Portfolio-Tracker ohne Bankverbindung: was deine Daten wert sind

„Verbinde dein Depot“ ist in den meisten Tracker-Apps der erste Schritt. Bequem ist das unbestritten. Was dabei technisch passiert, steht allerdings selten auf derselben Seite wie der Button — es steht in der Datenschutzerklärung, und dort steht es meistens präzise. Dieser Beitrag liest nach, was tatsächlich passiert, welche Alternative das CSV-Modell darstellt und was dieser Weg im Gegenzug kostet. Ohne Alarmismus: Der Bank-Login-Weg ist ein regulierter, legaler und weit verbreiteter Vorgang. Er ist nur nicht folgenlos, und die Folgen sind nachlesbar. Stand: 22. Juli 2026.

Was ein Bank-Login-Tracker technisch tut

Der rechtliche Rahmen ist die Zweite Zahlungsdiensterichtlinie (EU) 2015/2366, kurz PSD2. Sie definiert in Artikel 4 Nr. 16 den Kontoinformationsdienst als „Online-Dienst zur Mitteilung konsolidierter Informationen über ein Zahlungskonto oder mehrere Zahlungskonten“. Genau das tut die Komponente, die zwischen deiner Bank und der App sitzt.

Wer das anbietet, braucht in Deutschland keine Erlaubnis, sondern eine Registrierung: Nach § 34 ZAG bedarf, wer ausschließlich Kontoinformationsdienste erbringt, „nur der schriftlichen oder elektronischen Registrierung“. Die BaFin formuliert den Unterschied selbst so: Zahlungsdienste sind grundsätzlich erlaubnispflichtig — „wer Kontoinformationsdienste leisten möchte, muss sich registrieren“. Das ist eine niedrigere Hürde als eine Banklizenz, aber keine Formalie: Artikel 67 Abs. 2 PSD2 bindet solche Dienste unter anderem daran, nur mit ausdrücklicher Einwilligung zu handeln, sich bei jeder Sitzung gegenüber der Bank zu identifizieren, ausschließlich auf die benannten Konten zuzugreifen und keine Daten „für andere Zwecke als für den vom Zahlungsdienstnutzer ausdrücklich geforderten Kontoinformationsdienst“ zu verwenden.

Die Lücke, über die selten jemand spricht

Jetzt der Punkt, der in diesem Thema fast immer fehlt — und der für Depot-Tracking der entscheidende ist: PSD2 gilt nur für Zahlungskonten. Der Europäische Datenschutzausschuss stellt das in seinen Leitlinien 06/2020 (Fassung 2.0, angenommen am 15. Dezember 2020) unmissverständlich fest: Banken dürfen unter PSD2 nur Zugang zu Zahlungskontodaten gewähren, und es gebe „keine Rechtsgrundlage unter der PSD2“, um Zugang zu Daten aus anderen Konten wie Spar-, Hypotheken- oder Anlagekonten zu eröffnen.

Für Depots existiert also kein europaweit regulierter Anspruch auf eine Schnittstelle. Das soll die geplante Verordnung über den Zugang zu Finanzdaten (FiDA) ändern, die ausdrücklich auch Anlagen in Finanzinstrumenten erfassen würde. Nur: FiDA hängt. Der Verfahrensakte des Europäischen Parlaments zufolge wartet das Dossier weiterhin auf die Position des Parlaments in erster Lesung; der letzte förmliche Verfahrensschritt datiert vom 18. Dezember 2024. PSD3 und die begleitende Zahlungsdiensteverordnung sind deutlich weiter — der ECON-Ausschuss hat den in den Verhandlungen erzielten Text am 5. Mai 2026 gebilligt, die Plenarabstimmung ist für Dezember 2026 vorgesehen.

Praktische Konsequenz: Wenn ein Tracker dein Depot anbindet, geschieht das nicht auf Grundlage eines PSD2-Anspruchs, sondern über kommerzielle Vereinbarungen oder über zugangsdatenbasierte Verfahren. Das ist der Grund, warum Depot-Anbindungen so viel häufiger brechen als Girokonto-Anbindungen — und warum der Dateiweg bei Depots so hartnäckig überlebt.

Wer die Mittelsleute sind

Die wenigsten Tracker bauen die Anbindung selbst. Sie lizenzieren sie bei Spezialisten, und diese Anbieter sind in öffentlichen Registern auffindbar — die Europäische Bankenaufsichtsbehörde führt ein zentrales Register, dessen Bestand am 22. Juli 2026 rund 327.900 Einträge umfasste. Die EBA weist dabei selbst darauf hin, dass dieses Register „keine rechtliche Bedeutung hat und keine Rechte begründet“ — es dokumentiert, was die nationalen Aufseher gemeldet haben.

Vier Beispiele, jeweils mit Registerdatum:

• finAPI GmbH, München — bei der BaFin unter der Nummer 151548 seit dem 22. Januar 2019 für Kontoinformations- und Zahlungsauslösedienste eingetragen. Die SCHUFA hat 75 % der Anteile an Fabrick S.p.A. (Sella-Gruppe, Italien) veräußert; der Vollzug wurde für den 18. Juni 2025 gemeldet.
• Tink AB, Stockholm — registriert bei der schwedischen Finansinspektionen; seit dem 10. März 2022 eine Tochtergesellschaft von Visa, die laut Visa „als eigenständige Tochter“ weitergeführt wird.
• Plaid, B.V. — nicht US-, sondern niederländisch registriert, bei De Nederlandsche Bank seit dem 17. März 2021.
• QPLIX GmbH, München — bei der BaFin unter 154608 seit dem 23. März 2021 als Kontoinformationsdienstleistungsinstitut eingetragen.

Ein Detail, das beim Nachschlagen auffällt und das man kennen sollte: Register hinken der Wirklichkeit hinterher. Die SOFORT GmbH ist bei der BaFin weiterhin als aktives Institut geführt, obwohl das Handelsregister die Verschmelzung auf die Klarna Bank AB zum 27. November 2024 und das Erlöschen der Gesellschaft ausweist. Ein Registereintrag belegt, dass eine Erlaubnis existiert — nicht, dass das Unternehmen in dieser Form noch besteht.

Auch beim Speicherort unterscheiden sich die Anbieter erheblich, und zwar nach eigener Auskunft. Plaid schreibt, Daten würden aus dem EWR und dem Vereinigten Königreich in die USA übermittelt und in dortigen AWS-Regionen gespeichert, gestützt auf Standardvertragsklauseln. Tinks Unterauftragsverarbeiter-Liste nennt AWS- und Google-Cloud-Regionen im EMEA-Raum. Salt Edge erklärt, personenbezogene Daten von Nutzenden mit Wohnsitz in der EU beziehungsweise im EWR würden ausschließlich in der EU gespeichert, wobei Mitarbeitende aus Kanada, dem Vereinigten Königreich und der Republik Moldau darauf zugreifen. Das sind keine Wertungen — das sind drei verschiedene, jeweils selbst veröffentlichte Antworten auf dieselbe Frage.

Was die Datenschutzerklärungen selbst sagen

Am aufschlussreichsten ist der Blick in die Erklärungen der Tracker. Vier Beispiele, jeweils wörtlich und mit dem Stand, den das Dokument selbst nennt.

getquin (QUIN Technologies GmbH, Berlin; Stand laut Dokument: 12. März 2026) beschreibt das Modell offen: „getquin verwendet eine Kombination aus Drittanbietern und eigenen APIs, um die Transaktionshistorie abzurufen.“ Benannt werden dabei mehrere Partner — unter anderem Plaid, Flanks, finAPI (das dort als „BaFin-zugelassenes Fintech-Unternehmen“ beschrieben wird) und SnapTrade, zu dem es heißt, dieses sammle und speichere die Anmeldedaten, und diese Informationen würden „niemals von uns gespeichert oder an uns weitergegeben“. Als Rechtsgrundlage für verbundene Konten nennt die Erklärung Art. 6 Abs. 1 lit. b DSGVO, für Drittlandübermittlungen Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften oder hilfsweise Art. 49 DSGVO. Dieselbe Erklärung listet daneben rund dreißig weitere Empfänger, darunter Analyse- und Marketingdienste.

Parqet (Parqet Fintech GmbH, Hamburg; das Dokument nennt kein Standdatum) unterscheidet drei Verbindungsarten. Beim lokalen Autosync heißt es: „Die Zugangsdaten des Nutzers werden ausschließlich lokal auf dem Endgerät des Nutzers verarbeitet und dabei zu keinem Zeitpunkt an Parqet übermittelt.“ Beim Cloud-Autosync erfolgt die Erbringung „rechtlich und technisch durch unseren Partner, die QPLIX GmbH“, und — das ist der strukturell wichtige Satz — „mit der Nutzung dieser Funktion geht der Nutzer ein eigenständiges Vertragsverhältnis mit QPLIX ein“. Der Aggregator ist hier also kein Auftragsverarbeiter, sondern ein eigener Verantwortlicher mit eigener, separat veröffentlichter Datenschutzerklärung. Zur Finanzierung schreibt Parqet: „Parqet finanziert sich niemals durch deine persönlichen Daten“ — und an anderer Stelle, man verwende „vollständig anonymisierte und aggregierte Daten“, die gegebenenfalls auch mit ausgewählten Partnern geteilt würden, „stets ohne Personenbezug“. Beide Sätze gehören zusammengelesen.

Finanzguru (dwins GmbH; Stand: Februar 2025) ist der Fall, in dem gar kein Mittelsmann auftaucht — weil das Unternehmen die Registrierung selbst hält: Die Erlaubnis zur Erbringung von Kontoinformationsdiensten habe man am 15. Mai 2019 von der BaFin erhalten, mit Verweis auf den Registereintrag. Zum Speicherort heißt es, Daten würden „verschlüsselt auf einem Rechenzentrum in Deutschland (Frankfurt)“ gespeichert. Bemerkenswert und fair anzumerken: Die Erklärung benennt zwar US-Empfänger, nennt aber an keiner Stelle einen Übermittlungsmechanismus — sie schweigt dazu. Das ist eine Feststellung über den Text, keine über die Rechtslage des Unternehmens.

Portfolio Performance steht am anderen Ende: Die Desktop-Anwendung (Lizenz: Eclipse Public License 1.0) erklärt, man erhebe, nutze, speichere und sehe „keinerlei personenbezogene Daten“, wenn die App lokal zur Verwaltung der Anlagen genutzt werde; Portfoliodateien und Einstellungen lägen „ausschließlich auf deinem Gerät“. Auch hier gehört die Einschränkung dazu: Für Absturzberichte kommt Sentry zum Einsatz, und für historische Kursdaten gibt es einen optionalen Dienst mit Konto.

Ist das gefährlich? Nein — aber es ist präzise beschreibbar

Zwei verbreitete Irrtümer lohnen die Korrektur. Der erste: Finanzdaten sind keine besondere Kategorie personenbezogener Daten. Art. 9 Abs. 1 DSGVO zählt abschließend auf — rassische und ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, genetische und biometrische Daten, Gesundheitsdaten, Sexualleben. Kontostände stehen dort nicht.

Der zweite Irrtum ist die daraus gezogene Entwarnung. Der EDSA formuliert in denselben Leitlinien den entscheidenden Zwischenschritt: Finanztransaktionen könnten sensible Informationen offenbaren, „einschließlich solcher, die besondere Kategorien personenbezogener Daten betreffen“ — Spenden an Parteien, Kirchen oder Organisationen offenbaren politische oder religiöse Überzeugungen, ein abgebuchter Jahresbeitrag offenbart eine Gewerkschaftsmitgliedschaft. Schon einzelne Transaktionen könnten daher besondere Kategorien enthalten. Der Umsatzstrom eines Girokontos ist deshalb datenschutzrechtlich etwas anderes als eine Liste von ISINs und Stückzahlen — ein Unterschied, der beim Depot-Tracking gern eingeebnet wird, obwohl er die eigentliche Pointe ist.

Und die Sachlage bei Zwischenfällen? Der bekannteste dokumentierte Fall ist ein US-Sammelverfahren: In re Plaid Inc. Privacy Litigation vor dem District Court für Nordkalifornien (Az. 4:20-cv-03056-DMR) endete am 20. Juli 2022 mit der endgültigen Genehmigung eines Vergleichs über 58 Millionen US-Dollar, rund 31,50 Dollar je Anspruchsberechtigtem. Die Kläger warfen dem Unternehmen vor, Anmeldedaten zur Erhebung detaillierter Finanzdaten genutzt und seine Login-Masken optisch an die der jeweiligen Banken angelehnt zu haben. Entscheidend für eine faire Darstellung ist der gerichtlich gebilligte Hinweistext selbst: Plaid „bestreitet jedes Fehlverhalten und sämtliche Vorwürfe; kein Gericht und keine andere Stelle hat Feststellungen gegen Plaid getroffen oder festgestellt, dass Recht verletzt wurde“. Teil des Vergleichs waren zudem Auflagen zur Datenminimierung und zur Gestaltung der Eingabemasken — diese waren allerdings auf drei Jahre befristet und sind damit inzwischen ausgelaufen.

Europäisch gibt es ein Gegenstück, das häufig falsch zitiert wird: Die schwedische Datenschutzbehörde IMY verhängte am 28. März 2022 ein Bußgeld gegen Klarna. Das betraf keinen Datenabfluss, sondern die Transparenz der Datenschutzinformationen — Verstöße gegen die Art. 5, 12, 13 und 14 DSGVO. Nach öffentlich zugänglichen Quellen ist darüber hinaus kein Sicherheitsvorfall mit Datenabfluss bei den genannten Aggregatoren offengelegt worden. Das ist eine Aussage über den Stand der Veröffentlichungen, nicht der Beweis, dass nie etwas geschehen ist.

Zugangsdaten weitergeben: was die Regel wirklich sagt

Das „Screen Scraping“, bei dem ein Dienst sich mit deinen Zugangsdaten wie du selbst einloggt, ist der historische Ursprung dieses Marktes. Die Delegierte Verordnung (EU) 2018/389 hat das seit dem 14. September 2019 eingehegt: Artikel 30 verlangt, dass sich Dienste gegenüber der Bank identifizieren; Artikel 31 lässt der Bank die Wahl zwischen einer dedizierten Schnittstelle und der Kundenschnittstelle; Artikel 33 erlaubt den Rückgriff auf die Kundenschnittstelle nur als Notfalllösung, bis die dedizierte Schnittstelle wieder verfügbar ist. Die Gesetzgeber haben ihre Haltung im Entwurf der Zahlungsdiensteverordnung noch deutlicher formuliert — Erwägungsgrund 61 hält fest, ein Zugriff auf Zahlungskontodaten ohne ordnungsgemäße Identifizierung, „sogenanntes Screen Scraping“, dürfe „unter keinen Umständen erfolgen“. Dieser Wortlaut hat die Verhandlungen überstanden und steht auch im Kompromisstext vom 5. Mai 2026. Verbindlich ist er allerdings noch nicht: Bindend ist heute die Verordnung von 2018.

Das CSV-Modell: dieselbe Auswertung, ein Übergabepunkt weniger

Die Alternative ist unspektakulär und genau deshalb robust: Die Bank erzeugt eine Datei, du lädst sie herunter, du gibst sie weiter. Kein Dritter erhält Zugang zu deinem Konto, kein Zugangsdatum verlässt deinen Machtbereich, und die Datenmenge ist genau das, was in der Datei steht — nicht der Kontenkreis, den eine Berechtigung abdecken würde. Das ist nichts anderes als der Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO, angewandt auf den eigenen Alltag: Daten müssen „auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“ sein.

Der ehrliche Preis dafür ist Komfort. Eine Datei ist eine Momentaufnahme, keine Synchronisation: Wer den aktuellen Stand will, exportiert erneut. Es gibt keine Live-Kurse aus dem Depot, keine automatische Ausschüttungsbuchung, keine Push-Nachricht bei Ausführung. Für die meisten Auswertungen ist das folgenlos — Gewichte, Konzentration, Kostenbasis und Qualitätskennzahlen ändern sich nicht im Minutentakt. Für tagesaktuelle Buchführung ist es spürbar unbequemer. Wer diesen Komfort höher gewichtet, trifft eine nachvollziehbare Wahl; sie sollte nur bewusst getroffen werden. Wie die Datei bei den großen deutschen Anbietern entsteht, steht in den Anleitungen zu comdirect, Trade Republic und Scalable Capital.

Wo Acutic faktisch steht

Zur Offenlegung, weil dieser Text auf der Website eines Anbieters steht: Acutic arbeitet ohne Bankverbindung. Es gibt keine Kontoanbindung, keinen Aggregator und keine Zugangsdaten — Depots werden per Datei oder manuell angelegt. Das ist keine Tugend, sondern eine Konstruktionsentscheidung mit genau den Nachteilen, die oben stehen: keine Synchronisation, kein automatischer Abgleich.

Genauso gehört die andere Hälfte dazu, und sie steht in unserer eigenen Datenschutzerklärung: Die Server stehen bei der Hetzner Online GmbH in Deutschland, ohne Drittlandtransfer; die KI-Verarbeitung läuft über Microsoft Ireland in der Region West Europe. Daneben nutzen wir Dienstleister mit US-Bezug — Cloudflare, Paddle, Resend und, bei Anmeldung über Google, den dortigen Identitätsdienst — gestützt auf den Angemessenheitsbeschluss zum EU-US-Datenschutzrahmen und hilfsweise Standardvertragsklauseln. „Ohne Bankverbindung“ bedeutet also: ein Übergabepunkt weniger. Es bedeutet nicht „ohne Dienstleister“, und jeder Anbieter, der das behauptet, sollte an derselben Liste gemessen werden.

Ein Wort zur Belastbarkeit dieses Rahmens: Der Angemessenheitsbeschluss vom 10. Juli 2023 wurde vor dem Gericht der Europäischen Union angegriffen; die Klage Latombe (T-553/23) wurde am 3. September 2025 abgewiesen. Gegen dieses Urteil ist seit dem 31. Oktober 2025 ein Rechtsmittel beim Gerichtshof anhängig (C-703/25 P). Bis zu dessen Entscheidung bleibt der Beschluss in Kraft. Wer Drittlandtransfers ernst nimmt, sollte dieses Verfahren kennen — in beide Richtungen.

Wie die Analyse selbst funktioniert, welche Modelle beteiligt sind und was sie nachweislich nicht tun, steht auf der Seite zur KI-Transparenz; was das Produkt kostet, auf der Preisseite.

Fazit

Die Frage ist nicht, ob Bank-Login-Tracker sicher sind — sie sind reguliert, registriert und in der Regel sorgfältig dokumentiert. Die Frage ist, wie viele Übergabepunkte eine Auswertung braucht, die man auch aus einer Datei gewinnen könnte. Für Girokonten mit hunderten Buchungen im Monat ist die Antwort oft: Automatisierung lohnt den zusätzlichen Punkt. Für ein Depot mit zwölf Positionen und vier Ausschüttungen im Jahr ist sie erkennbar weniger eindeutig. Beide Antworten sind vertretbar. Nur sollte man wissen, welche man gerade gibt — und die acht Kriterien oben machen genau das nachprüfbar.

Weiterführend: comdirect: Depot und Umsätze als CSV exportieren und Scalable Capital: Depot als CSV exportieren — die Praxis des Dateiwegs — sowie der Werkzeug-Stack für 2026 zur Einordnung der Kategorie. Kostenloses Konto erstellen.

Acutic provides investment research and educational analysis under MAR Art. 20 / § 85 WpHG. Acutic does not provide investment advice (Anlageberatung per § 1 Abs. 1a S. 2 Nr. 1a KWG / Art. 4(1)(4) MiFID II), portfolio management, or any other licensed investment service. No content in this article constitutes a personal recommendation.