EuGH-Generalanwalt positioniert sich: Schufa-Sco­ring ver­stößt gegen DSGVO

Die Erstellung sogenannter Score-Werte für die Kreditwürdigkeit durch die Schufa verstößt nach Ansicht eines Generalanwalts am Europäischen Gerichtshof (EuGH) gegen die Datenschutz-Grundverordnung (DSGVO). Außerdem dürfe die Schufa Daten aus öffentlichen Verzeichnissen – wie die Register der Insolvenzgerichte - nicht länger speichern als das öffentliche Verzeichnis selbst, teilte der EuGH-Generalanwalt Priit Pikamäe in seinen Schlussanträgen am Donnerstag in Luxemburg mit. Ein Urteil wird in einigen Monaten erwartet.

Banken, Telekommunikationsdienste oder Energieversorger fragen meist bei privaten Auskunfteien wie der Schufa nach der Kreditwürdigkeit einer Person. Die Schufa liefert dann eine Einschätzung, den sogenannten Score-Wert. Der soll zeigen, wie gut der Betreffende seine Zahlungsverpflichtung erfüllt. 

Hintergrund des Verfahrens vor dem EuGH sind mehrere Fälle aus Deutschland. Im ersten Rechtsstreit (Rechtssache C-634/21) forderte der Kläger die Schufa auf, einen Eintrag zu löschen und ihm Zugang zu den Daten zu gewähren, nachdem ihm ein Kredit verwehrt wurde. Die Schufa teilte ihm jedoch nur seinen Score-Wert und allgemeine Informationen zur Berechnung mit. Der Kläger hatte dagegen Beschwerde beim Hessischen Datenschutzbeauftragten erhoben. Dieser lehnte ein Tätigwerden gegen die Schufa aber ab, da diese den Anforderungen an § 31 Bundesdatenschutzgesetz (BDSG), nach dem das Scoring unter bestimmten Voraussetzungen zulässig ist, genüge. Das Verwaltungsgericht (VG) Wiesbaden legte den Fall dem EuGH vor, um grundsätzlich das Verhältnis zur europäischen Datenschutzgrundverordnung klären zu lassen.

§ 31 BDSG nicht mit DSGVO vereinbar

Konkret wollte das VG wissen, ob es sich bei dem Schufa-Scoring um eine auf einer automatisierten Verarbeitung – einschließlich Profilings – beruhende Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO handelt. Diese Norm schreibt vor, dass Entscheidungen, die für Betroffene rechtliche Wirkung entfalten, nicht nur durch die automatisierte Verarbeitung von Daten getroffen werden dürfen. 

Der Generalanwalt befand nun, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswerts über die Kreditwürdigkeit – der Score-Wert – eine solche verbotene automatische Entscheidung darstelle. Das gelte auch, wenn dann noch Dritte wie beispielsweise Banken endgültig entschieden, ob die Person kreditwürdig sei. Zudem stehe die DSGVO nach Ansicht des Generalanwalts einer nationalen Regelung wie der des § 31 BDSG entgegen.

Zügige Datenlöschung bei Insolvenz 

Im zweiten Fall (Rechtssachen C-26/22 und C-64/22) geht es um die Restschuldbefreiung nach einer Insolvenz. Privatleute haben die Möglichkeit, sich durch eine Verbraucherinsolvenz innerhalb eines begrenzten Zeitraums von ihren Schulden zu befreien, auch wenn sie nicht alles zurückzahlen können. Am Ende eines erfolgreichen Verfahrens steht die sogenannte Restschuldbefreiung. 

Die Insolvenzgerichte machen solche Informationen öffentlich, löschen sie aber nach einem halben Jahr. Die Schufa löscht solche Einträge in ihrem Register allerdings erst nach bis zu drei Jahren. Das ist nach Ansicht des EuGH-Generalanwalts rechtswidrig. Ziel der Restschuldbefreiung sei es, dass die Betreffenden sich wieder am Wirtschaftsleben beteiligen können. Das würde vereitelt, wenn private Wirtschaftsauskunfteien die Daten über die Insolvenz länger speichern dürften. Betroffene hätten deshalb das Recht, von der Schufa zu verlangen, dass die Daten unverzüglich gelöscht werden.  

dpa/acr/LTO-Redaktion