EuGH zur SCHUFA: Scoring als automatisierte Entscheidung

Beim Kredit, beim Handyvertrag und bei der Mietwohnung entscheidet der SCHUFA-Score in Deutschland oft mit darüber, ob jemand einen Vertrag erhält. Am 7. Dezember 2023 hat der Gerichtshof der Europäischen Union gleich zwei wichtige Urteile zu den Praktiken von Wirtschaftsauskunfteien gefällt: zum Scoring (Rs. C-634/21) und zur Speicherung von Informationen über eine erteilte Restschuldbefreiung (verbundene Rs. C-26/22 und C-64/22). Beide stärken die Rechte von Verbraucherinnen und Verbrauchern. Scoring ist danach nicht verboten, aber an strenge Voraussetzungen geknüpft.

Urteil 1: Scoring kann eine automatisierte Entscheidung sein

Im ersten Verfahren war einer Person ein Kredit verweigert worden, nachdem die Bank einen negativen Score der SCHUFA erhalten hatte. Sie verlangte von der SCHUFA Auskunft und Löschung. Art. 22 DSGVO verbietet grundsätzlich Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und der betroffenen Person gegenüber rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen. Die SCHUFA argumentierte, sie selbst treffe keine Entscheidung, das tue die Bank.

Der EuGH sah das anders: Bereits die automatisierte Ermittlung eines Wahrscheinlichkeitswerts durch eine Auskunftei ist eine „automatisierte Entscheidung im Einzelfall“, wenn ein Dritter, dem dieser Wert übermittelt wird, ihn maßgeblich für seine Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses heranzieht. Damit ist Scoring in solchen Fällen nur zulässig, wenn eine der Ausnahmen des Art. 22 Abs. 2 DSGVO greift, etwa eine mitgliedstaatliche Regelung mit angemessenen Schutzmaßnahmen. Ob § 31 BDSG eine solche taugliche Grundlage ist, muss das vorlegende Verwaltungsgericht prüfen; der EuGH äußerte daran erhebliche Zweifel.

Urteil 2: Restschuldbefreiung nur so lange wie im öffentlichen Register

Im zweiten Verfahren ging es um die Praxis, Informationen über eine erteilte Restschuldbefreiung aus dem öffentlichen Insolvenzregister zu übernehmen und drei Jahre lang zu speichern, während das öffentliche Register sie nach sechs Monaten löscht. Der EuGH entschied: Eine private Auskunftei darf diese Daten nicht länger speichern als das öffentliche Register. Die Restschuldbefreiung soll es Betroffenen ermöglichen, sich wieder am Wirtschaftsleben zu beteiligen; sie ist für sie daher von existenzieller Bedeutung. Nach Ablauf der sechs Monate besteht ein Anspruch auf unverzügliche Löschung. Auch innerhalb der sechs Monate können Betroffene der Verarbeitung widersprechen; die Auskunftei muss dann zwingende schutzwürdige Gründe nachweisen.

Was bedeutet das für Verbraucher?

• Wer eine Restschuldbefreiung erhalten hat, sollte prüfen, ob diese Information mehr als sechs Monate nach der Veröffentlichung noch gespeichert ist, und gegebenenfalls Löschung verlangen.
• Über eine Selbstauskunft nach Art. 15 DSGVO lässt sich ermitteln, welche Daten eine Auskunftei gespeichert hat. Wie Sie dabei vorgehen und was Ihnen zusteht, lesen Sie in unserem Beitrag zum Umfang des Auskunftsanspruchs.
• Löschanträge lassen sich nach den Grundsätzen stellen, die wir in „Recht auf Löschung: So setzen Sie Art. 17 DSGVO durch“ beschrieben haben.

Was bedeutet das für Unternehmen?

Banken, Vermieter, Telekommunikations- und Energieunternehmen, die Bonitätsauskünfte nutzen, sollten ihre Entscheidungsprozesse prüfen. Wird ein Vertrag allein aufgrund eines Scores abgelehnt, liegt ein erhebliches Risiko vor. Empfehlenswert ist eine echte menschliche Prüfung, die weitere Kriterien einbezieht, sowie eine transparente Information der Kunden. Auch eigene Scoring-Modelle, etwa im Online-Handel beim Kauf auf Rechnung, sind an Art. 22 DSGVO zu messen.

Wie deutsche Gerichte und der Gesetzgeber die Urteile umsetzen, bleibt abzuwarten. Belastet Sie ein negativer Score oder eine veraltete Eintragung, prüfen wir Ihre Ansprüche auf Auskunft, Berichtigung und Löschung. Schreiben Sie uns oder buchen Sie einen Termin.