EuGH: DSGVO steht zwei Datenverarbeitungspraktiken von Auskunfteien entgegen

In zwei Urteilen hat der Europäische Gerichtshof heute entschieden, dass die Datenschutz-Grundverordnung (DSGVO) zwei Datenverarbeitungspraktiken von Wirtschaftsauskunfteien entgegensteht. Während das sogenannte „Scoring“ nur unter bestimmten Voraussetzungen zulässig ist, steht die längere Speicherung von Informationen über die Erteilung einer Restschuldbefreiung im Widerspruch zur DSGVO.

Hintergrund

Vor dem EuGH ging es in der Rechtssache C-634/21 SCHUFA Holding (Scoring) um die Frage, ob die Verwendung des sog. SCHUFA-Scores bei der Bonitätsbewertung eingeschränkt werden muss. Insbesondere auch, ob das Scoring mit der Datenschutzgrundverordnung in Einklang steht und rechtliche Entscheidungen nicht rein automatisch getroffen werden dürfen. Die Bonitätseinschätzung wird dabei aus bestimmten Merkmalen einer Person auf der Grundlage mathematisch-statistischer Verfahren für diese die Wahrscheinlichkeit eines künftigen Verhaltens, wie im konkreten Fall die Rückzahlung eines Kredits, prognostiziert. Es gilt als gesichert, dass zahlreiche große Unternehmen die Bonitätsbewertung der Schufa nutzen. Die Vorlage an den EuGH hatte das Verwaltungsgericht Wiesbaden eingereicht. Der Generalanwalt hatte in seinen Schlussanträgen vom 16. März 2023 ausgeführt, dass der Schufa-Score nicht ausschlaggebend sein dürfe.

Die verbundenen Rechtssachen C-26/22 und C-64/22 wurde den Klägern im Ausgangsverfahren im Rahmen von Insolvenzverfahren eine vorzeitige Restschuldbefreiung erteilt. Dieser Umstand wurde gemäß § 9 Abs. 1 der Insolvenzordnung und § 3 Abs. 1 und 2 InsBekV im Internet veröffentlicht, und der Eintrag nach sechs Monaten gelöscht. SCHUFA speichert die veröffentlichten Informationen über vorzeitige Restschuldbefreiungen in ihrem Datenbestand, löscht sie aber erst drei Jahre nach der Eintragung.

Entscheidung des EuGH

Das „Scoring“ ist als eine von der DSGVO grundsätzlich verbotene „automatisierte Entscheidung im Einzelfall“ anzusehen, sofern die Kunden der SCHUFA, wie beispielsweise Banken, ihm eine maßgebliche Rolle im Rahmen der Kreditgewährung beimessen. Nach Ansicht des Verwaltungsgerichts Wiesbaden ist dies der Fall. Es obliegt nun diesem Gericht zu beurteilen, ob das deutsche Bundesdatenschutzgesetz im Einklang mit der DSGVO eine gültige Ausnahme von diesem Verbot enthält.

In Bezug auf die Informationen über die Erteilung einer Restschuldbefreiung entscheidet der EuGH, dass es im Widerspruch zur DSGVO steht, wenn private Auskunfteien solche Daten länger speichern als das öffentliche Insolvenzregister. Die erteilte Restschuldbefreiung soll nämlich der betroffenen Person ermöglichen, sich erneut am Wirtschaftsleben zu beteiligen, und hat daher für sie existenzielle Bedeutung. Soweit die Speicherung der Daten nicht rechtmäßig ist, wie dies nach Ablauf der sechs Monate der Fall ist, hat die betroffene Person das Recht auf Löschung dieser Daten, und die Auskunftei ist verpflichtet, sie unverzüglich zu löschen.

Was die parallele Speicherung solcher Informationen durch die SCHUFA während dieser sechs Monate angeht, sei es Sache des vorlegenden Gerichts, so der EuGH, die in Rede stehenden Interessen gegeneinander abzuwägen, um die Rechtmäßigkeit dieser Speicherung zu beurteilen.

Schließlich betont der EuGH, dass die nationalen Gerichte jeden rechtsverbindlichen Beschluss einer Aufsichtsbehörde einer vollständigen inhaltlichen Überprüfung unterziehen können müssen.

Fundstelle

Urteile des EuGH in der Rechtssache C-634/21 SCHUFA Holding (Scoring) und in den verbundenen Rechtssachen C-26/22 und C-64/22 SCHUFA Holding (Restschuldbefreiung)

Mehr Informationen hierzu in der EuGH-Pressemitteilung Nr. 186/23 vom 7.12.2023.

Eine englische Zusammenfassung finden Sie hier.