Festschrift für Jürgen Taeger

Auch hier soll die grundsätzliche Bedeutung von Auskunfteien nicht in Frage gestellt werden. In der Anonymität des heutigen Wirtschaftsverkehrs kennen sich potenzielle Vertragspartner regelmäßig nicht mehr persönlich und können daher auch die Vertrauenswürdigkeit ihres Gegenübers nicht mehr zuverlässig einschätzen. Unternehmen, die Kredite einräumen oder sonst in irgendeiner Form in Vorleistung gehen, sind daher dringend auf unabhängige und objektive Informationsübermittler angewiesen, die ihnen dabei helfen, potenzielle Kunden in mehr oder weniger kreditwürdige Vertragspartner einzuordnen.

Der Jubilar hat die datenschutzrechtlichen Rahmenbedingungen für Auskunfteien seit jeher umfassend rechtswissenschaftlich begleitet.2 Die einschlägigen Regelungen im neuen BDSG sieht er dabei durchaus kritisch, vor allem auch deshalb, weil entgegen den Aussagen in der Gesetzesbegründung der materielle Schutzstandard aus dem BDSG a.F. keineswegs vollumfänglich auch in das neue BDSG Eingang gefunden hat.3 Tatsächlich beschränkt sich § 31 BDSG der Sache nach darauf, die Zulässigkeit des sog. Scoring zu regeln sowie festzulegen, welche forderungsbezogenen Negativdaten bei einer Scorewertbildung berücksichtigt werden dürfen. Ohnehin ist jedoch Ausgangspunkt der folgenden Ausführungen, dass für eine mitgliedstaatliche Regelung wie die des § 31 BDSG unter der DS-GVO überhaupt kein Regelungsspielraum mehr besteht und sich daher die Zulässigkeit einer Datenverarbeitung im Auskunfteienbereich allein nach den allgemeinen Regelungen der DS-GVO bestimmt. Welcher Regelungsrahmen sich aus den einschlägigen Vorschriften der DS-GVO ableiten lässt, ist Gegenstand der folgenden Erörterungen. Dabei soll die Frage der Zulässigkeit der verschiedensten Datenverarbeitungsprozesse im Fokus stehen, aber auch die Frage aufgeworfen werden, wie es um die für die Legitimation von Auskunfteien zentralen Aspekte der Transparenz und der Datenqualität steht.

Die datenschutzrechtliche Regulierung von Auskunfteien ist unter Geltung der DS-GVO überschaubar. Im nationalen Recht regelt § 31 BDSG bestimmte Aspekte des Scoring und der Bonitätsauskünfte.4 In der DS-GVO finden sich keine bereichsspezifischen Vorschriften, die speziell die Datenverarbeitung im Auskunfteienbereich adressieren. Einschlägig sind insoweit vielmehr in erster Linie die allgemeinen Erlaubnistatbestände des Art. 6 Abs. 1 lit. b und lit. f DS-GVO. Art. 22 DS-GVO adressiert zwar in seiner Überschrift das Profiling (und damit auch als eine von dessen Varianten das Scoring), der eigentliche Regelungsgehalt der Vorschrift bezieht sich jedoch allein auf die sog. automatisierte Entscheidung.5

Es gibt im Auskunfteienbereich nicht die „eine“ Datenverarbeitung, sondern eine Vielzahl von Datenverarbeitungsprozessen, die sich aus datenschutzrechtlicher Perspektive wie folgt differenzieren lassen:

Um die Kreditwürdigkeit von Personen beurteilen zu können, sind Auskunfteien darauf angewiesen, von ihren Vertragspartnern (Banken, Versandhandel, Telekommunikationsunternehmen etc.) bonitätsrelevante Informationen übermittelt zu bekommen, um diese dann für die Beurteilung der Kreditwürdigkeit einer Person entsprechend positiv oder negativ zu berücksichtigen. Vor Geltungsbeginn der DS-GVO fanden sich zur Zulässigkeit einer solchen Datenübermittlung an Auskunfteien Regelungen in § 28a BDSG a.F.; unter Geltung der DS-GVO ist die Zulässigkeit einer solchen Datenübermittlung nunmehr einheitlich nach der allgemeinen Interessenabwägungsklausel des Art. 6 Abs. 1 lit. f DS-GVO zu beurteilen (näher dazu unten 2.).

Was die Zulässigkeit einer Datenverarbeitung durch die Auskunfteien selbst angeht (einschließlich der Datenübermittlung an Dritte), steht das sog. Scoring im Mittelpunkt: die Berechnung der Wahrscheinlichkeit eines vertragsgemäßen Verhaltens bei Geschäften auf Kredit- bzw. Vorleistungsbasis, ausgedrückt in Form eines bestimmten Punktewerts („Score“). Unter dem alten Datenschutzrecht fand sich für das Scoring eine spezielle Regelung in § 28b BDSG a.F. Im neuen Recht soll § 31 Abs. 1 BDSG einschlägig sein, allerdings ist fraglich, ob diese Vorschrift überhaupt anwendbar ist (siehe dazu unten 3.).

Eigenständig zu erörtern ist schließlich auch die Frage, welcher Erlaubnistatbestand aus Perspektive der anfragenden Unternehmen einschlägig ist, wenn diese Bonitätsinformationen von Auskunfteien einholen wollen (siehe dazu unten 4.).

Auskunfteien bekommen von ihren Vertragspartnern sowohl sog. Positivdaten übermittelt, also etwa Informationen über die Beantragung, Aufnahme und Abwicklung von Krediten oder den Abschluss eines Telekommunikationsvertrags, als auch sog. Negativdaten, also etwa Informationen über die Kündigung eines Kredits oder angemahnte und unbestrittene offene Forderungen.

Unter welchen Voraussetzungen Negativdaten an Auskunfteien übermittelt werden dürfen, war früher in § 28a Abs. 1 BDSG a.F. geregelt. Übermittelt werden durften danach Informationen zu offenen Forderungen, soweit die geschuldete Leistung trotz Fälligkeit nicht erbracht worden ist, die Übermittlung zur Wahrung berechtigter Interessen erforderlich ist und zudem bestimmte Negativmerkmale vorliegen, die die Kreditunwürdigkeit der betroffenen Person eindeutig belegen (rechtskräftiges Urteil; Feststellung nach § 178 InsO; ausdrückliche Anerkenntnis; zweimalige Mahnung ohne Bestreiten; fristlose Kündigung aufgrund von Zahlungsrückständen). Als „materieller Schutzstandard“6 soll die Regelung des § 28a Abs. 1 BDSG a.F. auch in das neue BDSG in § 31 Abs. 2 BDSG Eingang gefunden haben. Zwar weist Jürgen Taeger zu Recht darauf hin, dass § 31 Abs. 2 BDSG unmittelbar nur die Frage regelt, welche Negativdaten bei der Berechnung eines Scorewerts Berücksichtigung finden dürfen, während § 28a Abs. 1 BDSG a.F. noch als echter Erlaubnistatbestand für eine Übermittlung von Negativdaten konzipiert war.7 Zumindest mittelbar lässt sich jedoch auch aus § 31 Abs. 2 BDSG herauslesen, welchen Negativdaten der nationale Gesetzgeber eine Relevanz für die Scorewertberechnung zusprechen möchte – woraus dann aber auch folgt, dass sich überhaupt nur bei diesen Negativdaten eine Übermittlung an Auskunfteien rechtfertigen lässt.8

Unabhängig davon, wie man nun § 31 Abs. 2 BDSG einordnet, stellt sich ohnehin die Frage, ob für diese Regelung unter der DS-GVO noch Raum ist. So verständlich das Bestreben des Gesetzgebers sein mag, die bewährten Regelungen zu Scoring und Bonitätsauskünften aus dem alten Recht auch in das DS-GVO-Zeitalter „hinüberretten“ zu wollen, so eindeutig spricht doch der abschließende Regelungscharakter der DS-GVO in diesem Bereich gegen eine Fortgeltung nationalen Datenschutzrechts. Auch der Jubilar hat sich mit der Frage der Regelungskompetenz des nationalen Gesetzgebers bei § 31 BDSG ausführlich auseinandergesetzt.9 Letztlich möchte er eine Öffnungsklausel für die Verarbeitung personenbezogener Daten zum Zwecke des Scoring in Art. 23 DS-GVO verorten, wohl in Verbindung mit Art. 6 Abs. 4 DS-GVO (Zweckänderung).10

Gegen diesen Weg über die Zweckänderung spricht allerdings, dass es sich bei Art. 6 Abs. 4 DS-GVO nach hier vertretener Auffassung gerade nicht um eine Öffnungsklausel handelt und daher für den nationalen Gesetzgeber auch kein Spielraum besteht, das Scoring als zweckändernde Datenverarbeitung im nationalen Recht zu erlauben.11 Die Einordnung des Art. 6 Abs. 4 DS-GVO als eigenständige Öffnungsklausel würde demgegenüber dazu führen, dass letztlich das zentrale Ziel der DS-GVO, nämlich die Harmonisierung des Datenschutzrechts, über den Umweg der Zweckänderung nach Art. 6 Abs. 4 ad absurdum geführt werden könnte.12