Dr. David Klein, RA/FA IT, LL.M. (Washington), CIPP/E

Mehr als nur Scoring: Die SCHUFA-Entscheidung C-634/21 und ihre Auswirkungen

Ausschließlich automatisierte Entscheidungsfindungen mit rechtlich relevanten Auswirkungen für die Betroffenen sind nach der DSGVO verboten. Mit der Entscheidung vom 7.12.2023 in der Rechtssache C-634/21 hat der EuGH das datenschutzrechtliche Verbot mit weitreichenden Folgen konkretisiert. Künftig müssen Unternehmen nicht nur bei der Verwendung von sog. Score-Werten für die Prüfung der Kreditwürdigkeit von Kunden Prozesse überprüfen, sondern grundsätzlich (teil-) automatisierte Abläufe kontrollieren, die etwa KI-gestützt arbeiten. Außerdem müssen die korrespondierenden Auskunftsprozesse angepasst werden.

I. Hintergrund der Entscheidung

Der Entscheidung des EuGH lag die Beschwerde einer natürlichen Person bei “Der Hessische Beauftragte für Datenschutz und Informationsfreiheit” (HBDI) zugrunde. Der streitgegenständliche Score-Wert wird von der SCHUFA anhand eines mathematisch-statistischen Verfahrens für eine betroffene Person berechnet und prognostiziert, ob diese etwa einen Kredit zurückzahlt. Die Prognose erfolgt dabei durch Vergleich bestimmter Merkmale des Betroffenen mit Merkmalen anderer Personen, die sich in bestimmter Weise verhalten haben, z. B. einen Kredit nicht oder verspätet bedient haben. Dieser Score-Wert wiederum wird von Dritten, etwa Kreditinstituten bei der Vergabe von Krediten, verwendet.