Aktuell | Internet | c't | heise magazine

Arbeitet die Schufa DSGVO-widrig?

Das Verwaltungsgericht Wiesbaden hat die Schufa-Methoden zur Bonitätsermittlung dem Europäischen Gerichtshof (EuGH) zur Prüfung vorgelegt. Die Entscheidung könnte weitreichende Folgen für Auskunfteien haben.

Der EuGH soll klären, ob die Arbeitsweise der Schufa von der DSGVO gedeckt ist.

Bild: Jens Kalaene / dpa

Ein hessisches Verwaltungsgericht hat datenschutzrechtliche Zweifel an der Praxis, mit der Auskunfteien „Bonitäts-Scores“ errechnen, also den Grad der Kreditwürdigkeit in Punktwerten ausdrücken, und diese an Dritte weitergeben. Bei Banken beispielsweise entscheiden diese Werte häufig darüber, ob jemand einen Kredit erhält und zu welchem Zinssatz (siehe auch S. 132). Bisher legt die Schufa aber nicht offen, wie sie den Wert errechnet. Diesbezügliche Auskunftsersuchen und Löschungsanträge von Betroffenen lehnt die Schufa ab. Nach bisheriger Rechtsauffassung gibt das Bundesdatenschutzgesetz (BDSG) der Schufa und anderen Auskunfteien grünes Licht dafür, sofern keine berechtigten Zweifel an dessen Einhaltung bestehen.

Der EuGH soll nun klären, ob das in der Praxis automatisiert durchgeführte und an Dritte weitergereichte Scoring mit Artikel 22 der DSGVO vereinbar ist. Der bestimmt sinngemäß, dass eine automatisierte Verarbeitung von Daten zum Zwecke eines Profilings nicht allein ausschlaggebend für eine Entscheidung sein darf, die eine rechtliche Wirkung gegenüber betroffenen Personen entfaltet oder diese „in ähnlicher Weise erheblich beeinträchtigt“. Artikel 22 unterliegt allerdings Einschränkungen: Die automatisierte Verarbeitung ist zulässig, wenn sie für den Vertragsschluss erforderlich ist, die betroffene Person eingewilligt hat oder sie nach nationalem Recht erlaubt ist.