Banken, Telekommunikationsdienste oder Energieversorger fragen meist bei privaten Auskunfteien wie der Schufa nach der Kreditwürdigkeit einer Person. Die Schufa liefert dann eine Einschätzung, den sogenannten Score-Wert. Der soll zeigen, wie gut der Betreffende seine Zahlungsverpflichtung erfüllt.
Hintergrund des Verfahrens vor dem Europäischen Gerichtshof sind mehrere Klagen von Bürgern aus Deutschland, denen ein Kredit mangels ausreichender Schufa-Bonität verwehrt wurde. Die Betroffenen verklagten die Wirtschaftsauskunftei sowohl wegen deren Scoring-Praxis als auch wegen der Speicherung von aus öffentlichen Registern übernommenen Informationen über die Erteilung einer Restschuldbefreiung. Beim Scoring wird statistisch die Bonität von Kreditnehmern ermittelt, um sie Kunden von Wirtschaftsauskunfteien, wie etwa Banken zur Verfügung zu stellen. Wie der Score genau berechnet wird, legt die Schufa nicht detailliert offen. Die Informationen über die Erteilung einer Restschuldbefreiung werden über drei Jahre - und damit weitaus länger als die sechs Monate in den öffentlichen Registern - gespeichert werden.
Das mit den Verfahren befasste Verwaltungsgericht ersuchte den EuGH, den Umfang des Schutzes der personenbezogenen Daten, wie er von der DS-GVO vorgesehen ist, näher zu erläutern. Diese schreibt vor, dass Entscheidungen, die für Menschen rechtliche Wirkung entfalten, nicht nur durch die automatisierte Verarbeitung von Daten getroffen werden dürfen.
Score und lange Speicherung rechtswidrig - Betroffene haben Anspruch auf Löschung
Die Luxemburger Richterinnen und Richter haben nunmehr entschieden, dass das Scoring der Schufa darunter fällt und nur unter bestimmten Voraussetzungen zulässig ist (Urteile vom 07.12.2023 - C-634/21; C-26/22; C-64/22). So dürften Unternehmen nicht ausschließlich auf Grundlage einer automatisierten Bewertung der Kreditwürdigkeit durch die Schufa entscheiden, ob sie Verträge mit Kunden abschließen. Der Score sei als eine grundsätzlich verbotene "automatisierte Entscheidung im Einzelfall" anzusehen, sofern die Kunden der Schufa ihm eine maßgebliche Rolle im Rahmen der Kreditgewährung beimäßen.
Nun müsse das vorlegende VG prüfen, ob und inwieweit das deutsche Bundesdatenschutzgesetz eine gültige Ausnahme von diesem Verbot enthalte und die in der DS-GVO vorgesehenen allgemeinen Voraussetzungen für die Datenverarbeitung erfüllt seien.
Die Speicherung der Informationen über die Erteilung einer Restschuldbefreiung verstoßt laut EuGH jedoch in jedem Fall gegen die DS-GVO. Private Auskunfteien dürften die Daten nicht länger speichern als ein öffentliches Insolvenzregister. Dies gelte insbesondere angesichts des Umstands, dass die erteilte Restschuldbefreiung der betroffenen Person ermöglichen soll, sich erneut am Wirtschaftsleben zu beteiligen und damit existenzielle Bedeutung habe. Würden die Daten länger als sechs Monate gespeichert, habe die betroffene Person das Recht auf unverzügliche Löschung.
Die Gerichte müssten aber auch in Bezug auf die parallele Speicherung der Informationen durch die Schufa während der sechs Monate eine Interessenabwägung vornehmen. Der Gerichtshof betonte, dass Betroffene in jedem Fall das Recht hätten, Widerspruch gegen die Verarbeitung ihrer Daten einzulegen und daraufhin Löschung verlangen könnten. Etwas anderes gelte nur, wenn die Schufa nachweise, das dem zwingende schutzwürdiger Gründe entgegenstünden.
Schufa und Verbraucherschützer begrüßen Entscheidung
Die Schufa begrüßte das Urteil: Es sorge für Klarheit, wie die Scores in den Entscheidungsprozessen von Unternehmen im Sinne der DS-GVO verwendet werden dürfen. "Das weit überwiegende Feedback unserer Kunden lautet, dass Zahlungsprognosen in Form des Schufa-Scores für sie zwar wichtig, aber in aller Regel nicht allein entscheidend für einen Vertragsabschluss sind", teilte die Schufa nach dem Urteil mit.
Nach Ansicht der Verbraucherzentrale Nordrhein-Westfahlen stärkt die Entscheidung Verbraucherrechte. "Diesem Ping-Pong bei dem Wunsch nach Auskunft setzt der EuGH nun ein Ende und sorgt für mehr Transparenz beim Bonitätsscoring", erklärte Wolfgang Schuldzinski, Vorstand Verbraucherzentrale NRW. Verbraucherinnen und Verbraucher müssten verständliche Informationen erhalten, wie ihre Score-Werte zustande kommen. "Jetzt kommt es darauf an, dass das Schutzniveau der Datenschutzgrundverordnung bei solchen automatisierten Entscheidungen nicht durch nationale Gesetze wieder abgesenkt wird", so Schuldzinski.
