PoS-Agenten in Nigeria — etwa 2 Millionen Betreiber an rund 5,9 Millionen aktiven Terminals im ganzen Land — sind nach dem Nigeria Data Protection Act 2023 nun rechtlich als Data Controllers and Processors of Major Importance eingestuft.

Die Einstufung folgt auf ein Urteil des Federal High Court, das den Datenschutz-Compliance-Rahmen Nigerias auf eines der größten informellen Finanznetzwerke des Landes ausgedehnt hat. Nach dem Urteil müssen PoS-Agenten sich bei der Nigeria Data Protection Commission (NDPC) registrieren, andernfalls droht rechtliche Haftung.

Die Entscheidung fiel in Emmanuel Harunna v. Nigeria Data Protection Commission, einem Verfahren, in dem der Antragsteller das Gericht ersuchte festzustellen, dass PoS-Agenten nicht unter die Registrierungspflicht der NDPC fallen.

Justice F.N. Ogazi vom Federal High Court wies die Klage ab und stellte fest, dass die NDPC im Rahmen ihrer gesetzlichen Befugnisse gehandelt habe, als sie PoS-Agenten als DCPMIs unter der Kategorie Major Data Processing at the Ordinary High Level eingestuft habe. Das Gericht hielt zudem fest, dass die Registrierungspflicht die verfassungsmäßigen Datenschutzrechte stärkt und nicht verletzt, weil sie Datenverarbeiter einer wirksamen behördlichen Aufsicht unterstellt.

Nach dem Urteil wies NDPC National Commissioner Vincent Olatunji alle nicht registrierten DCPMIs an, sich unverzüglich zu registrieren. Die Kommission warnte, dass eine unterlassene Registrierung nach dem Gesetz erhebliche rechtliche Haftungsfolgen hat.

Ein PoS-Agent, der eine Banküberweisung verarbeitet, hat in der Regel mit der Kontonummer des Kunden, der Bank Verification Number, der Transaktionshistorie und in vielen Fällen auch mit biometrischer Bestätigung zu tun. Über 5,9 Millionen Terminals hinweg bedeutet dies ein sehr großes Volumen sensibler Finanzdaten, das täglich von Betreibern verarbeitet wird, die seit der durch finanzielle Inklusion getriebenen Verbreitung von PoS in Nigeria weitgehend außerhalb der formellen Datenschutz-Compliance-Struktur agiert haben.

Diese Pflichten wurden ursprünglich für Organisationen mit Compliance-Infrastruktur konzipiert. Die meisten PoS-Agenten sind Einzelunternehmer oder Kleinstunternehmer, die mit einem Terminal, einem Telefon und einem Float arbeiten.

Der Registrierungsrahmen der NDPC unterteilt Major Data Processing in drei Stufen mit jeweils eigenen Gebühren. Für Ultra High Level Processing fällt eine Registrierungsgebühr von ₦250,000 an. Extra High Level kostet ₦100,000. Ordinary High Level, die Stufe, in die die meisten PoS-Agenten fallen, kostet ₦10,000.

Die Kommission hat erklärt, die Staffelung solle kleineren Organisationen, die mit risikoreicher Datenverarbeitung befasst sind, die Geschäftstätigkeit erleichtern. Auf dem Papier wirkt die Gebühr von ₦10,000 moderat. Für einen PoS-Agenten, der mit knappen Transaktionsmargen in einem Markt arbeitet, der bereits CBN-Gebühren, Netzgebühren und die Kosten für den Umgang mit Bargeld in einer weiterhin von Liquiditätsdruck geprägten Wirtschaft trägt, ist es jedoch eine weitere Kostenposition, die ohne Vorwarnung oder Vorbereitung eintritt.

Die 2024 veröffentlichte NDPC Guidance Notice, die diesem Urteil vorausging, hatte bereits die Kategorien von Organisationen beschrieben, die sich in Nigeria als data controllers and processors registrieren müssen, und Organisationen von besonderem Wert oder besonderer Bedeutung für die Wirtschaft, die Gesellschaft oder die Sicherheit Nigerias als DCPMIs benannt. PoS-Agenten waren in diesem Rahmen enthalten, doch die rechtliche Anfechtung durch Emmanuel Harunna schuf Unsicherheit darüber, ob die Einstufung einer gerichtlichen Überprüfung standhalten würde. Das Urteil von Justice Ogazi beseitigt diese Unsicherheit.

Das Gericht stellte fest, dass Section 65 des NDPA Vorrang vor jedem widersprechenden Gesetz in Datenschutzfragen hat und damit die übergeordnete Geltung des Gesetzes sektorübergreifend bekräftigt.

Das Urteil kommt zu einem Zeitpunkt, an dem Nigerias Durchsetzung von Datenschutzvorschriften erkennbar strenger wird. In den vergangenen Monaten hat die NDPC die Maßnahmen gegen Unternehmen verstärkt, denen unrechtmäßige Datenverarbeitung und grenzüberschreitende Datenübermittlungen vorgeworfen werden. Olatunji hat personenbezogene Daten bei mehreren öffentlichen Anlässen als strategisches nationales Gut bezeichnet.

Bereits zu Beginn dieses Jahres erzielte die Kommission eine weitere bemerkenswerte Entscheidung, als ein Federal High Court GTCO wegen des Versands unerbetener Marketingnachrichten an eine Nichtkundin bzw. einen Nichtkunden zu Schadensersatz in Höhe von ₦250,000 verurteilte. Das unterstreicht, dass Verstöße gegen den Datenschutz direkte finanzielle Folgen haben können. Das PoS-Urteil überträgt diesen Durchsetzungsansatz auf einen Sektor, der seit Jahren sensible Finanzdaten in großem Umfang und mit minimaler behördlicher Aufsicht verarbeitet hat.

Nigerias PoS-Agentennetzwerk wuchs rasch im Zuge der CBN-Ziele zur finanziellen Inklusion, wobei die Agenten vor allem in Transaktionsverarbeitung, Bargeldmanagement und Betrugsprävention auf Kundenseite geschult wurden. Datenschutz-Compliance war nicht Teil dieser Schulung.

Viele PoS-Agenten in Orten wie Onitsha, Kano oder Yenagoa wussten am Morgen nach der Urteilsverkündung nicht, dass ein Gericht ihren Status als Datenverarbeiter formalisiert hatte, dass die Registrierung bei der NDPC nun eine sofortige gesetzliche Pflicht ist oder dass der Betrieb ohne diese Registrierung sie den von der Kommission genannten Haftungsrisiken aussetzt.

Die NDPC verfügt nun über die angestrebte rechtliche Befugnis, und das Gericht hat dies bestätigt. Die Compliance-Pflicht erfasst nun mehr als 2 Millionen PoS-Agenten und 5,9 Millionen Terminals.

Offen bleibt, ob die Kommission die Durchsetzung mit der notwendigen Aufklärungs- und Informationsarbeit verbindet, damit die Einhaltung der Vorschriften für Betreiber am unteren Ende des formellen Finanzsystems tatsächlich erreichbar ist. Davon hängt ab, ob dieses Urteil den Datenschutz in Nigeria stärkt oder lediglich eine neue Haftung für die informelle Finanzinfrastruktur des Landes schafft, ohne den Schutz der betroffenen Menschen zu verbessern.