Datenschutz: Scoring der Auskunftei Crif in Österreich weitgehend rechtswidrig
Das Schufa-Pendant Crif (Deltavista) hat unzulässig Daten eines Adressverlags für Bonitätsschätzungen genutzt, sagt die österreichische Datenschutzbehörde.
In diesem Gebäude in Wien-Landstraße hat unter anderem die österreichische Datenschutzbehörde ihren Sitz.
(Bild: Daniel AJ Sokolov)
Herber Schlag für das Geschäftsmodell der Wirtschaftsauskunftei Crif (ehemals Deltavista) in Österreich: Die dortige Datenschutzbehörde (DSB) hat entschieden, dass Crif jahrelang unrechtmäßig Daten vieler Bürger für die Berechnung sogenannter Score-Werte zur Bonitätsprüfung verarbeitet hat. Stein des Anstoßes: Crif erhielt Informationen wie Namen, Anschriften und Geburtsdaten vom Adressverlag AZ Direct Österreich, der zu Bertelsmann gehört. Dieser war laut der Entscheidung aber gar nicht befugt, diese Daten für Zwecke der Bonitätsbeurteilung offenzulegen beziehungsweise zu verkaufen.
Die umstrittene Datenverarbeitung durch die Auskunftei sei durch keinen Erlaubnistatbestand des Artikels 6 Datenschutz-Grundverordnung (DSGVO) gedeckt, schreibt die DSB in dem jetzt veröffentlichten Bescheid gegen Crif vom 24. März (Az. D124.3816 2023-0.193.268). Die Verarbeitung sei daher rechtswidrig.
Bertelsmann-Tochter hätte Daten nicht verkaufen dürfen
Die Behörde hat schon im Juli festgestellt (Az. D124.3817 2021-0.584.299), dass AZ Direct mit der Weitergabe der Daten ohne Einschränkung auf Direktmarketing gegen den Zweckbindungsgrundsatz verstoßen habe. Denn die Daten wurden für Direktmarketing erhoben, nicht für andere Behufe.
Diese Rechtsverletzung durch AZ Direct könne zwar nicht Crif zugerechnet werden. Für eine zulässige Datenverarbeitung müssten aber alle in Artikel 5 DSGVO aufgestellten Grundsätze eingehalten werden. Demnach müssen personenbezogene Informationen etwa "für festgelegte, eindeutige und legitime Zwecke erhoben werden".
Noyb feiert Erfolg in Musterverfahren
Die Beschwerde reichte ein Betroffener mit Unterstützung der Bürgerrechtsorganisation Noyb ein, die von einem nun gewonnenen "Musterverfahren" spricht. Crif habe durch die Kooperation mit AZ Direct Millionen Österreicher erfasst, ihnen einen "Bonitäts-Score" zugewiesen und die Daten "jedem Unternehmen zum Kauf angeboten". Viele Mobilfunkanbieter, Online-Shops wie Zalando oder Media Markt und Banken nutzten diese Richtwerte, "um mehr über ihre Kunden herauszufinden".
Den Kunden werde "bei zu niedrigen Punktzahlen kein Handyvertrag oder Stromvertrag gegeben", erläuterte Noyb-Gründer Max Schrems. "Es kann auch sein, dass man höhere Kreditraten zahlen muss, wenn die Bank diesen Score heranzieht." Ein solches umstrittenes Verfahren müsse die gesamte Wohnbevölkerung nicht über sich ergehen lassen.
Weiteres Verfahren gegen Crif läuft
Entgegen dem Noyb-Antrag verhängt die DSB noch kein "ganz konkretes Verarbeitungsverbot" der von dem Adressverlag gekauften Daten. Das dürften Betroffene nämlich gar nicht beantragen, sondern werde in einem separaten, amtswegig eröffneten Verfahren entschieden.
Noyb geht davon aus, dass die DSB bald "eine generelle amtswegige Untersagung" aussprechen werde. Crif werde vermutlich in Berufung gehen, da es ums Kerngeschäft gehe. In der Zwischenzeit könnten Betroffene "schon mal Beweise sammeln" und bei der Firma "eine Auskunft über die eigenen Daten verlangen", um künftig eventuell Schadenersatz geltend zu machen.
Ob Schadenersatz ohne konkret bezifferbaren Schaden zustünde, ist strittig. Dazu ist beim Europäischen Gerichtshof (EuGH) gerade ein Verfahren anhängig, das ebenfalls aus Österreich stammt: Die Österreichische Post hat heimlich für 2,2 Millionen Österreicher deren vermeintliche "Affinität" zu bestimmten politischen Parteien errechnet. Ein Betroffener begehrt Schadenersatz für das dadurch erlittene "innere Ungemach".
Crif hat Zweckbindung nicht verletzt
Mit merkwürdig anmutender Argumentation weist die österreichische Datenschutzbehörde einen weiteren Teil der Beschwerde gegen Crif ab: Der Betroffene hat sich nämlich auch darüber beschwert, dass Crif seine von AZ Direct gekauften Daten zu einem anderen Zweck verwendet hat, als sie ursprünglich von AZ Direct erhoben wurden.
Dazu sagt die Behörde, dass Crif die Daten schon von Beginn an, also zum Zeitpunkt des Kaufs von AZ Direct, für die Berechnung von Bonitätszwecken haben wollte. Daher liege seitens Crif keine Verletzung des Grundsatzes der Zweckbindung vor, eben weil Crif nie etwas anderes behauptet habe. Beide Verfahrensparteien können Rechtsmittel einlegen. heise online hat Crif Dienstagabend zu einer Stellungnahme eingeladen.
(ds)
