EuGH zum Scoring: Vollständig automatisierte Verarbeitung

Das Urteil des EuGH zu den SCHUFA-Scores (v. 7. 12. 2023, Rs. C-634/21) folgt weitgehend den Anträgen des Generalanwalts. Es kommt zu dem Schluss: Bereits die automatisierte Erstellung eines Wahrscheinlichkeitswerts über die Fähigkeit einer betroffenen Person, künftig einen Kredit zu bedienen, stelle eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung dar. Diese entfalte gegenüber der betroffenen Person eine rechtliche Wirkung oder beeinträchtige sie in ähnlicher Weise erheblich, wenn dieser – mittels personenbezogener Daten der betroffenen Person ermittelte – Wert von der Kreditauskunftei an eine Bank übermittelt werde und jener Dritte diesen Wert seiner Entscheidung über die Begründung eines Vertragsverhältnisses mit der betroffenen Person „maßgeblich“ zugrunde lege. Das kann man so entscheiden – muss es aber sicherlich nicht.

Die Datenschutzgrundverordnung (DSGVO) sieht vor, dass eine solche „ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung“ ohne gesetzgeberische Erlaubnis oder Einwilligung des Betroffenen regelmäßig unzulässig ist. Die Kreditauskunfteien werden sich allerdings darauf einstellen können, etwa indem sie künftig verstärkt mit Einwilligungen arbeiten, oder aber die Banken verpflichten, weitere Daten bei der Kreditvergabe zu berücksichtigen. Auch könnten sie als Auftragsverarbeiter für die Banken tätig werden und ihre vertraglichen Beziehungen entsprechend anpassen. Dann würden die Rechtfertigungen nach Art. 22 Abs. 2 lit. a) und c) DSGVO greifen. Das wäre ein Mehraufwand, vielleicht auch ein erheblicher, aber nicht das Ende. Ein Ende überdies, dass auch der EuGH nicht will, betont er doch auch, dass die Kreditauskunfteien erforderlich für ein funktionierendes Kreditwesen sind, und ebenso macht er ausdrücklich deutlich, dass eine etwaige Übertragung bestimmter Befugnisse auf einen externen Dienstleistungserbringer bei der Analyse von Daten keinen Bedenken begegnet. In der Sache wird sich also wohl am bisherigen Verfahren nicht allzu viel ändern. Offen bleibt aber die Frage: Wann beeinflusst ein Score maßgeblich die Kreditvergabe, und wann nicht? Der EuGH schafft hier eine neue Begrifflichkeit, die er nicht genau definiert. Hier ist nun das ja abschließend zuständige nationale Gericht aufgefordert, Klarheit zu schaffen. Das wird nicht einfach sein, denn der EuGH schafft hier einen Neologismus des Datenschutzrechts. Den sinnvoll auszufüllen, abstrakt und mit Prognostizierbarkeit für künftige, vielleicht auch ganz anders gelagerte Fälle, erscheint kaum möglich.

Wichtig aber ist der Blick nach vorne. Was folgt aus der Entscheidung? Der gewaltige Sieg des Verbraucherschutzes, der auch zuweilen verkündet wird, ist nicht erkennbar. Man müsste sich durchaus auch fragen, ob ein Ende der Bonitätsbewertung durch die SCHUFA tatsächlich dem Verbraucherschutz dienen würde. Denn die Bonitätsbewertung durch Auskunfteien ermöglicht die Kreditvergabe mit geringen Transaktionskosten, macht dadurch die Kreditvergabe günstiger, weil Risikoaufschläge minimiert werden können. Sie objektiviert die Entscheidungsparameter und macht sie nachprüfbar, verhindert manchmal auch den leichtfertigen Kredit, der zur Überschuldung führen würde. All das stellt eben auch der EuGH nicht in Frage. Wichtiger aber noch ist hier die Feststellung des EuGH, er habe „durchgreifende Bedenken“ an der Wirksamkeit des § 31 BDSG. Das ist juristisch nachvollziehbar und wohl auch richtig, denn eine Öffnungsklausel für Scoring enthält die DSGVO nicht. Aber sie enthält eine Öffnungsklausel zur Rechtfertigung einer ausschließlich automatisierten Entscheidung im Einzelfall, Art. 22 Abs. 2 lit. b) DSGVO. Eben diese sollte der deutsche Gesetzgeber jetzt angehen, will er nicht dem Verbraucherschutz einen empfindlichen Rückschlag zumuten. Denn fällt die Norm weg, dann mag man zwar weniger ausschließlich automatisierte Entscheidungen bei der Scorenutzung haben, aber wo der Score nicht maßgeblich der Entscheidung zugrunde gelegt wird (und das werden wohl die meisten Fälle sein), dort würde es an den wichtigen Einschränkungen fehlen, die aktuell die Scoreerstellung und -verwendung binden. Bundesministerin Steffi Lemke hat daher bereits im Deutschlandfunk angekündigt: „Wir werden nun zeitnah entsprechende Regelungen prüfen.“ Das ist gut so. Eine BDSG-Novelle steht ja ohnehin aktuell an. Da kann das gut eingefügt werden.

Prof. Dr. Gregor Thüsing