Aber einmal von vorne: In der freien Wirtschaft wird das Schufa-Scoring von Unternehmen gerne zur Beurteilung der Zahlungsfähigkeit von Verbrauchern (z.B. bei Inanspruchnahme von Krediten oder bei teureren Internet-Einkäufen) und von anderen Unternehmen (z.B. beim Eingehen von Partnerschaften oder beim Abschluss von Dienstleistungsverträgen) genutzt. Beim Scoring handelt es sich um eine statistische Analyse mit anschließender Auswertung, bei der individuelle personenbezogene Merkmale wie z.B. Alter, Anschrift, Beruf, Nettoeinkommen sowie weitere sozio-ökonomische Daten betrachtet werden. Als Ergebnis dieser Betrachtung ergibt sich eine „Punktzahl“, die Auskunft darüber geben soll, wie zahlungsfähig eine Person ist. Dabei handelt es sich um den sogenannten „Schufa-Score“, der von Unternehmen in Bonitätsprüfungen eingesetzt wird, um beim Abwickeln eines neuen Geschäfts das Unternehmensrisiko weitestgehend zu minimieren. Je höher der Schufa-Score ist, desto besser wird die Bonität bewertet. Der Schufa-Score wird in der Praxis von einer Vielzahl unterschiedlicher Unternehmen genutzt wie z.B. von Banken, Versicherungen, Online-Verkäufern oder Telekommunikationsdienstleistern.
Das Urteil entstand aufgrund eines Rechtsstreits, in dem eine Privatperson von der Schufa Auskunft nach Art. 15 DSGVO verlangte, weil ihr aufgrund eines schlechten Schufa-Scores ein Kredit verweigert wurde. Diesem Auskunftsersuchen kam die Schufa auch nach, allerdings waren der Privatperson die bereitgestellten Informationen sowie die Bewertungsgrundlagen nicht ausreichend. Daher beschwerte sich die betroffene Person zum einen bei der Aufsichtsbehörde und klagte zum anderen vor Gericht. In der ersten Instanz setzte sich das Verwaltungsgericht Wiesbaden mit dem Rechtsstreit auseinander. Das Gericht setzte den Fall dann allerdings aus und legte dem EuGH die sich daraus ergebenen Fragestellungen zur Vorabentscheidung vor.
Die Rechtsgrundlagen für das Scoring finden sich grundsätzlich in Art. 22 DSGVO und § 31 BDSG, wobei beide Normen hohe Voraussetzungen für den Einsatz von Scoring setzen. Der EuGH kam in seinem Urteil zu dem Ergebnis, dass das Schufa-Scoring unzulässig ist, insofern drei Bedingungen kumuliert auftreten:
1. Es liegt eine „Entscheidung“ gemäß Art. 4 DSGVO vor.
2. Diese Entscheidung beruht ausschließlich auf einer automatisierten Verarbeitung, einschließlich Profiling. Ein Beispiel dafür wäre, wenn z.B. ein Telekommunikationsanbieter einem Kunden nur deswegen keinen Telefonvertrag verkauft, weil der Schufa-Score so schlecht ist.
3. Die Entscheidung entfaltet gegenüber der betroffenen Person rechtliche Wirkung oder beeinträchtigt sie in ähnlicher Weise. Dies wäre im vorliegenden Beispiel gegeben, da der Kunde lediglich aufgrund seines negativen Scores keinen Telefonvertrag abschließen konnte.
Chancen und Folgen des Schufa-Urteils
Aus Datenschutzsicht stellt die Beurteilung eines Menschen mit einem Punktwert immer einen informationellen Eingriff in seine Persönlichkeitsrechte dar. Zudem können Beurteilungen auf einer solchen Grundlage auch eine diskriminierende Wirkung haben. Zu den Problemen des Scorings zählen unter anderem, dass Irrtümer entstehen können, bzw. auch entstanden sind. Dazu gehört z.B., dass oftmals nicht berücksichtigt wird, inwiefern sich eine Einzelperson persönlich von einer Gruppe unterscheidet, der sie aufgrund bestimmter Merkmale zugeordnet wurde. Beispielsweise werden oftmals „Ausländer“ durch automatisierte Entscheidungen schnell in die falsche Schublade gesteckt. So wurden z.B. in den USA gutverdienende, schwarze Antragsteller mit wenig Schulden bei der Beantragung von Immobilienkrediten durch die Vergabesoftware eher abgelehnt als weiße Kreditnehmer mit höheren Schulden.Ein weiteres Problem des Scorings ist außerdem die Intransparenz der Schufa und damit einhergehend die erschwerte Geltendmachung von Betroffenenrechten. Die Privatpersonen wissen z.T. gar nicht, wie ihr Score grundsätzlich ausfällt und aufgrund welcher Bewertungsparameter dies der Fall ist. Es ist undurchsichtig, wie der Algorithmus der Schufa unterschiedliche Merkmale bewertet, z.B. in Hinblick auf ihre Gewichtung und Einflussnahme auf die Punktzahl. Daher ist es auch schwierig, einen Berichtigungsanspruch geltend zu machen, da der Betroffene zunächst wissen müsste, dass falsche Daten in die Berechnung eingeflossen sind. Eine Auskunft gemäß Art. 15 DSGVO hat in vielen Fällen lediglich Aufschluss über den Score gegeben, nicht aber über die zugrundeliegenden Bewertungen, weshalb diese als wirkungslos zu erachten war.
Aus Verbrauchersicht ist das Schufa-Urteil zunächst einmal grundsätzlich positiv zu bewerten, da es die Betroffenenrechte stärkt. Für die Unternehmen, die bisher ihre Bonitätsprüfungen aufgrund des Schufa-Scores abgewickelt haben, ergibt sich nun aber die Notwendigkeit, ihre Prozesse umzugestalten. Dies kann für den Verbraucher auch negative Auswirkungen haben. Anbieter müssten nun z.B. die Kunden aktiv auffordern, sich bei der Schufa zu registrieren und dem Scoring zuzustimmen. Nur die Kunden, die einer Verarbeitung ihrer Daten durch die Schufa zustimmen, würden dann die Möglichkeit bekommen, einen Kredit zu erhalten, insofern die Bonitätsprüfung positiv war. Eine Alternative wäre, dass sich die Kunden eine Bescheinigung darüber bei ihrer Bank holen müssten. Diese Möglichkeiten wären in der Praxis mit Mehraufwänden sowohl für die Kunden als auch für die Anbieter verbunden. Ein unkomplizierter Online-Einkauf einer teuren Ware wird wahrscheinlich nicht mehr so einfach abzuwickeln sein wie früher. Zudem ergeben sich höhere Risiken für die Anbieter, sodass im Vorfeld mehr Prüfungen durchgeführt werden müssen, was sich wiederum in höheren Preisen für Kredite oder Verträge äußern wird. Dies sind wiederum Seiten des Urteils, die vielen Unternehmen und auch Verbrauchern eher missfallen werden. Wie viel (Geld, Aufwand) ist den Betroffenen ihr Datenschutz wert?
Das Schufa-Urteil wird in der Datenschutzwelt aktuell noch heiß diskutiert. Wir halten Sie hier auf dem Laufenden, insofern es relevante Fälle bzw. Entscheidungen aus der Praxis dazu geben sollte.