"Score-Wert" der Schufa zur Vorlage an den EuGH

Score-Wert beurteilt Kreditwürdigkeit einer Person

Die SCHUFA, eine private Wirtschaftsauskunftei, versorgt ihre Vertragspartner mit Informationen zur Kreditwürdigkeit Dritter und erstellt zu diesem Zweck sog. Score-Werte. Für die Ermittlung dieses Wertes wird aus bestimmten Merkmalen einer Person auf der Grundlage mathematisch-statistischer Verfahren für diese die Wahrscheinlichkeit eines künftigen Verhaltens, wie beispielsweise die Rückzahlung eines Kredits, prognostiziert. Die im Einzelnen zugrunde gelegten Merkmale als auch das mathematisch-statistische Verfahren werden von der SCHUFA nicht offengelegt. Diese beruft sich darauf, dass die Berechnungsmethoden unter das Betriebs- und Geschäftsgeheimnis fielen. Die Klägerin wandte sich in Bezug auf die von ihr begehrte Auskunft und Löschung an den Hessischen Beauftragten für Datenschutz und Informationsfreiheit als Aufsichtsbehörde. Dieser lehnte das Begehren der Klägerin jedoch ab, da die SCHUFA bei der Berechnung des Bonitätswertes den im Bundesdatenschutzgesetz (BDSG) detailliert geregelten Anforderungen in der Regel genüge und im hiesigen Fall keine Anhaltspunkte vorlägen, dass dem nicht so sei.

 

Muss die Schufa die DSGVO beachten?

Die 6. Kammer des VG Wiesbaden hat dem Gerichtshof der Europäischen Union (EuGH) zwei Fragen zur Klärung vorzulegen. Zum einen sei zu klären, ob die Tätigkeit von Wirtschaftsauskunfteien, Score-Werte über betroffene Personen zu erstellen und diese ohne weitergehende Empfehlung oder Bemerkung an Dritte (beispielsweise Banken) zu übermitteln, die dann unter maßgeblicher Einbeziehung dieses Score-Wertes mit der betroffenen Person vertragliche Beziehungen eingehen oder davon absehen, dem Anwendungsbereich des Art. 22 Abs. 1 Datenschutzgrundverordnung (DSGVO) unterfällt. Falls ja, sei diese für Wirtschaftsauskunfteien maßgebliche Tätigkeit vom Verbot der automatisierten Einzelfallentscheidung erfasst. Dies hätte zur Folge, dass diese Tätigkeit nur nach den Ausnahmetatbeständen des Art. 22 Abs. 2 DSGVO zulässig sei. Als diesbezügliche mitgliedsstaatliche Rechtsgrundlage käme nur § 31 BDSG in Betracht. Im Hinblick auf dessen Vereinbarkeit mit Art. 22 Abs. 1 DSGVO bestünden aber durchgreifende Bedenken. Die SCHUFA würde dann rechtsgrundlos handeln, und die Klägerin habe zugleich einen Anspruch gegen den Datenschutzbeauftragten auf aufsichtsbehördliche (Weiter-)Befassung mit ihrem Fall.

 

Scoring ist maßgebliches Kriterium für Verbraucherdarlehen

Die Erstellung von Score-Werten sei nicht lediglich ein die Entscheidung des dritten Verantwortlichen (beispielsweise einer Bank) vorbereitendes Profiling (siehe Art. 4 DSGVO), sondern gerade eine selbstständige „Entscheidung“ im Sinne des Art. 22 Abs. 1 DSGVO. Es bestünden gewichtige Anhaltspunkte dafür, dass die durch Wirtschaftsauskunfteien vorgenommene automatisierte Erstellung eines Score-Wertes eine eigenständige, auf einer automatisierten Verarbeitung beruhende Entscheidung sei. Zwar könnten jedenfalls rein hypothetisch die dritten Verantwortlichen eine eigene Entscheidung über das Ob und Wie eines Vertragsschlusses mit der betroffenen Person treffen, weil zu diesem Stadium des Entscheidungsprozesses eine menschlich gesteuerte Einzelfallentscheidung grundsätzlich noch möglich sei. Diese Entscheidung werde praktisch aber in erheblichem Maße durch den von Wirtschaftsauskunfteien übermittelten Score-Wert bestimmt. Der aufgrund automatisierter Verarbeitung erstellte Score-Wert sei eigentlich das entscheidende Kriterium über das Ob und Wie der Vertragseingehung des dritten Verantwortlichen mit der betroffenen Person. Der dritte Verantwortliche müsse seine Entscheidung zwar nicht allein vom Score-Wert abhängig machen, tue es in aller Regel jedoch maßgeblich. Eine Kreditvergabe möge zwar trotz eines grundsätzlich ausreichenden Score-Werts (aus anderen Gründen, wie etwa des Fehlens von Sicherheiten oder Zweifeln am Erfolg einer zu finanzierenden Investition) versagt werden. Ein nicht ausreichender Score-Wert hingegen werde jedenfalls im Bereich der Verbraucherdarlehen in fast jedem Fall und auch dann zur Versagung eines Kredits führen, wenn etwa eine Investition im Übrigen als lohnend erscheine. Score-Werten komme bei der Kreditvergabe und der Gestaltung ihrer Bedingungen die entscheidende Rolle zu. Vor den Gefahren dieser rein auf Automation gründenden Entscheidungsform solle Art. 22 Abs. 1 DSGVO die betroffene Person aber gerade schützen.

 

Vereinbarkeit von DSGVO und BDSG

Zudem legte das VG Wiesbaden dem EuGH eine Frage vor, die dann zu beantworten sei, wenn die 1. Vorlagefrage verneint werde. In § 31 BDSG treffe der deutsche Gesetzgeber im Kern detaillierte Regelungen über das Scoring als Unterfall des Profilings. Falls das Scoring nicht unter Art. 22 Abs. 1 DSGVO falle, so sei die allgemeine Vorschrift des Art. 6 DSGVO anzuwenden. Indem der deutsche Gesetzgeber weitergehende inhaltliche Zulässigkeitsvoraussetzungen an das Scoring knüpfe, spezifiziere er die Regelungsmaterie über die Vorgaben der DSGVO hinaus. Dafür fehle ihm jedoch die Regelungsbefugnis. Dies ändere den Prüfungsspielraum der nationalen Aufsichtsbehörde. Diese habe dann die Vereinbarkeit der Tätigkeit von Wirtschaftsauskunfteien an Art. 6 DSGVO zu messen. Es sei also durch den EuGH zu klären, ob die DSGVO der Regelung des § 31 BDSG entgegenstehe.

 

Einsicht in Bankkonten

Mit dem Ziel die Bonitätsprüfung auszuweiten, informierte die Schufa Holding AG zum Ende des Jahres 2020 über ihre Pläne zukünftig auch in Bankkonten einsehen zu wollen, um diese Erkenntnisse in das Scoring einfließen zu lassen. Eine Prüfung von Kontoauszügen ist ausschließlich mit Einwilligung des Kontoinhabers zulässig. Dieses Vorgehen nennt die Auskunftstei "CheckNow" und soll in Kooperation mit dem Telekommunikationsanbieter "Telefonica/O2" durchgeführt werden.

 

Keine Langzeitspeicherung von Insolvenzdaten

In einem Fall vor dem Schleswig-Holsteinischen Oberlandesgericht wandte sich zuletzt ein Verbraucher gegen die Schufa, um die Löschung seiner Insolvenzdaten gerichtlich durchzusetzen. Mit Urteil vom 02.07.2021 entschied das OLG, dass die Wirtschaftsauskunftei zwar die Daten aus dem Insolvenzbekanntmachungsportal zwar grundsätzlich verarbeiten darf, aber nicht über den gesetzlich vorgesehenen Zeitraum hinaus speichern dürfe (Az. 17U 5/21). Bis zu diesem Urteil speicherte die Schufa diese Daten für drei Jahre.

 

Quelle: Pressemitteilung des VG Viesbaden vom 25. Oktober 2021