EuGH-Urteil: Schufa-Bewertung als Hauptkriterium unzulässig

Anhand gewaltiger Datenmengen berechnet die Auskunftei Schufa, für wie kreditwürdig sie einzelne Verbraucherinnen und Verbraucher hält. Denn: Banken, Onlinehändler, Mobilfunkanbieter, Autohäuser, Energielieferanten - sie alle wollen wissen, wie es um die Zahlungsmoral ihrer Kundschaft bestellt ist, bevor Verträge geschlossen und Waren übergeben werden.

Allerdings dürfen Unternehmen nicht ausschließlich auf Grundlage dieser automatisierten Bewertung der Kreditwürdigkeit durch die Schufa entscheiden, ob sie Verträge mit Kunden abschließen. Das entschied der Europäische Gerichtshof am Donnerstag in Luxemburg.

Zum Geschäftsmodell der 1927 gegründeten "Schutzgemeinschaft für allgemeine Kreditsicherung" gehört es, Daten zu sammeln. Auf deren Basis liefert die Schufa ihren etwa 10.000 Vertragspartnern - unter anderem Banken und Sparkassen, Versandhändler und Energieversorger - bei berechtigtem Interesse eine Einschätzung zur Bonität (Kreditwürdigkeit) von Verbraucherinnen und Verbrauchern.

Nach eigenen Angaben verfügt die Schufa über Informationen zu 68 Millionen Menschen in Deutschland. Zu mehr als 90 Prozent seien "ausschließlich positive Informationen gespeichert". Pro Tag erteilt die Auskunftei im Schnitt 320 000 Auskünfte an Unternehmen. Außer der Schufa gibt es weitere Wirtschaftsauskunfteien: etwa Creditreform und Crif.

Die Schufa erhält von ihren Vertragspartnern Informationen etwa über die Eröffnung von Girokonten, die Ausgabe von Kreditkarten, den Abschluss von Leasingverträgen und Krediten. Die Schufa speichert zudem persönliche Daten wie Name, Geburtsdatum und Anschrift, hat aber keine Informationen etwa über das Einkommen einer Person.

Anhand der Daten errechnet sich der Basis-Score, der quartalsweise aktualisiert wird. Dieser beschreibt auf einer Skala von null bis 100 Prozent eine Wahrscheinlichkeit, mit der ein Verbraucher finanziellen Verpflichtungen nachkommen wird. Je höher der Score, umso höher die Kreditwürdigkeit. Wer Rechnungen regelmäßig unpünktlich bezahlt und oft Mahnungen bekommt, wird schlechter eingeschätzt.

Wie der Score genau berechnet wird, legt die Schufa nicht detailliert offen. Ihr Argument: "Läge das Berechnungsmodell völlig offen, könnte der Score manipuliert werden und hätte so keinen Wert mehr." Die Formel sei aber "der zuständigen Datenschutzbehörde bekannt und wird von ihr und unabhängigen Wissenschaftlerinnen und Wissenschaftlern kontrolliert". Unternehmen und Einzelpersonen wie Vermieter können Auskünfte bei der Schufa einholen.

Im Kern ging es um die Frage, ob Scoring in bestimmten Fällen einer automatisierten Entscheidung, die die betroffene Person beeinträchtigt, gleichzusetzen ist - gemäß Artikel 22 der europäischen Datenschutz-Grundverordnung (DSGVO). Und darum, wie maßgeblich ein Schufa-Score für die Entscheidung eines Unternehmens ist, einen Kredit beziehungsweise Vertrag zu gewähren oder nicht.

Hintergrund des Verfahrens vor dem EuGH sind mehrere Fälle aus Deutschland. In einem davon hat eine Klägerin, der ein Kredit verwehrt wurde, die Schufa aufgefordert, einen Eintrag zu löschen und ihr Zugang zu den Daten zu gewähren. Die Schufa teilte der Frau ihren Score-Wert und allgemeine Informationen zur Berechnung mit, nicht aber die genaue Berechnungsmethode.

Das Verwaltungsgericht Wiesbaden legte den Fall dem EuGH vor, um grundsätzlich das Verhältnis zur DSGVO klären zu lassen. Die Verordnung schreibt vor, dass Entscheidungen, die für Betroffene rechtliche Wirkung entfalten, nicht nur durch die automatisierte Verarbeitung von Daten getroffen werden dürfen.

Die Schufa begrüßte das Urteil: Es sorge für Klarheit, wie die Scores in den Entscheidungsprozessen von Unternehmen im Sinne der DSGVO verwendet werden dürfen. Weiter teilte die Schufa mit: