Festschrift für Jürgen Taeger

Als zentraler Grundsatz für jede Verarbeitung personenbezogener Daten findet sich der Aspekt der Datenqualität in Art. 5 Abs. 1 lit. d DS-GVO normiert. Personenbezogene Daten müssen danach „sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein“ (Grundsatz der „Richtigkeit“ der Datenverarbeitung). Entscheidend für die Richtigkeit einer Datenverarbeitung im Kontext von Bonitätsbeurteilungen ist gerade auch, dass diesen Bonitätsbeurteilungen eine vollständige Datenbasis zugrunde liegt, dass also gleichermaßen alle Positiv- wie Negativdaten zu einer bestimmten Person in eine Scorewert-Berechnung einfließen.24

Die Richtigkeit der Datenverarbeitung ist im Auskunfteienbereich von zentraler Bedeutung – und zugleich auch eines der zentralen Probleme. Bedingt schon durch die schiere Masse an Daten – allein die Schufa verfügt über 1,002 Mrd. Daten zu 6 Mio. Unternehmen und 67,9 Mio. Einzelpersonen und erteilt im Schnitt pro Tag 460.000 Auskünfte an Unternehmen25 – kommt es immer wieder zu fehlerhaften Bonitätsauskünften, die für die betroffenen Personen mitunter zu gravierenden wirtschaftlichen Konsequenzen führen können. Klassische Fehlerquellen für unrichtige Bonitätseinstufungen sind etwa Identitätsverwechslungen, die fehlerhafte oder unterbliebene Zusammenführung von Datenbeständen infolge von Adressänderungen und vor allem auch die Unvollständigkeit der Datensätze zu einzelnen Personen.26

Schon aufgrund einer tendenziell risikoaversen Einstellung auf Seiten der Auskunfteien und ihrer Vertragspartner besteht bei Bonitätsbeurteilungen stets die Gefahr, dass diese in erster Linie darauf bedacht sind, alle negativen Informationen zu Einzelpersonen vollständig zu sammeln und zu verwerten. Das gesamte Informationsmodell der Auskunfteien ist zuallererst daraufhin ausgerichtet, riskante Vertragspartner auszusondern, um auf diese Weise Zahlungsausfälle zu minimieren. Was die Vollständigkeit und Genauigkeit der Datenverarbeitung angeht, kann daher durchaus auch eine gewisse Fehlerquote in Kauf genommen werden, soweit davon „nur“ positive Bonitätsinformationen betroffen sind, solcherlei Lücken und Ungenauigkeiten also allein zulasten des einzelnen Betroffenen gehen, weil dessen Bonität im Zweifel eher zu negativ als zu positiv bewertet wird. Das damit einhergehende Risiko, dass möglicherweise auch an sich vertrauenswürdige Kunden unerkannt bleiben, wird aus Auskunfteien- und Unternehmensperspektive kaum nennenswert ins Gewicht fallen, sondern vielmehr durch das entsprechend vereinfachte Datenverarbeitungsprozedere und die damit einhergehende Ersparnis von zeitlichen und finanziellen Ressourcen wieder kompensiert.27

Einen Niederschlag hat der Aspekt der Qualität auch in der Regelung des § 31 Abs. 1 BDSG zur Zulässigkeit des Scoring gefunden. Zwar ist diese mitgliedstaatliche Vorschrift, weil insoweit kein Regelungsspielraum unter der DS-GVO besteht, nicht anwendbar, jedoch lassen sich deren inhaltliche Vorgaben der Sache nach ebenso im Rahmen der Interessenabwägungsklausel des Art. 6 Abs. 1 lit. f DS-GVO berücksichtigen. Dies gilt insbesondere für die zentrale Vorgabe des § 31 Abs. 1 Nr. 2 BDSG, wonach ein Scoring nur dann zulässig ist, wenn die hierfür herangezogenen Daten „unter Zugrundelegung eines wissenschaftlich anerkannten mathematisch-statistischen Verfahrens nachweisbar für die Berechnung der Wahrscheinlichkeit des bestimmten Verhaltens erheblich sind“. Es ist also – ganz im Sinne des Accountability-Prinzips nach Art. 5 Abs. 2, Art. 24 DS-GVO – an den Auskunfteien, nachvollziehbar zu belegen, dass die für die Scorewert-Berechnung herangezogenen Daten auch tatsächlich von unmittelbarer Relevanz sind.28

Gewährleistet ist damit zumindest eine „Basisrationalität prognostischer Verfahren“, die dafür Sorge trägt, dass Scorewert-Berechnungen nicht mehr allein auf nicht rationalisierbaren Intuitionen der Verantwortlichen oder auf fehlerhaften statistischen Verfahren beruhen.29 Erst recht sind nach diesen Maßgaben Scorewert-Berechnungen auf Grundlage einer unzureichenden Datenbasis von vornherein unzulässig.30 Ob eine solche „Basisrationalität“ im Sinne des § 31 Abs. 1 Nr. 2 BDSG bereits ausreicht, um den Interessen der betroffenen Personen vollumfänglich Rechnung zu tragen, kann man sicherlich so oder so beurteilen.31 Gewährleistet ist damit zumindest aber, dass sich jegliche Art von „Schubladendenken“ als Grundlage für ein Scoring verbietet.

Als konkretes Beispiel für solch ein Schubladendenken, welches der Gesetzgeber nochmals explizit ausschließen wollte, kann auch die Berechnung eines Scorewerts anhand von Anschriftendaten herangezogen werden – also das, was gemeinhin als „nachbarschaftliche Sippenhaft“ kritisiert wird, weil die Bonität einer einzelnen Person allein anhand ihres Wohnumfelds beurteilt wird.32 § 31 Abs. 1 BDSG gibt insoweit vor, dass eine Scorewert-Berechnung „nicht ausschließlich“ auf Anschriftendaten gestützt werden darf (Nr. 3) und dass zudem bei der Nutzung von Anschriftendaten die betroffene Person vor einer Scorewert-Berechnung über die vorgesehene Nutzung dieser Daten zu unterrichten ist (Nr. 4). Auch insoweit gilt: Als spezifische Ausprägungen des Grundsatzes der Datenqualität (bzw. der Datentransparenz) können diese Wertungen des § 31 Abs. 1 BDSG zumindest der Sache nach auch unter Geltung der DS-GVO entsprechend im Rahmen einer Interessenabwägung Berücksichtigung finden.

Gemäß Art. 5 Abs. 1 lit. a DS-GVO müssen personenbezogene Daten nicht nur auf rechtmäßige Weise und nach Treu und Glauben verarbeitet werden, sondern auch „in einer für die betroffene Person nachvollziehbaren Weise“ (Grundsatz der Transparenz). Für sämtliche Datenverarbeitungsprozesse und insbesondere auch für das Scoring gilt, dass diese transparent ausgestaltet sein müssen. Die betroffenen bzw. bewerteten Personen müssen in der Lage sein, die wesentlichen Faktoren für die Bewertung ihrer Bonität nachvollziehen und diese Bewertung auch hinterfragen zu können.

Konkret für das Scoring sind vor allem auch die Transparenzvorgaben in Art. 13 Abs. 2 lit. f, Art. 14 Abs. 2 lit. g und Art. 15 Abs. 1 lit. h DS-GVO von Relevanz, wonach jeweils beim „Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling“ auch „aussagekräftige Informationen über die involvierte Logik“ zur Verfügung zu stellen sind. Im Fall von Auskunfteien erstreckt sich diese Informationspflicht auf die einer Scorewert-Berechnung zugrunde liegenden Scoreformeln und Algorithmen.33 Für die Weigerung, solcherlei Informationen preiszugeben, stützten sich Auskunfteien bislang in erster Linie auf die Wahrung ihrer sog. Geschäftsgeheimnisse. Rückendeckung erhielten sie insoweit nicht zuletzt vom BGH, der zum Auskunftsrecht nach § 34 Abs. 4 Satz 1 Nr. 4 BDSG a.F. eine Verpflichtung der Schufa zur Offenlegung ihrer Scoreformel ebenfalls abgelehnt hatte.34 Nach Auffassung des BGH umfassten die als Geschäftsgeheimnis geschützten Inhalte sowohl die in die Scoreformel einfließenden allgemeinen Rechengrößen, wie etwa die herangezogenen statistischen Werte, als auch die Gewichtung einzelner Berechnungselemente bei der Ermittlung des Wahrscheinlichkeitswerts sowie die Bildung etwaiger Vergleichsgruppen als Grundlage der sog. Scorekarten.

Auch für die DS-GVO ist in deren Erwägungsgrund 63 nachzulesen, dass das Auskunftsrecht der betroffenen Person nicht zu einer Beeinträchtigung von Geschäftsgeheimnissen führen dürfe. Gleichwohl kann aber die noch zum BDSG a.F. ergangene Rechtsprechung des BGH unter Geltung der DS-GVO nicht mehr aufrecht erhalten werden.35 Die engen Grenzen, die der BGH dem Auskunftsrecht im Falle des Scoring gezogen hat, lassen sich mit den Vorgaben der DS-GVO im Sinne einer aussagekräftigen Information über die involvierte Logik nicht mehr vereinbaren. Um die Logik einer Scorewert-Berechnung nachvollziehen zu können, reicht es nicht aus, dass dem Einzelnen lediglich allgemeine Informationen zur Datengrundlage für die Scorewert-Berechnung zur Verfügung gestellt werden. „Aussagekräftig“ – weil nachvollziehbar – sind die Informationen vielmehr nur dann, wenn der Einzelne auch Informationen zur Gewichtung der in die Wahrscheinlichkeitsberechnung eingeflossenen Faktoren sowie zur Identität der Vergleichsgruppe und zu den Gründen, aus denen der Betroffene der Vergleichsgruppe zugeordnet wird, erhält. Auch damit werden dem Einzelnen letztlich nur bestimmte „Basis-Informationen“ zur Verfügung gestellt, die für sich genommen kaum schon ernsthaft das Geschäftsgeheimnis der Auskunfteien hinsichtlich ihrer komplexen Algorithmen und Rechenformeln gefährden werden.36 Zumindest wäre aber mit der Zurverfügungstellung dieser Informationen ein erster Schritt getan, um die informationellen Asymmetrien zwischen Betroffenen und Auskunfteien etwas abzuschwächen.37