Außer zu der Frage der zulässigen Speicherfristen für Insolvenzdaten hat der Gerichtshof der Europäischen Union (EuGH) am 7. Dezember 2023 in einer Vorabentscheidung auf Vorlage des VG Wiesbaden auch eine wichtige Entscheidung zum Scoring getroffen (Rs C-634/21, ZVI 2024, 94 (in diesem Heft)). Es ging im Wesentlichen um die Frage, welche Rolle Score-Werte unter datenschutzrechtlichen Gesichtspunkten bei einer Kreditentscheidung spielen dürfen.

Jeder hat nach Art. 22 Abs. 1 DSGVO grundsätzlich das Recht, „nicht einer ausschließlich auf einer automatisierten Datenverarbeitung beruhenden Entscheidung unterworfen zu werden“. Die Regelung soll davor schützen, zum bloßen Objekt einer möglicherweise undurchsichtigen Datenverarbeitung zu werden.

Der EuGH hatte zu entscheiden, ob das Scoring, das von Wirtschaftsauskunfteien erstellt und deren Kunden wie z. B. Banken weitergegeben und dort verwendet wird, in diesem Sinn einen Verstoß gegen Art. 22 Abs. 1 DSGVO darstellen kann. Konkret wurde der EuGH gefragt, ob Art. 22 Abs. 1 DSGVO dahin gehend auszulegen sei, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswerts über die Fähigkeit einer betroffenen Person, künftig einen Kredit zu bedienen, eine „ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung“ darstellt, die der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wenn dieser mittels personenbezogener Daten der betroffenen Person ermittelte Wert von dem Verantwortlichen an einen dritten Verantwortlichen übermittelt wird und jener Dritte (d. h. in der Praxis der Kreditgeber) diesen Wert seiner Entscheidung über Kreditgewährung maßgeblich zugrunde legt. Der EuGH hat das unter bestimmten Umständen bejaht.

In der Presse wird aufgrund der Entscheidung teilweise schon über ein Ende des Scorings oder des gesamten Geschäftsmodells der Wirtschaftsauskunfteien spekuliert. Das erscheint fraglich. Der EuGH hat nicht über die Zulässigkeit des Scorings als solchen entschieden, sondern inwieweit Score-Werte den Entscheidungen über Kreditgewährungen zugrunde gelegt werden können, namentlich, ob sie solche Entscheidungen gleichsam automatisch dominieren dürfen oder ob sie nur als Teil einer individuellen Entscheidung durch die verantwortlichen Entscheider der Bank herangezogen werden dürfen. Letzteres wäre datenschutzrechtlich nicht zu beanstanden.

Dafür, dass Scoring grundsätzlich unzulässig sein sollte, gibt es keine Argumente. Im Gegenteil, das Scoring ist ein fester und notwendiger Bestandteil des Wirtschaftsverkehrs. Kreditgeber und Warenlieferanten sind darauf angewiesen, Bonitätsrisiken zu erkennen und möglichst zu vermeiden. Kreditinstitute sind nach § 18a Abs. 1 KWG und § 505a BGB auch gesetzlich zur Prüfung der Kreditwürdigkeit verpflichtet. Die Vermeidung von Leistungsausfällen sichert nicht nur die Geschäftsfelder der Kreditoren ab, sie verringert auch deren Verluste, die sich ansonsten über die Preisgestaltungen zu Lasten aller Kreditnehmer auswirken könnten.

Das Problem des Scorings liegt darin, dass die Errechnung des Score-Wertes nach außen wenig transparent ist und die Betroffenen mitunter das Gefühl haben, dass genau dieser intransparente Wert schon über die Bewilligung oder Ablehnung ihres Kreditantrags entscheidet. Zumindest die SCHUFA Holding AG (kurz SCHUFA) bemüht sich mittlerweile darum, über einen sog. Score-Simulator hier etwas mehr Transparenz zu schaffen (https://www.schufa.de/scoring-daten/scoring-schufa/).

Nach § 31 Abs. 1 BDSG meint Scoring „die Verwendung eines Wahrscheinlichkeitswertes über ein bestimmtes zukünftiges Verhalten einer natürlichen Person zum Zweck der Entscheidung über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses mit dieser Person“. Der Score-Wert gibt insoweit Anhaltspunkte für die Wahrscheinlichkeit, mit der die vertraglichen Pflichten voraussichtlich erfüllt werden. Maßgeblich dafür sind sowohl individuelle Daten der Betroffenen als auch statistische Werte von Vergleichsgruppen.

Die Bildung von Score-Werten erfolgt einerseits durch externe Dienstleister wie Wirtschaftsauskunfteien und anderseits auch in Form einer internen Bonitätsprüfung innerhalb der Kreditvergabestellen. Und hier liegt der Kern der Problematik, die dem EuGH unterbreitet wurde. Es geht letztlich um die Frage des Einflusses des Scores, den die Auskunfteien bilden, auf die konkrete Kreditentscheidung. Kurzgefasst, wenn von diesem Wahrscheinlichkeitswert maßgeblich abhängt, ob ein Dritter, z. B. das Kreditinstitut, dem dieser Wahrscheinlichkeitswert übermittelt wird, ein Vertragsverhältnis mit einem Schuldner begründet, durchführt oder beendet und das „ausschließlich auf einer automatisierten Verarbeitung“ basiert, dann wäre das eine „automatisierte Entscheidung“ und ein Verstoß gegen Art. 22 Abs. 1 DSGVO.

Der Generalanwalt hatte in seinem Schlussantrag darauf hingewiesen, dass seiner Ansicht nach der von einer Wirtschaftsauskunftei übermittelte Score-Wert im Allgemeinen die Entscheidung über die Gewährung oder Versagung eines Kredits maßgeblich vorbestimme. Daraus folge, dass der Score-Wert der Auskunfteien zumindest im wirtschaftlichen Sinn als eine „Entscheidung“ nach Art. 22 Abs. 1 DSGVO anzusehen sei und das könne datenschutzrechtlich unzulässig sein. Der EuGH folgt dieser weiten Auslegung. Nach den Feststellungen des vorlegenden Verwaltungsgerichts „führe ein unzureichender Wahrscheinlichkeitswert in nahezu allen Fällen dazu, dass die Bank die Gewährung des beantragten Kredits ablehne“. Genau das bestreitet z. B. die SCHUFA. In ihrem Themenportal (https://www.schufa.de/themenportal/eugh-urteil-scoring/) weist sie darauf hin, dass die Zahlungsprognosen in Form des SCHUFA-Scores für ihre Kunden zwar wichtig, aber in aller Regel nicht allein entscheidend für einen Vertragsabschluss seien. Die Frage ist also, welche Entscheidungsspielräume bei den verantwortlichen Entscheidern der Kreditgeber bestehen und wie weit sie genutzt werden. Das ist letztlich eine Tatfrage. Ein maßgebliches gleichsam automatisches Durchschlagen des Score-Wertes auf die Kreditentscheidung ist datenschutzrechtlich unzulässig. Eine Einbeziehung des Wertes in die abwägende Kreditentscheidung des Verantwortlichen des Kreditinstituts ist hingegen möglich und auch notwendig.

Für das Geschäftsgebaren der Wirtschaftsauskunfteien wie der SCHUFA ist es jedoch relativ einfach, ihre Kunden über allgemeine Geschäftsbedingungen oder individuelle Vereinbarungen darauf hinzuweisen, dass ihre Score-Werte nur in diesem Rahmen genutzt werden dürfen. Damit dürfte sich letztlich an dem Geschäftsfeld der Auskunfteien kaum etwas ändern. Die SCHUFA vertritt in ihrem Themenportal deshalb nicht ganz zu Unrecht die Auffassung, dass „die große Mehrheit ihrer Kunden SCHUFA-Scores weiterhin ohne Anpassung ihrer Prozesse wird nutzen können“.