Höchstes Gericht der EU EuGH macht Vorgaben für SCHUFA-Scoring
Laut Europäischem Gerichtshof (EuGH) ist das Scoring-System der SCHUFA jedenfalls dann verboten, wenn sich Unternehmen bei der Entscheidung über einen Vertragsschluss maßgeblich darauf stützen. Ausnahmen von diesem Verbot sind aber möglich.
Mit ihr kommt jeder früher oder später einmal in Kontakt: mit der SCHUFA, Deutschlands größter privater Auskunftei. Täglich bewertet sie die Kreditwürdigkeit von Personen und fasst diese in einem Score zusammen. Je höher der Score, desto besser für die betreffende Person. Denn dann schätzt die SCHUFA die Wahrscheinlichkeit, dass sie ihre finanziellen Verpflichtungen erfüllen wird, entsprechend hoch ein.
Umgekehrt sagt ein niedriger Score, dass die Person ihre Rechnung in Zukunft wohl eher nicht bezahlen wird - jedenfalls nach Einschätzung der SCHUFA, die hierzu auf millionenfach gesammelte Daten zurückgreift. Verlassen sich Unternehmen auf diese Einschätzung, kann das dazu führen, dass sie mit der betreffenden Person keinen Vertrag abschließen.
Verwaltungsgericht Wiesbaden hatte Zweifel
Genau das war in einem Fall passiert, über den das Verwaltungsgericht Wiesbaden entscheiden muss. Die Klägerin hatte wegen eines niedrigen SCHUFA-Scores keinen Kredit bekommen. Daraufhin forderte sie die SCHUFA auf, fehlerhafte Eintragungen zu löschen und ihr Zugang zu den Berechnungsdaten zu gewähren.
Die SCHUFA teilte der Klägerin unter Berufung auf das Geschäftsgeheimnis jedoch nur sehr eingeschränkte Informationen mit. Auch eine anschließende Beschwerde der Frau beim Hessischen Datenschutzbeauftragten blieb erfolglos. Die Klägerin rief deshalb das Verwaltungsgericht an. Da dieses Zweifel hatte, ob die Geschäftspraxis der SCHUFA mit europäischen Datenschutzstandards vereinbar ist, legte es das Verfahren dem Europäischen Gerichtshof (EuGH) vor.
Was der EuGH entschieden hat
Das oberste Gericht der EU stellte heute zunächst fest, dass das Scoring der SCHUFA jedenfalls dann gegen die Europäische Datenschutzgrundverordnung (DSGVO) verstößt, wenn die Kunden der SCHUFA - beispielsweise Banken - ihm eine "maßgebliche" Rolle bei ihrer Vertragsentscheidung beimessen. Wichtige Entscheidungen dürfen nach der DSGVO nicht allein auf Basis von automatisiert verarbeiteten Daten - also ohne Mitwirkung eines Menschen - getroffen werden.
Der EuGH machte aber auch klar, dass diese Praxis ausnahmsweise erlaubt sein kann. Zum Beispiel dann, wenn der nationale Gesetzgeber eine Ausnahmevorschrift erlässt. In Deutschland gibt es im Bundesdatenschutzgesetz eine solche Vorschrift.
So geht es jetzt weiter
Das Verfahren ist mit dem Urteil des EuGH nicht abgeschlossen, sondern liegt jetzt wieder beim Verwaltungsgericht Wiesbaden. Das Verwaltungsgericht muss sich nun insbesondere mit der Frage beschäftigen, ob die Ausnahmevorschrift im Bundesdatenschutzgesetz selbst überhaupt rechtmäßig ist. Im zugrundeliegenden Verfahren hatte es hieran bereits Zweifel geäußert.
Sollte das Verwaltungsgericht endgültig zu der Entscheidung kommen, dass die Vorschrift gegen europäisches Datenschutzrecht verstößt, wäre das Scoring der SCHUFA in seiner derzeitigen Form von keiner Ausnahmevorschrift gedeckt und somit unzulässig, wenn Unternehmen ihre Vertragsentscheidungen allein darauf stützen.
Die SCHUFA erklärte in einem Statement unmittelbar nach der Urteilsverkündung, dass die Mehrheit ihrer Kunden die SCHUFA-Scores weiterhin wohl ohne Anpassungen für ihre Prozesse nutzen könne. Nach eigenen Angaben laute das weit überwiegende Feedback ihrer Kunden, dass Zahlungsprognosen in Form des SCHUFA-Scores für sie zwar wichtig, aber in aller Regel nicht allein entscheidend für einen Vertragsabschluss seien.
EuGH urteilt auch über Datenspeicherung
In einem zweiten Vorlageverfahren entschied der EuGH heute über die Speicherung von Daten aus öffentlichen Verzeichnissen wie dem Insolvenzregister. Durch eine Verbraucherinsolvenz können sich Privatleute von ihren Schulden befreien, selbst wenn sie nicht alles zurückzahlen können. Am Ende steht die sogenannte Restschuldbefreiung. Die Information darüber wird sechs Monate lang auf einem amtlichen Internetportal veröffentlicht.
Die SCHUFA hat diese Bekanntmachungen gesammelt und früher drei Jahre lang gespeichert. Der EuGH entschied heute, dass private Auskunfteien solche Daten nicht länger speichern dürfen als das öffentliche Insolvenzregister selbst.
Mittlerweile hat die SCHUFA die Speicherdauer freiwillig auf sechs Monate verkürzt, weshalb für sie keine unmittelbaren Konsequenzen aus dem Urteil folgen. Der EuGH hat aber ausdrücklich offengelassen, ob möglicherweise auch die parallele Speicherung während der sechs Monate unzulässig ist. Auch diese Entscheidung muss jetzt das Verwaltungsgericht Wiesbaden treffen. Der EuGH hat hierzu Leitlinien aufgestellt, die das Verwaltungsgericht bei seiner Interessenabwägung berücksichtigen muss.
Konkrete Folgen des Urteils?
Nach dem Urteil des EuGH wird sich an der Geschäftspraxis der SCHUFA wohl erstmal nichts verändern. Der Ball liegt jetzt wieder beim Verwaltungsgericht Wiesbaden, das in beiden Verfahren nun wichtige und grundsätzliche Entscheidungen fällen muss.
Da gegen diese Entscheidungen wiederum Rechtsmittel möglich sind, könnte es sein, dass bis zu einer endgültigen, höchstrichterlichen Entscheidung des Bundesverwaltungsgerichts einige Jahre vergehen.