Nach Verkündung des Urteils des EuGH vom 07.12.2023, Az. C-634/21 (EuGH-Urteil), wähnte sich die Schufa in Sicherheit. So begrüßte sie in einer ersten Stellungnahme das EuGH-Urteil: „Es sorgt für Klarheit, wie Zahlungsprognosen (Scores) in den Entscheidungsprozessen von Unternehmen im Sinne der Datenschutz-Grundverordnung verwendet werden dürfen.“ Kunden hätten der Auskunftei „weit überwiegend“ zurückgemeldet, „dass Zahlungsprognosen in Form des Schufa-Scores für sie zwar wichtig, aber in aller Regel nicht allein entscheidend für einen Vertragsabschluss“ seien. Die Mehrheit der Kunden werde daher die „Schufa-Scores weiterhin ohne Anpassung ihrer Prozesse nutzen können“, teilte die Schufa mit.

 

Diese Einschätzung der Schufa geht an den Ausführungen des EuGH-Urteils vorbei. Vielmehr scheint die Schufa eine Klagewelle abwenden und sich vor Schadensersatzansprüchen frühzeitig schützen zu wollen. Offenbar sollen Verbraucherinnen und Verbraucher einmal mehr dazu veranlasst werden, ihre Ansprüche nicht gegen die Schufa geltend zu machen.

 

Das Scoring, wie es aktuell seitens der Schufa durchgeführt wird, verstößt nach dem EuGH-Urteil gegen die Datenschutz-Grundverordnung (DSGVO). Dass Kunden der Schufa die „Schufa-Scores weiterhin ohne Anpassung ihrer Prozesse nutzen können“ schließt das EuGH-Urteil – entgegen der Behauptung der Schufa – aus.

 

Das ergibt sich im Einzelnen aus der Begründung des EuGH-Urteils.

 

Der EuGH hat festgestellt, dass das Scoring der Schufa von Art. 22 Abs. 1 DSGVO erfasst und verboten ist.

 

Beim Scoring liegt eine „automatisierte Entscheidung im Einzelfall“ im Sinne dieser Bestimmung vor. Gegenüber einer vom Scoring betroffenen Person entfaltet diese automatisierte Entscheidung im Einzelfall rechtliche Wirkung. Zudem wird die betroffene Person dadurch in erheblicher Weise beeinträchtigt.

 

Der Begriff „Entscheidung“ im Sinne von Art. 22 Abs. 1 DSGVO kann nach dem EuGH mehrere Handlungen umfassen, die die betroffene Person in vielerlei Weise beeinträchtigen können. Er ist daher weit genug, um das Scoring der Schufa mit einzuschließen (EuGH-Urteil, Rn. 46).

 

Art. 22 Abs. 1 DSGVO verleiht der betroffenen Person somit das „Recht“, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden. Diese Bestimmung stellt nach dem EuGH-Urteil ein grundsätzliches Verbot auf, dessen Verletzung von einer solchen Person nicht individuell geltend gemacht zu werden braucht (EuGH-Urteil, Rn. 52).

 

Der EuGH sagt danach ausdrücklich, dass das Scoring der Schufa verboten ist (EuGH-Urteil, Rn. 64 HS 1). Die „Entscheidung“ selbst ist folglich bereits Teil des Ergebnisses der Berechnung der Fähigkeit einer Person zur Erfüllung künftiger Zahlungsverpflichtungen in Form eines Wahrscheinlichkeitswerts, also des Schufa-Scorings (vgl. EuGH-Urteil, Rn. 46). Für die Beurteilung, ob das Scoring der Schufa verboten ist, kommt es somit nicht mehr darauf an, ob der Vertragspartner der Schufa noch eine weitere Entscheidung trifft, die lediglich auch den Schufa-Score berücksichtigt.

 

Der EuGH hat zudem festgestellt, dass in Bezug auf eine Ausnahme von dem Verbot, auf die sich die Schufa beruft, durchgreifende Bedenken bestehen.

 

Nach dem EuGH ist das Schufa-Scoring verboten, es sei denn eine der in Art. 22 Abs. 2 DSGVO genannten Ausnahmen ist anwendbar und die besonderen Anforderungen von Art. 22 Abs. 3 und 4 DSGVO sind erfüllt (EuGH-Urteil, Rn. 64 HS 2).

 

Art. 22 Abs. 2 DSGVO sieht drei Ausnahmen vor, von denen eine gegeben sein muss.

 

Die erste Ausnahme wäre, dass ein Vertrag oder die Erfüllung eines Vertrages zwischen der Schufa und dem/der Verbraucher/in erforderlich wäre. Zwischen der Schufa und Verbrauchern existieren keine Verträge. Vertragspartner der Schufa sind die jeweiligen Unternehmen, mit denen wiederum Verbraucher Verträge haben bzw. sich in Vertragsverhandlungen befinden. Diese Ausnahme liegt somit nicht vor.

 

Ebenso liegt auch keine ausdrückliche Einwilligung – die dritte Ausnahme – von Verbrauchern gegenüber der Schufa vor.

 

Schließlich käme nur § 31 BDSG als eine nationale Rechtsgrundlage im Sinne von Art. 22 Abs. 2 Buchst. b DSGVO als die zweite Ausnahme in Betracht (EuGH-Urteil, Rn. 71). Bezüglich der Vereinbarkeit des § 31 BDSG mit dem Unionsrecht bestehen seitens des EuGH aber „durchgreifende Bedenken“ (EuGH-Urteil, Rn. 71).

 

Der nach § 31 BDSG zulässige Erlass einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung muss die in Art. 22 Abs. 2 Buchst. b DSGVO und in Art. 22 Abs. 4 DSGVO aufgestellten Voraussetzungen erfüllen. Zudem dürfen die Anforderungen in den Art. 5 und 6 DSGVO nicht missachtet werden (EuGH-Urteil, Rn. 68).

 

 

Es scheitert bereits an einer Beachtung des Art. 6 Abs. 1 Buchst. f DSGVO. Insbesondere darf die Regelung nicht dadurch von den Vorgaben abweichen, dass sie das Ergebnis der Abwägung der einander gegenüberstehenden Rechte und Interessen abschließend vorschreibt (vgl. in diesem Sinne Urteil vom 19. Oktober 2016, Breyer, C‑582/14, EU:C:2016:779, Rn. 62; EuGH-Urteil, Rn. 70).

 

§ 31 BDSG gewährt nicht die Möglichkeit einer Interessenabwägung. Vielmehr schreibt § 31 BDSG abschließend vor, unter welchen Voraussetzungen ein Scoring möglich ist. Die Berücksichtigung der Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, wie es Art. 6 Abs. 1 Buchst. f DSGVO fordert, werden im Rahmen der nach § 31 BDSG geregelten Voraussetzungen außer Acht gelassen.

 

Danach ist dem EuGH nicht nur darin zuzustimmen, dass es „durchgreifende Bedenken“ an der Vereinbarkeit des § 31 BDSG mit dem Unionsrecht gibt. Der § 31 BDSG ist demzufolge vielmehr mit dem Unionsrecht unvereinbar.

 

Fazit: Die Schufa handelt nicht nur ohne Rechtsgrundlage, sondern sie verstößt ipso iure gegen das in Art. 22 Abs. 1 DSGVO aufgestellte Verbot (vgl. EuGH-Urteil, Rn. 71).

 

Die Behauptung der Schufa, ihre Kunden könnten die „Schufa-Scores weiterhin ohne Anpassung ihrer Prozesse nutzen“ ist nicht nachvollziehbar und nicht korrekt.

 

Das ergibt sich nicht nur aus dem Umstand, dass das Schufa-Scoring verboten ist (s.o. Ziff. 1.) und die Schufa in Bezug auf das Scoring ohne Rechtsgrundlage handelt (s.o. Ziff. 2.).

 

Es ergibt sich zum einen auch daraus, dass das Handeln des Dritten, dem der Wahrscheinlichkeitswert durch die Schufa übermittelt wird, „maßgeblich“ von diesem Wert geleitet wird. So stellt der EuGH fest, dass im Fall eines von einem Verbraucher an eine Bank gerichteten Kreditantrags ein unzureichender Wahrscheinlichkeitswert in nahezu allen Fällen dazu führt, dass die Bank die Gewährung des beantragten Kredits ablehnt (EuGH-Urteil, Rn 48). Dass der Scoring-Wert in aller Regel nicht allein entscheidend ist, wie die Schufa behauptet, sieht der EuGH anders.

 

Zum anderen ergibt es sich daraus, dass bei der Verwendung des Scores durch Dritte, insbesondere bei Konstellationen, an denen drei Akteure beteiligt sind, also z.B. ein potenzieller Darlehensnehmer, eine Bank und die Schufa, die Gefahr einer Umgehung von Art. 22 DSGVO besteht. Das würde zu einer Rechtsschutzlücke führen, wenn das Scoring nur als vorbereitende Handlung anzusehen ist und nur die vom Dritten vorgenommene Handlung als Entscheidung eingestuft werden kann (EuGH-Urteil, Rn. 61). Die Entscheidung des Dritten, also der Bank, kann danach nicht vom Schufa-Score geleitet werden.

 

Das Verwaltungsgericht Wiesbaden hat nach dem EuGH nun zu prüfen, ob es den § 31 BDSG (auch) mit dem Unionsrecht unvereinbar ansieht (EuGH-Urteil, Rn. 72).

 

 

Jeder von dem Schufa-Score Betroffene sollte auch jetzt schon alle Rechte wahren und sie vollumfänglich gegenüber der Schufa geltend machen. Nutzen Sie dazu den Datenschutzrechner oder wenden Sie sich an Datenheld.