KI-Marketing-Automatisierung in Banken rechtssicher betreiben: UWG, DSGVO, Kontaktfrequenz und Nachweispflicht

Wer KI-Marketing-Automatisierung in Banken produktiv betreibt, merkt schnell, dass nicht die Textgenerierung das rechtliche Nadelöhr bildet, sondern die automatisierte Entscheidung darüber, wer wann auf welchem Kanal angesprochen werden darf. Sobald Signalstrecken im Tagesbetrieb auf Kontobewegungen, auslaufende Zinsbindungen oder App-Nutzung reagieren, treffen Wettbewerbsrecht (§ 7 UWG), Datenschutz-Grundverordnung (Art. 6, 7 und 21 DSGVO) und die Transparenzpflichten der europäischen KI-Verordnung (Art. 50 EU AI Act) unmittelbar aufeinander. Wie Banken organisatorisch vom starren Kampagnenkalender in den Signalbetrieb wechseln, haben wir im Beitrag KI-Marketing-Automatisierung in Banken: Vom Kampagnenkalender zum Signalbetrieb gezeigt; wie Aufbewahrungsfristen und Löschkonzepte technisch getrennt werden, erläutert KI-Kontext-Layer im Banking: Was ein Bankagent sich merken darf und was er vergessen muss. Dieser kompakte Leitfaden bündelt die konkreten Anforderungen an Einwilligungen, Werbewiderspruch, Kontaktfrequenz und Nachweispflichten in einer operativen Checkliste für das Bankmarketing.

Kanalgranulare Einwilligung nach § 7 UWG statt Pauschal-Opt-in

Ein pauschales „Werbe-Häkchen“ im Kontoeröffnungsantrag trägt keine KI-gestützte Mehrkanal-Automation: § 7 UWG verlangt für Telefon und elektronische Post eine vorherige ausdrückliche, kanalbezogene Einwilligung.

Im deutschen Wettbewerbsrecht zieht § 7 Abs. 2 Nr. 1 und Nr. 2 des Gesetzes gegen den unlauteren Wettbewerb (UWG) eine scharfe Grenze gegen unzumutbare Belästigungen: Telefonwerbung gegenüber Verbrauchern ist ausnahmslos nur mit vorheriger ausdrücklicher Einwilligung zulässig, und dasselbe gilt grundsätzlich für jede Werbung mittels elektronischer Post – wozu neben E-Mail und SMS auch In-App-Push-Mitteilungen und elektronische Postfachnachrichten mit Werbecharakter zählen.

Die in der Praxis oft bemühte Bestandskundenausnahme nach § 7 Abs. 3 Nr. 1 bis 4 UWG greift im Bankgeschäft nur in engen Grenzen: Sie gilt ausschließlich für elektronische Post (niemals für Telefonanrufe) und setzt kumulativ voraus, dass die Bank die Adresse im Zusammenhang mit einem Vertragsabschluss erhalten hat, ausschließlich für eigene ähnliche Finanzprodukte wirbt, kein Widerspruch vorliegt und der Kunde sowohl bei der Erhebung als auch bei jeder einzelnen Verwendung klar auf sein jederzeitiges Widerspruchsrecht zum Basistarif hingewiesen wird. Ein Girokontovertrag rechtfertigt daher ohne ausdrückliches Opt-in keine automatisierte Cross-Selling-E-Mail für komplexe Wertpapierdepots, Bausparverträge Dritter oder Versicherungen.

Absoluter Werbewiderspruch nach Art. 21 DSGVO und sofortige Profiling-Sperre

Widerspricht ein Bankkunde der Direktwerbung nach Art. 21 Abs. 2 DSGVO, muss nicht nur der Nachrichtenversand enden, sondern zugleich jedes mit der Direktwerbung verbundene Profiling im Kontext-Layer sofort gestoppt werden.

Während die Orientierungshilfe der Datenschutzkonferenz (DSK) zur Direktwerbung klarstellt, dass bestimmte Formen der Direktwerbung und Vorselektion datenschutzrechtlich zwar auf ein berechtigtes Interesse nach Art. 6 Abs. 1 Buchst. f in Verbindung mit Erwägungsgrund 47 der Datenschutz-Grundverordnung (VO (EU) 2016/679) gestützt werden können, unterliegt jede werbliche Datenverarbeitung dem absoluten Widerspruchsrecht nach Art. 21 Abs. 2 und 3 DSGVO. Anders als beim allgemeinen Widerspruch nach Art. 21 Abs. 1 DSGVO muss der Kunde seinen Werbewiderspruch nicht begründen, und die Bank darf keine Interessenabwägung dagegenhalten (BfDI zum Widerspruchsrecht nach Art. 21 DSGVO).

Für KI-Marketing-Automatisierung in Banken hat Art. 21 Abs. 2 Halbsatz 2 DSGVO eine oft unterschätzte technische Konsequenz: Das Widerspruchsrecht erfasst ausdrücklich auch das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht. Eine Bank darf einen Kunden nach einem Werbewiderspruch also nicht weiter durch Affinitäts- oder Next-Best-Action-Modelle für Werbezwecke berechnen lassen und lediglich auf dem letzten Meter den E-Mail-Versand unterdrücken. Die Sperre muss vorgelagert im Kontext-Layer sitzen, sodass Werbe-Scoring und Agenten-Impulse für diesen Kunden gar nicht erst angestoßen werden.

Praxis-Vorlage für Ihr Projekt: Laden Sie unsere kostenlose RFP- & Architektur-Checkliste Banking-CDP & KI 2026 (Excel, DE/EN) sowie das Executive Architecture & Governance Briefing (PDF) direkt herunter – oder lesen Sie unseren Artikel Regulierung als Burggraben: Wie DSGVO und der EU AI Act Banken einen Vorteil verschaffen.

Kontaktfrequenz, Ticket-Sperre und die Checkliste für Bankmarketing

Auch bei wirksamer Einwilligung schützt erst ein zentrales Kontaktbudget mit automatischer Service-Unterdrückung und revisionssicherer Protokollierung vor Beschwerden und aufsichtsrechtlichen Beanstandungen.

Wenn mehrere Signalstrecken parallel laufen – etwa für Tagesgeld, Kreditkarte und Ratenkredit –, droht ohne zentrale Drosselung eine unzumutbare Häufung von Kontakten. Zudem greift seit dem 2. August 2026 die Transparenzpflicht aus Art. 50 Abs. 1 der KI-Verordnung (VO (EU) 2024/1689, EU AI Act): Übernimmt ein KI-Assistent oder Dialog-Agent im Anschluss an einen Marketing-Impuls die direkte Interaktion mit dem Kunden, muss für den Kunden klar erkennbar sein, dass er mit einem KI-System kommuniziert. Gleichzeitig verlangt Art. 7 Abs. 1 DSGVO, dass die Bank für jeden ausgelösten Kontakt nachweisen kann, welcher konkrete Einwilligungstext zu welchem Zeitpunkt vorlag.

Hypothetisches Beispiel: Eine Privatkundin hat ihrer Regionalbank das Opt-in für App-Mitteilungen erteilt, der Telefonwerbung jedoch widersprochen. Als auf ihrem Girokonto ein höherer Geldeingang eingeht, schlägt das Liquiditätssignal an. Vor dem Anstoß eines Angebots prüft die Entscheidungs-Schicht vier Regeln in Millisekunden: Erstens erlaubt das Kanal-Opt-in nur die App-Karte und sperrt den Outbound-Anruf (§ 7 Abs. 2 Nr. 1 UWG). Zweitens liegt kein Werbewiderspruch nach Art. 21 Abs. 2 DSGVO vor. Drittens zeigt das Kundenkonto kein offenes Beschwerdeticket und das Kontaktbudget von zwei Impulsen pro 30 Tage ist nicht ausgeschöpft. Viertens wird der genaue Zeitstempel samt Einwilligungs-ID revisionssicher protokolliert. Widerspricht die Kundin am nächsten Tag in den App-Einstellungen der Direktwerbung, sperrt der Kontext-Layer ihr Profil augenblicklich auch für alle nachgelagerten Affinitätsmodelle.

ACCELERAID bildet diese Prüfschranken über Customer Data Platform, Kontext-Layer, Personalization Engine und AI Assistant hinweg als vorgelagerte Pflichtfilter ab, bevor ein Impuls erzeugt oder ausgespielt wird; spezialisierte Domain-Agenten, Orchestrierung und Control Plane befinden sich derzeit in Entwicklung. Die Plattform ist SOC 2 Type I zertifiziert (unabhängig geprüft nach SOC 2 Type I), folgt DSGVO by Design, ist für DORA-regulierte Institute ausgelegt, unterstützt eine revisionssichere Protokollierung und wird in einem ISO-27001-zertifizierten Rechenzentrum in Frankfurt (oder On-Premise) betrieben (ACCELERAID).

Fünf Punkte zum Mitnehmen

1. Für KI-Marketing-Automatisierung in Banken reicht ein pauschales Werbe-Opt-in nicht aus: § 7 Abs. 2 UWG verlangt für Telefonanrufe und elektronische Post (E-Mail, SMS, App-Push) eine vorherige ausdrückliche, kanalgranulare Einwilligung.

2. Die Bestandskundenausnahme nach § 7 Abs. 3 UWG gilt ausschließlich für elektronische Post, nur für eigene ähnliche Produkte und nur, wenn bei Erhebung und in jeder Nachricht klar auf das kostenfreie Widerspruchsrecht hingewiesen wird.

3. Ein Werbewiderspruch nach Art. 21 Abs. 2 und 3 DSGVO gilt bedingungslos und zwingt Banken, neben dem Versand auch jedes mit der Direktwerbung verbundene Profiling unverzüglich zu beenden.

4. Ein kanalübergreifendes Kontaktbudget und eine automatische Sperre bei offenen Service- oder Beschwerdetickets verhindern, dass parallele Signalstrecken in unzumutbare Belästigung umschlagen.

5. Nach Art. 7 Abs. 1 DSGVO und Art. 50 Abs. 1 des EU AI Act müssen Banken für jeden automatisierten Impuls die gültige Einwilligungsversion revisionssicher protokollieren und direkte KI-Interaktionen klar kennzeichnen.

Nächster Schritt für Ihre Bank-Architektur (3 Wege zur Auswahl)

• 1. Selbst prüfen (Ohne Formular): Laden Sie das RFP- & Architektur-Template (Excel, DE/EN), den 3-Jahres-TCO- & ROI-Rechner (Excel) und das Executive Architecture Briefing (PDF) direkt herunter. Weitere Analysen finden Sie im Whitepaper-Hub für Banken.

• 2. Asynchron ansehen: Sehen Sie sich in unseren On-Demand-Webinaren oder auf der Seite Plattform & Pakete an, wie Banken Kontext, Entscheidungslogik und Governance in 90 Tagen produktiv setzen.

• 3. Gemeinsam durchrechnen: Buchen Sie einen 30-minütigen Architektur- & Use-Case-Check (mit Ihrem eigenen Use-Case, ohne Verkaufsfolien).

Illustration: KI-generiert. KI-gestützte Inhalte: Bei der Erstellung unserer Beiträge setzen wir KI-Technologien und automatisierte Agenten ein, unter anderem von Microsoft, Google, OpenAI, Anthropic und weiteren Anbietern. Themen, fachliche Ausrichtung und finale Freigabe liegen bei unserem Team.