Der Generalanwalt des EuGH plädierte Mitte März 2023 in seinem Schlussantrag zu zwei Vorlagebeschlüssen deutscher Gerichte (C64/22 und C26/22), dass er die Praktiken der Schufa, nur eingeschränkt Auskunft zu geben bzgl. der über einen Kreditnehmer gespeicherten Daten, nicht mit der DSGVO für vereinbar hält. Gleiches nimmt er an für die Schufa-Speicherung von Daten über die Restschuldbefreiung von drei Jahren statt sechs Monaten wie im öffentlichen Register vorgesehen.
1. Schufa-Scoring
Durch den sog. Score-Wert erstellt die Schufa in einem automatisierten Verfahren einen Wahrscheinlichkeitswert über die Kreditwürdigkeit eines Kreditnehmers. In diesen Wert fließen z. B. Wohnort, konkrete Adresse, Kreditausfälle oder Zahlungsverhalten aus Dauerschuldverhältnissen wie Miete, Telefonverträgen, Verbraucherkrediten etc. aus der Vergangenheit ein.
Das Scoring ist unter bestimmten Bedingungen gemäß § 31 BDSG in Deutschland zulässig. Artikel 22 Abs. 1 DSGVO schreibt aber auch vor, dass solche Entscheidungen, die für einen Betroffenen rechtliche Wirkung entfalten, nicht nur aufgrund eines automatisierten Vorgangs gefällt werden dürfen.
Im vorliegenden Fall hatte ein Betroffener, dem ein Kredit verwehrt wurde, bei der Schufa Auskunft verlangt, welche Parameter die Schufa über ihn gespeichert hatte. Die Schufa hatte dem Betroffenen jedoch nur den Score-Wert mitgeteilt, nicht aber die zugrunde liegenden Werte/Parameter. Dagegen wandte sich der Betroffene.
Der Generalanwalt plädierte in seinem Schlussantrag, dass bereits die Erstellung des Wahrscheinlichkeitswerts zur Kreditwürdigkeit (also der Score-Wert an sich) eine verbotene automatische Entscheidung sei. Dies gelte auch, wenn noch eine Bank endgültig über einen Kredit entscheide. Der Generalanwalt ist der Ansicht, dass die DSGVO dem § 31 BDSG entgegenstehe.
2. Schufa-Speicherung von Daten zur Restschuldbefreiung über die gesetzliche Frist hinaus
Im zweiten Fall geht es darum, dass ein Betroffener ein erfolgreiches Privatinsolvenzverfahren durchlaufen und eine Restschuldbefreiung erhalten hatte. Dieses wurde – wie gesetzlich vorgesehen – nach sechs Monaten aus dem öffentlichen Register gelöscht. Bei der Schufa hingegen wird diese Information der Restschuldbefreiung drei Jahre lang gespeichert. Auch hier befand der Generalanwalt, dass dies rechtswidrig sei.
Als Grund nannte er, dass nach Artikel 6 Abs. 1 lit. f DSGVO zwar die Speicherung von Informationen aus öffentlichen Registern ein berechtigtes Interesse im Sinne des Artikels 6 darstelle und unionsrechtlich grundsätzlich erlaubt sei (Art. 24 VO 2015/848). Die Speicherung sei auch grundsätzlich erforderlich im Sinne des Artikels 6. Allerdings hegt der Generalanwalt (berechtigte) Zweifel bei der Abwägung der Interessen des Verantwortlichen (also der Schufa) und der des Betroffenen. Nach den Erwägungsgründen des Europäischen Datenschutzausschusses hierzu seien auch die Folgen für den Betroffenen, ein vorläufiges Gleichgewicht sowie zusätzliche Schutzmaßnahmen des Verantwortlichen in die Abwägung der beiderseitigen Interessen heranzuziehen.
Zweck der Speicherung und zeitnahen Löschung einer Restschuldbefreiung sei es, dass die Betroffenen sich wieder „ohne Makel“ am Wirtschaftsleben beteiligen könnten. Da der Zugriff auf diese Informationen leicht sei (öffentliche Register), werde dieser Zweck konterkariert, wenn in privaten Auskunfteien wie der Schufa diese Informationen länger gespeichert seien als für öffentliche Register gesetzlich vorgeschrieben. Dies sei ein starker Eingriff in die Grundrechte des Betroffenen.
Dazu komme, dass die zunächst rechtmäßige Verarbeitung der Daten (über die Restschuldbefreiung) durch den Zeitablauf nun dem ursprünglichen Zweck nicht mehr entspreche (Art. 5 Abs. 1 lit b) und c) DSGVO) und zusätzliche Schutzmaßnahmen zugunsten der Rechte des Betroffenen seitens der Schufa nicht erkennbar seien.
Aus all diesen Gründen plädierte der Generalanwalt für ein unverzügliches Löschungsrecht der Betroffenen. Es bleibt abzuwarten, ob sich die Richter des EuGH in ihrem zu erwartenden Urteil den (verbraucherfreundlichen) Ansichten des Generalanwalts anschließen werden.
Handlungsbedarf
- Beobachtung der weiteren Rechtsprechung des EuGH
- Für Banken: Überprüfung der eigenen Kreditentscheidungsprozesse
- Für Banken: Voraussichtlich wird zukünftig sicherzustellen sein, dass die Kreditentscheidungsprozesse nicht ausschließlich auf dem Schufa-Scoring oder Scoring anderer Auskunfteien beruhen