Ein neuer Bericht des Government Accountability Office (GAO) warnt davor, dass amerikanische Altersvorsorgepläne persönliche Informationen weitergeben oder verkaufen könnten, die zur Vermarktung von Finanzprodukten und -dienstleistungen genutzt werden können, und unterstreicht damit, wie die routinemäßige Verwaltung von Plänen im Hintergrund auch den Umgang mit sensiblen Daten umfasst.

Mehr als 126 Millionen Amerikaner sind in arbeitgeberfinanzierten Altersvorsorgeplänen wie einem 401(k) oder einem ähnlichen Konto eingeschrieben, und diese Pläne verfügen laut GAO über mehr als $9 trillion an Vermögenswerten.

Diese Pläne werden in der Regel von externen Finanzdienstleistern verwaltet. Der Bericht erklärte, dass Arbeitgeber einige personenbezogene Informationen an Vermögensverwalter, Lohnabrechnungsdienstleister und Recordkeeper weitergeben, die die Anlageverwaltung und die Bearbeitung von Beiträgen übernehmen.

Zu den personenbezogenen Daten, die Arbeitgeber diesen Dienstleistern zur Verfügung stellen können, gehören unter anderem ein Geburtsdatum, die Sozialversicherungsnummer, Kontonummern, Kontostände und weitere Informationen.

Das GAO sagte, dass Dienstleister diese Daten zur Vermarktung von Finanzprodukten und -dienstleistungen nutzen und sie in manchen Fällen an Dritte verkaufen können, was das Risiko einer unbeabsichtigten Offenlegung erhöht.

GAO’s analysis reviewed privacy disclosures from 31 service providers. Of those, 29 either explicitly allowed data sharing or did not specify whether participant data could be shared for marketing purposes.

Darüber hinaus beschränkten mehr als die Hälfte der Finanzdienstleister – 17 der 31 – ihre Fähigkeit nicht, Teilnehmerdaten an Datenbroker oder andere Dritte zu verkaufen.

Außerdem fanden sich bei nur 12 der 31 Dienstleister Datenschutzhinweise, die es Planteilnehmern erlauben, der Weitergabe von Daten zu widersprechen.

Das GAO empfahl dem Arbeitsministerium, zusätzliche Leitlinien zum Datenschutz für Teilnehmer, Sponsoren und Dienstleister von Altersvorsorgeplänen bereitzustellen.

Insbesondere sagte das GAO, der Arbeitsminister „should clarify what participant information should be considered private and the circumstances in which service providers should obtain written permission before using or sharing this information."“

„Such guidance could also identify best practices including for providing individual participants with choice, to the extent practicable, about how their personal information may be used, sold or shared," fügte das GAO hinzu.

The Labor Department said in response that it “fully supports the goal of appropriately protecting the personal information of participants and beneficiaries of plans,” but it neither agreed nor disagreed with the report’s recommendations.

Die Behörde verwies auf ihre Cybersecurity-Leitlinie von 2021, in der Datenschutz als Teil der treuhänderischen Pflichten von Dienstleistern gegenüber Planteilnehmern behandelt wird und in der festgehalten wird, dass Verträge die Verpflichtung des Anbieters zum Schutz privater Informationen klar darlegen sollten.

The Labor Department added that while it believes the 2021 guidance makes clear to fiduciaries that they must include data privacy considerations in their contracts, it will, as resources permit, “carefully consider whether supplemental guidance aligned with the recommendation could or should be issued.”

MOST AMERICANS STILL TRUST FINANCIAL ADVISORS OVER AI TOOLS FOR MAJOR MONEY DECISIONS, STUDY FINDS

AMERICANS' 401(K) BALANCES HIT RECORD LEVELS IN 2025

FIDELITY ESTIMATES RETIREES WILL SPEND $185,500 ON HEALTHCARE AND MEDICAL EXPENSES IN RETIREMENT