In gleich zwei Verfahren vor dem Europäischen Gerichtshof (EuGH) steht die Zulässigkeit der Datenverarbeitung der Schufa auf dem Prüfstand. Am 16.03.2023 hat Generalanwalt Pikamäe dem EuGH eine Empfehlung für die im Lauf des Jahres zu erwartenden Urteile gegeben (Schlussanträge in den Rechtssachen C-634/21 und C-26/22, C-64/22). Pikamäe hält die aktuelle Rechtspraxis in Deutschland für unvereinbar mit der DS-GVO. Folgt der EuGH den Schlussanträgen des Generalanwalts, wird eine Generalinspektion des deutschen Auskunfteiwesens die Folge sein. Ist das deutsche System noch zu retten?

Das Problem: Banken und andere Kreditgeber lehnen jedenfalls bei einem negativen Schufa-Score regelmäßig ohne weitere eigene Prüfung den beantragten Kredit ab. Deshalb, so Pikamäe, würden die Wirtschaftsauskunfteien selbst eine automatisierte Entscheidung mit Auswirkungen auf die betroffenen Personen treffen. Ein solches Profiling lässt Art. 22 DS-GVO aber nur unter sehr engen Voraussetzungen zu. Und die sieht der Generalanwalt aktuell als nicht erfüllt an. Insbesondere meint er, dass der deutsche Gesetzgeber in § 31 BDSG keine geeignete Ausnahmevorschrift geschaffen habe. Ebenfalls spannend: Würden Wirtschaftsauskunfteien selbst ein Profiling betreiben, dann müssten sie viel konkreter als bisher über die Berechnung ihrer Score-Werte Auskunft erteilen.

Fast schon nebensächlich, dass Generalanwalt Pikamäe im zweiten der beiden Verfahren die drei Jahre währende Speicherung von Daten über Restschuldbefreiungen bei Wirtschaftsauskunfteien für unzulässig erklärt. Warum? Im öffentlichen Register sind diese Daten bewusst nur für sechs Monate abrufbar. Danach sollen Personen nach einer Insolvenz wieder ganz normal am Wirtschaftsleben teilnehmen können. Das gelingt aber nicht, wenn Wirtschaftsauskunfteien ihren Vertragspartnern noch Jahre später über das abgeschlossene Insolvenzverfahren berichten. Damit wäre die in Deutschland sogar behördlich (nämlich von der Aufsichtsbehörde in NRW) abgesegnete Speicherpraxis rechtswidrig, und die Daten müssten gelöscht werden.

Während sich das Problem der Speicherfristen wohl, wenn überhaupt, allein durch eine gesetzliche Anpassung lösen ließe, könnten Wirtschaftsauskunfteien eine ihnen ggfs. vom EuGH zugeschriebene Entscheidungsmacht über die Kreditgewährung durch vertragliche Maßnahmen und eine Veränderung ihrer Scoring-Verfahren wohl selbst aufgeben.

Vertraglich könnten Wirtschaftsauskunfteien ihre Vertragspartner dazu verpflichten, im Einzelfall eine menschliche Einflussnahme auf die Kreditvergabe sicherzustellen. Denn wo ein Mensch mit echter Entscheidungsmacht in einen Vorgang eingeschaltet ist, fehlt es an einer automatisierten Entscheidungsfindung. Das allerdings wird selbstverständlich nicht in allen Fällen möglich sein, sondern allenfalls bei ohnehin komplexen Kreditentscheidungen.

Für das Tagesgeschäft und insbesondere online getroffene Entscheidungen z.B. über Ratenkredite bedarf es anderer Instrumente. Auf vertraglicher Ebene wären Regelungen vorstellbar, nach denen sich Vertragspartner nicht allein auf die von der Wirtschaftsauskunftei übermittelten Score-Werte stützen darf, sondern stets auch andere (eigene oder fremde) Quellen für die Kreditentscheidung heranziehen muss. Auch diese Lösung stößt allerdings an Grenzen, wo ein Vertragspartner nicht über eigene Informationen verfügt. Denn ein Multi-Sourcing bei jeder Entscheidung ist nicht nur teuer, sondern es bestehen auch Zweifel an der Einhaltung des datenschutzrechtlichen Grundsatzes der Datenminimierung.

Bleibt, einen Teil des Scoring-Verfahrens komplett in die Hände der Vertragspartner zu legen. Läge die Gewichtung unterschiedlicher Risiko-Parameter bei der Bank und nicht bei Schufa und Co, dann erhielte jedes Kreditinstitut einen individuellen Score-Wert. Die Gruppierung dieser individuellen Score-Werte von risikoarmen bis zu risikoreichen Kreditengagements könnte man ebenfalls den Banken oder sonstigen Kreditgebern überlassen. Die Wirtschaftsauskunftei würde dann lediglich das Datenmaterial und das zur Berechnung auf Grundlage mathematisch-statistischer Verfahren notwendige Know-how bereitstellen. Die Risikosteuerung und damit auch die alleinige Entscheidungsmacht im Hinblick auf eine konkrete Kreditentscheidung läge aber bei einem solchen Modell nicht mehr bei der Wirtschaftsauskunftei.

Vorteile hat diese Lösung nicht nur für die Wirtschaftsauskunfteien: Eine Bank ist auch zu einer automatisierten Entscheidungsfindung berechtigt, sofern diese für den Abschluss oder die Erfüllung ihres Vertrags mit der betroffenen Person erforderlich ist (Art. 22 Abs. 2 Buchst. a) DS-GVO). Diese Erforderlichkeit wird auch vom Generalanwalt nicht in Zweifel gezogen. Gerade im Verbrauchergeschäft bestehen nach §§ 505a, 506 BGB sogar gesetzliche Verpflichtungen dazu, eine Kreditwürdigkeitsprüfung aus Gründen des Verbraucherschutzes durchzuführen.

Verbraucher*innen haben aufgrund unterschiedlicher Risikogewichtungen verschiedener Kreditinstitute eine bessere Chance, den gewünschten Kredit zu erhalten, als wenn sich sämtliche Institute auf eine begrenzte Anzahl von Wirtschaftsauskunfteien stützen. Würden die Kreditgeber die Parameter für die Risikobewertung vorgeben, wären sie auch in der Lage, über diese Parameter und ihre Gewichtung Auskunft zu erteilen.