EUGH-Urteil zum SCHUFA-Scoring: Was ändert sich aufgrund des neuen Urteils zum SCHUFA-Scoring und den Speicherfristen - auch bei Privatinsolvenz?
Datenschutz |
Im Dezember des letzten Jahres hat der Europäische Gerichtshof (EuGH) zwei wegweisende und lange erwartete Entscheidungen zum Thema SCHUFA-Scoring und der Speicherdauer des SCHUFA Scores bei Privatinsolvenzen gefällt. Den Entscheidungen vorangegangen waren mehrere Fragen aus zwei Vorabentscheidungsersuchen, die das VG Wiesbaden dem EuGH bereits im Oktober 2021 vorgelegt hatte.
Hier werden kurz die beiden Ausgangsfälle sowie die Auswirkungen des EUGH-Urteils zum SCHUFA-Scoring auf die Praxis erläutert.
1. Der erste Fall: Das EuGH zum SCHUFA-Scoring
Dem ersten Vorabentscheidungsersuchen zum Schufa-Scoring an den EuGH vorangegangen war eine Klage am Verwaltungsgericht Wiesbaden gegen den Hessischen Be-auftragten für Datenschutz und Informationsfreiheit (HBDI).
Ursprünglich wollte die Klägerin lediglich einen Kredit bei einem Kreditinstitut aufnehmen. Dieser Kredit wurde ihr aber mit Verweis auf Ihren SCHUFA-Scorewert verwei-gert. Daraufhin verlangte die Klägerin zunächst von der SCHUFA Auskunft und Löschung der sie betreffenden Daten.
Die SCHUFA teilte der Klägerin aber lediglich ihren persönlichen SCHUFA-Scorewert sowie die allgemeinen Berechnungsgrundsätze beim SCHUFA-Scoring mit. Genauere Auskunft über die Informationen die Grundlage des SCHUFA-Score-Wertes wurden, wies die SCHUFA mit Verweis auf ihr Geschäftsgeheimnis zurück.
Dagegen reichte die Klägerin Beschwerde beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI) ein. Diese blieb aber erfolglos.
Gegen diese erfolglose Beschwerde richtete sich nunmehr die Klage der Klägerin beim Verwaltungsgericht Wiesbaden.
In diesem Verfahren wandte sich das Verwaltungsgericht Wiesbaden daraufhin unter anderem mit folgender Frage an den EuGH:
„Ist Art. 22 Abs. 1 DSGVO dahin gehend auszulegen, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswerts über die Fähigkeit einer betroffenen Person, künftig einen Kredit zu bedienen, eine ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung darstellt, die der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wenn dieser mittels personenbezogener Daten der betroffenen Person ermittelte Wert von dem Verantwortlichen an einen dritten Verantwortlichen übermittelt wird und jener Dritte diesen Wert seiner Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit der betroffenen Person maßgeblich zugrunde legt?“
Kurz gesagt wollte das Verwaltungsgericht Wiesbaden wissen, ob die Entscheidung eines Kreditinstituts über die Begründung, Durchführung oder Beendigung eines Ver-tragsverhältnisses eine automatisierte Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO darstellt, wenn der automatisiert ermittelte SCHUFA-Scorewert dafür die maß-gebliche Entscheidungsgrundlage ist.
Der EuGH bejahte dies und führte aus, dass die Bildung genau dieses SCHUFA-Scorewertes eine automatisierte Entscheidung nach Art. 22 DS-GVO sein kann, wenn von diesem SCHUFA-Scoring die Entscheidung des Kreditinstituts „maßgeblich“ abhängt. Der Begriff „maßgeblich“ wurde so vorher aber noch nicht verwendet und stellt damit einen neuen Rechtsbegriff dar.
Als Folge daraus trug der EuGH dem Verwaltungsgericht Wiesbaden auf, zu prüfen, ob und inwieweit § 31 des deutschen Bundesdatenschutzgesetzes (BDSG) eine rechtsgültige Ausnahme von diesem Verbot darstellt und damit die in der DSGVO vorgesehenen allgemeinen Voraussetzungen für die Datenverarbeitung gegebenenfalls (doch) erfüllt sind. Gleichermaßen stellte der EuGH aber fest, er habe "durchgreifende Bedenken" an der Rechtsgültigkeit des § 31 BDSG. Eine finale Entscheidung zum SCHUFA-Scoring steht also noch aus.
2. Der zweite Fall: Die Speicherdauer der SCHUFA bei der Privatinsolvenz
Die zweite Entscheidung des EuGHs betraf zwei verbundene Rechtssachen über die zulässige Speicherdauer von Daten aus öffentlichen Registern bei der SCHUFA und privaten Wirtschaftsauskunfteien allgemein.
Im Falle einer Restschuldbefreiung bei natürlichen Personen werden Daten im öffentlichen Insolvenzregister sechs Monate lang gespeichert. Die SCHUFA speicherte Daten, wie zum Beispiel zu einer Privatinsolvenz, aber bisher drei Jahre lang.
Der EuGH entschied, dass dies einen Widerspruch zur DSGVO darstelle. Daten über die Restschuldbefreiung haben für Personen, die von einer Privatinsolvenz betroffen sind, existenzielle Bedeutung. Deshalb dürfen diese Daten von der SCHUFA und anderen privaten Wirtschaftsauskunfteien nicht länger gespeichert werden, als dies im öf-fentlichen Insolvenzregister erfolgt. Von Privatinsolvenz betroffene Personen können bei einer längeren Speicherung ihr Recht auf Löschung der Daten aus der DSGVO geltend machen.
3. Wie reagiert die Schufa?
Die SCHUFA reagierte gelassen auf die Urteile des EuGHs.
Sie betonte in einer Stellungnahme, dass sie sich bereits zuvor mit ihren Kunden auf diese Entscheidungen vorbereitet habe.
Zudem herrsche nun Klarheit für Verbraucher und auch die SCHUFA darüber was gesetzlich zulässig ist und was nicht.
An der grundsätzlichen Bereitstellung des SCHUFA-Scorewertes werde sich aber nichts ändern.
4. Welche Auswirkung hat die Entscheidung zum SCHUFA-Scoring auf die Praxis?
Unternehmen müssen nun vor allem aufgrund des ersten Urteils zum SCHUFA-Scoring prüfen, wie sie Entscheidungen über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit einer natürlichen Person treffen und welche Rolle der SCHUFA-Scorewert dabei einnimmt.
Wenn der SCHUFA-Scorewert „maßgeblich“ für die Entscheidung ist, so ist von einer verbotenen automatisierten Entscheidung im Sinne der DSGVO auszugehen.
Betreffende Prozesse müssen also dahingehend angepasst werden, dass zukünftig eine Entscheidung im Einzelfall getroffen wird und diese gerade nicht maßgeblich von dem SCHUFA-Scorewert abhängig gemacht wird.