FinAPI als verlängerter Arm der Datenkrake Schufa

[#1]

Frei nach dem Motto "schlimmer geht's (n)immer":

https://app.handelsblatt.com/finanzen/banken-versicherungen/banken/kreditauskunft-moeglicher-verkauf-der-schufa-banken-in-gespraechen-mit-finanzinvestoren/27048116.html?ticket=ST-1736683-1OfBRfOyBZJAfVy4iLP9-ap5

Die Schufa könnte vor einem Verkauf stehen. In den USA lauern offenbar findige Investoren bereits auf die Daten (ja, meine Güte, warum auch nicht).

Was muss noch passieren? HBCI via finAPI kann ich spätestens jetzt niemandem mehr seriös raten. Und nein, einfach für alles jetzt mit EBICS als Alternative "wedeln", das ist keine Alternative. HBCI hat auch heute noch seine Daseinsberechtigung und lässt sich auch ohne Datenkrakennutzung realisieren. Ich sehe dieses Thema hier als Problem für Unternehmen online. Eine "Cloudlösung" muss sich an Realitäten orientieren. Dazu gehört auch, dass man Verfahren anbietet, die für JEDE(N) sicher nutzbar sind. Das sehe ich mit finAPI nicht als erfüllt an.

Als StB stehen wir in einer unmöglichen Situation: entweder man empfiehlt den Mandanten, nicht die DATEV zu nutzen und sich nach Alternativen umzuschauen, um sicher zu sein (irre, oder?) oder sie müssen EBICS nutzen, was aber insbesondere bei kleinen Mandanten und Smartphone-/Tabletjüngern und teilweise aus Kostengründen kein Thema ist.

Beitrag angepasst: mir war nicht klar, dass EBICS auch mit SmartLogin machbar ist. 

[#2]

Morgen!

Das klingt erstmal nicht gut - aber bedenkt man wie hoch dann die Hürden für eine Datenübermittlung ins Drittland werden würde, glaube ich dass in Deutschland weniger Dienste dann Daten nach USA übermitteln. Die Bestandsdaten dürften ebenso wenig überführt werden, das wäre alles ohne zusätzliche Garantien nicht möglich!

[#3]

Ich hoffe es, aber in der Praxis bin ich mir nicht so sicher, falls es zum Eigentümerwechsel kommen sollte.

Compliance, Garantien, Datenschutz etc. in allen Ehren, aber mir fehlt es selbst mit der aktuellen Eigentümerstruktur an Vertrauen. Mit einer geänderten Eigentümerstruktur habe ich definitiv keines mehr, egal wie Verträge und Abkommen aussehen werden...

[#4]

Mit EBICS habe ich die wenigsten Probleme und nutze dazu auch mein SmartLogin. Daher verstehe ich die Aussage hinsichtlich der Tablet/SmartphoneJünger nicht. Könnten Sie das bitte erläutern. 

[#5]

Ich hätte schwören können, dass EBICS eine Smartcard erfordert. Vielen Dank für Ihren Einwand! 

Aber das ist offenbar mit dem SmartLogin auch möglich, wie ich nun lese.

Es müssen lediglich neue Zugangsdaten für einen gesonderten EBICS-Zugang via SmartLogin bei der Bank beantragt werden. Dann bleibt nur noch die Kostenfrage übrig (bei einigen Banken). Wieder etwas gelernt. Nochmals danke!

[#6]

@zieglerconsult: Ihre Worte in Gottes Ohr! Mag alles richtig sein und schön gesetzeskonform aber was lehrt uns die Realität immer wieder? Panama Papers und die krummen Geschäfte der (deutschen) Bank(en) ... Das Vertrauen in die Bankenbranche ist bei mir nachhaltig erschüttert. Was die alles von einem wollen? Entweder dein Geld oder deine Daten. Mehr nicht. Fürs Alter möchten Sie vorsorgen? Wir haben da was, was Sie ganz bestimmt ruiniert. Unterschreiben Sie nur hier. Ja, schon klar ...  

Gesetze sind zum Brechen da und der Gesetzestreue ist am Ende immer der schön Doofe.

@ch_h_: Jupp, das ist so 👍. Was nur mit SmartCard geht ist:

• Steuerkonto online
• digitale Personalakte
• Belegtransfer
• Smart IT
• DATEV Mandantenfernbetreuung > Beratermodul
• ...  

Was aber mit EBICS nächsten Monat kommt: EBICS in Bank online noch sicherer

[#7]

Hallo,

Wie geht's weiter mit finapi? Nachdem wohl die Schufa das doch mit check now nicht auf sich sitzen lassen möchte scheint es jetzt so als würde die finapi dann doch herhalten müssen.

https://www.golem.de/news/datenschutz-schufa-soll-an-finanzinvestoren-verkauft-werden-2103-155360.amp.html

Man beachte folgenden letzten Absatz 

Zitat der Fachpresse :

Nun will die Schufa das Projekt umbenennen und mit einem neuen Konzept weiterführen. Demnach sollen die Daten nur noch über die Münchner Schufa-Tochter Finapi ausgelesen werden.

Ich denke mal ohne wieder eine Alternative Technik Diskussion loszutreten geht meine persönliche Datenschutz Ampel mal so Richtung dunkelorange....

Wir wären dann genau an dem Punkt den wir vor einem dreiviertel Jahr skizziert hatten. Ich hoffe dass dann die Vorstände die mir ja ihre schriftliche Bestätigung gegeben haben dass alles gut ist und wird diese interessante Entwicklung im Blick haben.

Dass dies für die Schufa natürlich folgerichtig Sinn macht die Daten der Tochter zu nutzen war dann doch keine Illusion. Falls dies nicht ohnehin schon so war. 

Seid wachsam beim nächsten Häkchen 🙂

[#8]

My German is not free of failures, therefor in english.

We are ordering customer of an accountancy and use DATEV Unternehmen Online + Banking Online. The decision to use DATEV Banking Online was based in our deep trust in DATEV. Finding out that SCHUFA is majority-owner of finAPI GmbH, with the goal to open up banking accounts to hover data, the trust in our ability to keep bankingdata for ourselves now is low.

We ask DATEV to publish all legal material in connection to the use by DATEV of finAPI services, also the small print. So users can control thoroughly, whether there is enough legal protection.

Beside the legal protection, users need practical protection. That is, when DATEV developes it's own interface for the exchange of data between banks and DATEV. DATEV should without much hesitation start to offer it's clients sound alternatives to SCHUFA / finAPI as soon as possible. 

Sparkassen, Volksbanken und Postbank did have developed the banking-retailer interface 'giropay'. DATEV could start to offer the giropay interface for customers of these banks. Technical integration can not be very complicated nor expensive.

[#9 · Accepted solution]

Hello,

For better undersatnding I will try to write in English as well. 

The board of the DATEV eG will not publish any documents according the relationship between DATEV and finAPI: This is written to me by a member of the board. So you will have to decide yourself if you trust the saying. Meanwhile new informations have been published by the media and different actions have been gone while the time. Schufa and the daughter finAPI will be sold to the U.S. So the european problem of giving data to third lands is now also a problem. FinAPI is a Germain company so it is standing under DSGVO but her new mother is it not. 

So more questions than answers will be found during the process to finAPI.

Under that conditions noone can trust this system - DATEV did it not as well - this you can read in your contracts wenn you put the hook on. At the end it is you own problem using the service.

so, dont do that.

Regds.

Christian

https://www.heise.de/tp/features/Schufa-ausser-Kontrolle-6037749.html?seite=all

[#10]

@zieglerconsult Thanks Christian for the infomation. Now that DATEV is a Genossenschaft, there may be possibilities to elegantly persuade them, to share legal Information that's important for their shareholders.

The most practical, secure and easy way however would be, when DATEV develops it's own interface.

There's coding material on Github.

There's the Dutch retailer-bank interface IDEAL, a  format based on both digital coding and legal coding (agreements between banks and Currence IDEAL B.V.). www.ideal.nl/en/ With IDEAL you're not working within the API, but in the online-ecosystem of your own bank. German giropay is based on this system.

And more recent EU based KLARNA bank AG (Sweden) is offering such kind of interfaces.

Let's hope for the best!

[#11]

Das wird noch spannend werden 🤓: Schufa: Ausländischer Finanzinvestor startet neuen Übernahme-Versuch

[#12]

Es bleibt spannend!

Nicht die Schufa - FinAPI wird übernommen:

Yapily übernimmt finAPI 

[#13]

Wer steht hinter yapily? 🤔

An und für sich muss das nicht schlecht sein. Ggf kann man dann mit Duo demnächst Auslandkonten via Pin Tan anbinden. 😇 Zumindest sind die Daten nicht mehr länger im Zugriff der Schufa. 

Wen gäbe es schlimmeres an den Laden?😬

[#14]

... gibt es denn von Datev-Seite irgendwo irgendeine aktuelle Stellungnahme zum Thema "finAPI" ?

[#15]

Hallo,

Soweit ich das erkennen kann äußert sich die Datev zu diesen Neuerungen bisher nicht. Es würde mich auch wundern, wenn diesmal Inhalte oder vertragliche Vereinbarungen mit dem neuen Anbieter offen gelegt werden würden.

Nachdem sich ja durch den Kauf Oder Übernahme der gesamten Firma wohl an den Vertragsbeziehungen zwischen finapi und Datev Nichts ändert (Geschäftsübernahme im Ganzen) denke Ich nicht, dass sich hier jemand weiter dazu äußern wird. Das einzige was wahrscheinlich gesagt werden wird dass alles okay ist und dass ich nichts ändert. Aber das ist eine reine Vermutung.

Es ist spannend jetzt wie sich das weiter entwickeln wird

[#16]

---

@zieglerconsult  schrieb:

[...]

Nachdem sich ja durch den Kauf Oder Übernahme der gesamten Firma wohl an den Vertragsbeziehungen zwischen finapi und Datev Nichts ändert (Geschäftsübernahme im Ganzen)

[...]

... laut AGB mag das alles 'wasserdicht' sein, aber dieser Banking-Bereich lebt ja auch vom Vertrauen der 'Kunden' (Kanzleien und Mandanten) in die beauftragten Dienstleister

Der Vertrauensvorschuss, den die Datev wahrscheinlich genießt, gilt nicht automatisch für jeden beliebigen Dienstleister und Datenverarbeiter.

Die Datev wurde sicher auch nicht gefragt, ob finAPI an Investoren (ggfs. aus dem Ausland) verkauft werden darf 

Aus meiner Sicht hätte die DATEV Ausstiegsklauseln, Sonderkündigungsrechte etc vereinbaren können, wenn die Rahmenbedingungen für den Datenschutz nach  DSGVO oder nach eigenen Richtlinien nicht gewährleistet werden können.

Wenn ich das Feature "KYC" als Werbeargument lese, habe ich jedenfalls keine positiven Assoziationen 

[#17]

Und wir alle wussten es schon wie lange 🤔? Denke so böse und hinterhältig es nur geht und Du hast die Realität 👿:

---

Da findet sich eine Analyse von Erik Bärwaldt zum Thema Open Banking und zur PSD2-Richtlinie, die Fintechs lukrative Möglichkeiten bei der Durchforstung der Online-Konten von Bankkunden ermöglichen soll.

---

Quelle: 2. Nachlese zum gehärteten Sparkassen-Browser S-Protect mit Verweis auf PSD2: Open Banking wird unsicherer und unübersichtlicher