Zur Scoring-Praxis der SCHUFA

Das Scoring der SCHUFA ist eine von der DSGVO grundsätzlich verbotene „automatisierte Entscheidung im Einzelfall“, sofern die Kund:innen der SCHUFA, wie beispielsweise Banken, dem Scoring eine maßgebliche Rolle im Rahmen der Kreditgewährung beimessen.

Der Entscheidung des EuGH liegt folgender Sachverhalt zugrunde:

Die SCHUFA ist eine private Gesellschaft deutschen Rechts, die ihre Vertragspartner mit Informationen zur Kreditwürdigkeit Dritter, insbesondere Verbraucher:innen, versorgt. Dazu prognostiziert sie aus bestimmten Merkmalen einer Person auf der Grundlage mathematisch-statistischer Verfahren die Wahrscheinlichkeit eines künftigen Verhaltens („Score-Wert“), wie beispielsweise die Rückzahlung eines Kredits. Die Erstellung von Score-Werten („Scoring“) basiert auf der Annahme, dass durch die Zuordnung einer Person zu einer Gruppe anderer Personen mit vergleichbaren Merkmalen, die sich in einer bestimmten Weise verhalten haben, ein ähnliches Verhalten vorausgesagt werden kann. Einem Verbraucher wird aufgrund einer negativen SCHUFA-Auskunft die Kreditierung durch einen Dritten verweigert. Er fordert die SCHUFA auf, Auskunft über die gespeicherten personenbezogenen Daten zu erteilen und die nach Auffassung von ihm unrichtigen Daten zu löschen. Als Antwort auf diese Anfrage informiert die SCHUFA den Verbraucher über die Höhe seines Score-Werts und legt in groben Zügen dar, wie die Score-Werte berechnet werden. Sie weigert sich jedoch unter Berufung auf das Betriebs- und Geschäftsgeheimnis, die bei der Berechnung berücksichtigten Einzelinformationen sowie deren Gewichtung offenzulegen. Der Verbraucher beantragt erfolglos mit einer Beschwerde beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI), der zuständigen Aufsichtsbehörde, gegenüber der SCHUFA zu verfügen, dass sie seinem Begehren nach Auskunft und Löschung nachzukommen habe. Gegen die Ablehnung des HBDI erhebt der Verbraucher Klage beim Verwaltungsgericht Wiesbaden. Dieses setzt das Verfahren aus und legt dem EuGH die Frage zur Vorabentscheidung vor, ob die Ermittlung eines Wahrscheinlichkeitswerts durch die SCHUFA eine „automatisierte Entscheidung im Einzelfall“ im Sinne des Art. 22 Abs. 1 DSGVO darstellt.

Der EuGH entscheidet, dass Art. 22 Abs. 1 DSGVO dahingehend auszulegen ist, dass eine „automatisierte Entscheidung im Einzelfall“ im Sinne dieser Vorschrift vorliegt, wenn sich ein Wahrscheinlichkeitswert auf personenbezogene Daten zu einer Person stützt, und durch eine Wirtschaftsauskunftei automatisiert erstellt wird, und einen Indikator zu der Fähigkeit der Person zur Erfüllung künftiger Zahlungsverpflichtungen darstellt. Zusätzlich dazu muss es von diesem Wahrscheinlichkeitswert maßgeblich abhängen, ob ein Dritter ein Vertragsverhältnis mit dieser Person begründet, durchführt oder beendet. Solche automatisierten Entscheidungen sind in der Regel verboten und lediglich in ausdrücklich geregelten Ausnahmefällen zulässig, z.B. wenn sie aufgrund nationaler Rechtsvorschriften zulässig ist (Art. 22 Abs. 2 Buchst. B DSGVO). Als eine solche nationale Vorschrift könnte § 31 BDSG in Frage kommen. Der EuGH äußert, dass er durchgreifende Bedenken hat, ob § 31 BDSG europarechtskonform ist. Es ist allerdings Sache des Verwaltungsgerichts Wiesbaden zu beurteilen, ob § 31 BDSG als Rechtsgrundlage für eine automatisierte Entscheidung im Einzelfall qualifiziert werden kann, nach der es zulässig wäre, eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung zu erlassen. Sollte das Verwaltungsgericht Wiesbaden zu dem Schluss kommen, dass § 31 BDSG eine solche Rechtsgrundlage darstellt, hätte es noch zu prüfen, ob weitere Anforderungen der DSGVO im vorliegenden Fall erfüllt sind.

Hinweis: An diesem Verfahren war der Verbraucherzentrale Bundesverband (vzbv) nicht beteiligt. Gerne informiert Sie der vzbv alle vier bis sechs Wochen mit einem kostenlosen Newsletter über neue Urteile zum Verbraucherrecht.