EU Judgment in Case C-634/21 SCHUFA Holding and others and in Joined Cases C-26/22 SCHUFA Holding and others and C-64/22 SCHUFA Holding and others

Thursday 7th December 2023

Judgment in Case C-634/21 SCHUFA Holding and others (Scoring) and in Joined Cases C-26/22 SCHUFA Holding and others and C-64/22 SCHUFA Holding and others

(Approximation of Laws)

A number of citizens are challenging before a German court the refusal of the competent data protection commissioner to take action against SCHUFA in relation to “scoring” and the storage of information relating to the early discharge of outstanding debts taken from public registers. Scoring is a statistical method that consists of evaluating, according to a certain number of criteria linked to a certain person, the probability of that person’s behaviour in the future. For example, this could relate to the repayment of a loan. Information relating to the early discharge of outstanding debts is kept for six months in public registers and for three years by SCHUFA.

The German court asks the Court to clarify the scope of the protection of personal data, as provided for by the General Data Protection Regulation (GDPR).

Background Documents C-634/21

Background Documents C-26/22

Background Documents C-64/22

Urteile des Gerichtshofs in der Rechtssache C‑634/21 SCHUFA Holding (Scoring)

Erstellung von Score-Werten durch private Wirtschaftsauskunfteien

sowie in den verbundenen Rechtssachen C‑26/22 und C‑64/22 SCHUFA Holding (Restschuldbefreiung)

Datenspeicherung bei privaten Wirtschaftsauskunfteien

C-634/21: Die private Wirtschaftsauskunftei SCHUFA versorgt ihre Vertragspartner mit Informationen zur Kreditwürdigkeit Dritter und erstellt zu diesem Zweck sog. Score-Werte. Für die Ermittlung dieses Wertes wird aus bestimmten Merkmalen einer Person auf der Grundlage mathematisch-statistischer Verfahren für diese die Wahrscheinlichkeit eines künftigen Verhaltens, wie beispielsweise die Rückzahlung eines Kredits, prognostiziert. Die im Einzelnen zugrunde gelegten Merkmale als auch das mathematisch-statistische Verfahren werden von der SCHUFA nicht offengelegt.

Eine Betroffene, die die Löschung ihrer Ansicht nach falscher Eintragungen sowie Auskunft über die über sie gespeicherten Daten begehrt, wandte sich an den Hessischen Datenschutzbeauftragten. Dieser lehnte ihr Begehren jedoch ab, da die SCHUFA bei der Berechnung des Bonitätswertes den im Bundesdatenschutzgesetz detailliert geregelten Anforderungen in der Regel genüge und im hiesigen Fall keine Anhaltspunkte vorlägen, dass dem nicht so sei.

Das von der Betroffenen angerufene Verwaltungsgericht Wiesbaden ersucht den Gerichtshof vor diesem Hintergrund um Auslegung der Datenschutzgrundverordnung 2016/679 (DSGVO).

Es möchte in erster Linie wissen, ob die Tätigkeit von Wirtschaftsauskunfteien, Score-Werte zu erstellen und diese ohne weitergehende Empfehlung oder Bemerkung an Dritte (beispielsweise Banken) zu übermitteln, die dann unter maßgeblicher Einbeziehung dieses Score-Wertes mit der betroffenen Person vertragliche Beziehungen eingehen oder davon absehen, unter das grundsätzliche Verbot der automatisierten Einzelfallentscheidung fällt und somit nur dann zulässig ist, wenn ein Ausnahmetatbestand erfüllt ist (siehe auch Pressemitteilung des Verwaltungsgerichts Wiesbaden Nr. 15/2021).

Generalanwalt Pikamäe hat dem Gerichtshof in seinen Schlussanträgen vorgeschlagen zu entscheiden, dass bereits die automatisierte Erstellung eines Scoring-Wertes eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung darstellt, wenn dieser Wert von dem Verantwortlichen an Dritte übermittelt wird, die ihn dann ihrer Entscheidung über die Begründung eines Vertragsverhältnisses mit der betroffenen Person maßgeblich zugrunde legen (siehe Pressemitteilung Nr. 49/2023).

C-26/22 und C-64/22: Das Verwaltungsgericht Wiesbaden hat auf die Klage eines Betroffenen hin darüber zu entscheiden, ob der Hessische Datenschutzbeauftragte es zu Recht abgelehnt hat, darauf hinzuwirken, dass die private Wirtschaftsauskunftei SCHUFA die Eintragung einer Restschuldbefreiung löscht. Die Information über die Restschuldbefreiung stammt aus den Veröffentlichungen der Insolvenzgerichte, wo sie allerdings nach sechs Monaten gelöscht wird.

Das Verwaltungsgericht Wiesbaden ersucht den Gerichtshof in diesem Zusammenhang um Auslegung der Datenschutzgrundverordnung 2016/679 (DSGVO) sowie der EU-Grundrechte-Charta.

Es möchte u.a. wissen, ob private Wirtschaftsauskunfteien Daten aus öffentlichen Verzeichnissen überhaupt anlasslos und somit auf Vorrat speichern dürfen, und das weit über deren Löschung im öffentlichen Verzeichnis hinaus, nämlich ggfs. noch weitere drei Jahre. Zudem möchte es wissen, ob es genügt, dass sich der Datenschutzbeauftrage mit einer Beschwerde überhaupt befasst und dem Betroffenen innerhalb einer bestimmten Frist antwortet – ähnlich wie bei einer Petition -, oder ob seine Entscheidung von den Gerichten inhaltlich voll überprüft werden kann (vgl. auch Pressemitteilung des Verwaltungsgerichts Wiesbaden Nr. 14/2021).

Generalanwalt Pikamäe hat dem Gerichtshof in seinen Schlussanträgen vorgeschlagen zu entscheiden, dass die Speicherung von Informationen über eine Restschuldbefreiung aus einem öffentlichen Register durch eine private Wirtschaftsauskunftei über einen Zeitraum, der über denjenigen hinausgeht, in dem sie im öffentlichen Register verfügbar sind, gegen die DSGVO verstößt.

Aus der DSGVO ergebe sich außerdem, dass ein rechtsverbindlicher Beschluss einer Aufsichtsbehörde einer umfassenden gerichtlichen Kontrolle unterliege (siehe auch Pressemitteilung Nr. 49/2023).

Weitere Informationen C-634/21

Weitere Informationen C-26/22

Weitere Informationen C-64/22