← InsureGuardAI Blog

· Yair Knijn

Sie haben einen EU-Kunden gegen eine US-Liste geprüft, und Ihr DPO kann die Rechtsgrundlage nicht benennen

Das Financial-Crime-Team hat die Screening-Pipeline aufgebaut; der DPO hat den Verarbeitungsnachweis unterschrieben, ohne die Listenkonfiguration zu lesen. Nun hat ein EU-Versicherungsnehmer einen Artikel-15-Antrag gestellt, warum sein Name gegen die SDN-Liste des US-Finanzministeriums geprüft wurde. Der DPO öffnet die Datei und findet eine Rechtsgrundlage für die gesamte Pipeline: Art. 6(1)(c), rechtliche Verpflichtung. Das ist die falsche Antwort für die Hälfte dessen, was das System tut, und die richtige Antwort wurde nie aufgeschrieben.

Die Annahme, die Probleme verursacht, ist weit verbreitet: dass wir „auf Sanktionskonformität prüfen“ eine Verarbeitungstätigkeit auf einer Grundlage ist. Das ist sie nicht. Die Grundlage hängt davon ab, gegen welche Liste der Name geprüft wird.

Warum EU/UN-Listen Ihnen 6(1)(c) geben, US-Listen aber möglicherweise nicht

Eine EU-Asset-Freeze-Verordnung oder eine Designierung des UN-Sicherheitsrates, die in EU-Recht umgesetzt wird, bindet Ihr Unternehmen direkt. Die Prüfung eines EU-Betroffenen gegen diese Listen fällt klar unter Art. 6(1)(c): Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt. Dokumentiert, verteidigbar, akzeptiert.

US-OFAC-Listen sind grundlegend anders. OFAC-Primärsanktionen binden US-Personen; sie begründen im Allgemeinen keine EU-rechtliche Verpflichtung für einen EU-Versicherer, der einen EU-Einwohner prüft. Ein schwedisches Gericht und die schwedische Datenschutzbehörde haben dies genau für ein Unternehmen durchgearbeitet, das gegen OFAC prüfte: Die US-Sanktionen einzuhalten kann ein berechtigtes Interesse sein, aber es ist keine rechtliche Verpflichtung nach EU-Recht und setzt die Rechte des Betroffenen nicht automatisch außer Kraft. Ihr US-Listen-Screening erhält also nicht automatisch 6(1)(c). Es fällt unter Art. 6(1)(f), und das legt eine Abwägung auf Ihren Tisch.

Berechtigte Interessen, Verhältnismäßigkeit und Datenminimierung beim Screening

Die Verarbeitung auf berechtigten Interessen bedeutet, dass Sie eine dokumentierte Berechtigte-Interessen-Bewertung schulden, nicht einen Satz in einer Richtlinie. Der Zweck muss spezifisch sein: Ihre eigene Sanktionsexposition bei Dollar-Clearing-Korrespondenzbanken, nicht eine Geste zur „globalen Konformität“. Dann testen Sie die Erforderlichkeit. Prüfen Sie jede Partei gegen jede Liste, wenn das Risiko nur eine Teilmenge rechtfertigt?

Die Datenminimierung beißt härter als erwartet. Ein Screening-Treffer ist grenzwertig: Er deutet, zu Recht oder zu Unrecht, auf Terrorismus, Proliferation oder schwere Kriminalität hin. Speichern Sie, was Sie benötigen, um die Warnung zu klären oder eskalieren, und nichts anderes.

Die DPIA, die Sie für risikoreiche Screening-Verarbeitung nach Artikel 35 schulden

Artikel 35 macht eine DSFA obligatorisch, wenn die Verarbeitung voraussichtlich ein hohes Risiko birgt, und die systematische Bewertung von Personen, die rechtliche oder ähnlich bedeutsame Auswirkungen hat, ist der textbookmäßige Auslöser. Screening kann dazu führen, dass jemandem ein Vertrag verweigert oder einer FIU gemeldet wird. Das ist hochriskante Verarbeitung bei jeder ehrlichen Lesart, und „Compliance abgesegnet" ist keine DSFA. Die Bewertung muss mindestens Folgendes abdecken:

Aufbewahrung, Falschabgleichung und Betroffenenrechte in einer Sanktions-Pipeline

Der False Positive ist der Punkt, an dem Datenschutz und Finanzkriminalität aufeinandertreffen. Ein Fuzzy-Match, der als „unser Kunde" gelöscht wurde, hat dennoch einen Datensatz erzeugt, der behauptet, eine benannte Person könnte sanktioniert sein. Sie benötigen eine Aufbewahrungsregel, die einen bestätigten Treffer, den Sie als AML-Beweis aufbewahren müssen, von einem gelöschten False Match trennt, den Sie nicht horten sollten. Artikel 15 Auskunft, Artikel 16 Berichtigung eines falschen Treffers, Artikel 18 Einschränkung während eines Streits: alles gilt, und die AML-Ausnahmen sind enger, als das Financial-Crime-Team annimmt.

InsureGuardAI wurde so entwickelt, dass die Rechtsgrundlage eine Eigenschaft des Screening-Laufs ist, kein nachträglicher Einfall. Jeder Treffer in einem Arbeitsbereich zeichnet auf, welche Listenquelle ihn ausgelöst hat, der Schwellenwert, der ihn erzeugt hat, die Analystenentscheidung, die ihn gelöscht oder eskaliert hat, und die Rohreaktion als Beweis, sodass die DSFA und der Regulierer dieselbe Datei lesen. Wenn Ihr DPO gefragt wird, die Grundlage für einen bestimmten Treffer zu benennen, ist die Antwort im Datensatz, nicht in einer Annahme. Sehen Sie hier, wie das in Ihre eigene Pipeline passt hier.