Verstößt das Schufa-Scoring gegen die DSGVO?

Das Jahr 2023 beginnt alles andere als gut für die deutsche Schufa. Der Europäische Gerichtshof (EuGH) hat aktuell zwei Fälle zur Entscheidung vorliegen, bei denen das vollständige System der Schufa verhandelt wird. Der Kernvorwurf, mit dem sich die Schufa konfrontiert sieht, liegt darin, dass die Auskunftei intransparent arbeitet und dadurch einen Verstoß gegen die Datenschutzgrundverordnung (DSGVO) begeht. Der Generalanwalt, der in der Zuständigkeit des EuGH tätig ist, kam bereits zu dem Ergebnis, dass durch das Schufa-Scoring ein Verstoß gegen die Regelungen der DSGVO vorliegt und dass dementsprechend die Auskunftei diejenigen Daten, die aus öffentlichen Verzeichnissen stammen, nicht für einen längeren Zeitraum speichern dürfen, als es diese öffentlichen Verzeichnisse selbst machen. Für unzählige Verbraucher sowie auch für die Schufa selbst könnte der Ausgang der beiden Verfahren weitreichende Folgen haben.

Bedeutung der Schufa und des Schufa-Scorings

Die Schufa sowie auch das Schufa-Scoring hat in Deutschland eine immens hohe Bedeutung für Verbraucher. Bereits seit unzähligen Jahren erschweren Auskunfteien das Leben von Verbrauchern, da die Vergabe von Krediten oder auch schon simplen Mobilfunkverträgen eng an die Einträge in der Schufa gekoppelt sind. Unberechtigte oder auch falsche Einträge können dazu führen, dass der Verbraucher bei dem Kredit- oder auch Mobilfunkanbieter keinen Kredit- bzw. Mobilfunkvertrag abschließen kann. Ein wesentlicher Aspekt bei diesem Vorgang ist der sogenannte Schufa-Score, dessen Berechnung seitens der Schufa vorgenommen wird.

EuGH prüft Schufa-Verfahren: Transparenz & DSGVO im Fokus

Die Art und Weise, wie dieser Score zustande kommt, ist dabei jedoch ein Geheimnis und lässt sich für den einzelnen Verbraucher an sich nicht nachvollziehen. Bis zum heutigen Zeitpunkt gab es diesbezüglich jedoch keinerlei rechtliche Bedenken, da dieses intransparente System sogar den Segen des Bundesgerichtshofs (BGH) hatte. Durch zwei Verfahren, die ursprünglich vor dem Verwaltungsgericht (VG) in Wiesbaden anhängig gewesen sind, wurde jetzt jedoch der EuGH zurate gezogen. Seit dem 26.01.2023 prüft der EuGH die Vorgänge rund um die Schufa, wobei insbesondere die Vereinbarkeit mit der DSGVO im Fokus der Prüfung steht. Diese beiden Verfahren stehen kurz vor dem Abschluss, da der zuständige Generalanwalt bereits seine Schlussanträge vorgelegt hat.

Relevanz der DSGVO im Zusammenhang mit der Schufa

Die Bestimmungen der DSGVO sind überaus relevant im Zusammenhang mit der Schufa, da es sich bei der Auskunftei um ein privatwirtschaftliches Unternehmen handelt. Dieses Unternehmen sammelt und speichert Verbraucherdaten und gibt diese Daten an die Kooperationspartner, wie Banken oder auch andere Unternehmen weiter. Diese Vorgehensweise ist rechtlich konform, solange ein berechtigtes Interesse für die Weitergabe der Daten vorliegt und der Verbraucher den Umfang der gespeicherten Daten nachvollziehen kann.

Die Auskunftei selbst bezieht sich im Zusammenhang mit ihrer Vorgehensweise auf den Artikel 6 der DSGVO, welcher die Datenspeicherung und Datenweitergabe durch das Vorliegen eines berechtigten Interesses legitimiert. Die Kooperationspartner der Schufa haben aus der Sicht der Auskunftei ein berechtigtes Interesse, da das wirtschaftliche Risiko eines Rechtsgeschäfts mit einem Verbraucher vor dem Abschluss eines Vertrages abgeschätzt werden muss und der Verbraucher einen Überblick über den Umfang der gespeicherten Daten hat. Problematisch ist allerdings der sogenannte Schufa-Score, der von der Auskunftei erstellt wird. Dieser Basis-Wert stellt ein Gesamtergebnis des gesamten Verbraucherprofils bei der Schufa dar und kann eben nicht durch den Verbraucher nachvollzogen werden.

Aufgaben und Funktionen der Schufa

Die Hauptaufgabe der Schufa findet sich bereits in dem Namen des privaten Unternehmens wieder. Bei der Bezeichnung Schufa handelt es sich um eine Abkürzung, deren Bedeutung „Schutzgemeinschaft für allgemeine Kreditabsicherung“ ist. Die Auskunftei schützt seine Kooperationspartner vor finanziellen Verlusten dahin gehend, dass Informationen über Verbraucher auf Anfrage der Unternehmen weitergegeben werden. Die Kooperationspartner der Schufa werden so in die Lage versetzt, ein genaueres Bild über den Verbraucher zu erhalten und die finanziellen Risiken eines Rechtsgeschäfts mit dem Verbraucher im Vorwege genauer abschätzen zu können.

Wie funktioniert das Schufa-Scoring?

Einer der Hauptkritikpunkte, mit denen sich die Schufa in den vergangenen Jahrzehnten konfrontiert sah, liegt in dem sogenannten Schufa-Scoring. Die Auskunftei erstellt auf der Basis der gesammelten Informationen ein „Standing“ des Verbrauchers. Der Schufa-Score ist ein mathematischer Wert, der von der Schufa auch gern als „Ampel“ dargestellt wird. Die Bonität eines Verbrauchers kann anhand dieses Score-Wertes eingesehen werden.

Ist dieser Score-Wert besonders hoch, so ist die Wahrscheinlichkeit eines Zahlungsausfalls von dem Verbraucher überaus gering und der Verbraucher ist dementsprechend sehr kreditwürdig. Sollte der Score jedoch gering ausfallen, so ist die Wahrscheinlichkeit eines Zahlungsausfalls überaus hoch. Bei der Auskunftei wird dieses Scoring mit den Farben „grün“, „gelb“ und „rot“ dargestellt. Bei einem Schufa-Score im grünen Bereich ist das wirtschaftliche Risiko eines Kredits für den Kooperationspartner sehr gering und der Verbraucher wird den angefragten Kredit- oder auch Mobilfunkvertrag mit hoher Wahrscheinlichkeit erhalten. Im Fall von „gelb“ besteht ein überschaubares Risiko und bei „rot“ wird der Kooperationspartner der Auskunftei die Kredit- oder auch Mobilfunkanfrage mit sehr hoher Wahrscheinlichkeit ablehnen. Problematisch ist in diesem Zusammenhang jedoch der Umstand, dass ein Verbraucher die Berechnung des Scores nicht nachvollziehen kann, da sich die Schufa diesbezüglich in Schweigen hüllt.

Das erste Verfahren vor dem EuGH beschäftigt sich mit dem Schufa-Score

In dem ersten Verfahren (Aktenzeichen Rs C 624/21) hat der EuGH die Frage zu entscheiden, ob der Score-Wert der Schufa mit den Bestimmungen der DSGVO-konform geht. Gerade der Score-Wert ist das Herzstück der Tätigkeit von der Auskunftei. Seitens des VG Wiesbaden wird die Auffassung vertreten, dass die Berechnung sowie auch Übermittlung von diesem Bonitätswert auf der Basis einer automatisierten Entscheidung im Sinne des Artikel 22 Abs. 1 DSGVO erfolgt und dass dieses Prinzip, mit Ausnahme von sehr wenigen Einzelsituationen, als rechtswidrig anzusehen ist.

Der Grund hierfür liegt in dem Umstand, dass Computer in derartigen Fällen Entscheidungen mit rechtlich gravierenden Auswirkungen auf den Menschen treffen würden. Hierbei wurde seitens des VG Wiesbaden natürlich der Umstand berücksichtigt, dass die endgültige Entscheidung über die Vertragsvergabe letztlich nicht bei der Schufa, sondern vielmehr bei den Kooperationspartnern der Auskunftei liegt. In der gängigen Praxis jedoch bemessen die Vertragspartner der Schufa dem Schufa-Score einen sehr hohen Wert bei, sodass die finale Entscheidung für gewöhnlich stets auf der Grundlage des Wertes erfolgt. Wenn dies der Fall ist, so würde ein Verstoß gegen das geltende EU-Recht sowie die DSGVO vorliegen und das System der Schufa bedürfe einer grundlegenden Reform.

Mögliche Konsequenzen für die Schufa und das Schufa-Scoring

In dem Schlussantrag kommt der EuGH-Generalanwalt zu der Schlussfolgerung, dass die Score-Werte als Grundlage der Berechnung einer menschlichen Kreditwürdigkeit als Verstoß gegen die Bestimmungen der DSGVO anzusehen ist. Zwar bezieht sich die Auskunftei bei dieser Praxis auf den § 31 BDSG, allerdings handelt es sich hierbei um eine nationale Regelung. Diese Regelung steht den Bestimmungen der DSGVO entgegen. Sollte der EuGH der Ansicht des Generalanwalts folgen, so muss die Schufa das Scoring im Sinne der DSGVO verändern.

Ziele und Grundsätze der DSGVO

Die DSGVO beschäftigt sich im Grundkern mit den Auswirkungen des digitalen Wandels und der damit verbunden Verarbeitung von personenbezogenen Daten. Durch die Einführung der DSGVO wurde für alle 28 EU-Mitgliedsstaaten eine einheitliche Regelung geschaffen, welche den persönlichen Datenschutz der EU-Verbraucher verbessert. Die Vorschriften verfolgen die Zielsetzung, dass sämtliche EU-Bürger vor dem Missbrauch derjenigen Daten, welche sie Institutionen oder auch Unternehmen aus geschäftlichen oder vertraglichen Gründen zur Verfügung stellen, geschützt werden. Als Grundsatz sieht die DSGVO die Daten als Bestandteil der sogenannten digitalen Intimsphäre eines EU-Bürgers an, welche ein Grundrecht darstellt.

DSGVO: Unternehmen müssen Datenspeicherung anpassen

Der Anwendungsbereich der DSGVO bezieht sich auf die Datenspeicherung sowie Datenweitergabe innerhalb des EU-Raums. Da es sich seit dem 25.05.2018 um ein anwendbares Recht handelt, müssen sämtliche Unternehmen ihre bisherige Praxis im Hinblick auf die Datenspeicherung sowie Datenweitergabe an die Bestimmungen der DSGVO anpassen, um Bußgelder oder weitergehende Strafen zu vermeiden.

Bedeutung für Verbraucher und Unternehmen

Für Unternehmen hat die Einführung der DSGVO eine überaus weitreichende Bedeutung. Die unternehmerische Datenerhebung sowie auch Datenweitergabe muss den Bestimmungen der DSGVO entsprechen und dementsprechend ein sehr hohes Maß an Integrität sowie Vertraulichkeit für den Verbraucher gewährleisten. Da zahllose Unternehmen bereits vor der Einführung der DSGVO ihre unternehmerische Tätigkeit in Form von Internetpräsenzen oder Cloud-Lösungen digitalisiert haben, müssen nunmehr Änderungen vorgenommen werden. Allein dieser Aspekt stellt die Unternehmen schon vor große Herausforderungen, allerdings betrifft die DSGVO nicht ausschließlich die digitalen Daten. Es geht vielmehr um die vollständig erhobenen Daten sowie die Praxis der Datenweitergabe.

Das zweite Verfahren beschäftigt sich mit der Schufa-Datenspeicherung aus öffentlichen Verzeichnissen

In dem zweiten Verfahren vor dem EuGH (Aktenzeichen Rs C 26/22 sowie C 64/22) muss gerichtlich die Frage geklärt werden, welche Art von Daten die Auskunftei für welchen Zeitraum speichern darf. Aktuell betreibt die Schufa eine Art anlassloser Datenvorratsspeicherung und entnimmt diese Daten auch öffentlichen Verzeichnissen. Vor dem VG Wiesbaden wurde die Frage behandelt, ob die Schufa die Daten einer Privatinsolvenz in Verbindung mit Restschuldbefreiung, welche die Auskunftei dem öffentlichen Register von Insolvenzbekanntmachungen entnommen hatte, überhaupt bei sich speichern darf. Das Gericht äußerte Zweifel dahin gehend, dass es sich um eine „Datenparallelhaltung“ handeln würde. Ob diese Parallelhaltung rechtlich zulässig ist und welche Fristen für die Datenlöschung gelten müssen. In dem öffentlichen Register werden diese Daten nach einem Zeitraum von sechs Monaten gelöscht, bei der Schufa jedoch werden diese Daten erst nach einem Zeitraum von drei Jahren gelöscht. Der EuGH-Generalanwalt kam diesbezüglich zu dem Ergebnis, dass eine längere Datenspeicherung bei der Schufa als rechtswidrig anzusehen ist. Als Begründung wurde angegeben, dass die Zielsetzung der Restschuldbefreiung durch die längere Datenspeicherung vereitelt werde.

Ausblick auf die zu erwartenden Urteile

Aktuell ist noch nicht absehbar, wie der EuGH in den beiden Fällen urteilen wird. Es ist jedoch davon auszugehen, dass die Urteile nicht im Sinne der Schufa ausfallen werden und dass sich die privatwirtschaftliche Auskunftei verändern muss.