SCHUFA: EuGH sieht Verstoß gegen GDPR

Rechtmäßige Dauer der Datenspeicherung

Der EuGH entschied, dass die verlängerte Speicherung von Daten im Zusammenhang mit der Erteilung der Restschuldbefreiung gegen die DSGVO verstößt. Er entschied, dass es "gegen die DSGVO verstößt, wenn private Agenturen solche Daten länger als das öffentliche Insolvenzregister [sechs Monate] aufbewahren".

Und danach dürfen Auskunfteien diese Daten nur dann weiter speichern, wenn sie ein berechtigtes Interesse gemäß Artikel 6 Absatz 1 DSGVO nachweisen können.

Es stellte fest, dass Betroffene das Recht haben, ihre Daten auf Antrag löschen zu lassen, und dass die SCHEFA dann verpflichtet ist, diesem Antrag nachzukommen und diese Daten so schnell wie möglich zu löschen.

Das Gericht entschied auch, dass eine Auskunftei Daten aus öffentlich zugänglichen Quellen nicht länger verarbeiten darf, als die Daten aus dieser Quelle noch verfügbar sind.

Recht auf automatische Ausstellung von Kredit-Scores

Der EuGH entschied, dass das Bonitätsbewertungssystem der SCHUFA eine "automatisierte Einzelentscheidung" darstellt, die "grundsätzlich durch die DSGVO verboten ist, soweit die Kunden der SCHUFA, wie z. B. Banken, ihr eine entscheidende Rolle bei der Kreditvergabe zuweisen".

Anders ausgedrückt: Das Gericht hat entschieden, dass jede Art der automatisierten Bewertung rechtswidrig ist, wenn sie sich erheblich auf das Leben der Betroffenen auswirkt - wie es bei der Kreditbewertung der Fall ist.

Andere Urteile

Das Gericht entschied auch, dass das Verwaltungsgericht Wiesbaden (VGW) nun klären muss, ob das deutsche Recht eine zulässige Ausnahme für Scoring vorsieht. Dieses Gericht ist Teil des deutschen Justizsystems und auf die Bearbeitung von Fällen im Zusammenhang mit dem Verwaltungsrecht spezialisiert.

Sollte dies der Fall sein, erklärte der EuGH, dass die ACW prüfen müsse, ob die Anforderungen der Datenschutz-Grundverordnung (DSGVO) erfüllt sind, zum Beispiel, dass die Betroffenen auf ihr Recht hingewiesen wurden, einer automatisierten Entscheidung zu widersprechen und stattdessen eine menschliche Entscheidung zu erhalten. Er stellte auch fest, dass betroffene Personen bei Auskunfteien das Recht haben, auf Anfrage eine Begründung für ihre Bonitätsbewertung zu erhalten.

Zweitens unterstrich der EuGH auch die Verantwortung der nationalen Gerichte, eine "vollständige Überprüfung" aller rechtsverbindlichen Entscheidungen ihrer Datenschutzbehörde vorzunehmen.

Diese Entscheidung ist das erste Urteil zur automatisierten individuellen Entscheidungsfindung seit der Einführung der DSGVO im Jahr 2018 und hat weitreichende Auswirkungen, die über die SCHUFA und die gesamte Kreditwürdigkeitsprüfungsbranche hinausgehen:

• Der Prozess des Scorings durch Auskunfteien ist nun nach der DSGVO illegal, was bedeutet, dass Unternehmen ihre Systeme überprüfen und anpassen müssen.
• Die Daten, die zur Erstellung von Kreditscores verwendet werden, müssen auf ihre Rechtmäßigkeit hin überprüft werden, unabhängig davon, ob eine automatisierte Entscheidungsfindung eingesetzt wird.
• Jede Zustimmung, die zur Absicherung kreditbasierter Entscheidungen erforderlich ist, muss auf ihre Rechtmäßigkeit überprüft werden. Und bei einer automatisierten Entscheidungsfindung ist die Einwilligung nur dann wirksam, wenn die korrekte Entscheidung von der Einwilligung abgedeckt ist, falls dies zutrifft.
• Score-Werte, die nicht mehr aktuell sind oder bei denen die Gefahr besteht, dass sie unrechtmäßig berechnet wurden, müssen gelöscht werden.
• Unternehmen können Kreditscores bei der Überprüfung der Kreditwürdigkeit von Bewerbern verwenden, aber nur, wenn dies nicht die einzige Grundlage für ihre Entscheidung ist.