Nach der Klage einer Verbraucherin gegen die Ablehnung eines Kredits wegen eines ungünstigen Schufa-Scores muss sich demnächst der Europäische Gerichtshof mit der Frage beschäftigen, ob die automatisierte Ermittlung solcher Werte und deren Weitergabe überhaupt mit der DSGVO vereinbar sind. In einem weiteren EuGH-Verfahren geht es um die Frage, ob und wie lange Auskunfteien wie die Schufa oder die Creditreform Boniversum Informationen über eine Restschuldbefreiung nach einem Insolvenzverfahren speichern dürfen.
Über die Kreditwürdigkeit eines Verbrauchers entscheidet üblicherweise der sogenannte Scoring-Wert, den Auskunfteien wie die Schufa oftmals in automatisierten Verfahren errechnen. Fallen diese Bonitätswerte zu schlecht aus, kann dies nicht nur heißen, dass die Betroffenen keine Bankkredite bekommen, sondern auch Online-Bestellungen nicht in der gewünschten Form aufgegeben werden können oder Mobilfunkverträge nicht zustande kommen.
Beschwerde an hessischen Datenschutzbeauftragten
Bedenken von Datenschützern gegen automatisierte Scoring-Verfahren gibt es schon seit längerem, doch nun befasst sich der Europäische Gerichtshof mit dieser Problematik. Den Stein ins Rollen gebracht hat eine Verbraucherin, der eine Bank unter Hinweis auf einen niedrigen Schufa-Score einen Kredit verweigert hatte.
Schlecht bewertete Verbraucherin stellte Antrag auf Auskunftserteilung gegenüber der Schufa
Die Bewertete stellte wegen des ungünstigen Scores daraufhin einen Antrag auf Auskunftserteilung sowie einen Löschantrag bei der Schufa. Die von der Schufa gelieferten Informationen, die neben dem aktuellen Score nur einige allgemeine Angaben zur grundsätzlichen Funktionsweise der Berechnung dieses Wertes enthielten, reichten der Klägerin jedoch nicht aus. Sie wandte sich deshalb mit einer Beschwerde an den hessischen Beauftragten für Datenschutz und Informationsfreiheit (BfDI). Die Datenschutzbehörde wollte in dem Fall jedoch nicht tätig werden und begründete dies damit, dass aus ihrer Sicht die Schufa bei der Berechnung der Bonitätswerte den Anforderungen des Bundesdatenschutzgesetzes genüge und auch in diesem Einzelfall keine Anhaltspunkte vorlägen, dass Verstöße begangen worden seien.
Bewertete erhob Klage gegen den Hessischen BfDI beim Verwaltungsgericht
Damit wollte sich die Verbraucherin jedoch nicht abfinden und erhob vor dem Verwaltungsgericht Wiesbaden Klage gegen den Hessischen BfDI. Das VG Wiesbaden beschloss nun, die Frage der Rechtmäßigkeit des Scoring-Verfahrens vom EuGH überprüfen zu lassen.
Verstößt automatisiertes Scoring gegen Art. 22 DSGVO?
In zwei Fragen will das Verwaltungsgericht Wiesbaden vom EuGH eine Klarstellung erreichen. So sollen die Straßburger Richter entscheiden, ob die Erstellung dieser Score-Werte und deren Weitergabe etwa an Banken nicht gegen das Verbot von automatisierten Entscheidungen verstößt, wie es in Art. 22 Abs. 1 DSGVO ausgesprochen wird.
Hier heißt es, dass Personen keiner „ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen“ werden dürfen, sofern durch die Entscheidung der Person gegenüber eine „rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt“ wird.
Bislang argumentieren die Scoring-Unternehmen gegen diesen Vorwurf mit dem Argument, dass der ermittelte Bonitätswert allein noch keine Entscheidung darstelle, sondern die Entscheidung über z.B. eine Kreditwürdigkeit stets bei den Kunden der Auskunfteien vorgenommen werden, üblicherweise durch die dortigen Mitarbeiter.
Doch beim VG Wiesbaden vertritt man eher die Auffassung, dass die faktische Entscheidung in der Realität eben nicht von den Kunden der Auskunfteien bzw. deren Mitarbeitern gefällt werde, sondern dies primär doch aufgrund des automatisiert erstellten Scoring-Werts geschehe. Zwar müsse die Entscheidung nicht allein von diesem Wert abhängig gemacht werden, „in aller Regel“ sei dieser Wert jedoch maßgeblich für die Entscheidung.
Zudem macht das Verwaltungsgericht bei der Argumentation gegen die Nutzung des Scoring-Verfahren auf eine mögliche Rechtslücke aufmerksam. So könnten die Betroffenen nach Art. 15 Abs. 1 lit. h DSGVO nur von ihrer Bank eine Auskunft über die bei der Entscheidungsfindung involvierte Logik verlangen. Die Banken haben aber selbst keine Informationen darüber, wie die Auskunfteien die Bonitätswerte berechnen, da diese die Verfahren als Betriebsgeheimnis schützen.
Zweifel auch an Rechtmäßigkeit des § 31 BDSG
Für den Fall, dass der EuGH das Scoring jedoch nicht als Unterfall des Art. 22 DSGVO einstuft und das Scoring in dieser Hinsicht also billigt, äußert das VG Wiesbaden zudem auch noch Zweifel daran, ob der für die Berechnung von Score-Werten verwendeten Vorgaben des § 31 BDSG mit der DSGVO vereinbar seien.
So stellt das Verwaltungsgericht dem EuGH die Frage, ob nicht Art. 6 Abs. 1 und Art. 22 DSGVO dahingehend auszulegen seien, dass sich die „Zulässigkeit von Entscheidungen, die nicht auf einer automatisierten Verarbeitung einschließlich Profiling beruhen“ nach Art. 6 DSGVO zu richten habe und damit den nationalen Gesetzgebern entzogen sei. In diesem Falle hätte auch der deutsche Gesetzgeber keine Befugnis zum Erlass dieser Vorschrift des § 31 BDSG gehabt.
( VG Wiesbaden, Beschluss v. 1.10.2021, 6 K 788/20.WI).
EuGH prüft auch die Rechtsmäßigkeit der Speicherung der Restschuldbefreiung
Mit der Einführung der DSGVO im Jahr 2018 kam auch Bewegung in die offene Rechtsfrage, ob und wie lange Auskunfteien das Merkmal der Restschuldbefreiung nach einer Insolvenz als Score-Wert verwenden und speichern dürfen. Bis dahin wurde die Speicherung und Berücksichtigung der Restschuldbefreiung für insgesamt drei Jahre nach Erteilung als zulässig angesehen. Auf Grundlage der DSGVO kann eine Löschung unter anderem dann verlangt werden, wenn die Verarbeitung nicht rechtmäßig, nach dem Verarbeitungszweck nicht mehr notwendig oder wegen einer besonderen persönlichen Situation zu entfernen ist (Art. 17 Abs. 1 DSGVO).
Im Juni und Juli 2021 haben das VG Wiesbaden (Urteil v. 7.6.2021 – Az. 6 K 307/20.WI) und das OLG Schleswig (Urteil v. 2.7.2021 – Az. 17 U 15/21) unabhängig voneinander entschieden, dass die Speicherung der Restschuldbefreiung durch die Schufa und andere Auskunfteien nur sechs Monate lang erfolgen darf. Beide Urteile sind noch nicht rechtskräftig. Die Schufa hat gegen das Urteil des OLG Schleswig Revision beim Bundesgerichtshof eingelegt. Auch gegen das Urteil des VG Wiesbaden wurden Rechtsmittel eingelegt. Das VG Wiesbaden hat daraufhin das Verfahren dem EuGH zur Klärung vorgelegt. Wann es bei den beiden Verfahren zu einer Entscheidung kommen wird, steht noch nicht fest.