EuGH-Generalanwalt: Das Vorgehen der SCHUFA verstößt gegen die DSGVO

Grund für die Verfahren vor dem EuGH sind drei Vorabentscheidungsersuchen des Verwaltungsgerichts Wiesbaden. 

 

Im ersten Verfahren (Rechtssache C-634/21) wurde der Klägerin aufgrund einer von der SCHUFA vor­ge­nom­me­nen Bonitätsbewertung ein Kredit verwährt. Daraufhin forderte sie die SCHUFA auf, die sie betreffenden falschen Eintragungen zu löschen und ihr Auskunft über die sie betreffenden gespeicherten Daten zu erteilen. Von der SCHUFA wurden ihr jedoch nur, der Score-Wert sowie grundsätzliche Informationen über die Berechnung mitgeteilt. Weitergehende Auskünfte wurden mit Verweis auf das Betriebs- und Geschäfts­geheimnis abgelehnt. Außerdem obliege die Entscheidung über eine Kreditvergabe nicht der SCHUFA, sondern deren Vertragspartnern. Der Beschwerde über die SCHUFA beim Hessischen Datenschutzbeauftragten kam er nicht nach, weshalb die Klägerin den Verwaltungsrechtsweg beschritt. Das Verwaltungsgericht hatte dem EuGH bestimmte Fragen zur Vorabentscheidung vorgelegt.

  

In den Rechtssachen C-26/22 und C-64/22 geht es nun um die Frage der zulässigen Speicherdauer der Daten zur Restschuldbefreiung nach einer Insolvenz. SCHUFA speichert die Daten deutlich länger als die Insol­venz­gerichte selbst.

  

Eine Vielzahl von Unternehmen bedienen sich der von den privaten Auskunfteien zur Verfügung gestellten Daten. Kernstück der Informationen bildet der Score-Wert. Dieser Wert dient dazu, die Kreditwürdigkeit von Unternehmen oder Personen zu bewerten. Auskunfteien wie SCHUFA, Creditreform, Bürgel, InfoScore oder vergleichbare Anbieter sammeln Kredit- und Bonitätsinformationen und ermitteln daraus nach eigenen Berechnungsmethoden einen sogenannten Score-Wert. 

 

Der Generalanwalt ist nun der Ansicht, dass bereits in der Ermittlung des Score-Wertes eine automatisierte Entscheidungsfindung liege, wenn der Wert für Dritten bei dessen Entscheidung über die Gewährung oder Ablehnung eines Kredits maßgeblich ist. 

 

Nach Art. 22 Abs. 1 DSGVO hat eine betroffene Person jedoch das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Wenn nun bereits die Ermittlung des Score-Wertes als eine automatisierte Verarbeitung von personenbezogenen Daten eingeordnet wird, verstößt das gegen die DSGVO.

Das deutsche Insolvenzrecht bietet die Möglichkeit, dass Privatpersonen nach Abschluss eines In­sol­venz­verfahrens von den restlichen Schulden befreit werden (sog. Restschuldbefreiung). Der Eintrag über die Privat­insolvenz wird nach der Restschuldbefreiung von den Insolvenzgerichten bereits nach sechs Monaten aus dem öffentlichen Register gelöscht. Die SCHUFA löscht nach den Angaben in den Schlussanträgen des General­anwalts Informationen über eine Insolvenz erst bis zu drei Jahre nach dem Ende des Verfahrens oder der Erteilung der Restschuldbefreiung.

 

Der Generalanwalt kommt zu dem Schluss, dass eine überlange Speicherung nicht mit den Grundsätzen der DSGVO über die Verarbeitung von personenbezogenen Daten vereinbar ist. Die Verarbeitung über den Zeitraum der Speicherung in den öffentlichen Verzeichnissen hinaus könne insbesondere nicht auf Grundlage einer Interessenabwächung nach Art. 6 Abs. 1 lit. f) DSGVO als rechtmäßig angesehen werden.

Sollte der EuGH den Schlussanträgen des Generalanwalts folgen, so hat das weitreichende Folgen für Auskunfteien und Verwender sog. SCHUFA-Klauseln. Die Übermittlung personenbezogener Daten an Auskunfteien wird in Zukunft deutlich erhöhten Anforderungen genügen müssen. Es wird insbesondere sicherzustellen sein, dass übermittelte Daten in keinem Fall zur automatisierten Entscheidungsfindung wie z.B. zur Errechnung eines Score-Wertes verwendet werden. Es ist ausgesprochen fraglich, ob und inwieweit die Teilnahme am „Geben und Nehmen“ von Daten mit Auskunfteien noch haltbar sein wird. Jedes Unternehmen sollte zudem im Blick behalten, dass die Verwendung unwirksamer Klauseln in allgemeinen Geschäfts­bedingungen einen abmahnbaren Wettbewerbsverstoß darstellen kann. Schließlich schwebt mit dem Schadensersatzanspruch natürlicher Personen aus Art. 82 DSGVO und dem vielzitierten Bußgeldrisiko ein weiteres Damoklesschwert über derartigen Verarbeitungshandlungen. Nach alledem muss dazu geraten werden, sog. „Schufa-Klauseln“ in AGB dringend überprüfen zu lassen. Alternativ bleibt nur die Empfehlung, den wirtschaftlichen Wert von Auskünften über die Kreditwürdigkeit mit den oben genannten Risiken abzuwägen.

Eine rechtskräftige Entscheidung ist noch nicht ergangen, wird aber in den kommenden Monaten erwartet. Der EuGH ist an die Schlussanträge nicht gebunden, die Vergangenheit hat jedoch gezeigt, dass das Gericht oftmals den Ausführungen des Generalanwalts folgt. Die Auswirkungen einer für die SCHUFA negativen Entscheidung werden sich nicht nur auf sie beschränken. Auch die anderen privaten Auskunfteien in Deutschland und Europa wären von dem Urteil ebenso betroffen, wie viele Wirtschaftsunternehmen. Die SCHUFA hat bereits jetzt angekündigt, ihre Abläufe und Dienstleistungen – nach einem entsprechenden Urteil – schnellstmöglich an die Anforderungen des EuGH anzupassen. Wie das gelingen soll, verrät die SCHUFA derzeit (noch) nicht.