EuGH zum SCHUFA-Score: Scoring kann automatisierte Entscheidung sein

Mit Urteil vom 7. Dezember 2023 (Rs. C-634/21) hat der Gerichtshof der Europäischen Union entschieden, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswerts durch eine Auskunftei eine automatisierte Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO sein kann. Voraussetzung ist, dass ein Dritter, etwa eine Bank, seine Entscheidung über Begründung, Durchführung oder Beendigung eines Vertrags maßgeblich auf diesen Wert stützt. Das Urteil betrifft weit mehr als die SCHUFA.

Der Ausgangsfall

Hintergrund ist ein Verfahren einer Verbraucherin, der ein Vertrag mit einem Dritten verweigert worden war, nachdem dieser einen ungünstigen Scorewert der SCHUFA erhalten hatte. Sie verlangte von der Auskunftei Auskunft über die gespeicherten Daten und die Berechnung sowie die Löschung aus ihrer Sicht falscher Einträge. Ein deutsches Verwaltungsgericht legte dem EuGH die Frage vor, ob schon die Erstellung des Scores unter Art. 22 DSGVO fällt.

Was der EuGH entschieden hat

Der EuGH legt den Begriff der Entscheidung weit aus. Er sieht eine Rechtsschutzlücke, wenn man nur auf die abschließende Entscheidung der Bank abstellt: Die Auskunftei wäre dann nicht an Art. 22 gebunden, die Bank könnte über die Berechnung keine Auskunft geben, weil sie die Logik nicht kennt. Deshalb ist bereits das Scoring erfasst, wenn der Score für die Entscheidung des Dritten maßgeblich ist.

Fällt das Scoring unter Art. 22 Abs. 1 DSGVO, ist es grundsätzlich verboten. Es ist nur zulässig, wenn eine der Ausnahmen des Art. 22 Abs. 2 greift: Erforderlichkeit für einen Vertrag, ausdrückliche Einwilligung oder eine Rechtsgrundlage im Unionsrecht oder im Recht der Mitgliedstaaten, die angemessene Schutzmaßnahmen vorsieht.

Problem § 31 BDSG

Die deutsche Regelung zum Scoring in § 31 BDSG kommt als solche Rechtsgrundlage in Betracht. Der EuGH äußert jedoch durchgreifende Bedenken, ob die Vorschrift mit der DSGVO vereinbar ist, weil sie weitgehend Fragen des Verbraucherschutzes regelt und die Grenzen der Öffnungsklausel möglicherweise überschreitet. Die abschließende Prüfung obliegt dem vorlegenden Gericht. Wir rechnen damit, dass der Gesetzgeber nachbessern muss.

Folgen für Auskunfteien, Banken und andere Anwender

Betroffen sind nicht nur Auskunfteien. Das Urteil lässt sich auf alle Konstellationen übertragen, in denen ein Dienstleister automatisiert einen Wert berechnet, auf den ein anderes Unternehmen seine Entscheidung im Wesentlichen stützt: Betrugsprävention im Onlinehandel, Bewerberauswahl durch HR-Software, Risikoprüfung bei Versicherungen oder Mietinteressenten.

Für die Praxis heißt das:

• Prüfen, ob ein eingesetzter oder angebotener Score für Entscheidungen maßgeblich ist
• eine tragfähige Ausnahme nach Art. 22 Abs. 2 DSGVO dokumentieren
• menschliche Überprüfung ermöglichen, das Recht auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung sicherstellen
• Auskunftsprozesse nach Art. 15 Abs. 1 lit. h DSGVO um aussagekräftige Informationen über die involvierte Logik ergänzen

Unternehmen, die eigene Scoring-Modelle oder KI-Systeme für Kredit-, Bewerber- oder Kundenentscheidungen einsetzen, sollten ihre Prozesse jetzt überprüfen. Der Grat zwischen bloßer Unterstützung und maßgeblicher Grundlage einer Entscheidung ist schmal.

Fragen dazu? Wir prüfen Ihre Scoring- und Entscheidungsprozesse. Nutzen Sie unsere Onlineberatung. Mehr unter Datenschutz, KI im Personalbereich und Datenschutz-Folgenabschätzung.