EUGH-Urteil zum Schufa-Scoring:
Was ändert sich aufgrund des neuen Urteils zum Scoring und den Speicherfristen?
Im Dezember des letzten Jahres hat der Europäische Gerichtshof (EuGH) zwei wegweisende und lange erwartete Entscheidungen zum Thema Schufa Scoring und der Speicherdauer bei Privatinsolvenzen gefällt. Den Entscheidungen vorangegangen waren mehrere Fragen aus zwei Vorabentscheidungsersuchen, die das VG Wiesbaden dem EuGH bereits im Oktober 2021 vorgelegt hatte.
Hier werden kurz die beiden Ausgangsfälle sowie die Auswirkungen auf die Praxis erläutert.
1. Der erste Fall: Das Schufa Scoring
Dem ersten Vorabentscheidungsersuchen an den EuGH vorangegangen war eine Klage am Verwaltungsgericht Wiesbaden gegen den Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI).
Ursprünglich wollte die Klägerin lediglich einen Kredit bei einem Kreditinstitut aufnehmen. Dieser Kredit wurde ihr aber mit Verweis auf Ihren SCHUFA-Scorewert verweigert. Daraufhin verlangte die Klägerin zunächst von der SCHUFA Auskunft und Löschung der sie betreffenden Daten.
Die SCHUFA teilte der Klägerin aber lediglich ihren persönlichen Scorewert sowie die allgemeinen Berechnungsgrundsätze mit. Genauere Auskunft über die Informationen die Grundlage des Score-Wertes wurden, wies die SCHUFA mit Verweis auf ihr Geschäftsgeheimnis zurück.
Dagegen reichte die Klägerin Beschwerde beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI) ein. Diese blieb aber erfolglos.
Gegen diese erfolglose Beschwerde richtete sich nunmehr die Klage der Klägerin beim Verwaltungsgericht Wiesbaden.
In diesem Verfahren wandte sich das Verwaltungsgericht Wiesbaden daraufhin unter anderem mit folgender Frage an den EuGH:
„Ist Art. 22 Abs. 1 DSGVO dahin gehend auszulegen, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswerts über die Fähigkeit einer betroffenen Person, künftig einen Kredit zu bedienen, eine ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung darstellt, die der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wenn dieser mittels personenbezogener Daten der betroffenen Person ermittelte Wert von dem Verantwortlichen an einen dritten Verantwortlichen übermittelt wird und jener Dritte diesen Wert seiner Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit der betroffenen Person maßgeblich zugrunde legt?“
Kurz gesagt wollte das Verwaltungsgericht Wiesbaden wissen, ob die Entscheidung eines Kreditinstituts über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses eine automatisierte Entscheidung im Sinne von Art. 22 Abs. 1 DS-GVO darstellt, wenn der automatisiert ermittelte SCHUFA-Scorewert dafür die maßgebliche Entscheidungsgrundlage ist.
Der EuGH bejahte dies und führte aus, dass die Bildung genau dieses SCHUFA-Scorewertes eine automatisierte Entscheidung nach Art. 22 DS-GVO sein kann, wenn von diesem Wert die Entscheidung des Kreditinstituts „maßgeblich“ abhängt. Der Begriff „maßgeblich“ wurde so vorher aber noch nicht verwendet und stellt damit einen neuen Rechtsbegriff dar.
Als Folge daraus trug der EuGH dem Verwaltungsgericht Wiesbaden auf zu prüfen, ob und inwieweit § 31 des deutschen Bundesdatenschutzgesetzes (BDSG) eine rechtsgültige Ausnahme von diesem Verbot darstellt und damit die in der DS-GVO vorgesehenen allgemeinen Voraussetzungen für die Datenverarbeitung gegebenenfalls (doch) erfüllt sind. Gleichermaßen stellte der EuGH aber fest, er habe "durchgreifende Bedenken" an der Rechtsgültigkeit des § 31 BDSG. Eine finale Entscheidung dazu steht also noch aus.
2. Der zweite Fall: Die Speicherdauer bei der Privatinsolvenz
Die zweite Entscheidung des EuGH betraf zwei verbundene Rechtssachen über die zulässige Speicherdauer von Daten aus öffentlichen Registern bei der SCHUFA und privaten Wirtschaftsauskunfteien allgemein.
Im Falle einer Restschuldbefreiung bei natürlichen Personen werden Daten darüber im öffentlichen Insolvenzregister sechs Monate lang gespeichert. Die SCHUFA speicherte diese Daten aber bisher drei Jahre lang.
Der EuGH entschied, dass dies einen Widerspruch zur DS-GVO darstelle. Daten über die Restschuldbefreiung haben für die betroffenen Personen existenzielle Bedeutung. Deshalb dürfen diese Daten von der SCHUFA und anderen privaten Wirtschaftsauskunfteien nicht länger gespeichert werden, als dies im öffentlichen Insolvenzregister erfolgt. Die betroffenen Personen können bei einer längeren Speicherung ihr Recht auf Löschung der Daten aus der DS-GVO geltend machen.
3. Wie reagiert die Schufa?
Die SCHUFA reagierte gelassen auf die Urteile des EuGH.
Sie betonte in einer Stellungnahme, dass sie sich bereits zuvor mit ihren Kunden auf diese Entscheidungen vorbereitet habe.
Zudem herrsche nun Klarheit für Verbraucher und auch die SCHUFA darüber was gesetzlich zulässig ist und was nicht.
An der grundsätzlichen Bereitstellung des SCHUFA-Scorewertes werde sich aber nichts ändern.
4. Welche Auswirkung hat die Entscheidung auf die Praxis?
Unternehmen müssen nun vor allem aufgrund des ersten Urteils prüfen, wie sie Entscheidungen über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit einer natürlichen Person treffen und welche Rolle der SCHUFA-Scorewert dabei einnimmt.
Wenn der SCHUFA-Scorewert „maßgeblich“ für die Entscheidung ist, so ist von einer verbotenen automatisierten Entscheidung im Sinne der DS-GVO auszugehen.
Betreffende Prozesse müssen also dahingehend angepasst werden, dass zukünftig eine Entscheidung im Einzelfall getroffen wird und diese gerade nicht maßgeblich von dem SCHUFA-Scorewert abhängig gemacht wird.