In einem Urteil vom heutigen Tag (Urteil in der Rechtssachen Rechtssache C-634/21 und den verbundenen Rechtssachen C-26/22 und C-64/22), hat der Europäische Gerichtshof die Nutzung des umstrittenen SCHUFA-Scores weitgehend eingeschränkt.
In Bezug auf die Informationen über die Erteilung einer Restschuldbefreiung entschied der Gerichtshof, dass es im Widerspruch zur DSGVO steht, wenn private Auskunfteien – wie unter anderem die SCHUFA – solche Daten länger speichern als das öffentliche Insolvenzregister. Die erteilte Restschuldbefreiung soll nämlich der betroffenen Person ermöglichen, sich erneut am Wirtschaftsleben zu beteiligen, und hat daher für sie existenzielle Bedeutung. Diese Informationen werden bei der Bewertung der Kreditwürdigkeit der betroffenen Person stets als negativer Faktor verwendet. Im vorliegenden Fall hat der deutsche Gesetzgeber eine sechsmonatige Speicherung der Daten vorgesehen. Der EuGH geht daher davon aus, dass nach Ablauf der sechs Monate die Rechte und Interessen der betroffenen Person diejenigen der Öffentlichkeit, über diese Information zu verfügen, überwiegen.
Unternehmen dürfen nicht ausschließlich auf Grundlage des automatisierten Scores entscheiden, ob sie Verträge mit Kunden abschließen. Laut Urteil ist das sogenannte „Scoring“ nur unter bestimmten Voraussetzungen zulässig. Die (europäische) Datenschutzgrundverordnung verbiete sogenannte „automatisierte Entscheidung im Einzelfall“, teilt der Gerichtshof in einer Pressemitteilung mit – „sofern die Kunden der Schufa, wie beispielsweise Banken, ihm eine maßgebliche bzw. entscheidende Rolle im Rahmen der Kreditgewährung beimessen“. Dies sah der Gerichtshof hier für gegeben.
Hintergrund:
Im Fall, der vor dem EuGH verhandelt wurde (auf Vorlage des Verwaltungsgerichts Wiebaden), ging es um eine Bankkundin, die keinen Kredit bekam, weil ihre Bewertung bei der SCHUFA zu schlecht war. Die Frau hatte die SCHUFA aufgefordert, einen Eintrag zu löschen und ihr Zugang zu den Score-Daten zu gewähren. Die SCHUFA teilte ihr zwar ihren Score-Wert und weitere allgemeine Informationen zur Berechnung mit, nicht aber die genaue Berechnungsmethode. In diesem konkreten Fall müsse man davon ausgehen, so der EuGH, dass die Kreditvergabe ausschließlich vom Score der Kundin abhing. Ein solches „Profiling“ sei unzulässig und könne Menschen diskriminieren.
Zwar erlaubt das europäische Recht auch nationale Sonderregeln, die mehr Datenspeicherung zulassen ( in Deutschland ist dies der § 31 Bundesdatenschutzgesetz). Das Verwaltungsgericht Wiesbaden muss jetzt klären, ob diese nationale Regelung gegen europäische Grundsätze beim Datenschutz verstoße. Bis zur abschließenden Klärung durch deutsche Gerichte bleibt es also erst einmal dabei, dass in Deutschland die SCHUFA die Zahlungsfähigkeit von Kunden per Score bewertet.
Derzeit wird eine Novellierung des Bundesdatenschutzgesetzes beim Innenministerium vorbereitet. Im Vorfeld hat die SCHUFA zusammen mit anderen Akteuren (u.a. dem Bund Deutscher Inkasso Unternehmen) schon beim Gesetzgeber interveniert und eine Novellierung der maßgeblichen Rechtsgrundlage gefodert: Die Schutzfunktionen des § 31 BDSG lassen sich erhalten, indem die Vorschrift so umformuliert wird, dass sie als Rechtsvorschrift über die Zulässigkeit automatisierter Einzelentscheidungen im Sinne von Artikel 22 Absatz 2 Buchstabe b DS-GVO dient.
Die BAG Schuldnerberatung hingegen vertritt die Ansicht, dass nun die Chance ergriffen werden sollte, durch eine entsprechende Gesetzesänderung im Rahmen der Novellierung des BDSG mehr Transparenz und Informationsrechte für Verbraucher*innen zu schaffen. Denkbar wären hier unter anderem nicht nur ein Recht auf Auskunft über die der SCHUFA vorliegenden Einmeldungen von Gläubigern und Geschäftspartnern, sondern auch ein Auskunftsrecht (bzw. Informationspflicht), wie der Scorewert konkret zustande gekommen ist und welche Kriterien in welcher Gewichtung dafür maßgebend waren. Auch ein Widerspruchsrecht, wenn für den Score verwendete Daten falsch oder unvollständig oder nicht mehr aktuell sind, sollte geregelt werden. Unserer Meinung nach wären die SCHUFA (und andere Auskunfteien) dazu sowieso nach Art. 12 DS GVO verpflichtet ( „alle Informationen […], die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ zu übermitteln.
Ähnliche Positionen vertritt der vzbv in einer Stellungnahme zum Urteil und fordert konkret in einem Positionspapier „Verbrauchergerechtes Bonitäts-Scoring“:
- Verpflichtende Darstellung eines nachvollziehbaren Scoring-Ergebnisses
- Ausweitung der Unterrichtungspflichten bei der Verwendung von Bonitäts-Scores
- Einführung von konkreten Qualitätsanforderungen an das Scoring-Verfahren der Wirtschaftsauskunfteien
- Verbot der Verarbeitung von Kontoinformationen durch Wirtschaftsauskunfteien
- Erarbeitung einer Positivliste für die Verarbeitung von Verbrauchermerkmalen (Proxy-Merkmalen)
- Gesetzliche Begrenzung der Speicherfrist einer Restschuldbefreiung – und außergerichtlichen Einigung – auf sechs Monate
- Gründung einer zentralen Unterstützungseinheit für sektorale Aufsichtsbehörden