Festschrift für Jürgen Taeger

Ebenso wenig lässt sich Art. 6 Abs. 1 lit. c DS-GVO (Erfüllung einer rechtlichen Verpflichtung) als Öffnungsklausel heranziehen. Zwar sind Kreditinstitute nach § 18a KWG verpflichtet, vor Abschluss eines Verbraucherdarlehensvertrags die Kreditwürdigkeit potenzieller Kreditnehmer zu überprüfen. Diese allgemeine Verpflichtung nach § 18a KWG ist jedoch nicht gleichzusetzen mit der spezifischen Verpflichtung zu einer bestimmten Datenverarbeitung, wie sie die Öffnungsklausel des Art. 6 Abs. 1 lit. c DS-GVO voraussetzt.13 Was wiederum die Vorschrift des § 10 Abs. 2 KWG betrifft, greift diese schon deshalb nicht, weil sich hieraus lediglich eine Befugnis , nicht aber eine Verpflichtung zur Datenverarbeitung ableiten lässt.14

Mangels Anwendbarkeit des § 31 BDSG ist daher die Zulässigkeit einer Datenübermittlung an Auskunfteien einheitlich nach Art. 6 Abs. 1 lit. f DS-GVO zu beurteilen – und zwar sowohl für die Übermittlung von Negativdaten als auch für die Übermittlung von Positivdaten. Für die Frage der Zulässigkeit einer Übermittlung von Negativdaten kann dann im Rahmen der Interessenabwägung durchaus den Wertungen, wie sie § 31 Abs. 2 BDSG zugrunde liegen, Rechnung getragen werden, weil es sich bei den in § 31 Abs. 2 BDSG aufgeführten Daten nach übereinstimmender Auffassung um Daten handelt, die anerkanntermaßen die fehlende Vertrauenswürdigkeit eines potenziellen Vertragspartners belegen.15 Insoweit besteht dann auch ein berechtigtes Interesse an der Nutzung dieser Daten sowohl seitens des Verantwortlichen als auch seitens Dritter und umgekehrt gerade kein schutzwürdiges Interesse der betroffenen Person an einer irgendwie gearteten „Geheimhaltung“ dieser Daten.16

Legitimationsgrundlage ist die Interessenabwägung nach Art. 6 Abs. 1 lit. f DS-GVO aber nicht nur für die Übermittlung von Negativdaten, sondern auch für die Übermittlung von Positivdaten, also solchen Daten, die als Grundlage für eine grundsätzlich positive Einschätzung der Kreditwürdigkeit eines potenziellen Vertragspartners herangezogen werden können. Im alten BDSG fand sich auch für die Zulässigkeit einer Übermittlung von solchen Positivdaten eine eigenständige Regelung in § 28a Abs. 2 BDSG a.F., beschränkt allerdings allein auf Kreditinstitute als mögliche Datenlieferanten. Ging es hingegen um eine Datenübermittlung durch andere Unternehmen als Kreditinstitute, etwa durch Telekommunikations- oder Online- und Versandhandelsunternehmen, sollten diese nach herrschender Auffassung nur auf Grundlage einer Einwilligung der betroffenen Person zu einer Datenübermittlung an Auskunfteien befugt sein.17

Überzeugen konnte diese Herangehensweise schon unter dem alten Datenschutzrecht nicht. Sowohl für die Interessenabwägung nach altem Recht als auch nunmehr für die Interessenabwägung nach neuem Recht (Art. 6 Abs. 1 lit. f DS-GVO) gilt, dass hier zum einen ein berechtigtes Datenverarbeitungsinteresse seitens des Verantwortlichen und Dritter zu bejahen ist, weil gerade auch die Positivdaten eine zentrale Beurteilungsgrundlage für die Bonitätsbewertung einer betroffenen Person darstellen. Zum anderen ist auch kein schutzwürdiges Interesse der betroffenen Person an einer „Geheimhaltung“ dieser Positivdaten erkennbar.18 Im Gegenteil: Gerade, wenn Negativdaten ohnehin auch ohne deren Einwilligung an Dritte kommuniziert werden dürfen, ist es sogar im ureigensten Interesse der betroffenen Person selbst, dass sie eben in ihrer Gesamtheit zutreffend abgebildet wird und damit Gelegenheit erhält, sich dank ihrer Positivdaten auch in einem möglichst vorteilhaften Licht gegenüber Unternehmen präsentieren zu können. Dies gilt umso mehr, als im heutigen Wirtschaftsverkehr dem Einzelnen mit einer Vertraulichkeit von Bonitätsdaten ohnehin nicht geholfen ist, weil eine fehlende Bonitätsbewertung im Sinne einer Risikominimierung von Unternehmen regelmäßig mit einer fragwürdigen Bonität gleichgesetzt wird.19

Auskunfteien verarbeiten Daten auf vielfältige Art und Weise: Für ihre Datengrundlage greifen sie zum einen auf amtliche Daten zurück (Bekanntmachungen der Insolvenzgerichte, Schuldnerverzeichnisse der Amts- und Vollstreckungsgerichte), zum anderen erhalten sie wie bereits angesprochen sowohl Positiv- als auch Negativdaten von ihren Vertragspartnern. Genutzt werden all diese Daten in erster Linie, um die Bonität von Einzelpersonen zu bewerten (regelmäßig durch Scoring), aber auch zu Zwecken der Identitätsüberprüfung, der Adressermittlung oder der Betrugsprävention. All dies sind Dienstleistungen, mit denen eine entsprechende Datenübermittlung an die Vertragspartner der Auskunfteien einhergeht.

Soweit es um das Scoring durch Auskunfteien geht, stellt sich wie schon zuvor bei der Datenübermittlung an Auskunfteien die Frage, ob insoweit die Regelungen des neuen BDSG anwendbar sind, konkret hier § 31 Abs. 1 BDSG, oder ob sich die Zulässigkeit des Scoring allein nach den Vorschriften der DS-GVO bestimmt. Mit § 31 Abs. 1 BDSG möchte der deutsche Gesetzgeber (ebenso wie mit § 31 Abs. 2 BDSG) den „materiellen Schutzstandard“20 der §§ 28a, 28b BDSG a.F. auch unter Geltung der DS-GVO aufrechterhalten und hat konkret mit § 31 Abs. 1 BDSG die Zulässigkeit des Scorings so geregelt, wie er dies auch schon mit § 28b BDSG a.F. getan hat.

Jedoch gilt auch hier wiederum wie schon für die Regelung der Zulässigkeit einer Datenübermittlung an Auskunfteien, dass unter Geltung der DS-GVO kein Spielraum mehr für die nationalen Gesetzgeber verbleibt, die Datenverarbeitung durch Auskunfteien bereichsspezifisch im nationalen Recht zu regeln. Die DS-GVO sieht insoweit keine einschlägigen Öffnungsklauseln vor.21 Vielmehr müssen sich sämtliche Datenverarbeitungsprozesse im Bereich der Auskunfteien an den Erlaubnistatbeständen des Art. 6 Abs. 1 DS-GVO messen lassen. Einschlägig ist in diesem Rahmen dann allein die Interessenabwägungsklausel des Art. 6 Abs. 1 lit. f DS-GVO, da zwischen Auskunfteien und Betroffenen keine vertraglichen Beziehungen bestehen und Auskunfteien auch nicht auf das Instrument der Einwilligung im Verhältnis zum einzelnen Betroffenen setzen.

Im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 lit. f DS-GVO sind dann einerseits die Auswirkungen zu berücksichtigen, die eine Datenverarbeitung für die betroffenen Personen mit sich bringt, wenn diese der Sache nach mittels Scorewerten in mehr und weniger vertrauenswürdige Schuldner eingeteilt werden. Andererseits sind in die Abwägung die Interessen der Auskunfteien selbst und vor allem die Interessen Dritter – konkret der im Wirtschaftsverkehr in Vorleistung tretenden Unternehmen – einzustellen, die auf eine belastbare Grundlage für die Einschätzung potenzieller Vertragspartner angewiesen sind.

Zugunsten der schutzwürdigen Interessen der betroffenen Personen ist zunächst einmal zu berücksichtigen, dass es sich beim Scoring um ein Profiling i.S.d. Art. 4 Nr. 4 DS-GVO handelt, welches regelmäßig mit besonderen Risiken für die Rechte und Freiheiten der betroffenen Personen einhergeht, konkret im Fall des Scoring etwa mit finanziellen Verlusten oder einer Rufschädigung.22 Umso wichtiger ist es daher, wie auch der europäische Gesetzgeber in Erwägungsgrund 71 zur DS-GVO betont, dass technische und organisatorische Maßnahmen getroffen werden, damit „den potenziellen Bedrohungen für die Interessen und Rechte der betroffenen Personen Rechnung getragen wird“. EG 71 spricht insoweit auch explizit die Richtigkeit der Datenverarbeitung an, die gewährleistet sein muss. Ganz grundsätzlich stehen Auskunfteien in einer besonderen Pflicht, mit den von ihnen zur Verfügung gestellten Informationen einen vollständigen, zutreffenden und aussagekräftigen Eindruck von der Bonität der „benoteten“ Personen zu vermitteln (Aspekt der Datenqualität; siehe sogleich unter c). Ebenso ist in eine Interessenabwägung auch einzustellen, inwieweit die betroffenen Personen effektiv die Möglichkeit haben, die Richtigkeit einer Datenverarbeitung durch Auskunfteien zu kontrollieren und im Falle einer fehlerhaften Datenverarbeitung dann auch entsprechend mittels Lösch- und Korrekturrechten gegensteuern zu können.23 Unabdingbare Voraussetzung dafür ist die Transparenz der Datenverarbeitung durch Auskunfteien (siehe dazu im Folgenden unter d).