Überraschend bescheiden zeigte sich eine von Deutschlands renommiertesten Kreditauskunfteien in einem kürzlich versandten Brief an ihre Kunden. In dem Schriftstück, das fast den Charme eines entschuldigenden Schulkindes hat, bittet die Auskunftei ihre Hauptgeschäftskunden um Bestätigung, dass der von ihr angebotene Kreditwürdigkeitsscore, immerhin das Produkt mit dem Hauptanteil am Jahresumsatz von rund 250 Mio. Euro, eigentlich gar keine so große Sache sei.

Retten, was noch zu retten ist

Laut Aussagen von Zeitungen, denen der Brief vorliegt, bittet die Auskunftei ihre Kunden in dem Schreiben u.a. um Bestätigung, „dass der Kreditwürdigkeits-Score eine Vertragsentscheidung nicht vorwegnehme“ ebenso wenig wie er „ein KO-Kriterium für die Begründung eines Vertragsverhältnisses sei“ und er „auch nicht zu einer automatischen Ablehnung eines Vertragsabschlusses führe“.

Bei solch einer Bescheidenheit sei die Frage erlaubt, was denn der Grund für diesen plötzlichen Sinneswandel, der auch noch per Brief an die Kunden, die jahrelang den Score bei ihren Geschäftstransaktionen genutzt haben, mitgeteilt wird?

Der Grund ist schlichtweg der Versuch, der anstehenden Entscheidung eines Verfahrens vor dem Europäischen Gerichtshof zu begegnen - frei nach dem Motto: retten, was noch zu retten ist.

Das Verwaltungsgericht Wiesbaden hat im Oktober 2021 dem EuGH - vereinfacht gesagt - die Frage zur Entscheidung vorgelegt, ob die automatische "Wie-wahrscheinlich-ist-es-dass-Sie-Ihre-Rechnungen-bezahlen"-Berechnung, also der Score, im Einklang mit der EU-Datenschutz-Grundverordnung steht.

Und der EuGH-Generalanwalt Priit Pikamäe, der die Entscheidungen des EuGH vorbereitet, kommt, wie er in einer Pressemitteilung vom 16.03.23 mitteilt, wohl zu dem Ergebnis, dass die Praxis der Unternehmen, vollständig automatisierte Bonitätsabfragen und die darauf aufbauenden automatisierten Kreditentscheidungen - und hierzu zählen natürlich auch nachgelagerte Rechnungszahlungen - gegen Artikel 22 DSGVO „Automatisierte Entscheidungen im Einzelfall einschließlich Profiling“ verstoßen.

Der Artikel 22 Abs. 1 DSGVO lautet wie folgt:
Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

Bislang zogen sich die Auskunfteien, zu denen am deutschen Markt Namen wie arvato infoscore, CRIF Bürgel GmbH, SCHUFA und auch Creditreform Boniversum gehören, in ihrer Argumentation auf den Standpunkt zurück, dass sie überhaupt keine Entscheidung träfen. Vielmehr würden sie nur einen Scorewert an ihre Kunden liefern. Wie diese damit umgingen, läge dann in deren Entscheidungsmacht. Vermutlich würde die Kreditentscheidung da natürlich in der Regel durch einen dort beschäftigten Mitarbeiter getroffen werden. Überprüfen könne – und müsse – man das aber nicht.

Der hessische Beauftragte für Datenschutz reihte als für den Marktführer SCHUFA zuständige Aufsichtsbehörde stimmte in den Tenor ein und vertritt bis heute auf seiner Webseite die Auffassung, dass „die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG) die Tätigkeit von Auskunfteien grundsätzlich zulassen würden“.

Das Verwaltungsgericht Wiesbaden sah das etwas skeptischer und legte aus einem verhandelten Fall dem EuGH hierzu entsprechende Fragen vor.

Ja, das ist Profiling – und verstößt gegen Art. 22 DSGVO

In seinem Schlussantrag stellt einer der Generalanwälte der EU, welche die vorgelegten Rechtssachen begutachten und ihre Ergebnisse dem EuGH in den sog. Schlussanträgen vorlegen in ebendiesem klar, dass „die DSGVO ein „Recht“ der betroffenen Person verankere, nicht einer ausschließlich auf einer automatisierten Verarbeitung - einschließlich Profiling - beruhenden Entscheidung unterworfen zu werden. So weit nachvollziehbar.

Weiter erläutert er, - und hier bezieht er konträr Stellung zur Aussage der Auskunfteien und auch der hessischen Aufsichtsbehörde - die Voraussetzungen, denen dieses Recht unterliege, erfüllt seien, da:

1. das fragliche Verfahren ein „Profiling“ darstelle,
2. die Entscheidung rechtliche Wirkungen gegenüber der betroffenen Person entfalte oder sie in ähnlicher Weise erheblich beeinträchtige und
3. davon auszugehen sei, dass die Entscheidung ausschließlich auf einer automatisierten Verarbeitung beruhe.

Ist das Geschäftsmodell der Kreditauskunfteien in Frage gestellt?

Bleibt es bei dieser Einschätzung, dürfte dies das Geschäftsmodell der Auskunfteien in Frage stellen, denn sie liefern automatisiert binnen weniger als einer Sekunde einen Score, der in vielen Fällen automatisch eine Entscheidung auslöst. Glaubt jemand ernsthaft, dass bei einem Kauf in einem Onlineshop nachts um drei noch ein Mensch in den Entscheidungsweg der Bonitätsprüfung eingreift?

Unter diesen Rahmenbedingungen wird nun von Anbietern dieser Aufwand betrieben, von den Geschäftspartnern eine Bestätigung einzuholen, dass diese den Score nur als eines von mehreren Kriterien für die finale Entscheidung pro oder contra Kredit nutzen - was der Realität natürlich - falls überhaupt - nur sehr, sehr bedingt entspricht…

Im Nachgang zu der Verkündung der Entscheidung des Generalanwalts und dem zu erwartenden finalen Urteil des EuGH behilft man sich seitens der Auskunfteien dann zwischenzeitlich schon mal mit Formulierungen wie dieser in den Verträgen mit Geschäftspartnern, die den Scorewert nutzen:

Ablehnung eines Kunden
[Der Scoringanbieter] liefert im Rahmen des Datenpools keine Entscheidungen, sondern Basisinformationen als Grundlage für die Entscheidungspolitik des Poolkunden. Die Ablehnung eines Kunden bedarf einer qualifizierten Begründung im Rahmen der Entscheidungspolitik des Poolkunden. Erst auf wiederholte und gezielte Nachfrage des Kunden erfolgt ein Hinweis auf [den Scoringanbieter] zum Zweck der Einholung einer Selbstauskunft (Art. 15 EU-DSGVO). Es ist nicht Aufgabe [des Scoringanbieters], Entscheidungen des Poolkunden zu begründen oder zu rechtfertigen.

Man darf sich schon fragen, was davon zu halten ist, dass Scoringanbieter ihre Kunden vertraglich verpflichten, bei einer Ablehnung den Scoringanbieter möglichst nicht zu nennen. Es könnte ja sein, dass der Abgelehnte sein Recht auf Auskunft gemäß Artikel 15 DSGVO gegenüber dem Scoringanbieter geltend macht, um zu erfahren, weshalb er abgelehnt wurde.

Was bedeutet dies für die Kunden der Scoringanbieter?

Die Auskunfteien sehen dem EuGH-Urteil mit großer Spannung entgegen. Und es ist davon auszugehen, dass sämtliche Unternehmen, die auf Dienstleistungen von den Auskunfteien zurückgreifen, demnächst ihre Prozesse zur Kreditentscheidung - zu denen auch die einfache Bonitätsabfrage bei Rechnungszahlung gehört - überarbeiten müssen.

Das Procedere wird auf jeden Fall aufwändiger werden UND zukünftig auch unter erhöhter Beobachtung der Aufsichtsbehörden stehen. Vor allem die Betroffenen, die mit einer negativen Kreditentscheidung konfrontiert sein werden, werden zukünftig definitiv mehr Möglichkeiten haben, über die Ausübung ihrer Rechte in den Prozess einzugreifen. Und das werden sie nutzen.

Interessant dabei ist, dass dieser Scoringanbieter die Aufgabe, den gesamten Vorgang nicht als „automatisierte Entscheidungsfindung“ gelten zu lassen, einfach seinen Kunden zuschiebt. Diese sollen sich darum kümmern, den Prozess so zu gestalten, dass aus dem Scorewert des Scoringanbieters eine nach Artikel 22 DSGVO konforme Entscheidungsgrundlage zu basteln, die nicht nach „automatisiert“ riechen darf.

Fazit

Inwieweit sich das Geschäftsmodell der Auskunfteien zukünftig in der Form bestehen wird, wird sich zeigen. Der Schlussantrag des EU-Generalanwalts dürften den Auskunfteien schon mal Kopfzerbrechen bereiten. Das gilt selbstredend für sämtliche Kreditauskunfteien, die automatisch ermittelte Scorings verkaufen.

In einem nächsten Schritt wird nun der EuGH sein Urteil sprechen. Dies wird dann das Verwaltungsgericht Wiesbaden in dem dort anhängigen Prozess berücksichtigen und darauf aufbauend das konkrete Urteil sprechen.

Für die Nutzer von Scoringangeboten wird es auf jeden Fall Umstellungen in den Prozessen geben. Es wird sicher nicht einfacher werden und manche Branche wird sich überlegen, ob sich der Einsatz von Scoring noch lohnt.

Lohnen wird es sich wohl für die Betroffenen. Ihre Rechte werden gestärkt und sie werden mehr und effizientere Möglichkeiten bekommen, in den Prozess einzugreifen. Es bleibt letztlich zu hoffen, dass dies nicht zu Lasten der Unternehmen gehen wird.

Stay tuned.