Finanzämter: Dürfen keine Zinsen mehr festsetzen
Rechtsanwalt: Eilantrag auf Anerkennung als Journalist erfolglos
Von Schufa erstellter Score-Wert: Vorlage zum EuGH
Das Verwaltungsgericht (VG) Wiesbaden hat den Europäischen Gerichtshof (EuGH) angerufen, damit dieser zwei Fragen zum Zusammenspiel der von der Schufa erstellten Score-Werte und der Datenschutz-Grundverordnung (DS-GVO) klären möge.
Gegenstand des Verfahrens ist das Begehren der Klägerin, ihrer Auffassung nach falsche Eintragungen bei der Schufa zu löschen und ihr Auskunft über die dort gespeicherten Daten zu erteilen.
Die Schufa, eine private Wirtschaftsauskunftei, versorgt ihre Vertragspartner mit Informationen zur Kreditwürdigkeit Dritter und erstellt zu diesem Zweck so genannte Score-Werte. Für die Ermittlung dieses Wertes wird aus bestimmten Merkmalen einer Person auf der Grundlage mathematisch-statistischer Verfahren für diese die Wahrscheinlichkeit eines künftigen Verhaltens, wie beispielsweise die Rückzahlung eines Kredits, prognostiziert. Die im Einzelnen zugrunde gelegten Merkmale als auch das mathematisch-statistische Verfahren werden von der Schufa nicht offengelegt. Diese beruft sich darauf, dass die Berechnungsmethoden unter das Betriebs- und Geschäftsgeheimnis fielen.
Die Klägerin wandte sich in Bezug auf die von ihr begehrte Auskunft und Löschung an den Hessischen Datenschutzbeauftragten als Aufsichtsbehörde. Dieser lehnte das Begehren der Klägerin jedoch ab, da die Schufa bei der Berechnung des Bonitätswertes den im Bundesdatenschutzgesetz (BDSG) detailliert geregelten Anforderungen in der Regel genüge und keine Anhaltspunkte vorlägen, dass dem hier nicht so sei.
Das VG Wiesbaden hat entschieden, dem EuGH zwei Fragen zur Klärung vorzulegen. Zum einen sei zu klären, ob die Tätigkeit von Wirtschaftsauskunfteien, Score-Werte über betroffene Personen zu erstellen und diese ohne weitergehende Empfehlung oder Bemerkung an Dritte (beispielsweise Banken) zu übermitteln, die dann unter maßgeblicher Einbeziehung dieses Score-Wertes mit der betroffenen Person vertragliche Beziehungen eingehen oder davon absehen, dem Anwendungsbereich des Artikels 22 Absatz 1 Datenschutzgrundverordnung (DS-GVO) unterfällt.
Falls ja, sei diese für Wirtschaftsauskunfteien maßgebliche Tätigkeit vom Verbot der automatisierten Einzelfallentscheidung erfasst. Dies hätte zur Folge, dass diese Tätigkeit nur nach den Ausnahmetatbeständen des Artikels 22 Absatz 2 DS-GVO zulässig sei. Als diesbezügliche mitgliedsstaatliche Rechtsgrundlage käme nur § 31 BDSG in Betracht. Im Hinblick auf dessen Vereinbarkeit mit Artikel 22 Absatz 1 DS-GVO bestünden aber durchgreifende Bedenken. Die Schufa würde dann rechtsgrundlos handeln und die Klägerin habe zugleich einen Anspruch gegen den Datenschutzbeauftragten auf aufsichtsbehördliche (Weiter-)Befassung mit ihrem Fall.
Die Erstellung von Score-Werten sei nicht lediglich ein die Entscheidung des dritten Verantwortlichen (beispielsweise einer Bank) vorbereitendes Profiling (siehe Artikel 4 DS-GVO), sondern gerade eine "selbstständige Entscheidung" im Sinne des Artikels 22 Absatz 1 DS-GVO, so das VG. Es bestünden gewichtige Anhaltspunkte dafür, dass die durch Wirtschaftsauskunfteien vorgenommene automatisierte Erstellung eines Score-Wertes eine eigenständige, auf einer automatisierten Verarbeitung beruhende Entscheidung sei. Zwar könnten jedenfalls rein hypothetisch die dritten Verantwortlichen eine eigene Entscheidung über das Ob und Wie eines Vertragsschlusses mit der betroffenen Person treffen, weil zu diesem Stadium des Entscheidungsprozesses eine menschlich gesteuerte Einzelfallentscheidung grundsätzlich noch möglich sei. Diese Entscheidung werde praktisch aber in erheblichem Maße durch den von Wirtschaftsauskunfteien übermittelten Score-Wert bestimmt. Der aufgrund automatisierter Verarbeitung erstellte Score-Wert sei eigentlich das entscheidende Kriterium über das Ob und Wie der Vertragseingehung des dritten Verantwortlichen mit der betroffenen Person. Der dritte Verantwortliche müsse seine Entscheidung zwar nicht allein vom Score-Wert abhängig machen, tue es in aller Regel jedoch maßgeblich.
Eine Kreditvergabe möge zwar trotz eines grundsätzlich ausreichenden Score-Werts (aus anderen Gründen, wie etwa des Fehlens von Sicherheiten oder Zweifeln am Erfolg einer zu finanzierenden Investition) versagt werden. Ein nicht ausreichender Score-Wert hingegen werde jedenfalls im Bereich der Verbraucherdarlehen in fast jedem Fall und auch dann zur Versagung eines Kredits führen, wenn etwa eine Investition im Übrigen als lohnend erscheine. Score-Werten komme bei der Kreditvergabe und der Gestaltung ihrer Bedingungen die entscheidende Rolle zu. Vor den Gefahren dieser rein auf Automation gründenden Entscheidungsform solle Artikel 22 Absatz 1 DS-GVO die betroffene Person aber gerade schützen.
Zudem legte das VG Wiesbaden eine Frage vor, die dann zu beantworten sei, wenn die erste Vorlagefrage verneint werde. In § 31 BDSG treffe der deutsche Gesetzgeber im Kern detaillierte Regelungen über das Scoring als Unterfall des Profilings. Falls das Scoring nicht unter Artikel 22 Absatz 1 DS-GVO falle, sei die allgemeine Vorschrift des Artikels 6 DS-GVO anzuwenden. Indem der deutsche Gesetzgeber weitergehende inhaltliche Zulässigkeitsvoraussetzungen an das Scoring knüpfe, spezifiziere er die Regelungsmaterie über die Vorgaben der DS-GVO hinaus. Dafür fehle ihm jedoch die Regelungsbefugnis. Dies ändere den Prüfungsspielraum der nationalen Aufsichtsbehörde. Diese habe dann die Vereinbarkeit der Tätigkeit von Wirtschaftsauskunfteien an Artikel 6 DS-GVO zu messen. Es sei also durch den EuGH zu klären, ob die DS-GVO der Regelung des § 31 BDSG entgegenstehe.
Verwaltungsgericht Wiesbaden, Beschluss vom 01.10.2021, 6 K 788/20.WI, unanfechtbar