Zwei Datenverarbeitungspraktiken von Wirtschaftsauskunfteien verstoßen gegen die Datenschutz-Grundverordnung (DSGVO). Während das „Scoring“ nur unter bestimmten Voraussetzungen zulässig ist, steht die längere Speicherung von Informationen über die Erteilung einer Restschuldbefreiung im Widerspruch zur DSGVO. Das hat der EuGH in einer aktuellen Mitteilung erklärt. Grund für die Mitteilung ist eine Entscheidung des EuGH zum Thema Datenschutz, Scores und Auskunfteien. Welche Auswirkungen hat der Ausspruch auf das Credit Management? RAin Stephanie Iraschko-Luscher und Christian Huth, die Leiter des Arbeitskreises Datenschutz im BvCM, haben dazu Statements diverser Experten eingeholt.
Die Entscheidung des EuGH besagt nach eigenen Angaben zwei Dinge. Erstens: Das „Scoring“ ist als eine von der DSGVO grundsätzlich verbotene „automatisierte Entscheidung im Einzelfall“ anzusehen, sofern die Kunden der Schufa, wie beispielsweise Banken, ihm eine maßgebliche Rolle im Rahmen der Kreditgewährung beimessen. „Nach Ansicht des Verwaltungsgerichts Wiesbaden ist dies der Fall. Es obliegt diesem Gericht zu beurteilen, ob das deutsche Bundesdatenschutzgesetz im Einklang mit der DSGVO eine gültige Ausnahme von diesem Verbot enthält“, so der EuGH.
In Bezug auf die Informationen über die Erteilung einer Restschuldbefreiung entscheidet der Gerichtshof, dass es im Widerspruch zur DSGVO steht, wenn private Auskunfteien solche Daten länger speichern als das öffentliche Insolvenzregister. „Die erteilte Restschuldbefreiung soll nämlich der betroffenen Person ermöglichen, sich erneut am Wirtschaftsleben zu beteiligen, und hat daher für sie existenzielle Bedeutung. Diese Informationen werden bei der Bewertung der Kreditwürdigkeit der betroffenen Person stets als negativer Faktor verwendet.“
Auf dem 20. Bundeskongress des BvCM in Düsseldorf wurde das Thema bereits im Rahmen einer Master Class behandelt – auf Grundlage der Empfehlung des Generalanwalts. Die Teilnehmer der dazugehörigen Podiumsdiskussion haben sich jetzt zu der aktuellen Entscheidung des EuGH geäußert.
Erklärung der Schufa
Felix Sperling-Fröhlich, Leiter Compliance und Datenschutz bei der Schufa Holding AG, verweist auf eine offizielle Stellungnahme des Unternehmens: „Die Schufa begrüßt das Urteil des Europäischen Gerichtshofs zum Thema Scoring.“ Es beantworte wichtige Fragen, wie Scores in den Entscheidungsprozessen von Unternehmen im Sinne der Datenschutz-Grundverordnung (DSGVO) verwendet werden dürfen. In dem Urteil heiße es, dass die Verwendung von Scores in bestimmten Fällen eine automatisierte Entscheidung darstelle und dann Artikel 22 DSGVO Anwendung finde.
„Auf dieses Urteil haben wir uns mit unseren Kunden in den vergangenen Monaten vorbereitet“, sagt Ole Schröder, Vorstandsmitglied der Schufa. „Das weit überwiegende Feedback unserer Kunden lautet, dass Zahlungsprognosen in Form des Schufa-Scores für sie zwar wichtig, aber in aller Regel nicht allein entscheidend für einen Vertragsabschluss sind. Deshalb wird die große Mehrheit unserer Kunden Schufa-Scores weiterhin ohne Anpassung ihrer Prozesse nutzen können.“ Für den Fall, dass der Bonitätsscore bei Unternehmen eine maßgebliche Rolle für die Entscheidung gegen einen Vertrag einnehmen sollte, müssen die betroffenen Unternehmen gegebenenfalls Anpassungen vornehmen.
„Im zweiten Verfahren ging es um die Speicherung von Daten aus öffentlichen Verzeichnissen. Der EuGH schafft mit seinem Urteil für alle Auskunfteien in der Europäischen Union einen klaren Rahmen.“ Die Schufa ist bereits nach den Schlussanträgen des Generalanwaltes, dem der EuGH jetzt gefolgt ist, im März 2023 aktiv geworden: So habe sich die Schufa entschlossen, die Speicherdauer der Restschuldbefreiung von 36 auf sechs Monate zu verkürzen.
Sichtweise von Dun & Bradstreet
Oliver Heinemann, Director Legal/Leiter Recht und Datenschutz, Rechtsanwalt, Dun & Bradstreet Deutschland GmbH, erklärte: „Für Credit Manager wie für Auskunfteien gleichermaßen erfreulich ist zunächst, dass der EuGH in seinem Urteil ausdrücklich die Bedeutung des Zugangs zu bonitätsrelevanten Daten betont.“ Das Geschäftsmodell der Wirtschaftsauskunfteien mache die schnelle Abwicklung von Geschäften erst möglich. Es bilde, so der EuGH, „ein Fundament des Kreditwesens und der Funktionsfähigkeit der Wirtschaft.“ Die Nutzer von Auskunfteileistungen müssen sich jedoch darauf einstellen, bestimmte Informationen aus dem insolvenzrechtlichen Bereich nunmehr für einen kürzeren Zeitraum verfügbar zu finden als früher.
In einem zweiten Urteil habe sich der EuGH mit der Zulässigkeit von Scoringverfahren beschäftigt. Aus der Erklärung des EuGH lasse sich für das Credit Management ableiten: „Ist die Entscheidungsfindung so organisiert, dass zwar automatisiert ermittelte Scores in die Risikobewertung einfließen, diese aber nicht allein maßgeblich für das Hopp oder Top einer Geschäftsverbindung sind, weil daneben weitere Prognoseinstrumente herangezogen werden, können diese Abläufe beibehalten werden.“
Meinung aus der Praxis
Das sieht auch Thorsten Lebeau CCC, CCM so. Der Teamleiter Credit Management bei der Bosch Thermotechnik GmbH und Vorstandsbeirat im BvCM: „Die Entscheidung des EuGH zum Scoring hat kaum Auswirkungen auf mein tägliches Geschäft, da bei uns immer ein Mensch die letzte Entscheidung über eine Kreditvergabe trifft. Viel kritischer sehe ich das Thema Negativmerkmale und deren Löschungsfrist. Vor allem in der jetzigen Zeit, in der die Zahlungsmoral der Kunden abnimmt und die Zahl der Insolvenzen zunehmen. Da diese Daten nur noch sechs Monate gespeichert werden, kann es dazu kommen, dass Firmen, die ihre Kunden nur einmal im Jahr komplett überprüfen, diese Negativmerkmale nicht mehr mitbekommen und denken, dass sie immer noch mit einem guten Kunden zusammenarbeiten. Das kann im schlimmsten Fall zum Forderungsausfall führen.“ Um dies zu verhindern, müsse die Zeitspanne der Überprüfung verkürzt werden. Dies habe jedoch zur Folge, dass man die doppelte Belegschaft benötige oder neue Software einsetzen müsse. „Außerdem steigen die Kosten für die Auskünfte.“
Perspektive des Juristen
Dr. Behrang Raji, Legal Counsel Data Protection, Rechtsanwalt, Eppendorf SE, meint dazu: „Die Unternehmenspraxis wird sich erheblich ändern müssen. Entscheidungen wie die Kreditvergabe einer Bank, die „maßgeblich“ vom Scorewert einer Auskunftei abhängen, sind grundsätzlich unzulässig. Das Gericht stellt ebenso wie der Generalanwalt fest, dass es sich um eine Tatsachenfrage handelt, ob der Scorewert tatsächlich die Entscheidung vorgreift oder nicht. In dem Verfahren hatte das vorlegende Gericht festgestellt, dass ein unzureichender Wahrscheinlichkeitswert in nahezu allen Fällen zur Ablehnung des Kreditantrags des Verbrauchers führt.
Insofern sind Governance-Strukturen mit Handlungsempfehlungen erforderlich, die den Entscheidungsspielraum des Mitarbeiters signifikant erhöhen. Dies könnte z.B. eine interne Richtlinie sein, die die Mitarbeitenden verpflichtet, zunächst nach Tatsachen zu suchen, die den Score übersteigen, oder andere Maßnahmen, die sicherstellen, dass der Einzelfall nochmals von einem Menschen geprüft wird oder die eigene Sichtweise dargelegt wird und schließlich die Ausgestaltung der Möglichkeiten, wie die Entscheidung angefochten werden kann. Entsprechende Dokumentationen könnten absichern, dass der Bankangestellte den Scorewert tatsächlich nur als ein Kriterium mitberücksichtigt hat.“
Checkliste für Unternehmen
Fazit von RAin Stephanie Iraschko-Luscher und Christian Huth: „Das Urteil ist nicht so eindeutig, wie wir es erwartet haben. Durch die Rücküberweisung wurde der Ball an das Verwaltungsgericht Wiesbaden zurückgespielt. Wir werden auf jeden Fall eine Checkliste erarbeiten, aus der sich Handlungsempfehlungen ergeben, wie man als Unternehmen konkret reagieren sollte.“
