Entscheidungen zu Zahlungsprognosen: EuGH zieht Grenzen für das Schufa-Sco­ring

Ist die Schufa zu mächtig? Und wie hält sie es mit dem Datenschutz? Ob Handy, Kredit oder Wechsel des Stromanbieters: Vor dem Vertragsschluss muss zuvor die Hürde der Bonitätsprüfung überwunden werden. Die Wiesbadener Wirtschaftsauskunftei sammelt Daten und verdichtet sie zu einem individuellen Score. Für ihre Kunden sind die Zahlungsprognosen ein wichtiges, teilweise wohl auch ausschlaggebendes, Kriterium bei Vertragsentscheidungen.

Datenschützer und so mancher Verbraucher sehen in der Schufa Holding dagegen den Endgegner. Für das anlasslose Sammeln persönlicher Merkmale und Verhaltensmuster, das dauerhafte Speichern der Daten und die fehlende Transparenz zur mathematisch-statistischen Ausgestaltung des Scoringmodells steht sie schon über Jahre hinweg in der Kritik. Der Score wird überwiegend von Unternehmen abgefragt, die vor einem Vertragsschluss wissen wollen, wie hoch die Wahrscheinlichkeit dafür ist, für gelieferte Waren und erbrachte Dienstleistungen auch bezahlt zu werden. 

Dass die Schufa ihre Algorithmen nicht offenlegen muss, entschied der Bundesgerichtshof schon Anfang 2014 (Urt. v. 28.01.2014, Az. VI ZR 156/13). Der Europäische Gerichtshof (EuGH) sollte jetzt, auf Vorlage des Verwaltungsgerichts (VG) Wiesbaden, klären, ob die Schufa-Geschäftspraktiken mit der seit Mai 2018 gültigen Europäischen Datenschutzgrundverordnung (DSGVO) vereinbar sind.

Wie zuvor schon Generalanwalt Priit Pikamäe, dessen Schlussanträge im März dieses Jahres veröffentlicht wurden, vertritt auch der EuGH die Auffassung, dass die Scoring-Praxis der Schufa nur unter bestimmten Voraussetzungen zulässig ist (Urt. v. 7.12.2023, Rechtssachen C-634/21, C-26/22 und C-64/22).

Datenschutzverstoß nur, wenn es auf Zahlungsprognose ankommt

Im ersten Vorabentscheidungsersuchen des VG ging es um die Frage, ob die Bonitätseinstufungen der Schufa als grundsätzlich unzulässige automatisierte Einzelfallentscheidungen (Art. 22 DSGVO) anzusehen sind. Im Verfahren vor dem VG verlangt die Klägerin, nachdem ihre Bank einen Kreditantrag abgelehnt hatte, von der Schufa Auskunft über die Daten, die über sie gespeichert sind, sowie die Löschung ihres Eintrags. Zuvor wurde ihr von der Schufa nur der Scorewert mitgeteilt. Eine vorangegangene Beschwerde beim Hessischen Datenschutzbeauftragten blieb erfolglos. Sie verklagte daraufhin das Land Hessen. Das VG wandte sich im Oktober 2021 an den EuGH (Beschl. v. 01.10.2021, Az. 6 K 788/20). 

Die in den Verfahren beigeladene Schufa argumentiert, dass sie ihre Kunden mit der Bereitstellung der Daten zwar bei der Entscheidungsfindung unterstütze, selbst aber keine Entscheidungen treffe. Somit falle man nicht in den Anwendungsbereich des Art. 22 DSGVO.

Der EuGH sieht das anders und bejaht einen Verstoß gegen die DSGVO, wenn das Scoring eine maßgebliche Rolle bei der Entscheidung über einen Vertragsschluss, im konkreten Fall der Kreditvergabe, spielt. Es sei nun am VG, zu prüfen, ob das deutsche Bundesdatenschutzgesetz eine gültige Ausnahme im Einklang mit der DSGVO enthalte und die allgemeinen Voraussetzungen für die Datenverarbeitung erfüllt seien.

"Existenzielle Bedeutung" der Restschuldbefreiung

Die zweite Vorlage betraf die Frage der Speicherung von Informationen zur Restschuldbefreiung nach einer Privatinsolvenz. Während Insolvenzgerichte öffentliche Informationen bereits nach sechs Monaten löschen, hielt die Schufa die Daten bislang bis zu drei Jahre vor. Ein Betroffener wollte die Eintragung mit Hilfe des Hessischen Datenschutzbeauftragten löschen lassen. Nachdem sich dieser unkooperativ zeigte, reichte der Betroffene Klage ein. Das VG bat den EuGH im Januar 2022 um Auslegung der DSGVO sowie der EU-Grundrechte-Charta (Beschl. v. 31.01.2022, Az. 6 K 1052/21). 

Nach Ansicht des EuGH speicherte die Schufa diese Daten bisher zu lange. Das Gericht bemisst der Restschuldbefreiung eine "existenzielle Bedeutung" zu. Entsprechende Informationen gingen bei der Bonitätsprüfung immer zu Lasten der betroffenen Personen. Eine Speicherung über den Zeitraum hinaus, in dem die Informationen im öffentlichen Insolvenzregister vorgehalten werden, stehe im Widerspruch zur DSGVO. 

Schufa begrüßt Klarheit, Verbraucherschützer warnen

Die Schufa hat schon im Vorfeld der EuGH-Entscheidung in Aussicht gestellt, die Praxis zur Erhebung und dem Umgang mit den Daten zu überarbeiten, falls es "zu neuen Rechtsauslegungen oder Gesetzen" kommt. Man wolle "weiterhin einen Beitrag für ein funktionierendes Wirtschaftsleben in Deutschland leisten". Eine Verkürzung der Speicherfrist für Informationen zur Restschuldbefreiung auf sechs Monate wurde im März 2023 umgesetzt. 

Nennenswerten Änderungsbedarf bei den sonstigen Prozessabläufen sieht die Schufa nach den Urteilen nicht. Man begrüße, dass der EuGH Klarheit in Sachen Scoring geschaffen habe. Die Zahlungsprognosen seien für die Kunden zwar wichtig, aber eben nicht allein entscheidend für einen Vertragsabschluss. Die Mehrheit der Kunden werde die Scores weiterhin ohne Anpassung nutzen können, teilte das Unternehmen auf LTO-Anfrage mit. 

Die Verbraucherzentrale NRW sieht in den Urteilen eine Stärkung der Verbraucherrechte. "Diesem Ping-Pong bei dem Wunsch nach Auskunft setzt der EuGH nun ein Ende und sorgt für mehr Transparenz beim Bonitätsscoring. Verbraucher:innen müssen verständliche Informationen erhalten, wie ihre Scorewerte zustande kommen". Es komme nun darauf an, das Schutzniveau der DSGVO bei solchen automatisierten Entscheidungen nicht durch nationale Gesetze wieder abzusenken.", so Vorstand Wolfgang Schuldzinski. 

Ein Pyrrhussieg für die Verbraucher?

Dr. Christoph Ritzer von der Kanzlei Norton Rose Fulbright erwartet ein "erhebliches Dilemma" für die Kreditwirtschaft, wenn die Scores der Schufa nicht mehr so einfach wie bisher genutzt werden könnten. Es sei davon auszugehen, dass die Anbieter entweder die Kreditwürdigkeit ihrer Kunden selbst intensiver prüfen müssten, oder die Kunden auffordern werden, sich bei der Schufa zu registrieren und dem Scoring zuzustimmen. Seiner Meinung nach sind die Urteile ein "typischer Pyrrhussieg" für die Verbraucher. "Am Ende werden nur diejenigen profitieren, die der Schufa erlauben, ihre Daten zu verarbeiten und weiterzugeben." Alles andere sei im Massengeschäft kaum vorstellbar.

Pascal Schumacher, Associated Partner bei Noerr in Berlin, rät Nutzern von Bonitätsscores, die Auswirkungen der Entscheidungen auf die Geschäftspraxis zu prüfen. Wer auf ein einfaches "Weiter so" setze, gehe erhebliche Risiken ein.

Auswirkungen auf jene Branchen, die Kunden Kredite gewähren oder in Vorleistung gehen, erwartet auch Dr. Christian Hamann, Partner im Bereich Datenschutzrecht bei Gleiss Lutz. Er rechnet damit, dass dort Dienstleistungen und Produkte in Zukunft teurer oder schwieriger zu erlangen sein werden. Wie stark die Auswirkungen dann tatsächlich sind, hängt seiner Meinung nach davon ab, wie das VG Wiesbaden die Wirksamkeit der Regelungen im nationalen Recht zum Scoring beurteilt und ob der Gesetzgeber noch einmal nachbessert, um der Schufa und anderen Auskunfteien eine verlässliche Rechtsgrundlage zu schaffen. "Für Kunden der Schufa kommt es vor allem darauf an zu dokumentieren, dass sie ihre Entscheidungen über die Vergabe von Krediten und den Abschluss von Verträgen nicht allein auf automatisiert erstellte Scorewerte stützen", so Hamann in einer Einordnung für LTO.

[Einordnungen nachträglich ergänzt - 07/12/23, 15.32 Uhr]