SCHUFA-Urteil: Der EuGH zieht dem Scoring 2023 Grenzen
Der EuGH entschied am 7. Dezember 2023, dass schon ein Score der SCHUFA eine automatisierte Entscheidung sein kann, wenn die Bank sich maßgeblich darauf stützt. Anlass war eine Frau, der eine Bank wegen ihres SCHUFA-Werts einen Kredit verweigert hatte.
Der Gerichtshof der Europäischen Union urteilte am 7. Dezember 2023 in der Rechtssache C-634/21 über das Scoring der SCHUFA.1,2 Danach kann schon die Bildung eines Score-Werts durch eine Auskunftei eine automatisierte Entscheidung nach Artikel 22 DSGVO sein, wenn die Entscheidung eines Dritten maßgeblich von diesem Wert abhängt.3 Im Ausgangsfall hatte die SCHUFA einer Bank einen Score-Wert für die Klägerin geliefert, und die Bank verweigerte ihr auf dieser Grundlage den beantragten Kredit.2 Eine Beschwerde beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit blieb erfolglos, daraufhin klagte sie beim Verwaltungsgericht Wiesbaden.3 Das Gericht legte dem EuGH mit Beschluss vom 1. Oktober 2021 zwei Fragen zur Vorabentscheidung vor.3
Der Gerichtshof stützte sich auf die Feststellung des vorlegenden Gerichts, dass ein unzureichender Score in der Praxis fast immer zur Ablehnung des Kredits führe.2,1 Die SCHUFA geht davon aus, dass die meisten ihrer Kunden ihre Entscheidungen nicht maßgeblich auf den Score stützen, sodass Artikel 22 DSGVO dann nicht anwendbar wäre.1 Über die deutsche Regelung muss wieder das Verwaltungsgericht Wiesbaden entscheiden, weil der Gerichtshof nationales Recht nicht auslegen darf.2
Am selben Tag entschied der Gerichtshof in den verbundenen Rechtssachen C-26/22 und C-64/22 über die Speicherung von Daten aus öffentlichen Registern bei Auskunfteien.3 Die SCHUFA hatte Angaben über Restschuldbefreiungen drei Jahre lang gespeichert, im öffentlichen Insolvenzregister standen sie nur sechs Monate.3 Der EuGH sah darin einen Widerspruch zur DSGVO.3
Ein Gesetzentwurf zur Änderung des Bundesdatenschutzgesetzes sollte das Urteil aufgreifen und § 31 durch einen neuen § 37a ersetzen.4 In einer Stellungnahme zum Entwurf warnte der Verband Die Wirtschaftsauskunfteien, der Gesetzgeber laufe Gefahr, eine europarechtswidrige Formulierung aufzunehmen.4 Der Bundestag beschloss die Neuregelung am 17. April 2026.5 § 37a gilt ab dem 20. November 2026.6
Siehe auch
- DSGVO gilt ab 25. Mai 2018 und löst die Richtlinie von 1995 ab 2018 Die Verordnung, deren Artikel 22 der Gerichtshof hier auf den Score anwendet.
- Volkszählungsurteil begründet 1983 informationelle Selbstbestimmung 1983 Vierzig Jahre früher zog ein deutsches Gericht der Verarbeitung persönlicher Daten Grenzen, damals dem Staat.
- Hessisches Datenschutzgesetz von 1970 gilt als erstes der Welt 1970 Das Land, dessen Datenschutzbeauftragter im Ausgangsverfahren beklagt war, hatte das erste Datenschutzgesetz.
Hierher verwiesen
- Russmedia: Marktplätze verantworten Daten in Nutzeranzeigen 2025 Auch dort legte der EuGH die DSGVO so aus, dass sie ein ganzes Geschäftsmodell betrifft.
- EDSB gegen SRB: Pseudonymisierte Daten nicht immer personenbezogen 2025 Auch dort legte der EuGH einen Grundbegriff des Datenschutzrechts aus, die automatisierte Entscheidung.