zurück zum Artikel

Die vollautomatische Erstellung von Schufa-Profilen zur Kreditbewerbung verstößt gegen die DSGVO. Das meint der Generalanwalt der EU.

Die von der Schufa errechneten Wahrscheinlichkeitswerte ("Scores") über die Bonität eines Verbrauchers sind mit der Datenschutz-Grundverordnung (DSGVO [1]) nicht vereinbar. Davon geht Priit Pikamäe, Generalanwalt am Europäischen Gerichtshof (EuGH), aus. In seinen am Donnerstag veröffentlichten Schlussanträgen zu einem einschlägigen Rechtsstreit führt der EU-Jurist aus, dass die DSGVO ein Recht der betroffenen Person verankere, nicht einer ausschließlich auf automatisierter Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden. Das Scoring-Verfahren der Schufa verstoße gegen diese Klausel.

Der Generalanwalt ist laut seinem Schlussantrag [2] der Ansicht, dass die Schufa mit ihrem im Kern geheimen Score ein persönliches Profil erstelle. Darauf beruhende Entscheidungen etwa über eine Kreditvergabe oder die erfolgreiche Aufgabe einer Online-Bestellung entfalte rechtliche Wirkungen gegenüber Betroffenen oder beeinträchtige diese in ähnlicher Wiese erheblich. Pikamäe geht ferner davon aus, dass die Entscheidung "ausschließlich auf einer automatisierten Verarbeitung" beruhe. Die einschlägigen DSGVO-Bestimmungen seien daher anwendbar.

Beim Anmieten einer Wohnung, dem Abschluss eines Handyvertrags oder beim Stromanbieterwechsel kommt schnell die Schufa ins Spiel. Unternehmen fragen häufig erst Auskunfteien nach der Kreditwürdigkeit (Bonität). Die Schufa schickt dann zusätzlich zu relevanten Datenbankeinträgen einen Score-Wert. Dieser soll die Wahrscheinlichkeit widerspiegeln, ob der Kunde seinen Zahlungsverpflichtungen nachkommt oder Ausfälle drohen. Die Auskunfteien verweisen darauf, dass Wirtschaftspartner für Entscheidungen weitere Daten, die sie über einen interessierten Kunden haben, berücksichtigen sollen.

Klägerin bekam Kredit nicht

In der vom EuGH zu entscheidenden Rechtssache C-634/21 [3] forderte eine Verbraucherin zunächst bei der Auskunftei nähere Informationen über das Verfahren an, nachdem sie bei ihrer Bank keinen Kredit bekommen hatte. Die Betroffene verlangte von der Schufa zudem, den relevanten Eintrag zu löschen.

Nach einer ergebnislosen Beschwerde hat die Antragstellerin die Schufa vor dem Verwaltungsgericht (VG) Wiesbaden verklagt. Dieses will vom EuGH jetzt unter anderem wissen, ob das Scoring samt unkommentiertem Transfer an Dritte unter Artikel 22 DSGVO fällt [4]. Dieser besagt, dass eine Person "nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen" werden dürfen, wenn letztere "ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt".

Offenlegung gefordert

Der zuständige Generalanwalt unterstreicht nun, dass die betroffene Person nach einer anderen Bestimmung der DSGVO das Recht habe, von dem Verantwortlichen auch andere aussagekräftige Informationen zu erhalten, darunter über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling, über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Datenverarbeitung. Eingeschlossen sein müssten hinreichend detaillierte Erläuterungen zur Methode für die Berechnung des Score-Wertes und zu den Gründen, die zu einem bestimmten Ergebnis geführt haben.

Die Schufa müsste Betroffenen demnach allgemeine Angaben vor allem zu den Faktoren liefern, die sie bei der Entscheidungsfindung berücksichtigt, und zu deren Gewichtung auf aggregierter Ebene. Diese sind dem Generalanwalt zufolge entscheidend, damit Betroffene auch von ihrem Recht im Sinne der DSGVO Gebrauch machen könnten, automatisierte, auf Profiling basierende Entscheidungen anzufechten.

Privatkonkurs – wann zu löschen sei

In den zwei weiteren Fällen C-26/22 und C-64/22 [5], die ebenfalls das VG Wiesbaden dem EuGH vorgelegt hat, geht es um die Restschuldbefreiung nach Insolvenz. Privatleuten ist damit möglich, sich im Rahmen einer Verbraucherinsolvenz innerhalb eines begrenzten Zeitraums von ihren Zahlungsverpflichtungen zu befreien, auch wenn sie nicht allen finanziellen Forderungen nachkommen können.

Die Insolvenzgerichte machen solche Informationen öffentlich, löschen sie aber nach sechs Monaten. Die Schufa bewahrt solche Einträge in ihrem Register aber drei Jahre lang auf. Das ist nach Ansicht des Generalanwalts ebenfalls rechtswidrig. Es bestehe Anspruch auf Löschung. Ziel der Restschuldbefreiung sei, dass sich die Betroffenen wieder am Wirtschaftsleben beteiligen könnten. Die Speicherung durch eine Wirtschaftsauskunftei unterlaufe das. Der Bundesgerichtshof prüft derzeit einen ähnlichen Fall.

Schon was den Zeitraum des halben Jahres betrifft, in dem die personenbezogenen Daten auch in öffentlichen Registern verfügbar sind, sieht der Este Pikamäe die Wiesbadener Richter gefordert, die angeführten Interessen und Auswirkungen auf die betroffene Person gegeneinander abzuwägen. Sie müssten feststellen, ob die parallele Speicherung dieser Informationen durch private Wirtschaftsauskunfteien auf dieser Grundlage rechtmäßig sei. Die Schlussanträge sind für den Gerichtshof nicht bindend. Oft folgen die Luxemburger Richter aber der Empfehlung des Generalanwalts. Mit den EuGH-Entscheidungen ist in einigen Monaten zu rechnen.

[6]

(ds [7])

URL dieses Artikels:
https://www.heise.de/-7548631

Links in diesem Artikel:
[1] https://www.heise.de/thema/DSGVO#liste
[2] https://curia.europa.eu/juris/documents.jsf?num=C-634/21
[3] https://www.heise.de/news/Scoring-Die-Schufa-und-der-europaeische-Datenschutz-vor-dem-EuGH-7471755.html
[4] https://www.heise.de/news/Bonitaetspruefung-Schufa-Score-wird-zum-Fall-fuer-den-EuGH-6229371.html
[5] https://curia.europa.eu/juris/documents.jsf?num=C-26/22
[6] https://www.heise.de/newsletter/anmeldung.html?id=ki-update&wt_mc=intern.red.ho.ho_nl_ki.ho.markenbanner.markenbanner
[7] mailto:ds@heise.de

Copyright © 2023 Heise Medien