Am 07.12.2023 entscheidet der Europäische Gerichtshof in zwei Verfahrenskomplexen zu unterschiedlichen Themen mit Bezug zur Schufa Holding AG. Auch wenn der eigentliche Beklagte der Hessische Beauftragte für Datenschutz als zuständige Aufsichtsbehörde ist, haben die Verfahren unmittelbare Auswirkungen auf die Tätigkeit der Schufa in den Bereichen „Scoring“ und Speicherung von Daten aus öffentlichen Verzeichnissen und damit verbunden auch zu der Frage, wie lange Daten gespeichert werden dürfen.
Urteil des EuGH vom 07.12.2023 – AdvoAdvice erstreitet wichtige Erfolge für betroffene Personen
Speicherfrist zur Registerdaten; Überprüfbarkeit der Aufsichtsbehörden
Der Europäische Gerichtshof hat um 09:30 Uhr die Entscheidung in den anhängigen Verfahren C-26/22 und C-64 verkündet:
- Entscheidungen von Aufsichtsbehörden sind vollständig gerichtlich überprüfbar!
- Daten aus öffentlichen Verzeichnissen über Restschuldbefreiungen dürfen nicht mehr als sechs Monate gespeichert werden
- Die betroffene Person hat das Recht einen Widerspruch gegen die Datenverarbeitung einzulegen, sofern keine zwingenden Gründe entgegenstehen
- Die verantwortliche Stelle muss unrechtmäßige Daten unverzüglich löschen.
Damit ist der Europäische Gerichtshof vollumfänglich der Argumentation der Experten der Kanzlei AdvoAdvice gefolgt. Dies ergibt sich auch aus der Pressemitteilung des EuGH.
Rechtsanwalt Dr. Raphael Rohrmoser nimmt wie folgt Stellung: „Wir freuen uns sehr, dass der Europäische Gerichtshof unserer Auffassung gefolgt ist. Die Entscheidung wird weitreichende Folgen für die Auskunfteienwirtschaft haben. Die Einhaltung der strengen Grundsätze der DSGVO sind sehr wichtig, um die betroffenen Personen zu schützen und eine Teilhabe am öffentlichen Leben zu ermöglichen. Diesem Ziel sind wir mit der heutigen Entscheidung einen großen Schritt näher gekommen. Ergänzt wird dies durch die wichtige Feststellung, dass auch Entscheidungen von Aufsichtsbehörden vollumfänglich überprüfbar sind.“
Scoring – Fehleinschätzung der Medien?
In der zweiten Entscheidung zum Thema Scoring wurde der Europäische Gerichtshof nicht ganz so deutlich und hat einige Türen und Entscheidungsmöglichkeiten offengelassen. Voraussetzung dafür, dass das Scoring der Schufa Holding AG unter Art. 22 DSGVO fällt, ist dass der Score „maßgeblich“ zur Vertragsentscheidung herbeigezogen wird. In Fällen in denen dies nicht der Fall ist, kann das Scoring -entgegen der medialen Berichterstattung- weiter genutzt werden. Hier müssen Unternehmen ggf. Anpassungen vornehmen, um den Betroffenen eine Beschwerde zu ermöglichen und andere Gründe in die Entscheidung mit einfließen zu lassen. Auch mit einer Einwilligung ist die Nutzung des bisherigen Modells möglich. Zuletzt hat der EuGH auch noch nicht entschieden, ob mit § 31 Bundesdatenschutzgesetz eventuell eine ausreichende Ausnahmeregelung vorliegt. Dies muss nun das Verwaltungsgericht Wiesbaden bewerten.
Rechtsanwalt Dr. Rohrmoser zeigt sich überrascht, dass dies in der Berichterstattung untergeht: „Die Schufa hat in den letzten Monaten bereits Vorarbeit geleistet, um die Folgen eines Urteils abzufangen und das Geschäftsmodell nicht einstellen zu müssen. Die Pauschalität der Berichterstattung ist an dieser Stelle kritisch zu bewerten, da so Missverständnisse bei betroffenen Personen hervorgerufen werden können.“
Kommentare zu den Urteilen
Nicht nur in den Medien gibt es unterschiedliche Auffassung über die Tragweite der Entscheidungen und deren Relevant für die weitere Tätigkeit von Auskunfteien. Währen der Prozessvertreter der Schufa vor dem EuGH, Prof. Dr. Thüsing, weitreichende Konsequenzen befürchtet, kann diese Position von Dr. Raphael Rohrmoser nicht geteilt werden. In diesem Kontext wurde ein Kommentar von Thüsing auf LTO veröffentlicht, zu dem Rechtsanwalt Rohrmoser eine Gegendarstellung formuliert hat.
Es wird nun spannend bleiben, welche Auswirkungen das Urteil tatsächlich hat.
Medienberichte
Zu den Verfahren wird es heute eine Vielzahl an TV-Berichten geben. Rechtsanwalt Dr. Raphael Rohrmoser sprach bereits gestern als Experte mit N-TV über das Scoring-Verfahren:
Auch die Kollegen von NOYB haben sich zu Wort gemeldet, die Urteile eingeordnet und Dr. Rohrmoser dort als Klägeranwalt zitiert. Der Beitrag ist abrufbar unter: „NOYB: EuGH weist Kreditauskunftei SCHUFA in die Schranken“
Die Wirtschaftswoche hat in einem weiteren Beitrag zwei Zitate von Dr. Rohrmoser untergebracht und den Beitrag „Schufa: Betroffenenrechte massiv gestärkt“ veröffentlicht.
Heute Abend wird es im RTL Nachtjournal noch einen Beitrag zu dem Thema geben. Eine Ausstrahlung erfolgt auch am morgigen Vormittag noch. Der Beitrag ist hier zu sehen.
Ausgangssituation
Beide Verfahrenskomplexe wurden vom Verwaltungsgericht Wiesbaden an den Europäischen Gerichtshof vorgelegt. Obgleich das „Scoring“-Verfahren aktuell mehr mediales Interesse erfährt, dürften die unmittelbaren Konsequenzen aus dem Verfahren zur Restschuldbefreiung für die Aufsichtsbehörden und die Rechtsprechung unmittelbarer zu spüren und von Bedeutung sein.
Speicherung der „Restschuldbefreiung“ – Verfahren C-26/22 und C 64/22
Zunächst entscheidet der Europäische Gerichtshof über die wichtige Frage, ob die Eingabe einer betroffenen Person bei einer Datenschutzbehörde stets gerichtlich überprüfbar ist. Dies betrifft vor allem Verfahren, in denen die Behörde der Meinung ist, dass kein Verstoß vorliegen würde. Der Hessische Beauftragte für Datenschutz ging davon aus, dass den betroffenen Personen nur ein Beschwerderecht eingeräumt wird und das Gericht die Entscheidung dann inhaltlich nicht überprüfen kann. Die Kanzlei AdvoAdvice vertrat dagegen die Auffassung, dass eine behördliche Entscheidung stets auch inhaltlich überprüfbar ist und in manchen Konstellationen sogar eine konkrete Maßnahme von der Behörde gefordert werden kann.
Im zweiten Teil des Verfahrens muss der Europäische Gerichtshof die Frage entscheiden, ob Daten aus öffentlichen Verzeichnissen von der Schufa Holding AG übernommen werden und parallel gespeichert werden dürfen. Zudem ist die Frage wichtig, ob Auskunfteien die Einträge dann zur Löschung bringen müssen, wenn diese im öffentlichen Verzeichnissen gelöscht werden (hier nach sechs Monaten).
Zuletzt entscheidet der Gerichtshof darüber, wie der sog. code-of-conduct (Verhaltenskodex) rechtlich zu bewerten ist. Im konkreten code-of-conduct haben sich die Auskunfteien auf eine pauschale drei-jährige Löschfrist geeinigt. Es stellt sich aber die Frage, ob es sich hierbei um eine freiwillige Selbstverpflichtung der Auskunfteien handelt oder ob dieser Verhaltenskodex auch Rechtswirkung für andere Stellen und ggf. auch Gerichte entfaltet.
Scoring bei der SCHUFA – C-634/21
Im zweiten Verfahren muss sich der Europäische Gerichtshof zu der Frage äußern, ob das aktuelle Scoring-Verfahren der Schufa Holding AG ganz oder teilweise unter die engen Vorschriften des Art. 22 DSGVO fällt. Einfach gesagt soll der Mensch nicht der Entscheidung einer Maschine unterworfen werden. Hierbei ist aber wichtig, dass sich die vorgelegte Frage auf eine konkrete Konstellation bezieht, nämlich dass der Vertragspartner seine Entscheidung nahezu vollständig von dem Scorewert der Schufa Holding AG abhängig macht. Wenn die Vertragspartner also gleichartige Verträge bei einem negativen Schufa-Score vergeben, z.B. weil andere Aspekte zentral berücksichtigt werden, würde dies wohl nicht unter die Ausnahme fallen.
In diesem Verfahren wird sich der EuGH auch zur Frage äußern müssen, ob die deutsche Rechtsgrundlage (§ 31 Bundesdatenschutzgesetz) europarechtskonform ist. Es wird erwartet, dass das Verfahren weitreichende Konsequenzen für Auskunfteien in Europa hat. In der Folge sind dann aber auch die Vertragspartner der Auskunfteien gefragt, um keine Verstöße gegen die DSGVO zu begehen.
Generalanwalt auf Verbraucherseite
- Die behördlichen Entscheidungen sind vollumfänglich von Gerichten überprüfbar.
- Es bestehen Zweifel, ob Daten parallel in öffentlichen und privaten Verzeichnissen verarbeitet werden dürfen.
- Jedenfalls müssen die Daten auch in privaten Verzeichnissen gelöscht werden, wenn diese in öffentlichen Verzeichnissen gelöscht sind.
- Der Code-of-Conduct der Auskunfteien stellt eine freiwillige Selbstverpflichtung ohne Drittwirkung dar.
- Bereits das Scoring der Schufa unterliegt Art. 22 DSGVO, wenn der Vertragspartner seine Entscheidung „maßgeblich“ von diesem Kriterium abhängig macht.
- Für § 31 Bundesdatenschutzgesetz gibt es keine Öffnungsklausel in der DSGVO.
Als erste weitreichende Folge hat die Schufa Holding AG sich im März 2023 dazu entschieden, die negativen Schufa-Einträge von allen betroffenen Personen, denen eine Restschuldbefreiung erteilt wurde, nach sechs Monaten zu löschen. Dies betraf auf einen Schlag ca. 250.000 Menschen in Deutschland.
