SCHUFA vor dem EuGH: Die aktuelle Scoring-Praxis verstößt gegen geltendes Datenschutzrecht

Am 7. Dezember urteilte der EuGH im Rahmen zweier Vorabentscheidungsverfahren zu zentralen datenschutzrechtlichen Fragen rund um das Scoring der SCHUFA (siehe Pressemitteilung des EuGH). Zum bisherigen Verfahrensgang verweisen wir auf unseren letzten Beitrag vom 12.04.2023.

Die Entscheidungen des EuGH dürften sich im weiteren Verlauf nicht nur für die SCHUFA als größte Auskunftei Deutschlands auswirken, sondern für alle sog. Wirtschaftsauskunfteien innerhalb der Europäischen Union. Aber auch für uns Verbraucher*innen.

EuGH zur „Restschuldbefreiung“

Im EuGH-Verfahren „Restschuldbefreiung“ (C-26/22 und C-64/22) ist das Ergebnis insgesamt weniger spektakulär, da hier seitens der SCHUFA und anderer Auskunfteien bereits vor dem Urteilsspruch eine Umsetzung des im EuGH-Urteil von allen Seiten erwarteten Ergebnisses über entsprechende Pressemitteilungen angekündigt wurde:

Konkret heißt das, dass eine Information aus einem öffentlichen Verzeichnis, wie die Information „Restschuldbefreiung“ aus dem Datenbestand der Auskunftei, nach Erreichen der Speicherdauer des öffentlichen Verzeichnisses auch aus dem Datenbestand der Auskunftei gelöscht werden muss. So sah es auch das VG Wiesbaden im entsprechenden Vorlagebeschluss.

Kurzum: Es muss also zukünftig sichergestellt sein, dass solche Informationen im Datenbestand der Auskunftei nicht länger gespeichert werden, als diese Informationen im öffentlichen Verzeichnis verfügbar sind.

Denn für eine längere Speicherung im Datenbestand der Auskunftei fehle nach Ansicht des EuGH eine konkrete Rechtsgrundlage! Im vorliegenden Fall ist die Information zur „Restschuldbefreiung“ ebenfalls bereits nach sechs Monaten zu löschen; so wie dies auch im öffentlichen Insolvenzregister geschieht.

Auswirkungen?

Aufgrund der veröffentlichten Ankündigungen darf vorsichtig davon ausgegangen werden, dass der Datenbestand der Auskunfteien entsprechend der Löschfrist von sechs Monaten bereinigt wurde. Zur Überprüfung der Einhaltung dieser Löschpflicht können möglicherweise betroffene Verbraucher*innen von ihrem Auskunftsrecht aus Art. 15 DSGVO gegenüber SCHUFA Gebrauch machen.

EuGH zum „Scoring“ (SCHUFA)

Im EuGH-Verfahren „Scoring“ (C-634/21) stellte der EuGH – verkürzt gesagt – fest, dass der durch die SCHUFA automatisiert erstellte Scorewert schon eine verbotene automatisierte Datenverarbeitung (gem. Art. 22 Abs. 1 DSGVO) ist, wenn dieser Scorewert maßgebliche Entscheidungsgrundlage eines Unternehmens ist.

Der EuGH hat also die Frage selbst nicht ganz beantwortet, sondern eine klare Anforderung definiert:

Entscheiden Unternehmen maßgeblich auf Grundlage eines Scorewerts darüber, wer einen Vertrag bekommt und wer nicht, dann ist das eine nach der DSGVO grundsätzlich verbotene Datenverarbeitung!

Maßgeblich oder nicht maßgeblich – das ist hier die Frage!

Es stellt sich also die große Frage, wie Unternehmen mit dem Scorewert arbeiten. Genau diese Frage wird das VG Wiesbaden im Ausgangsverfahren nun zu klären haben.

Wirft man einen Blick in die bisherige Position des VG Wiesbaden, ist wahrscheinlich davon auszugehen, dass diese „Maßgeblichkeit“ bejaht wird. Im Vorlageschluss des VG Wiesbaden heißt es in Rn. 25:

„Eine Kreditvergabe mag zwar trotz eines grundsätzlich ausreichenden Score-Werts (aus anderen Gründen, wie etwa des Fehlens von Sicherheiten oder Zweifeln am Erfolg einer zu finanzierenden Investition) versagt werden, ein nicht ausreichender Score-Wert hingegen wird jedenfalls im Bereich der Verbraucherdarlehen in fast jedem Fall und auch dann zur Versagung eines Kredits führen, wenn etwa eine Investition im Übrigen als lohnend erscheint. Dass Score-Werten bei der Kreditvergabe und der Gestaltung ihrer Bedingungen die entscheidende Rolle zukommt, zeigen Erfahrungen aus der behördlichen Datenschutzaufsicht […].“

Hier hält die SCHUFA klar dagegen: So sei der eigene Scorewert für Unternehmen in aller Regel keine maßgebliche Entscheidungsgrundlage heißt es in einer Pressemitteilung vom 7. Dezember 2023:

„Das weit überwiegende Feedback unserer Kunden lautet, dass Zahlungsprognosen in Form des SCHUFA-Scores für sie zwar wichtig, aber in aller Regel nicht allein entscheidend für einen Vertragsabschluss sind. Deshalb wird die große Mehrheit unserer Kunden SCHUFA-Scores weiterhin ohne Anpassung ihrer Prozesse nutzen können.“

Diese Haltung ist bemerkenswert. In der Vergangenheit warb die SCHUFA gerne und aktiv mit der Relevanz und Bedeutung des erstellten Scorewerts für die Privatwirtschaft. Aktuell legt die SCHUFA offenbar jedoch großen Wert darauf, die Werthaltigkeit des Produkts „Scorewert“ herunter zu spielen.

Dass der Scorewert in der Praxis heute eine zentrale Rolle spielt, zeigen jüngste Recherchen des NDR und der SZ (Newsartikel vom 4. Dezember 2023):

„Dabei bestätigten mehrere große Energieversorger, dass sie den Score heranziehen, um Neukunden zu beurteilen. Wem die Schufa eine gute Zahlungsfähigkeit bescheinigt, der bekommt von den Energieversorgern einen Sondervertrag mit günstigen Konditionen. Wer weniger gut beurteilt wird, muss in die teurere Grundversorgung.“

Kommt das VG Wiesbaden zum Ergebnis, dass in der aktuellen Praxis der Scorewert der Entscheidung über einen Vertrag maßgeblich zugrunde gelegt wird, greift das genannte Verbot!

Die denkbaren Folgen für die SCHUFA wären:

• SCHUFA muss mehr Transparenz schaffen!
  Die SCHUFA muss zur Berechnung des Scorewerts allen Verbraucher*innen aussagekräftige Informationen über die involvierte Logik sowie die Tragweite des Scorewerts zur Verfügung stellen!
  Aktuell liefert die SCHUFA hier nur wenige Informationen und verweist auf den Schutz der Scoreformel als Geschäftsgeheimnis.
• Ausnahme vom Verbot für SCHUFA nötig!
  Die SCHUFA darf einen Scorewert nur berechnen, wenn das Berechnen des Scorewerts ausnahmsweise erlaubt ist, z. B. über eine freiwillige Erlaubnis der Verbraucher*innen oder über eine deutsche Ausnahmeregelung im BDSG.
  Aktuell holt die SCHUFA von Verbraucher*innen keine Einwilligung ein. Die aktuell im BDSG vorhandenen Regelungen aus § 31 BDSG sind nach herrschender Ansicht europarechtswidrig; das VG Wiesbaden äußert sich in Rn. 42 des Vorlagebeschlusses hierzu: „Die […; SCHUFA] würde dann nicht nur rechtsgrundlos handeln, sondern verstieße ipso iure gegen das Verbot des Art. 22 Abs. 1 DS-GVO.“ (Fettung nicht im Original)

Auswirkungen?

• Sofern sich Unternehmen entscheiden, vorgreifend den Scorewert nur noch als ein Entscheidungskriterium von weiteren zu nutzen, dürften sich Entscheidungsfindungen auch aus Sicht von Verbraucher*innen verlängern, als dies bisher der Fall war.
• Eine Reform der nationalen Regelung aus § 31 BDSG ist wahrscheinlich.
• KI-Verfahren, die automatisierte Entscheidungen zum Ziel haben, unterfallen denselben Grenzen, wie eine Scorewert-Berechnung durch die SCHUFA und müssen diesen Anforderungen gerecht werden.

 

Wir halten Sie in unserem Blog auch weiterhin über diesen Fall auf dem Laufenden!