte

Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung

fireball2 — Sat, 10 Aug 2024 21:14:06 GMT

Hallo Leute,

bezugnehmend auf diesen und diesen Thread würde ich gerne wissen wollen, welche Rechte so ein Drittanbieter bekommt, wenn ich ihm den Zugriff mittels Zugangsdaten und TAN ermögliche. Ich frage deshalb, weil ich vor kurzem per Klarna Sofortüberweisung etwas gekauft habe und danach in meinem Konto unter Verwaltung -> Drittdienste die Sofort GmbH eingetragen war. Mir ist nur soweit klar, dass comdirect aufgrund PSD2 der Sofort GmbH 90 Tage lang "Zugriff" über eine Schnittstelle gewährt, es sei denn ich lösche dies früher raus. Nun steht auf der Comdirect Seite im Konto unter Drittanbieter u.a. folgendes: "Berechtigungen für Kontozugriffe durch Drittdienste (PSD2)" ... "Abruf von Salden- oder Umsatzinformationen (Kontoinformationsdienst)" ... "Kontodetails zu diesen Konten abrufen." ... "Erlaubnis zur Abfrage der Kontodeckung für Bezahlvorgänge" ... "Informationen zu Ihrem Konto abrufen"

Also ich muss ehrlich sagen, dass diese Art der umfangreichen Kontoeinsicht durch einen FinTech wie Klarna - nur für das Bezahlung einer Ware in Höhe von 50€ - nach meiner Ansicht vollkommen unverhältnismäßig ist! Kann mich mal jemand darüber aufklären, inwieweit ich da Klarna irgendwelche Rechte für mein Konto eingeräumt habe?

Konnten die dadurch die gesamte Kontobewegung/Transkationen der letzten 24 Monate auf meinem Konto sehen? Könnten Drittanbieter Geld abbuchen, egal in welcher Höhe? Besteht auch Einblick und Zugriff auf andere Konten (Depot, Tagesgeld, Kredit, etc.), also nicht nur auf's Girokonto. Könnten die auch Geld umbuchen? Haben diese Drittanbieter diese Rechte tatsächlich 90 Tage lang, obwohl mein Kauf schon nach 5 Tagen abgeschlossen war? Inwieweit weichen die Zugriffsrechte der Drittanbieter von meinen eigenen Rechten beim Online-Banking ab? Könnten die auch eine VISA-Karte sperren, Limits ändern, die Postbox lesen, etc. Kann ich von comdirect eine Auskunft darüber anfordern, welche Zugriffe und Auskünfte sich Klarna von meinem Konto gezogen hat?

Wie muss man sich diese Schnittstelle vorstellen? Male ich hier zu schwarz? Letztendlich hat die Sofortüberweisung ja überhaupt nichts mit einer üblichen Überweisung gemein, denn bei einer simplen Überweisung muss ich niemand 90 Tage lang Zugriff auf mein Konto gewähren?!?!

Schon mal vielen Dank für Eure - hoffentlich beruhigenden - Antworten. Obwohl diese Kritik bei Wikipedia mich nicht gerade beruhigt, oder galt dies nur für Zeiten vor PSD2?

Betreff: Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung

Silver_Wolf — Sat, 10 Aug 2024 21:24:18 GMT

@fireball2 schrieb:
Hallo Leute,
bezugnehmend auf diesen und diesen Thread würde ich gerne wissen wollen, welche Rechte so ein Drittanbieter bekommt, wenn ich ihm den Zugriff mittels Zugangsdaten und TAN ermögliche. Ich frage deshalb, weil ich vor kurzem per Klarna Sofortüberweisung etwas gekauft habe und danach in meinem Konto unter Verwaltung -> Drittdienste die Sofort GmbH eingetragen war. Mir ist nur soweit klar, dass comdirect aufgrund PSD2 der Sofort GmbH 90 Tage lang "Zugriff" über eine Schnittstelle gewährt, es sei denn ich lösche dies früher raus. Nun steht auf der Comdirect Seite im Konto unter Drittanbieter u.a. folgendes: "Berechtigungen für Kontozugriffe durch Drittdienste (PSD2)" ... "Abruf von Salden- oder Umsatzinformationen (Kontoinformationsdienst)" ... "Kontodetails zu diesen Konten abrufen." ... "Erlaubnis zur Abfrage der Kontodeckung für Bezahlvorgänge" ... "Informationen zu Ihrem Konto abrufen"

Also ich muss ehrlich sagen, dass diese Art der umfangreichen Kontoeinsicht durch einen FinTech wie Klarna - nur für das Bezahlung einer Ware in Höhe von 50€ - nach meiner Ansicht vollkommen unverhältnismäßig ist! Kann mich mal jemand darüber aufklären, inwieweit ich da Klarna irgendwelche Rechte für mein Konto eingeräumt habe?

Was du Klarna erlaubt hast kannst du wohl in deren AGN nachlesen.

Dazu braucht es hier wohl keine Erklärung.

Daß du mit der Weitergabe deiner Zugangsdaten natürlich gegen die Bestimmungen deiner Bank verstoßen hast muß wohl nicht mehr erwähnt werden. Wer so verblödet ist Firmen wie Klarna seine Zugangsdaten zu geben haftet natürlich für jegliche Schäden die sich daraus ergeben.

Betreff: Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung

CurtisNewton — Sat, 10 Aug 2024 21:39:39 GMT

@Silver_Wolf schrieb:
Daß du mit der Weitergabe deiner Zugangsdaten natürlich gegen die Bestimmungen deiner Bank verstoßen hast muß wohl nicht mehr erwähnt werden. Wer so verblödet ist Firmen wie Klarna seine Zugangsdaten zu geben haftet natürlich für jegliche Schäden die sich daraus ergeben.

Nee, hatten wir schon mal. Die Weitergabe in solchen Fällen ("Zahlungsdienstleister") ist explizit erlaubt, wurde schon mal in einem anderen Thread vom SMT geklärt (war glaube ich auch Klarna).

Ansonsten natürlich richtig, wer so ein Angebot nutzt und den Bedingungen zustimmt ist selbst schuld.

Hint: Klarna nutzt den Kontozugriff anstelle der sonst üblichen Schufa Abfrage.

Betreff: Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung

Silver_Wolf — Sat, 10 Aug 2024 21:43:05 GMT

@CurtisNewton schrieb:
@Silver_Wolf schrieb:
Daß du mit der Weitergabe deiner Zugangsdaten natürlich gegen die Bestimmungen deiner Bank verstoßen hast muß wohl nicht mehr erwähnt werden. Wer so verblödet ist Firmen wie Klarna seine Zugangsdaten zu geben haftet natürlich für jegliche Schäden die sich daraus ergeben.

Nee, hatten wir schon mal. Die Weitergabe in solchen Fällen ("Zahlungsdienstleister") ist explizit erlaubt, wurde schon mal in einem anderen Thread vom SMT geklärt (war glaube ich auch Klarna).

Erlaubt? Niemals.

Da möchte ich doch eine Quelle von der Condirect sehen? 🙂

Betreff: Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung

CurtisNewton — Sat, 10 Aug 2024 21:46:17 GMT

War hier im Forum, also heute such ich nicht mehr 😉

Betreff: Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung

GetBetter — Sat, 10 Aug 2024 22:15:50 GMT

@Silver_Wolf schrieb:
Erlaubt? Niemals.
Da möchte ich doch eine Quelle von der Condirect sehen? 🙂

Steht sogar in den AGB:

7.1 Schutz der Authentifizierungselemente, dort in Absatz 5.

(Ich kann den Text leider nicht rauskopieren und hab um die Zeit auch keine Lust mehr ihn abzutippen.)

Betreff: Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung

Klever — Sun, 11 Aug 2024 04:44:01 GMT

@GetBetter schrieb:
Steht sogar in den AGB:
7.1 Schutz der Authentifizierungselemente, dort in Absatz 5.

(Ich kann den Text leider nicht rauskopieren und hab um die Zeit auch keine Lust mehr ihn abzutippen.)

Hier wurde der Text abgetippt:

https://community.comdirect.de/t5/konto-depot-karte/klarna-fordert-angabe-von-kontozugangsdaten/m-p/277337/highlight/true#M43874

@SMTcomdirect warum erlaubt Ihr eigentlich kein Kopieren von Text aus den AGB (aus der PDF-Datei)?

Grüße

Klever

Betreff: Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung

ehemaliger Nutzer — Sun, 11 Aug 2024 07:04:29 GMT

@fireball2 schrieb:

Konnten die dadurch die gesamte Kontobewegung/Transkationen der letzten 24 Monate auf meinem Konto sehen? Könnten Drittanbieter Geld abbuchen, egal in welcher Höhe? Besteht auch Einblick und Zugriff auf andere Konten (Depot, Tagesgeld, Kredit, etc.), also nicht nur auf's Girokonto. Könnten die auch Geld umbuchen? Haben diese Drittanbieter diese Rechte tatsächlich 90 Tage lang, obwohl mein Kauf schon nach 5 Tagen abgeschlossen war? Inwieweit weichen die Zugriffsrechte der Drittanbieter von meinen eigenen Rechten beim Online-Banking ab? Könnten die auch eine VISA-Karte sperren, Limits ändern, die Postbox lesen, etc. Kann ich von comdirect eine Auskunft darüber anfordern, welche Zugriffe und Auskünfte sich Klarna von meinem Konto gezogen hat?

Du hast keine Bankvollmacht erteilt, sondern lediglich eine Abfrage der Kontodeckung genehmigt.

Betreff: Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung

paej — Sun, 11 Aug 2024 08:14:11 GMT

@Klever schrieb:
@GetBetter schrieb:
Steht sogar in den AGB:
7.1 Schutz der Authentifizierungselemente, dort in Absatz 5.

(Ich kann den Text leider nicht rauskopieren und hab um die Zeit auch keine Lust mehr ihn abzutippen.)

7.1 Schutz der Authentifizierungselemente

(1) Der Teilnehmer hat alle zumutbaren Vorkehrungen zu treffen, um seine Authentifizierungselemente (siehe Nummer 2 dieser Bedingungen) vor unbefugtem Zugriff zu schützen. Ansonsten besteht die Gefahr, dass das Online-Banking missbräuchlich verwendet oder in sonstiger Weise nicht autorisiert genutzt wird.

(5) Ungeachtet der Schutzpflichten nach den Absätzen 1 bis 4 darf der Teilnehmer seine Authentifizierungselemente gegenüber einem von ihm ausgewählten Zahlungsauslösedienst und Kontoinformationsdienst sowie einem sonstigen Drittdienst verwenden. ...Sonstige Drittdienste hat der Teilnehmer mit der im Verkehr erforderlichen Sorgfalt auszuwählen.

@Klever schrieb:

@SMTcomdirect warum erlaubt Ihr eigentlich kein Kopieren von Text aus den AGB (aus der PDF-Datei)?

Wenn man die AGB als PDF-Ausdruck abspeichert kann man daraus (aus dieser Datei) beliebigen Text kopieren.

Betreff: Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung

__dpk — Sun, 11 Aug 2024 08:49:33 GMT

Mit PSD2 müssen Banken Drittdiensten den Zugriff ermöglichen, natürlich nach Zustimmung.

https://www.verbraucherzentrale-niedersachsen.de/themen/finanzen/psd-2-drittanbieter-koennen-zugriff-auf-konten-erhalten

PS: Du kannst davon ausgehen, dass Klarna alle Kontobewegungen mitliest.

Im Online Banking unter Drittdienste kannst den Zugriff wieder entfernen.

Betreff: Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung

FSQuant — Sun, 11 Aug 2024 10:32:45 GMT

Leider falsch:

Seit PSD2 ff. sind die Schnittstellen von den Banken verpflichtend bereitzustellen.

Es gibt zwei unterschiedliche Dienste:

PISP - Payment Initiation Service Provider

AISP - Account Information Service Provider

Ein PISP kann auch in Abstimmung mit dir Zahlungen auslösen.

Ein AISP zieht nur Infos (bspw. Kontoauszüge aggregieren o.ä.)

Die meisten sind regulatorisch aber meist direkt als PISP am Markt, da man sich so viele Optionen für die Zukunft sichert und der Antrag bei der BaFin nur einmal gestellt werden muss.

Betreff: Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung

FSQuant — Sun, 11 Aug 2024 10:33:14 GMT

...ich glaube eher, du hast den falschen PDF Reader 😉 😉

Betreff: Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung

Floppy85 — Sun, 11 Aug 2024 10:49:00 GMT

Ähnlich wie bei "Sofortu(ü)berweisung.de" - kann man machen, ist aber nicht zu empfehlen, weil man seine Zugangsdaten absichtlich auf einer Seite eingibt, die nichts mit der eigenen Bank zu tun hat - geht sicherlich meistens gut aus, aber ist ein unnötiges Verteilen von eigenen Informationen in den Äther. Dann doch lieber Zahlung mit Kreditkarte oder klassisch per Rechnung.

Deshalb auch nicht Lieferando.de nutzen, sondern die lieferdiensteigene Seite, aber das gehört hier nicht her. ^^

Betreff: Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung

Klever — Sun, 11 Aug 2024 13:11:48 GMT

@paej schrieb:
@Klever schrieb:

@SMTcomdirect warum erlaubt Ihr eigentlich kein Kopieren von Text aus den AGB (aus der PDF-Datei)?

Wenn man die AGB als PDF-Ausdruck abspeichert kann man daraus (aus dieser Datei) beliebigen Text kopieren.

Ich weiß, dass man diesen "Kopierschutz" leicht umgehen kann. @SMTcomdirect das macht es noch sinnloser, dass Ihr die AGB-PDF-Datei mit dieser Einschränkung online stellt. Warum macht Ihr das?

Edit:

Neben dem "Druck-Trick" gibt es auch Programme (offline) und Online-Dienste, die den Kopierschutz entfernen können.

Online geht das z.B. hiermit: https://www.conversion-tool.de/pdfunlocker/

Ein Passwort muss nicht eingegeben werden, sondern es reicht in diesem Fall aus, auf "PDF-Schutz entfernen" zu klicken.

Betreff: Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung

Klever — Sun, 11 Aug 2024 13:13:18 GMT

@FSQuant schrieb:
...ich glaube eher, du hast den falschen PDF Reader 😉 😉

Nö! Daran liegt es nicht. Schau Dir doch mal an, welche Rechte bei dieser PDF-Datei vergeben sind und welche nicht.

Ok, ich hab's mal für Dich gemacht:

Alles klar?!

Betreff: Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung

FSQuant — Sun, 11 Aug 2024 14:04:01 GMT

Nicht ganz richtig:

Wenn du bei Lieferando mit Kreditkarte oder SÜ zahlst, erhält Lieferando als Portal deine Bankdaten _nicht_.

Richtig ist, dass ein Dienst wie Sofortüberweisung deine Daten einmalig entgegen nimmt und sich damit über die Schnittstelle einloggt (bzw. früher Screen Scraping) und dann dort eine Aktion durchführt.

Jedoch: SÜ / Klarna etc. -> die haben alle verschiedenste Audits pro Jahr, ich halte es für ausgeschlossen, dass die deine Bankdaten dauerthaft speichern (also die PIN mitschreiben).

Was die PISP mitschreiben dürfen und für eine bestimmte Zeit lang gültig ist, ist ein spezifisches Token, das in der Gültigkeit aber begrenzt ist (bspw. AISP um fortlaufend Kontoauszüge zu syncen o.ä.) - jedoch: mit diesem Token kann nur gelesen werden, nicht geschrieben werden - für schreibende Aktivitäten benötigt der PISP deine 2FA immer wieder.

Betreff: Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung

FSQuant — Sun, 11 Aug 2024 14:05:33 GMT

nochmal:

ich sagte es ja - du hast den "falschen" PDF Reader: Eines der Kommerztools, die sich daran halten. Es gibt zig andere Programme aus dem Opensourceumfeld, die den Schutz ignorieren.

Der Screenshot sieht aus wie vom Adobe PDF Reader?

Betreff: Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung

Klever — Sun, 11 Aug 2024 20:14:24 GMT

@FSQuant schrieb:
nochmal:

ich sagte es ja - du hast den "falschen" PDF Reader: Eines der Kommerztools, die sich daran halten. Es gibt zig andere Programme aus dem Opensourceumfeld, die den Schutz ignorieren.

Der Screenshot sieht aus wie vom Adobe PDF Reader?

Hallo @FSQuant ,

ist in der Tat Adobe Acrobat Reader, aber Nutzung nur für das Bildschirmfoto, da ich die Rechte/Sicherungen anzeigen lassen wollte.

Sonst nutze ich für PDFs einfach meinen Browser und kein zusätzliches Programm.

Früher hatte ich Sumatra PDF https://www.sumatrapdfreader.org/free-pdf-reader genutzt.

Wenn manche Programme den Schutz einfach ignorieren, dann @SMTcomdirect ist der "Kopierschutz" beim AGB-PDF doch sogar noch sinnloser. Warum also?

Grüße

Klever

Betreff: Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung

fireball2 — Sun, 11 Aug 2024 20:17:22 GMT

Vielen Dank (an die meisten) für die zahlreichen, hilfsbereiten und sachdienlichen Antworten.
Trotzdem sind noch Fragen offen:
1.) Welche Rechte überträgt man nun an Klarna bzw. an die Sofort GmbH bei einer Sofortüberweisung?
    Zahlungsauslösedienst und/oder Kontoinformationsdienst?
    Da Klarna sich selbst das Geld überwiesen hat und trotzdem 90 Tage lang als Drittdienst hinterlegt war,
    müssten es sogar beide Arten von Drittanbietern laut Verbraucherzentrale Niedersachsen sein?!?
    Weiß es zufällig jemand genau?
2.) Welche Rechte räumt die comdirect den Drittdiensten nun genau ein?
    a.) Genau eine Überweisung in beliebiger Höhe?
    b.) Zugriff auf den aktuellen Kontostand (als Schufaersatz)?
    c.) Zugriff auf alle Kontobewegungen der letzten 24 Monate?
3.) Haben die Drittdienste nur Zugriff auf das Girokonto oder doch auf alle Konten?
4.) Kann man sich von comdirect oder Klarna eine Auskunft nach DSGVO anfordern, welche Zugriffe und Auskünfte sich Klarna
    von meinem Konto gezogen hat?
5.) Das Drittdienste auch die VISA-Karte sperren, Limits ändern oder die Postbox lesen können, schließe ich hiermit mal aus.
    Vermutlich gibt das die PSD2-API nicht her? Kann hier jemand Auskunft geben, was genau die PSD2-API der comdirect
    den Drittdiensten ermöglicht und was nicht?

Betreff: Drittdienste - welche Rechte haben die? z.B. Klarna Sofort GmbH bei einer Sofortüberweisung

FSQuant — Mon, 12 Aug 2024 12:00:48 GMT

1. Tatsächlich eine gute Frage, denn:

Klarna ist seit einiger Zeit eine Vollbank, soweit ich mich erinnere - eine Vollbank nach CRR darf auch alles, was im ZAG enthalten ist, soweit von der BaFin nicht ausgeschlossen bzw. wenns beantragt wurde. Daher kannst du jetzt mal paranoider Weise davon ausgehen, dass sie auch Daten ziehen, ist jetzt zumindest mal meine verschwörungstheoretische Vermutung, bin mir aber nicht sicher. Ich würde aber vom Schlimmsten ausgehen.

Das dürfte aber irgendwo in den Datenschutzbestimmungen drinnen stehen, müsstest du dich mal durchklicken.

Wenn das mit den 90 Tagen so stimmen sollte, dann trifft ja meine Verschwörungstheorie zu 🙂

(Denn: Die 90 Tage sind die Standardlaufzeit für diese ganzen Aggregations-Apps wie Finanzguru etc.)

2. Wenn du SÜ machst, räumst du das Recht für diese eine Zahlung ein, denn du musst ja 2FA machen. (musst du bei CC ja bspw. auch machen) - und nicht die Comdirect räumt die Recht ein, sondern du als User 🙂

Wie "weit" der Dienst zurückblättern kann in deinen Umsätzen ist eine gute Frage, ja - das würde mich auch mal interessieren.

3. Du gibst die Daten ja nur für ein bestimmtes Konto ein?

4. Gute Frage - könnte klappen! Community freut sich über Erfahrungsbericht

5. Wenn du die Limits änderst, musst du diese per 2FA bestätigen, soweit ich mich erinnere?

Postbox im Kontext der PSD2:

Rechtsgrundlage:

Artikel 4(15) PSD2 definiert den Kontoinformationsdienst als einen Online-Dienst zur Bereitstellung konsolidierter Informationen über ein oder mehrere Zahlungskonten, die bei einem oder mehreren anderen Zahlungsdienstleistern geführt werden.
Artikel 67 PSD2 legt fest, dass ein AISP ausschließlich auf die Kontoinformationen zugreifen darf, die zur Erbringung des Dienstes erforderlich sind, und nur mit ausdrücklicher Zustimmung des Kontoinhabers.