Das Ende einer gängigen Praxis?
Der Schufa Score war, ist und bleibt für viele Verbraucher ein Buch mit sieben Siegeln. So mancher weiß um die Folgen eines schlechten Score-Wertes, doch das Geheimnis darüber, wie dieser genau ermittelt wird, bleibt ein gut gehütetes Geheimnis der Schufa. Der Europäische Gerichtshof (kurz EuGH) hat in seiner Entscheidung vom 7. Dezember 2023 nun ein Machtwort gesprochen und sich bezüglich der Berechnung des Schufa-Scores, mit dem die Kreditwürdigkeit anhand einer Vielzahl von Parametern ermittelt wird, klar positioniert.
Warum geht es beim Schufa-Score?
Es ist gängige Praxis, dass u.a. Energieversorger, Banken, Vermieter aber auch Telekommunikationsdienstanbieter Informationen zur Kreditwürdigkeit potentieller Kunden bei privaten Auskunfteien wie der Schufa abfragen. Ziel ist es, das Risiko von Zahlungsausfällen zu minimieren. Je höher der Score-Wert ausfällt, um so wahrscheinlicher ist es für Unternehmen, dass der Kunde/die Kundin seinen/ihren finanziellen Verpflichtungen nachkommt. Wird die Entscheidung über den Vertragsabschluss also allein am Scorewert festgemacht, wird es mit niedrigem Scorewert eher unwahrscheinlich, dass ein Vertrag zustande kommt.
Was sagt der EuGH?
Die Luxemburger Richter stellten in ihrem Urteil klar, dass der aufgrund automatisch gesammelter Daten ermittelte Scorewert nicht das alleinige Kriterium für die Frage sein darf, ob Verträge mit Verbrauchern geschlossen werden oder nicht. Dies sei mit dem Verbot allein automatischer Entscheidungsfindung nach Art. 22 DSGVO unvereinbar.
Zudem stellte das Gericht klar, dass private Wirtschaftsauskunfteien wie die Schufa personenbezogene Daten in Fällen der Restschuldbefreiung nach Privatinsolvenz nicht länger (3 Jahre) speichern dürften als das öffentliche Insolvenzregister (6 Monate). Hier hatte die Schufa bereits im März 2023 aufgrund eines kritischen Gutachtens des Generalanwalts beim EuGH Priit Pikamäe eine Anpassung vorgenommen.
Auslöser der Entscheidung waren zwei Fälle deutscher Gerichte. In dem einen Fall hatte eine Frau vor dem Verwaltungsgericht Wiesbaden (Rechtssache C-634/21) geklagt. Ihr war wegen eines niedrigen Schufa-Scores ein Bankkredit verwehrt worden. Die Klägerin wollte dies nicht auf sich sitzen lassen und klagte gegen die Schufa auf Löschung von nach ihrer Auffassung falschen Eintragungen und Auskunft über die entscheidungsrelevanten Daten. Die Schufa war jedoch nur zur Offenlegung des Score-Wertes (85,96 %) und allgemeiner Informationen zur grundsätzlichen Funktionsweise ihrer Berechnungsmethode bereit, nicht aber, welche Einzelinformationen mit welcher Gewichtung in die Berechnung einfließen. Sie sei nicht zur Offenlegung der Berechnungsmethoden verpflichtet, da jene unter das Betriebs- und Geschäftsgeheimnis fielen.
Das Gericht hatte Zweifel an der Vereinbarkeit mit der DSGVO und legte den Fall im Oktober 2021 dem EuGH zur Vorabentscheidung vor. Es sei davon auszugehen, dass die Kreditablehnung allein aufgrund des automatisch erstellten Score-Werts erfolgt sei, was ein Verstoß gegen die Vorgaben der DSGVO darstelle.
Im zweiten Fall (verbundenen Rechtssachen C‑26/22 und C‑64/22) ging es u.a. um die Frage der Speicherung von Informationen zur Restschuldbefreiung nach Privatinsolvenz für drei Jahre und damit weit über die Speicherdauer von sechs Monaten im öffentlichen Register hinaus. Der EuGH entschied, dass die Schufa diese Informationen mit „existenzieller Bedeutung“ zu lange und damit datenschutzwidrig vorhalte.
Konsequenz für die Praxis?
Neben der bereits erwähnten Anpassung der Speicherdauer zu Informationen der Restschuldbefreiung gab es bisher keine weiteren nennenswerten Änderungen der sonstigen Prozessabläufe bei der Schufa. Die Schufa selbst begrüße, dass der EuGH zum Thema Scoring für mehr Klarheit gesorgt habe. Gleichwohl weißt die Schufa entgegen der öffentlichen Wahrnehmung darauf hin, dass der Score-Wert zwar wichtig sei für ein funktionierendes Wirtschaftsleben in Deutschland aber nicht allein für oder gegen einen Vertragsabschluss spreche. Ob durch die Entscheidung tatsächlich Verbraucherrechte nachhaltig gestärkt werden, bleibt abzuwarten, kann aber eher bezweifelt werden. Diese Auffassung scheint auch der wohl bekannteste Datenschutzaktivist Maximilian Schrems zu teilen, der durch seinen Verein Noyb (None of your business) am 16. Februar 2024 Beschwerde beim für die Schufa zuständigen Hessischen Datenschutzbeauftragten gegen das Geschäftsmodell der Schufa eingelegt hat.
Noyb wirft der Schufa vor, Verbrauchern bei kostenlosen Selbstauskünften bestimmte Daten vorzuenthalten und damit gegen Bestimmungen der DSGVO zu verstoßen.
Bei der sog. „Datenkopie“ teile die Schufa lediglich einen „Basisscore“ mit, während bei der kostenpflichtigen „Bonitätsauskunft“ insgesamt sechs verschiedene „Branchen-Scores“ mitgeteilt werden. Dies sei mit den Anforderungen des Art. 15 DSGVO, der eine vollständige Datenkopie vorschreibe, unvereinbar, so Noyb. Es bleibt abzuwarten, wie sich der Fall weiterentwickelt.