Kredit-Scores von Auskunfteien (z.B. Schufa) vorm EuGH

von Prof. Dr. Katrin Blasek, LL.M., veröffentlicht am 06.01.2022

Das VG Wiesbaden (6 K 788/20.WI) bringt nun im Zusammenhang mit einer Kreditablehnung zwei Fragen zum EuGH, die schon länger strittig in der Diskussion sind.

https://beck-online.beck.de/Dokument?vpath=bibdata%2Fzeits%2Fbkr%2F2021%2Fcont%2Fbkr.2021.782.1.htm&pos=1&hlwords=on

Zum einen geht es um die Frage, ob Art. 22 DSGVO misslungen ist bzw. praktisch überhaupt einen vernünftigen Anwendungsbereich hat, weil viele Kreditentscheidungen doch nicht rein automatisiert sind. Damit im Zusammenhang steht die Frage, ob der deutsche Gesetzgeber in § 31 BDSG die Vorgaben zu Wahrscheinlichkeitswerten (Scoring) überhaupt regeln durfte. Und schließlich geht es auch um Geschäftsgeheimnisse vs. Auskunftspflichten der Auskunfteien nach DSGVO.

Lt. Sachverhalt erhielt die Klägerin aufgrund eines negativen Scorings keinen Kredit und verlangte dann Löschung bestimmter vorgeblich falscher Daten sowie Auskunft über die beim Scoring involvierte Logik, auch mittels der zuständigen Aufsichtsbehörde (Datenschutzbehörde) die aber nicht in diesem Sinne tätig wurde, sondern auf die Einhaltung von § 31 BDSG durch die Auskunftei verwies.

  1. Rein automatisierte Entscheidung?

Das Problem ist, dass ein Auskunftsanspruch über die involvierte Logik eine rein automatisierte Entscheidung voraussetzt (Art. 22 und 15 I lit. h DSGVO). Rein automatisierte Entscheidungen gibt es aber bei der Kreditvergabe und auch prinzipiell nach Meinung vieler Kommentatoren in der Literatur auch sonst häufig nicht, weil am Ende doch ein Individuum die Entscheidung trifft.

Hier hakt das VG Wiesbaden ein mit der These, dass dieses Verständnis von Art. 22 Abs. 1 DSGVO zu restriktiv ist, weil die Entscheidung über zum Beispiel eine Kreditvergabe praktisch in so erheblichem Maße durch den von Wirtschaftsauskunfteien übermittelten Scorewert determiniert wäre, dass jene gleichsam auf die Entscheidung des Individuums (z.B. zuständiger Bankmitarbeiter) durchschlage. (Rdn. 25). In dem Zusammenhang weißt das VG Wiesbaden auf eine Rechtsschutzlücke hin, denn derjenige, der die Informationen über die involvierte Logik liefern könnte (die Auskunftei, die das Scoring geliefert hat), ist mangels rein automatisierter Entscheidungsfindung und auch aufgrund der Rechtsprechung des BGH zum Geheimnisschutz nicht auskunftsverpflichtet. Und derjenige, der auskunftsverpflichtet ist (zum Beispiel die Bank), kann die gewünschten Informationen nicht zur Verfügung stellen, denn er weiß nicht, mit welchen Daten die Auskunftei den Scorewert ermittelt hat (Rdn. 30 ff.)

Die Vorlagefrage 1 zur Auslegung von Art. 22 DSGVO lautet daher:

Ist Art. EWG_DSGVO Artikel 22 Abs. EWG_DSGVO Artikel 22 Absatz 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der RL 95/46/EG (- DS-GVO -, ABl. EU L Nr. 119 vom 4.5.2016, S. 1) dahingehend auszulegen, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswertes über die Fähigkeit einer betroffenen Person, künftig einen Kredit zu bedienen, eine ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung, die der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wenn dieser mittels personenbezogener Daten der betroffenen Person ermittelte Wert von dem Verantwortlichen an einen dritten Verantwortlichen übermittelt wird und jener Dritte diesen Wert seiner Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit der betroffenen Person maßgeblich zugrunde legt?

 

  1. Eigene nationale Regeln zum Scoring möglich? (§ 31 BDSG)

Wie bereits in der Literatur vertreten, bezweifelt das VG Wiesbaden, dass dem deutschen Gesetzgeber eine Normsetzungsbefugnis bezüglich des Profiling (wie es in Paragraf 31 BDSG seinen Inhalt gefunden hat) zusteht. Die allgemeinverbindliche DSGVO sieht dafür weder eine Öffnungsklausel vor, noch finde sich die mitgliedstaatliche Rechtsetzungsbefugnis in Artikel 22 Abs. 2 DSGVO, welcher eine solche nur für ausschließlich automatisierte Verarbeitungen vorsieht. § 31 BDSG regele demgegenüber auch nicht-automatisierte Entscheidungen (Rn. 34-38). Gegen die Regelungs-Kompetenz spreche nach Ansicht des VG Wiesbaden auch, dass der deutsche Gesetzgeber in seiner Begründung zu § 31 BDSG nicht angebe, worauf sich seine Regelungskompetenz stützt (Rn. 40)

Die Vorlagefrage 2 zur Rechtssetzungskompetenz lautet daher:

Falls die 1. Vorlagefrage zu verneinen ist: Sind Art. EWG_DSGVO Artikel 6 Abs. EWG_DSGVO Artikel 6 Absatz 1 und Art. EWG_DSGVO Artikel 22 der Verordnung (EU) 2016/679 – DS-GVO – dahingehend auszulegen, dass sie einer innerstaatlichen Regelung entgegenstehen, nach der die Verwendung eines Wahrscheinlichkeitswerts – vorliegend über die Zahlungsfähigkeit und Zahlungswilligkeit einer natürlichen Person bei der Einbeziehung von Informationen über Forderungen – über ein bestimmtes zukünftiges Verhalten einer natürlichen Person zum Zweck der Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit dieser Person (Scoring) nur zulässig ist, wenn bestimmte weitere Voraussetzungen, die in der Vorlagebegründung näher ausgeführt sind, erfüllt sind?

 

  1. Erfolgsaussicht der Vorlage?

Liest man das Urteil, so fällt auf, dass es kaum Feststellungen zum Prozess der Kreditvergabe und der Rolle der Scorewerte in diesem Prozess bei den Banken gibt. Zwar ist der Hinweis des VG Wiesbaden auf die Rechtsschutzlücke nachvollziehbar. Doch stützt dies erstmal nicht die These, dass bei der Kreditvergabe Scorings von Auskunfteien wirklich ein so maßgebliches Gewicht bei der Kreditvergabe haben, dass diese Scorings die Entscheidung über den Kredit maßgeblich prägen, mithin der Scorewert einer Auskunftei die eigentliche Entscheidung im Sinne von Art. 22 DSGVO ist.

Das veröffentlichte Urteil enthält bzgl. dieser Frage sowohl was den Sachverhalt wie auch die Begründung angeht im Grunde keine Feststellungen. Schaut man sich die Entscheidungspraxis vieler Kreditinstitute an, so wird deutlich, dass viele nicht nur ein oder mehrere Scorewerte von Auskunfteien ihrer Entscheidung zugrunde legen, sondern sich auch den potentiellen Kreditnehmer aufgrund weiterer Kriterien (eigene Kundenhistorie oder Nachweise zur wirtschaftlichen Situation) anschauen. Das Problem, dass Art. 22 DSGVO an der Praxis vorbeizugehen scheint, bleibt aber. Nur müsste sich dem wohl der Verordnungsgeber annehmen und nicht der EuGH?

Diesen Beitrag per E-Mail weiterempfehlenDruckversion

Hinweise zur bestehenden Moderationspraxis
Kommentar schreiben

Kommentare als Feed abonnieren

Kommentar hinzufügen