VG Wiesbaden: EuGH soll über SCHUFA-Score entscheiden

ESV-Redaktion Recht

VG Wiesbaden: Der Score-Wert der SCHUFA ist das in der Praxis entscheidende Kriterium für Kreditvergaben (Foto: blende11.photo / stock.adobe.com)

Geldinstitute entscheiden über die Vergabe von Krediten regelmäßig auf der Grundlage von Daten der SCHUFA. Diese versorgt die ihr angeschlossenen Vertragspartner mit Informationen zur Kreditwürdigkeit und erstellt hierfür sogenannte Score-Werte. Ob diese Praxis rechtmäßig ist, muss nun der EuGH entscheiden. Das VG Wiesbaden hat den Richtern aus Luxemburg in diesem Zusammenhang mehrere Fragen vorgelegt.

Zur Ermittlung der Score-Werte prognostiziert die Schufa aus bestimmten Merkmalen einer Person die Wahrscheinlichkeit für die Rückzahlung eines Kredits. Dies geschieht auf Basis von mathematisch-statistischen Verfahren. Allerdings legt die Schufa weder die einzelnen Personenmerkmale noch die mathematisch-statistischen Verfahren offen.

SCHUFA: Berechnungsmethoden sind Geschäfts- und Betriebsgeheimnisse

In dem Streitfall wurde der Klägerin nach einer negativen Auskunft durch die SCHUFA von dritter Seite ein Kredit verweigert. Nachdem die Klägerin erfuhr, dass sie bei der Auskunftei mit einem Score-Wert von 85,96% eingestuft war, verlangte sie die Löschung von Einträgen, die nach ihrer Auffassung falsch sind und Auskunft zu von ihr gespeicherten Daten.

Daraufhin teilte die Auskunftei der Klägerin in groben Zügen die grundsätzliche Funktionsweise ihrer Score-Wert-Berechnung mit. Welche Einzelinformationen mit welcher Gewichtung in die Berechnung einfließen, ließ die SCHUFA aber offen. Nach ihrer Auffassung gehören die Berechnungsmethoden zu den Betriebs- und Geschäftsgeheimnissen der Auskunftei.

Darüber hinaus, so die SCHUFA weiter, würden die angeschlossenen Kreditinstitute die eigentlichen Vertragsentscheidungen treffen. Auch eine Empfehlung für oder gegen eine Kreditvergabe gebe die Auskunftei nicht ab.

Datenschutzaufsicht: Die Berechnung der Bonitätswerte entspricht den detaillierten Anforderungen des BDSG

Gegen die Auskunft der SCHUFA wendete sich die Klägerin mit einer Beschwerde an den Hessischen Beauftragten für Datenschutz und Informationsfreiheit. Die Aufsichtsbehörde sollte die SCHUFA dazu verpflichten, dem Begehren der Klägerin nach Auskunft und Löschung nachzukommen. Die Behörde lehnte ein Einschreiten gegen die SCHUFA jedoch ab. Demnach entsprechen die Berechnungen der Bonitätswerte den detaillierten Anforderungen von § 31 BDSG. Anzeichen dafür, dass der vorliegende Fall anders liegen könnte, sah die hessische Datenschutzaufsichtsbehörde nicht. Gegen den Ablehnungsbescheid der Aufsichtsbehörde zog die Klägerin dann vor das VG Wiesbaden.

Der kostenlose Newsletter Recht – Hier können Sie sich anmelden!

Redaktionelle Meldungen zu neuen Entscheidungen und Rechtsentwicklungen, Interviews und Literaturtipps.

VG Wiesbaden: Art. 22 DS-GVO soll betroffene Personen vor den Gefahren automatisierter Entscheidungen schützen

In dem gerichtlichen Verfahren hat die 6. Kammer des VG Wiesbaden die SCHUFA als Beteiligte beigeladen. Anschließend hat sie das Verfahren ausgesetzt und dem EuGH zwei Fragen zur Klärung vorgelegt, die vereinfacht ausgedrückt, etwa wie folgt lauten:

Frage 1: Fällt die Tätigkeit der SCHUFA unter den Anwendungsbereich von Art. 22 DSGVO?

Die Kammer sieht in dem Scoring nicht nur ein Profiling, das die Entscheidung von Dritt-Verantwortlichen – etwa von Banken – vorbereitet. Vielmehr sprechen der Kammer zufolge deutliche Anzeichen dafür, dass in der Bildung von Scoring-Werten selbstständige automatisierte „Entscheidungen“ im Sinne von Art. 22 Abs. 1 DS-GVO zu sehen sind. Die weiteren grundlegenden Überlegungen der Kammer hierzu:

Score-Wert ist das in der Praxis entscheidende Kriterium für Kreditvergabe: Zwar könnten die Dritt-Verantwortlichen – also zum Beispiel die Banken – eigene Entscheidungen über das Ob und Wie der Kreditvergabe treffen. In der Praxis sei der Score-Wert aber das entscheidende Kriterium für den Vertragsabschluss. Vor allem bei Verbraucherdarlehen würden schlechte Score-Werte fast immer zur Versagung eines Kredits führen. Diese Werte spielen sowohl bei der Kreditvergabe als auch bei der Gestaltung der Vertragsbedingungen die entscheidende Rolle.

Schutzfunktion von Art. 22 Abs. 1 DS-GVO: Nach den weiteren Ausführungen der Kammer soll Art. 22 Abs. 1 DS-GVO die betroffenen Personen gerade vor den Gefahren schützen, die von automatisierten Entscheidungen ausgehen.

Verbot der selbstständigen automatisierten Einzelfallentscheidung: Falls die erste Frage mit „ja“ zu beantworten wäre, gilt der Kammer zufolge für die Beigeladene das Verbot der selbstständigen automatisierten Einzelfallentscheidung. Die Folge: Diese Tätigkeit wäre nur in den Ausnahmefällen von Art. 22 Abs. 2 DS-GVO zulässig, der unter anderem Rechtsvorschriften der Mitgliedstaaten, denen der Verantwortliche unterliegt, benennt. Insoweit käme nur § 31 BDSG in Betracht. Allerdings hat die Kammer durchgreifende Bedenken, ob diese deutsche Norm mit Art. 22 Abs. 1 DS-GVO vereinbar ist.

Frage 2: Verstößt § 31 BDSG gegen Art. 6 DS-GVO?

Die zweite Frage ist der Kammer zufolge nur dann zu beantworten, wenn das Scoring nicht unter Art. 22 Absatz 1 DS-GVO fällt. In diesem Fall wäre nach Auffassung der Kammer jedoch Art. 6 DS-GVO anwendbar. Weil der deutsche Gesetzgeber das Scoring aber von weitergehenden Zulässigkeitsvoraussetzungen abhängig macht, regelt er diesen Bereich über die Vorgaben der DS-GVO hinaus. Ob der deutsche Gesetzgeber die Befugnis dazu hat, müsse ggf. der EuGH klären, so das VG Wiesbaden abschließend.

Quellen:

PM des VG Wiesbaden vom 25.10.2021 zum Beschluss vom 01.10.2021 – 6 K 788/20.WI

Art. 6 DSGVO – Art. 22 DSGVO – § 31 BDSG

Wo Datenschützer ihre Nase reinstecken.

PinG Privacy in Germany

Die Zeitschrift für alle, die mit Datenschutz in Unternehmen zu tun haben und bei der regelkonformen Umsetzung stets auf der sicheren Seite sein wollen:

Privacy Topics – Spezialthemen und richtungweisende Beiträge aus dem In- und Ausland,
Privacy News – prägnante Artikel zu aktuellen rechtspolitischen Themen,
Privacy Compliance – Antworten auf alle drängenden Fragen aus dem betrieblichen Alltag.

AKTUELL: PinG-Podcast "Corona im Rechtsstaat“ von Prof. Niko Härting, der Grund- und Bürgerrechte in Zeiten von Corona mit seinen spannenden Gästen in den Blick nimmt.

PinG ist interdisziplinär, international, intermedial: PinG versteht sich als Forum für ein breites interdisziplinäres Meinungsspektrum. Hier schreiben Insider, Experten und hochkarätige Autoren aus aller Welt.

PinG ist innovationsfreudig: u.a. mit unserer Kolumne „Neues aus der Digitalwirtschaft“ ,die digitalen Entrepreneuren, juristischen Vor- und Querdenkern eine Stimme gibt, lesen Sie noch konzentrierter, was die digitale Wirtschaftswelt datenschutzrechtlich bewegt.

PinG ist vielstimmig – auch durch einenhochkarätig besetzten Beirat, der das PinG-Team mit zusätzlicher Expertise, viel Erfahrung und meinungsstarken Positionen verstärkt.

PinG macht transparent – mit klarer Sprache und innovativem Layout (z.B. mit dem „Visual Special“ in Ausgabe 01/20, das aktuelle Datenschutzthemen auch optisch völlig neu ins Bild rückte)

Testen Sie PinG Privacy in Germany doch einmal kostenlos und unverbindlich.

Verlagsprogramm

Weitere Nachrichten aus dem Bereich Recht

(ESV/bp)